Aantoonbare NIS2-compliance via documentatie bereik je door een gestructureerd dossier op te bouwen van beleidsdocumenten, risicobeoordelingen, incidentregistraties en auditverslagen die samen bewijzen dat jouw organisatie de beveiligingsmaatregelen uit de richtlijn actief uitvoert en bewaakt. Dit geldt voor alle organisaties die onder de NIS2-richtlijn vallen, zowel essentiële als belangrijke entiteiten. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-documentatie, van verplichte documenten tot de tools die het beheer vereenvoudigen.
Welke documenten zijn verplicht voor NIS2-compliance?
Voor NIS2-compliance zijn minimaal de volgende documenten verplicht: een informatiebeveiligingsbeleid, een risicobeoordelingsrapport, een incidentresponsplan, een bedrijfscontinuïteitsplan, documentatie over leveranciersbeveiliging en registraties van beveiligingsincidenten. Samen vormen deze documenten het bewijs dat jouw organisatie risico’s structureel beheert en beveiligingsmaatregelen niet alleen beschrijft, maar ook uitvoert.
De NIS2-richtlijn schrijft voor dat organisaties een risicogebaseerde aanpak hanteren. Dat betekent dat de documentatie verder gaat dan een lijst met regels. Elk document moet aantoonbaar verbonden zijn met de werkelijkheid van jouw organisatie: welke systemen zijn kritiek, welke risico’s zijn geïdentificeerd en welke maatregelen zijn genomen om die risico’s te beheersen?
Naast de kernstukken heb je ook aanvullende documentatie nodig, zoals:
- Toegangsbeheerbeleid en gebruikersrechtenregistraties
- Patchmanagement- en kwetsbaarhedenregistraties
- Trainings- en bewustwordingsregistraties voor medewerkers
- Technische configuratiedocumentatie van kritieke systemen
- Auditlogs en testresultaten van beveiligingsmaatregelen
Het is belangrijk om te beseffen dat documentatie geen doel op zich is. Toezichthouders willen zien dat de documenten worden gebruikt en bijgewerkt. Een beleid dat drie jaar geleden is opgesteld en sindsdien niet is herzien, telt nauwelijks als bewijs van actieve compliance.
Hoe bewijs je aantoonbare naleving aan een toezichthouder?
Aantoonbare naleving bewijs je door een audittrail op te bouwen: een doorlopend spoor van gedateerde documenten, besluitverslagen, testresultaten en incidentregistraties waaruit blijkt dat beveiligingsmaatregelen niet alleen zijn vastgesteld, maar ook worden uitgevoerd, gecontroleerd en verbeterd. De sleutel zit in de combinatie van beleid, bewijs van uitvoering en bewijs van evaluatie.
Een toezichthouder kijkt niet alleen naar wat er op papier staat. De vragen die worden gesteld, zijn: wie is verantwoordelijk, wanneer is dit voor het laatst gecontroleerd en wat is er gedaan met de uitkomst? Zorg daarom dat elk document een eigenaar heeft, een versienummer draagt en voorzien is van een datum van laatste herziening.
Praktische bewijsmiddelen die toezichthouders waarderen, zijn onder andere:
- Notulen van directievergaderingen waarin beveiliging is geagendeerd
- Resultaten van penetratietests of kwetsbaarheidsscans
- Bewijs van gevolgde security-awareness trainingen
- Correspondentie met leveranciers over beveiligingsvereisten
- Logbestanden van toegangsbeheer en systeemwijzigingen
Houd er rekening mee dat de bewijslast bij jouw organisatie ligt. Je hoeft niet te wachten op een inspectie om dit op orde te brengen. Een goed ingericht compliance-dossier geeft ook intern rust en overzicht.
Wat is het verschil tussen een NIS2-beleid en een NIS2-procedure?
