Een NIS2-risicoanalyse uitvoeren doe je door systematisch de dreigingen, kwetsbaarheden en mogelijke gevolgen voor jouw netwerk- en informatiesystemen in kaart te brengen. Je beoordeelt welke risico’s de continuïteit van jouw dienstverlening kunnen bedreigen, bepaalt de kans en impact per risico, en koppelt daar concrete beveiligingsmaatregelen aan. NIS2 geldt voor organisaties in essentiële en belangrijke sectoren, en de risicoanalyse vormt de verplichte basis voor alle andere beveiligingsmaatregelen die je moet treffen. In dit artikel beantwoorden we de meest gestelde vragen over hoe je zo’n analyse aanpakt.
Welke risico’s moet je in kaart brengen voor NIS2?
Voor NIS2 breng je alle risico’s in kaart die de beschikbaarheid, integriteit, vertrouwelijkheid en authenticiteit van jouw netwerk- en informatiesystemen kunnen aantasten. Denk aan cyberaanvallen, menselijke fouten, technische storingen, fysieke incidenten en risico’s vanuit de toeleveringsketen. Het gaat nadrukkelijk om risico’s die gevolgen kunnen hebben voor de continuïteit van jouw diensten.
Concreet onderscheid je de volgende risicocategorieën:
- Technische risico’s: softwarekwetsbaarheden, verouderde systemen, misconfiguraties en onvoldoende patchbeheer
- Menselijke risico’s: phishing, social engineering, onbedoelde fouten van medewerkers en onvoldoende bewustzijn
- Operationele risico’s: uitval van kritieke systemen, gebrekkige back-upprocedures en onvoldoende incidentrespons
- Fysieke risico’s: ongeautoriseerde toegang tot serverruimtes, stroomstoringen en natuurrampen
- Ketenrisico’s: kwetsbaarheden bij leveranciers, cloudproviders en andere derde partijen die toegang hebben tot jouw systemen
NIS2 legt bijzonder veel nadruk op ketenrisico’s. Je bent als organisatie verantwoordelijk voor de beveiliging van jouw gehele digitale ecosysteem, inclusief de partijen waarmee je samenwerkt. Dit betekent dat je ook de beveiligingspraktijken van kritieke leveranciers moet beoordelen en documenteren.
Hoe verschilt een NIS2-risicoanalyse van een gewone IT-risicoanalyse?
Een NIS2-risicoanalyse verschilt van een gewone IT-risicoanalyse doordat ze wettelijk verplicht is, een breder toepassingsgebied heeft en expliciet de continuïteit van maatschappelijke dienstverlening meeneemt als beoordelingscriterium. Waar een standaard IT-risicoanalyse primair gericht is op interne systemen en bedrijfsbelangen, kijkt een NIS2-analyse ook naar de bredere maatschappelijke impact van een incident.
Enkele concrete verschillen:
- Wettelijke grondslag: Een NIS2-risicoanalyse is geen vrijblijvende best practice maar een afdwingbare verplichting met bijbehorende documentatie-eisen
- Ketenperspectief: NIS2 vereist dat je risico’s in de toeleveringsketen expliciet meeneemt, iets wat bij een reguliere IT-risicoanalyse vaak beperkt blijft
- Bestuursverantwoordelijkheid: Onder NIS2 is het bestuur persoonlijk verantwoordelijk voor de risicoanalyse en de opvolging ervan
- Meldplicht als gevolg: De uitkomsten van de risicoanalyse zijn direct gekoppeld aan je meldplicht bij incidenten en de maatregelen die je aantoonbaar moet hebben getroffen
- Proportionaliteitsbeginsel: NIS2 verwacht dat de gekozen beveiligingsmaatregelen aantoonbaar proportioneel zijn ten opzichte van de geïdentificeerde risico’s
Een reguliere IT-risicoanalyse kan dienen als vertrekpunt, maar volstaat zelden als volwaardige NIS2-risicoanalyse zonder aanvullende stappen rondom ketenbeheer, bestuurlijke borging en documentatie.
Welke stappen doorloop je bij een NIS2-risicoanalyse?
Een NIS2-risicoanalyse doorloopt vijf kernstappen: het bepalen van de scope, het identificeren van dreigingen en kwetsbaarheden, het beoordelen van de kans en impact, het prioriteren van risico’s en het koppelen van beheersmaatregelen. Elke stap moet gedocumenteerd worden zodat je bij een audit kunt aantonen hoe je tot jouw beveiligingskeuzes bent gekomen.
Stap 1 tot en met 3: Inventariseren en beoordelen
Begin met het vastleggen van de scope: welke systemen, processen en diensten vallen onder de analyse? Maak een inventaris van alle kritieke assets, zoals servers, applicaties, netwerken en gegevensstromen. Vervolgens identificeer je per asset de relevante dreigingen en de kwetsbaarheden die die dreigingen kunnen uitbuiten. Sluit deze fase af door voor elk risico de kans van optreden en de potentiële impact te beoordelen, bij voorkeur op een gestandaardiseerde schaal.
Stap 4 en 5: Prioriteren en maatregelen koppelen
Op basis van de kans-impactbeoordeling prioriteer je de risico’s. Risico’s met een hoge kans en grote impact vragen om directe actie. Vervolgens koppel je aan elk risico concrete beheersmaatregelen, zoals technische controles, procesaanpassingen of contractuele afspraken met leveranciers. Leg vast wie verantwoordelijk is voor de implementatie, wat de deadline is en hoe je de effectiviteit bewaakt. Dit behandelplan vormt samen met de risicoanalyse de kern van jouw NIS2-dossier.
