De Zeven Meestgemaakte Fouten Bij NIS2-implementatie

Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet, de Nederlandse omzetting van de Europese NIS2-richtlijn. Veel organisaties zijn inmiddels aan de slag, maar de eerste ervaringen laten zien dat dezelfde NIS2 valkuilen en fouten steeds terugkeren. Ze kosten tijd, geld en soms de aantoonbaarheid van uw hele traject.

Het vervelende is dat deze fouten zelden voortkomen uit onwil of gebrek aan budget. Ze ontstaan doordat organisaties de wet als een technisch project behandelen in plaats van als een sturingsvraagstuk. Wie de zeven meest voorkomende missers kent, kan ze aan het begin van het traject wegnemen in plaats van ze later duur te repareren.

Welke NIS2 valkuilen en fouten komen in de praktijk het vaakst voor?

De Cyberbeveiligingswet kent drie verplichtingen: de zorgplicht, de meldplicht en de registratieplicht. Fouten ontstaan vooral op de raakvlakken daartussen, en op het raakvlak tussen techniek en organisatie. Hieronder staan de zeven fouten die het vaakst voorkomen, met per fout wat er misgaat en wat u eraan doet.

Fout 1: de scope pas bepalen als het traject al loopt

Begin altijd met de scopevraag, want die bepaalt alles daarna. Organisaties starten vaak met techniek en ontdekken pas maanden later of zij als essentiële of belangrijke entiteit gelden, of welke onderdelen van de organisatie eigenlijk onder de wet vallen.

Het verschil is groot. Essentiële entiteiten (doorgaans vanaf 250 medewerkers of meer dan 50 miljoen euro omzet) krijgen proactief toezicht en riskeren boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Belangrijke entiteiten (doorgaans 50 tot 250 medewerkers) krijgen reactief toezicht en boetes tot 7 miljoen euro of 1,4 procent. Beantwoord daarom eerst de vraag of u onder NIS2 valt en leg de uitkomst schriftelijk vast, inclusief de onderbouwing.

Fout 2: NIS2 volledig bij de IT-afdeling neerleggen

NIS2 is geen IT-project maar een organisatieopgave. Toch belandt het dossier in de praktijk vaak op het bureau van de IT-manager, die vervolgens verantwoordelijk wordt gemaakt voor onderwerpen als personeelsbeveiliging, leveranciersafspraken en bedrijfscontinuïteit.

Dat gaat mis omdat IT geen zeggenschap heeft over die processen. HR gaat over screening en indiensttreding, inkoop over contracten, de directie over continuïteitskeuzes. Beleg elke maatregel bij de functionaris die er in het dagelijks werk ook echt over gaat, en laat IT de techniek leveren die het besluit ondersteunt.

Fout 3: techniek invoeren zonder documentatie

Zonder vastlegging kunt u niets aantonen, hoe goed uw beveiliging technisch ook is. Dit is misschien wel de duurste fout: organisaties investeren in monitoring, segmentatie en multifactorauthenticatie, maar leggen geen beleid, risicoafweging of besluit vast.

De Rijksinspectie Digitale Infrastructuur (RDI) en de sectorale toezichthouders kijken naar aantoonbaarheid. Zij beoordelen of u een risicoanalyse heeft gedaan, of het bestuur de maatregelen heeft goedgekeurd en of u de effectiviteit periodiek beoordeelt. Een overzicht van de documenten die NIS2 vraagt helpt om de gaten in uw dossier zichtbaar te maken.

Fout 4: de meldketen nooit oefenen

De meldtermijnen zijn kort en lopen door in de nacht en het weekend. U moet binnen 24 uur een vroege waarschuwing doen, binnen 72 uur een volledige incidentmelding en binnen een maand een eindrapport indienen bij het CSIRT en de bevoegde toezichthouder.

In de praktijk struikelen organisaties niet over de inhoud van de melding maar over de eerste beslissing: is dit een significant incident, en wie mag dat vaststellen? Zonder geoefende afspraken gaan er uren verloren aan overleg. Neem de meldtermijnen van 24 en 72 uur als vertrekpunt voor een oefening waarin u het hele pad doorloopt, van eerste signaal tot verzonden melding.

Fout 5: de toeleveringsketen buiten beschouwing laten

Beveiliging van de toeleveringsketen is een van de tien maatregelgebieden uit artikel 21, maar het is ook het gebied dat het vaakst wordt overgeslagen. Organisaties richten hun eigen omgeving netjes in en vergeten dat een groot deel van hun dienstverlening bij hostingpartijen, softwareleveranciers en beheerders ligt.

U blijft verantwoordelijk voor de risico’s die via uw leveranciers binnenkomen. Dat betekent dat u weet welke leveranciers kritiek zijn, welke eisen u stelt en hoe u naleving controleert. Leg dit vast in een leveranciersbeleid met concrete beveiligingseisen en neem die eisen op in nieuwe contracten.

Fout 6: het bestuur pas aan het eind betrekken

Artikel 20 legt de verantwoordelijkheid expliciet bij het bestuur. Het bestuur keurt de maatregelen goed, houdt toezicht op de uitvoering en volgt aantoonbaar scholing over cyberrisico’s. Dat is geen formaliteit achteraf, maar een voorwaarde vooraf.