Een NIS2-beleid beschrijft het wat en waarom: de principes, doelstellingen en verantwoordelijkheden op strategisch niveau. Een NIS2-procedure beschrijft het hoe: de concrete stappen, rollen en tijdlijnen die medewerkers volgen om het beleid in de praktijk uit te voeren. Beide zijn nodig, maar ze dienen een ander doel.
Stel dat jouw organisatie een wachtwoordbeleid heeft. Het beleid stelt dat alle systemen worden beschermd met sterke authenticatie en dat toegang uitsluitend wordt verleend op basis van het need-to-know-principe. De procedure beschrijft vervolgens stap voor stap hoe een nieuwe medewerker toegang krijgt, wie dit aanvraagt, wie het goedkeurt en hoe de toegang wordt ingetrokken bij vertrek.
Dit onderscheid is relevant voor NIS2-compliance omdat toezichthouders beide niveaus beoordelen. Een beleid zonder procedures is onvolledig: het laat zien dat de intentie er is, maar niet dat de uitvoering geborgd is. Omgekeerd zijn procedures zonder onderliggend beleid moeilijk te verdedigen als structurele aanpak.
Zorg er dus voor dat elk beleidsdomein, zoals incidentbeheer, toegangscontrole of back-upbeheer, zowel een beleidsdocument als bijbehorende werkprocedures heeft. Dit maakt jouw documentatiestructuur compleet en controleerbaar.
Hoe vaak moet je NIS2-documentatie herzien en bijwerken?
NIS2-documentatie moet minimaal jaarlijks worden herzien en direct na significante wijzigingen zoals een beveiligingsincident, een grote systeemwijziging, een nieuwe leverancier of een aanpassing van de organisatiestructuur. Jaarlijkse herziening is een basisvereiste; risicogebaseerde tussentijdse updates zijn minstens zo belangrijk.
De NIS2-richtlijn verwacht een dynamische aanpak van risicobeheer. Dat betekent dat documentatie meebeweegt met de werkelijkheid. Als jouw organisatie overstapt naar een nieuwe cloudprovider, moet het risicobeoordelingsrapport worden bijgewerkt. Als er een incident heeft plaatsgevonden, moet het incidentresponsplan worden geëvalueerd op basis van de opgedane ervaringen.
Een praktische aanpak is om per document een herzieningscyclus vast te stellen:
- Risicobeoordelingsrapport: minimaal jaarlijks, of na grote wijzigingen
- Incidentresponsplan: jaarlijks en na elk significant incident
- Leveranciersdocumentatie: bij contractverlenging of wijziging van de dienstverlening
- Trainingsregistraties: doorlopend, met jaarlijkse rapportage
- Beleids- en proceduredocumenten: jaarlijks, met versienummering
Leg herzieningsdata vast en documenteer wie de herziening heeft uitgevoerd en welke wijzigingen zijn doorgevoerd. Dit is op zichzelf al een belangrijk onderdeel van je compliance-dossier.
Welke rol speelt incidentregistratie in NIS2-documentatie?
Incidentregistratie is een kernonderdeel van NIS2-documentatie. De richtlijn verplicht organisaties om significante incidenten te melden bij de bevoegde autoriteit, maar ook intern bij te houden hoe incidenten zijn verlopen, welke maatregelen zijn genomen en welke lessen zijn getrokken. Dit register dient als bewijs van actief risicobeheer en continue verbetering.
Een goede incidentregistratie bevat voor elk incident minimaal: de datum en het tijdstip van ontdekking, een beschrijving van het incident, de getroffen systemen of data, de genomen responsacties, de communicatie met betrokkenen en de afsluiting met evaluatie. Incidenten die niet zijn gedocumenteerd, bestaan voor een toezichthouder niet.
Naast de meldplicht heeft incidentregistratie een interne functie. Door incidenten systematisch te registreren en te analyseren, identificeer je terugkerende kwetsbaarheden, verbeter je je responsprocedures en toon je aan dat jouw organisatie leert van ervaringen. Dat is precies de cultuur van continue verbetering die NIS2 beoogt te stimuleren.
