Kennisbank / 3. Hoe toon ik aan dat ik eraan voldoe?
NIS2 audit: voorbereiding op audit en inspectie
Essentiële entiteiten kunnen proactief worden geaudit en geïnspecteerd; belangrijke entiteiten krijgen vooral toezicht na een incident of signaal. In beide gevallen geldt: wie goed voorbereid is, laat zien dat de zorgplicht serieus wordt genomen.
Soorten audits
- Interne audit: eigen toetsing van de effectiviteit van maatregelen (Art. 21.2(f))
- Externe audit: onafhankelijke partij toetst uw maatregelen, bijv. als voorbereiding of op verzoek van klanten
- Toezichtsaudit of inspectie: uitgevoerd of opgedragen door de toezichthouder, met name bij essentiële entiteiten
Wat wordt getoetst?
Auditors toetsen opzet, bestaan en werking van de maatregelen uit Art. 21, de bestuurlijke betrokkenheid uit Art. 20 en de werking van het meldproces. Verwacht interviews met directie en IT, documentcontrole en steekproeven in systemen.
Voorbereiding in vijf stappen
- 1. Voer een zelfevaluatie uit en dicht de grootste gaten
- 2. Stel het auditdossier samen, geordend per wetsartikel
- 3. Actualiseer de risicoanalyse en laat de directie deze bekrachtigen
- 4. Bereid directie en sleutelpersonen voor op interviews
- 5. Wijs één vaste contactpersoon aan voor de auditor
Na de audit
Bevindingen zet u om in een verbeterplan met eigenaar, termijn en prioriteit. Rapporteer de voortgang aan de directie en bewaar het verbeterplan als bewijs. Bij toezicht kan een tekortkoming leiden tot een aanwijzing of last onder dwangsom; lees meer in boetes en handhaving.
Praktijkvoorbeeld
Een energiebedrijf kreeg een aangekondigde inspectie. Dankzij een recente interne audit en een compleet dossier bleef het bij drie kleinere bevindingen, die binnen zes weken waren opgelost.