Voorbeeld Logistiek B.V.

1. Constatering

Bestuurders volgen periodiek (minimaal jaarlijks) een cybersecuritytraining. — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 20 lid 2

NIS2 verplicht bestuurders expliciet tot training; ontbreken is een direct aantoonbaar verzuim.

3. Handelingsperspectief

Plan binnen 30 dagen een bestuurderstraining cyberrisico's en registreer deelname.

1. Constatering

Multifactorauthenticatie (MFA) is verplicht voor alle externe toegang en beheeraccounts. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(j)

Gestolen wachtwoorden zijn de nummer één oorzaak van inbraken; MFA is expliciet benoemd in NIS2.

3. Handelingsperspectief

Dwing MFA af op e-mail, VPN, cloudportalen en alle beheeraccounts.

1. Constatering

Er is een incidentresponsplan met rollen, escalatie en communicatie. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(b)

Zonder plan verliest u kostbare uren in de eerste fase van een incident.

3. Handelingsperspectief

Stel een IR-plan op met RACI, escalatieladder en externe contacten (MSP, verzekeraar, advocaat).

1. Constatering

Externe toegang van leveranciers (bijv. MSP) is beperkt, gelogd en met MFA beveiligd. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(d)(j)

Leverancierstoegang is een veelgebruikte route voor aanvallers.

3. Handelingsperspectief

Beperk leverancierstoegang tot just-in-time accounts met MFA en logging.

1. Constatering

Er is een aangewezen eigenaar (bijv. CISO/security officer) met mandaat en budget. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 20 & 21.1

Zonder eigenaar blijft beleid vrijblijvend en ontbreekt sturing op uitvoering.

3. Handelingsperspectief

Wijs een verantwoordelijke aan met schriftelijk mandaat en rapportagelijn naar directie.

1. Constatering

Er is een actuele, gedocumenteerde risicoanalyse van netwerk- en informatiesystemen. — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(a)

De risicoanalyse is het fundament onder alle maatregelen; zonder analyse zijn keuzes niet te verantwoorden.

3. Handelingsperspectief

Voer een risicoanalyse uit per kritisch proces en systeem (all-hazards benadering).

1. Constatering

Centrale logging en monitoring van kritieke systemen is ingericht. — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(b)

Zonder logging kunt u incidenten niet detecteren, analyseren of tijdig melden.

3. Handelingsperspectief

Richt centrale logverzameling (SIEM/MDR) in met minimaal 6 maanden bewaartermijn.

1. Constatering

Hersteltesten van back-ups worden periodiek (minimaal per kwartaal) uitgevoerd en vastgelegd. — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(c)

Een niet-geteste back-up is een aanname, geen garantie.

3. Handelingsperspectief

Plan kwartaalhersteltesten en leg resultaat en hersteltijd vast.

1. Constatering

Er is 24/7 detectie op verdachte activiteiten (EDR/MDR of SOC). — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(b)

Aanvallen vinden vaak 's nachts of in het weekend plaats; zonder detectie start de meldtermijn onbewust.

3. Handelingsperspectief

Implementeer EDR op alle endpoints met 24/7 opvolging door een MDR-partij.

1. Constatering

Er is een actueel overzicht (asset-inventaris) van alle systemen en software. — beoordeeld als "onbekend".

2. Betekenis & Art. 21.2(i)

U kunt niet beveiligen wat u niet kent; de inventaris is randvoorwaarde voor patching en risicoanalyse.

3. Handelingsperspectief

Stel een CMDB/asset-register op inclusief eigenaar en kritikaliteit.

1. Constatering

Er is een overzicht van kritieke ICT-leveranciers en hun risicoprofiel. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(d)

Ketenaanvallen via leveranciers groeien sterk; NIS2 maakt u verantwoordelijk voor ketenrisico's.

3. Handelingsperspectief

Classificeer alle leveranciers op kritikaliteit en toegang tot uw systemen.

1. Constatering

Alle medewerkers volgen periodiek security awareness-training (incl. phishing). — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(g)

De mens is de meest voorkomende aanvalsvector; awareness is een verplichte basismaatregel.

3. Handelingsperspectief

Start een doorlopend awarenessprogramma met phishingsimulaties per kwartaal.

1. Constatering

Er is een encryptiebeleid voor data in rust en in transit. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(h)

Cryptografie is een verplicht onderdeel; onversleutelde data vergroot de impact van een lek.