Zorg ook voor een duidelijk escalatieproces: wie besluit of een incident meldplichtig is, wie de melding doet en binnen welke termijn. NIS2 hanteert strikte meldtermijnen, en een goed gedocumenteerd escalatieproces voorkomt dat je die termijnen mist.
Hoe documenteer je de beveiliging van leveranciers en ketenpartners?
De beveiliging van leveranciers en ketenpartners documenteer je door per leverancier een risicoklassificatie op te stellen, contractuele beveiligingsvereisten vast te leggen, periodieke beoordelingen uit te voeren en de uitkomsten hiervan te archiveren. NIS2 vereist dat organisaties ook de risico’s in hun toeleveringsketen actief beheren en aantoonbaar maken.
Begin met een leveranciersregister waarin je alle externe partijen opneemt die toegang hebben tot jouw systemen, netwerken of gevoelige data. Classificeer elke leverancier op basis van het risico dat zij vertegenwoordigen: hoe kritieker de dienst of hoe groter de toegang, hoe intensiever de documentatie en monitoring moet zijn.
Per leverancier leg je vast:
- Welke diensten of systemen zij leveren of beheren
- Welke beveiligingsvereisten contractueel zijn overeengekomen
- Of er een verwerkersovereenkomst of beveiligingsbijlage is getekend
- Wanneer de laatste beoordeling heeft plaatsgevonden en wat de uitkomst was
- Hoe incidenten bij de leverancier worden gecommuniceerd en afgehandeld
Houd er rekening mee dat een leverancier die zelf NIS2-plichtig is, een eigen compliance-dossier heeft. Je kunt hun certificeringen of auditresultaten opvragen als onderdeel van jouw ketenbeheerdocumentatie. Dit is niet alleen efficiënt, maar ook een teken van professioneel leveranciersmanagement.
Welke tools helpen bij het beheren van NIS2-compliancedocumentatie?
Tools die helpen bij het beheren van NIS2-compliancedocumentatie zijn onder andere GRC-platforms (Governance, Risk and Compliance), documentbeheersystemen, ticketingsystemen voor incidentregistratie en geautomatiseerde monitoringtools. De beste keuze hangt af van de omvang van jouw organisatie, de bestaande IT-omgeving en het volwassenheidsniveau van je beveiligingsprogramma.
Voor kleinere organisaties binnen het MKB is een gestructureerde aanpak in een bestaand platform zoals Microsoft 365 of SharePoint al een goede start. Je kunt er versiebeheerde documenten in opslaan, herzieningsdata bijhouden en toegangsrechten per documenttype instellen. Dit verlaagt de drempel aanzienlijk zonder direct te investeren in gespecialiseerde software.
Grotere of meer complexe organisaties profiteren van gespecialiseerde GRC-tools die risicobeoordeling, beleidsbeheer, leveranciersmonitoring en incidentregistratie integreren in één omgeving. Voorbeelden van functionaliteiten die je in zulke platforms vindt, zijn:
- Automatische herinneringen voor herzieningscycli
- Koppeling van risico’s aan maatregelen en documenten
- Dashboards voor compliance-status per domein
- Audittrails met tijdstempels en gebruikerslogging
- Rapportages die geschikt zijn voor toezichthouders
Ongeacht welke tool je kiest, is de kwaliteit van de input bepalend. Een geavanceerd platform met onvolledige of verouderde gegevens geeft een vals gevoel van zekerheid. Investeer daarom eerst in heldere processen en verantwoordelijkheden, en kies daarna de tool die die processen het beste ondersteunt.
Wil je weten hoe jouw organisatie de NIS2-documentatie praktisch kan inrichten? Via onze cybersecurity-oplossingen helpen we je niet alleen met de technische kant van beveiliging, maar ook met de structuur en het beheer van je compliance-dossier. Neem gerust contact op voor een vrijblijvend gesprek.
