Kennisbank / 3. Hoe toon ik aan dat ik eraan voldoe?
NIS2 zelfevaluatie: zo voert u een nulmeting uit
Een zelfevaluatie is de snelste manier om te zien waar u staat met NIS2. U toetst per maatregel of deze volledig, gedeeltelijk of niet is ingericht en krijgt zo een onderbouwde nulmeting. Die vormt het startpunt voor prioritering, budget en bestuurlijke besluitvorming.
Waarom een nulmeting?
Art. 21 lid 2(f) verplicht u de effectiviteit van uw maatregelen te beoordelen. Een periodieke zelfevaluatie is daar een eerste invulling van. Bovendien maakt een nulmeting het gesprek met de directie concreet: in plaats van 'we moeten iets met NIS2' ligt er een score per thema en een lijst met acute knelpunten.
Wie betrekt u erbij?
Laat de evaluatie niet alleen door IT invullen. Betrek de directie (governance), IT of uw MSP (techniek), kwaliteit (processen) en HR (awareness en in-/uitdienst). Zo voorkomt u een te rooskleurig beeld.
Stappenplan zelfevaluatie
- 1. Bepaal eerst uw entiteitstatus via de NIS2-criteria
- 2. Beoordeel per maatregel: volledig, gedeeltelijk, niet aanwezig of onbekend
- 3. Wees streng: 'onbekend' telt als niet aanwezig
- 4. Controleer op tegenstrijdigheden (bijv. meldprotocol zonder logging)
- 5. Zet de gaten om in acties met eigenaar en termijn
- 6. Herhaal de meting elk kwartaal en bewaar de rapporten
Van score naar actie
Begin bij de maatregelen met de grootste impact: MFA, back-ups en het meldprotocol. Gebruik daarna de NIS2 checklist en het 90-dagenplan om de rest gefaseerd op te pakken.
Zelfevaluatie versus audit
Een zelfevaluatie is indicatief en intern. Een audit is onafhankelijk en levert formeler bewijs. Veel organisaties gebruiken de zelfevaluatie als voorbereiding op een NIS2-audit.
Praktijkvoorbeeld
Een zorgleverancier scoorde in de eerste nulmeting 38%. Na drie kwartalen en drie herhaalde metingen lag de score op 76% — en dienden de opeenvolgende rapporten als bewijs van aantoonbare verbetering richting toezichthouder.