Kennisbank / 3. Hoe toon ik aan dat ik eraan voldoe?
NIS2 bewijs en documentatie: zo bouwt u een auditdossier
Onder NIS2 telt wat u kunt aantonen. Een toezichthouder vraagt geen intenties maar bewijs: beleid, registraties, testverslagen en besluiten. Een goed opgebouwd auditdossier maakt het verschil tussen een korte hersteltermijn en een bindende aanwijzing.
Drie soorten bewijs
- Opzet: het beleid of de procedure bestaat (bijv. meldprotocol, back-upbeleid)
- Bestaan: de maatregel is ingevoerd (bijv. MFA-configuratie, contractbepalingen)
- Werking: de maatregel werkt over een periode (bijv. hersteltestverslagen, patchrapportages, trainingsregistraties)
Inhoud van het dossier
- Scopebepaling en entiteitstatus, getekend door directie
- Goedgekeurd beveiligingsbeleid en directienotulen (Art. 20)
- Risicoanalyse en risicoregister
- Bewijs per maatregel uit Art. 21 (MFA-dekking, patchstatus, back-uptests)
- Meldprotocol, incidentregister en evaluaties (Art. 23)
- Leveranciersoverzicht en contracteisen
- Trainingsregistraties van bestuur en medewerkers
- Resultaten van zelfevaluaties en audits
Ordening: per wetsartikel
Orden het dossier per wetsartikel en per maatregel uit Art. 21. Leg per document vast: eigenaar, datum, versie en volgende reviewdatum. Zo kunt u bij een verzoek van de toezichthouder binnen enkele dagen leveren; lees ook boetes en handhaving.
Veelvoorkomende gaten
Organisaties hebben vaak wel beleid, maar geen bewijs van werking. Typische ontbrekende stukken zijn hersteltestverslagen, notulen van directiebesluiten, bewijs van bestuurderstraining en evaluaties van oefeningen. Een zelfevaluatie brengt deze gaten snel aan het licht.
Bewijs actueel houden
Plan een vaste cyclus: maandelijks technische rapportages, per kwartaal directierapportage en hersteltest, jaarlijks risicoanalyse, audit en oefening. Bewaar historie zodat u verbetering in de tijd kunt laten zien.
Praktijkvoorbeeld
Bij een informatieverzoek kon een logistiek bedrijf binnen drie dagen een volledig dossier aanleveren. De toezichthouder sloot het onderzoek af met twee verbeterpunten en een ruime hersteltermijn.