3. Handelingsperspectief

Stel een cryptografiebeleid op en versleutel laptops, back-ups en verbindingen.

1. Constatering

Toegangsrechten worden op basis van least privilege toegekend en periodiek gereviewd. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(i)

Overbodige rechten vergroten de schade bij een gecompromitteerd account.

3. Handelingsperspectief

Voer een halfjaarlijkse access review uit en koppel in-/uitdienst aan HR-proces.

1. Constatering

Het proces voor de 72-uurs incidentmelding en het eindrapport (1 maand) is beschreven. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 23 lid 4(b)(d)

NIS2 kent een getrapte meldplicht; ontbrekende vervolgmeldingen leiden tot handhaving.

3. Handelingsperspectief

Werk templates uit voor de 72-uurs melding en het eindrapport.

1. Constatering

Er is een bedrijfscontinuïteitsplan (BCP) met RTO/RPO per kritisch proces. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(c)

Zonder hersteldoelen is niet te bepalen of maatregelen volstaan.

3. Handelingsperspectief

Stel per kritisch proces RTO/RPO vast in een business impact analyse.

1. Constatering

Er is een crisisorganisatie met beslisbevoegdheden en communicatieplan. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(c)

In crisis moeten besluiten snel en bevoegd genomen worden, ook naar klanten en pers.

3. Handelingsperspectief

Richt een crisisteam in met vervangers en een vooraf goedgekeurde communicatielijn.

1. Constatering

Contracten met leveranciers bevatten beveiligings- en meldplichtclausules. — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(d) & 21.3

Zonder contractuele eisen kunt u leveranciers niet aanspreken op beveiliging of meldingen.

3. Handelingsperspectief

Neem securityeisen, meldplicht (<24u) en auditrecht op in alle kritieke contracten.

1. Constatering

De effectiviteit van maatregelen wordt periodiek beoordeeld (audit/review). — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(f)

Zonder effectiviteitsmeting is niet aantoonbaar dat maatregelen werken.

3. Handelingsperspectief

Plan een jaarlijkse interne audit en kwartaalrapportage aan de directie.

1. Constatering

Het incidentresponsteam oefent minimaal jaarlijks (tabletop/simulatie). — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(b)(f)

Een niet-geoefend plan faalt in de praktijk.

3. Handelingsperspectief

Organiseer een tabletop-oefening met directie en IT op basis van een ransomwarescenario.

1. Constatering

Er is een uitwijk- of noodvoorziening voor kritieke systemen. — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(c)

Langdurige uitval van kritieke systemen kan het voortbestaan bedreigen.

3. Handelingsperspectief

Bepaal uitwijkopties (cloud failover, noodwerkplekken) voor kritieke systemen.

1. Constatering

Sleutelpersonen kennen hun rol in het continuïteitsplan en het plan is beoefend. — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(c)

Een plan op papier zonder bekendheid bij de uitvoerders is een papieren tijger.

3. Handelingsperspectief

Oefen het BCP jaarlijks en borg kennis bij minimaal twee personen per rol.

1. Constatering

Leveranciers worden periodiek beoordeeld (vragenlijst, certificaat of audit). — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.3

Een eenmalige check bij contractering zegt weinig over de actuele situatie.

3. Handelingsperspectief

Vraag jaarlijks ISO 27001/SOC2-bewijs of een securityvragenlijst op bij kritieke leveranciers.

1. Constatering

Bij inkoop van ICT worden security-eisen meegenomen (security by design). — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(e)

Onveilige aankopen creëren structurele kwetsbaarheden.

3. Handelingsperspectief

Voeg een securitychecklist toe aan het inkoopproces voor ICT-middelen.

1. Constatering

Inkoop en contractmanagers zijn bekend met de NIS2-ketenverplichtingen. — beoordeeld als "niet aanwezig".

2. Betekenis & Art. 21.2(d)(g)

Ketenbeveiliging faalt als de mensen die contracten sluiten de eisen niet kennen.

3. Handelingsperspectief

Train inkoop en contractmanagement in NIS2-ketenvereisten.

1. Constatering

Incidenten worden geregistreerd en geëvalueerd (lessons learned). — beoordeeld als "gedeeltelijk".

2. Betekenis & Art. 21.2(b)(f)

Zonder evaluatie herhalen incidenten zich en is verbetering niet aantoonbaar.

3. Handelingsperspectief

Richt een incidentregister in en evalueer elk incident binnen 2 weken.