Welke methode gebruik je het best voor een NIS2-risicoanalyse?
De meest gebruikte en erkende methoden voor een NIS2-risicoanalyse zijn ISO 27005, de ENISA-richtlijnen en frameworks zoals NIST CSF. Er is geen wettelijk voorgeschreven methode, maar NIS2 vereist wel een aantoonbaar gestructureerde aanpak die proportioneel is aan de omvang en het risicoprofiel van jouw organisatie.
Voor het MKB is een lichtere, pragmatische aanpak vaak het meest geschikt. Een methode op basis van een risicoregister, gecombineerd met de dreigingscategorieën uit de NIS2-richtlijn zelf, geeft een goed startpunt zonder dat je een uitgebreid ISO-certificeringstraject hoeft te doorlopen. Zorg er wel voor dat de methode de volgende elementen bevat:
- Een gestructureerde assetinventarisatie
- Een dreigings- en kwetsbaarheidsanalyse per asset
- Een kans-impactmatrix of vergelijkbare beoordelingstool
- Een gedocumenteerd behandelplan met eigenaarschap en deadlines
- Een procedure voor periodieke herziening
Wil je zeker weten dat jouw aanpak voldoet aan de NIS2-eisen? Onze cybersecuritydiensten helpen je bij het opzetten van een risicoanalyse die aansluit op jouw specifieke situatie en sector.
Wie is verantwoordelijk voor de risicoanalyse binnen NIS2?
Onder NIS2 is het bestuur van de organisatie eindverantwoordelijk voor de risicoanalyse. Bestuursleden moeten de analyse goedkeuren, toezicht houden op de uitvoering en kunnen persoonlijk aansprakelijk worden gesteld als zij deze verantwoordelijkheid niet aantoonbaar invullen. Dit is een van de meest ingrijpende veranderingen ten opzichte van eerdere cybersecurityregelgeving.
In de praktijk betekent dit dat de uitvoering van de risicoanalyse vaak belegd wordt bij een IT-manager, CISO of externe specialist, maar dat de bestuurlijke goedkeuring en het toezicht altijd bij de directie liggen. Het bestuur moet ook aantoonbaar getraind zijn in cybersecurityrisico’s en de implicaties van de risicoanalyse begrijpen. Delegeren is toegestaan, maar verantwoordelijkheid wegschuiven niet.
Voor kleinere organisaties zonder dedicated IT-personeel is het inschakelen van een externe partner een gangbare en praktische oplossing, zolang de bestuurlijke betrokkenheid en goedkeuring formeel geborgd zijn in de documentatie.
Hoe vaak moet je de risicoanalyse herzien onder NIS2?
NIS2 schrijft voor dat de risicoanalyse regelmatig herzien wordt, en in ieder geval na significante wijzigingen in de organisatie, de IT-omgeving of het dreigingslandschap. Er is geen vaste wettelijke frequentie vastgelegd, maar de gangbare praktijk en toezichthoudende richtlijnen wijzen op minimaal één herziening per jaar.
Naast de jaarlijkse herziening zijn er situaties die een tussentijdse update vereisen:
- Na een beveiligingsincident of bijna-incident
- Bij de introductie van nieuwe systemen, applicaties of cloudoplossingen
- Bij wijzigingen in de toeleveringsketen, zoals een nieuwe leverancier of een fusie
- Bij nieuwe dreigingsinformatie die relevant is voor jouw sector
- Bij organisatorische veranderingen zoals groei, een overname of een nieuw bedrijfsproces
Behandel de risicoanalyse dus niet als een eenmalig document maar als een levend instrument. Een verouderde risicoanalyse die niet meer aansluit bij de werkelijkheid biedt geen bescherming en voldoet niet aan de NIS2-vereisten.
Wat zijn de gevolgen als je geen risicoanalyse uitvoert voor NIS2?
Als je geen risicoanalyse uitvoert onder NIS2, riskeer je bestuurlijke boetes, reputatieschade en bij ernstige overtredingen persoonlijke aansprakelijkheid van bestuurders. Toezichthouders kunnen ook tijdelijke beperkingen opleggen aan de uitoefening van leidinggevende functies. De hoogte van de sancties verschilt per categorie organisatie, maar de financiële en operationele gevolgen kunnen aanzienlijk zijn.
Naast de directe juridische gevolgen zijn er praktische risico’s die minstens zo zwaar wegen:
- Onverzekerbaarheid: Cyberverzekeraars stellen steeds vaker een aantoonbare risicoanalyse als voorwaarde voor dekking
- Aansprakelijkheid bij incidenten: Zonder gedocumenteerde risicoanalyse is het moeilijk aan te tonen dat je voldoende zorgvuldig hebt gehandeld
- Verlies van klantvertrouwen: Zakelijke opdrachtgevers, zeker in sectoren als zorg en logistiek, vragen steeds vaker om bewijs van NIS2-compliance
- Operationele kwetsbaarheid: Zonder risicoanalyse ontbreekt de basis voor gerichte beveiligingsinvesteringen, waardoor je blinde vlekken in jouw beveiliging laat bestaan
In 2026 neemt de handhaving van NIS2 in Nederland verder toe. Organisaties die nog geen risicoanalyse hebben uitgevoerd, lopen niet alleen juridisch risico maar plaatsen zichzelf ook in een kwetsbare positie ten opzichte van concurrenten die hun digitale weerbaarheid wel aantoonbaar op orde hebben.
