Klaar voor NIS2 en de Cyberbeveiligingswet: Vier best practices
Veel organisaties worstelen met de impact van NIS2 en de aankomende Cyberbeveiligingswet. Want hoe vertaal je beleid en wettelijke eisen naar concrete acties in de dagelijkse praktijk? Anouk van der Gracht van Dawn Technology deelt vier succesfactoren uit de praktijk om digitale weerbaarheid structureel te organiseren.
De NIS2-richtlijn van de Europese Unie is bedoeld om de cyberbeveiliging en digitale weerbaarheid van essentiële en belangrijke organisaties te versterken. In Nederland wordt deze richtlijn geïmplementeerd via de Cyberbeveiligingswet. Als het wetgevingsproces volgens planning verloopt, treedt deze wet naar verwachting op 15 augustus 2026 in werking.
De nieuwe wet- en regelgeving brengt verplichtingen met zich mee op het gebied van onder meer risicobeheersing, incidentmelding, governance en bestuurlijke verantwoordelijkheid. Dat vraagt niet alleen om aanpassingen van IT-systemen, maar ook om veranderingen in processen, verantwoordelijkheden en gedrag.
Daarmee verschuift digitale weerbaarheid steeds nadrukkelijker van een technisch vraagstuk naar een organisatiebreed vraagstuk. Bestuurders moeten kunnen sturen op aantoonbare beheersing van cyberrisico’s.
Op basis van de projecten die Dawn Technology uitvoert, zien we vier terugkerende succesfactoren die bepalend zijn voor een werkbare aanpak van digitale weerbaarheid. Daarbij staat niet het creëren van zoveel mogelijk documentatie centraal, maar het aanbrengen van overzicht, prioriteiten en samenhang tussen risico’s, maatregelen en verantwoordelijkheden.
De onderstaande best practices laten zien waar organisaties in de praktijk tegenaan lopen en welke keuzes helpen om NIS2 stap voor stap beheersbaar te maken:
1: Begin klein en focus op de ‘kroonjuwelen’
NIS2 kan op het eerste gezicht omvangrijk en complex lijken. Alles tegelijk onderzoeken en verbeteren is voor de meeste organisaties echter niet realistisch en ook niet noodzakelijk.
Daarom is het verstandig om klein te beginnen en eerst te kijken naar de ‘digitale kroonjuwelen’, oftewel de meest kritieke processen, data en systemen van de organisatie. Welke onderdelen moeten onder alle omstandigheden blijven functioneren en waar is de impact het grootst als er iets misgaat?
Een analyse van de relevante NIS2-eisen en een gap-analyse maken duidelijk waar de huidige situatie afwijkt van de gewenste situatie. Op basis daarvan kan een impactassessment bepalen welke verbeteringen prioriteit hebben.
Met die inzichten kan een realistische roadmap worden opgesteld die organisaties stap voor stap naar een hoger niveau van digitale weerbaarheid brengt. Bij Dawn Technology bieden we bijvoorbeeld een NIS2-quickscan, die helpt inzicht te geven in de huidige situatie en de belangrijkste vervolgstappen.
De gedachte daarachter is eenvoudig: organisaties hebben in de eerste fase vooral behoefte aan overzicht en een haalbare route vooruit. Pas als duidelijk is waar de grootste risico’s en tekortkomingen zitten, kunnen tijd en budget gericht worden ingezet.
2: Organiseer eigenaarschap
Digitale weerbaarheid begint niet alleen bij technische maatregelen, maar ook bij duidelijke verantwoordelijkheden en besluitvorming binnen de organisatie. Met NIS2 verschuift cyberweerbaarheid nadrukkelijk van de werkvloer naar de bestuurskamer.
Bestuurders moeten niet alleen budget beschikbaar stellen of verantwoordelijkheden delegeren, maar actief richting geven aan de aanpak van cyberrisico’s, prioriteiten bepalen en toezien op de uitvoering van maatregelen. Organisaties moeten daarom verder gaan dan alleen procedures voor security- en IT-teams. Cyberweerbaarheid moet onderdeel worden van de bredere governance, met duidelijke besluitvorming, rapportagelijnen en verantwoordelijkheden.
In de praktijk zijn security-inspanningen vaak verdeeld over verschillende afdelingen, systemen en leveranciers. Daardoor is het niet altijd eenvoudig om inzichtelijk te maken hoe risico’s, maatregelen, verantwoordelijkheden en controles met elkaar samenhangen.