Wie het bestuur pas aan het eind om een handtekening vraagt, loopt tegen twee problemen aan. De gemaakte keuzes blijken niet te passen bij de risicobereidheid van de directie, en de scholingsverplichting is niet vervuld. Bij essentiële entiteiten kan een bestuurder bovendien tijdelijk uit een leidinggevende functie worden geschorst. Verdiep u daarom vroeg in de bestuurdersaansprakelijkheid onder NIS2.

Fout 7: beleid opleveren en daarna nooit meer aanraken

Een beleidsdocument dat een jaar oud is en niet meer klopt, werkt tegen u. Veel trajecten eindigen met een set opgeleverde documenten die daarna in een map verdwijnt. Ondertussen verandert de organisatie: nieuwe systemen, andere leveranciers, een reorganisatie.

Artikel 21 vraagt uitdrukkelijk om beoordeling van de effectiviteit van de maatregelen. Dat is een terugkerende activiteit. Werk daarom met een vaste ritmiek en houd het klein en haalbaar:

• Eigenaar per document. Elk document heeft één verantwoordelijke functionaris, geen afdeling.
• Herzieningstermijn. Leg vast wanneer een document opnieuw wordt beoordeeld, bijvoorbeeld jaarlijks.
• Trigger bij wijziging. Een nieuw systeem of een nieuwe kritieke leverancier leidt tot een tussentijdse herziening.
• Bewijs van uitvoering. Bewaar verslagen, testresultaten en besluiten, niet alleen het beleid zelf.
• Jaarlijkse terugkoppeling. Rapporteer minimaal eens per jaar aan het bestuur over de stand van zaken.

Hoe voorkomt u deze fouten in uw eigen traject?

Bijna alle genoemde fouten zijn terug te voeren op een ontbrekend startpunt. Begin met een nulmeting waarin u vaststelt wat er al is en wat ontbreekt. Een gap-analyse tegen de tien maatregelgebieden maakt in korte tijd zichtbaar waar de echte gaten zitten, zodat u niet begint bij het onderwerp dat toevallig het meest voor de hand ligt.

Werk daarna in vaste volgorde: scope, risicoanalyse, beleid, technische en organisatorische maatregelen, oefening en beoordeling. Het NIS2 compliance pakket volgt die volgorde en levert de bijbehorende structuur, zodat u niet zelf hoeft te bedenken welke stap wanneer aan de beurt is.

Veelgestelde vragen over NIS2 valkuilen en fouten

1. Wat is de grootste fout bij NIS2-implementatie?

De grootste fout is de scope te laat bepalen. Zolang niet vaststaat of u een essentiële of belangrijke entiteit bent en welke organisatieonderdelen onder de wet vallen, richt u maatregelen in zonder te weten of ze op de juiste plek landen. Dat leidt tot dubbel werk en tot gaten die pas bij toezicht zichtbaar worden.

2. Is NIS2 een IT-verantwoordelijkheid?

Nee. De Cyberbeveiligingswet legt de verantwoordelijkheid bij het bestuur, dat de maatregelen goedkeurt en toezicht houdt. IT levert techniek, maar onderwerpen als personeelsbeveiliging, leveranciersafspraken en bedrijfscontinuïteit horen bij HR, inkoop en de directie. Alles bij IT neerleggen is een van de meest voorkomende fouten.

3. Kan ik mij laten certificeren voor NIS2?

Nee, NIS2 is een wettelijke verplichting en geen certificeringsnorm. Er bestaat geen NIS2-certificaat. U toont naleving aan met documentatie, risicoanalyses, besluiten van het bestuur en bewijs dat maatregelen daadwerkelijk werken. Een ISO 27001-managementsysteem kan wel als basis dienen voor die aantoonbaarheid.

4. Hoe vaak moet ik mijn NIS2-beleid herzien?

De wet noemt geen vaste frequentie, maar artikel 21 vraagt om beoordeling van de effectiviteit van de maatregelen. In de praktijk is een jaarlijkse herziening werkbaar, aangevuld met een tussentijdse herziening bij grote wijzigingen zoals een nieuw kernsysteem, een nieuwe kritieke leverancier of een reorganisatie.

5. Wat gebeurt er als ik een meldtermijn mis?

Het missen van een meldtermijn is een overtreding van de meldplicht en kan leiden tot handhaving door de RDI of de sectorale toezichthouder. Boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten. Meld daarom liever te vroeg dan te laat.

Conclusie

De zeven fouten in dit artikel hebben één gemeenschappelijke oorzaak: NIS2 wordt behandeld als een technisch project met een einddatum, terwijl het een doorlopende sturingsverplichting is. Scope, verantwoordelijkheden en aantoonbaarheid zijn geen bijzaken die u later regelt, maar de fundering waarop alle maatregelen rusten.

Wie deze valkuilen vooraf kent, kan het traject een stuk rustiger inrichten. Begin met de scopevraag, beleg de verantwoordelijkheden expliciet en zorg dat elke maatregel een document en een eigenaar heeft. De 176 NIS2 document templates geven u die basis, en de digitale Coach houdt de volgorde en de herzieningsmomenten bij, zodat het beleid niet stilstaat zodra het is opgeleverd.