De uitdaging is niet alleen om systemen veilig te krijgen, maar ook om als organisatie aantoonbaar te maken dat veiligheid structureel wordt geborgd. Wie dat goed organiseert, is beter voorbereid op zowel audits als daadwerkelijke incidenten.
3: Investeer in de juiste kennis en vaardigheden
Digitale weerbaarheid vraagt niet alleen om beleid en processen, maar ook om de juiste kennis en expertise om security, privacy en compliance structureel te verankeren in de ontwikkeling en inrichting van systemen. NIS2 vraagt organisaties om wettelijke en organisatorische eisen te vertalen naar concrete keuzes in architectuur, technologie en processen.
Door security en privacy by design als uitgangspunt te nemen, worden risico’s eerder zichtbaar en kunnen maatregelen direct onderdeel worden van het ontwerp, in plaats van achteraf te worden toegevoegd.
Dat vraagt om een nauwe verbinding tussen cybersecurity, regelgeving en technische expertise. Procedures kunnen op papier goed geregeld zijn, maar de manier waarop systemen worden ontworpen, ontwikkeld en beheerd bepaalt uiteindelijk hoe effectief maatregelen in de praktijk zijn.
Voor bestuurders betekent dit dat zij cyberrisico’s moeten kunnen begrijpen, kritische vragen moeten kunnen stellen en afgewogen besluiten moeten nemen. IT- en securityteams moeten wettelijke en organisatorische eisen kunnen vertalen naar technische maatregelen en aantoonbare controles.
Security en compliance worden daarmee geen losstaand verbeterproject, maar een structureel onderdeel van de dagelijkse manier van werken.
4: Ga van afvinklijst naar toekomstgerichte compliance
Een belangrijke valkuil van complianceprogramma’s is dat de aandacht volledig uitgaat naar het afvinken van eisen. Zijn alle documenten aanwezig? Zijn alle maatregelen beschreven? Daarmee ontstaat het risico dat organisaties vooral bezig zijn met het aantonen van naleving, zonder dat de onderliggende digitale weerbaarheid daadwerkelijk wordt versterkt.
Uiteindelijk draait het om meer dan alleen voldoen aan regelgeving. Compliance moet een middel zijn om risico’s beter beheersbaar te maken, niet het einddoel op zichzelf. Goede compliance stimuleert veilig gedrag, beheersbare processen en continuïteit.
Organisaties kunnen het momentum rond NIS2 benutten voor bredere verandering: niet alleen door beleid vast te leggen, maar door een cultuur te creëren waarin medewerkers risico’s herkennen, verantwoordelijkheden duidelijk zijn en processen slimmer worden ingericht.
Cybersecurity, privacy en compliance moeten bovendien al vanaf het ontwerp van systemen worden meegenomen. Security en privacy by design moeten het uitgangspunt zijn, in plaats van een sluitpost. Daarvoor is een combinatie nodig van softwarekennis en diepgaand begrip van normen en wetgeving.
Door compliance direct in architectuur, ontwikkelprocessen en beheer te verankeren, wordt digitale weerbaarheid onderdeel van de dagelijkse manier van werken.
De kracht van een integrale aanpak
De vier best practices laten zien dat NIS2 om meer vraagt dan alleen het voldoen aan wettelijke eisen. De uitdaging zit vooral in het verbinden van techniek, processen en mensen. Juist die integrale benadering staat centraal in de manier waarop Dawn Technology organisaties ondersteunt bij het versterken van digitale weerbaarheid. We combineren expertise in maatwerksoftware met kennis van cybersecurity, privacy, kwaliteit en regelgeving.
Door systemen te ontwerpen waarin cybersecurity, privacy en compliance vanaf het begin zijn ingebed, kunnen organisaties de NIS2-wetgeving stap voor stap beheersbaar maken. Het doel is daarbij niet om zo snel mogelijk een verzameling documenten te produceren, maar om techniek, processen, governance en gedrag in samenhang te verbeteren.
Als het gaat om cyberweerbaarheid is het niet langer de vraag óf je wordt aangevallen, maar hoe goed je bent voorbereid als het gebeurt. Wie nu gestructureerd werkt aan weerbaarheid, voorkomt dat NIS2 een haastklus wordt die vooral druk oplevert. Een goede aanpak zorgt daarbij voor rust, overzicht en grip.
Over de auteur: Anouk van der Gracht is Director Regulatory Services bij Dawn Technology.
