NIS2 in België: wie valt eronder, en wat betekent ‘aantoonbaar’ echt?

NIS2 wordt vaak beschreven als “de nieuwe cybersecurity-richtlijn”, alsof het om één extra checklist gaat naast wat een organisatie al doet. Dat is een onderschatting. NIS2 verschuift de vraag van “hebben we maatregelen?” naar “kunnen we aantonen dat ze werken?” En dat tweede is voor de meeste KMO's de eigenlijke uitdaging.

Wie valt eronder?

NIS2 is relevant vanaf een bepaalde omvang of sector: essentiële en belangrijke entiteiten in onder meer energie, transport, digitale infrastructuur, gezondheidszorg en overheid. Maar aantoonbaarheid reikt verder dan die directe scope. Wie toelevert aan een entiteit die wél onder NIS2 valt, krijgt vaak dezelfde vraag doorgeschoven via het contract, zonder zelf formeel NIS2-plichtig te zijn.

Wat “aantoonbaar” concreet betekent

NIS2 verplicht risicobeheermaatregelen op basis van artikel 21: toegangsbeheer, leveranciersbeheer, bedrijfscontinuïteit, incidentrespons, en meer. Het is niet genoeg dat die maatregelen ergens bestaan. Een auditor of toezichthouder wil twee dingen zien: documentatie (beleid, procedures) én bewijs van effectieve implementatie (logs, trainingen, testresultaten, incidentregistraties). Een GAP-analyse scoort daarom altijd op beide dimensies apart: een organisatie kan perfect gedocumenteerd beleid hebben en toch laag scoren op aantoonbaarheid, simpelweg omdat niemand kan bewijzen dat het beleid ook gevolgd wordt.

Waarom dit de aanpak bepaalt

Dat onderscheid is de reden waarom een NIS2-traject niet stopt bij een beleidsdocument. Bevindingen uit de GAP-analyse worden vertaald naar een concreet actieplan met eigenaarschap en een realistisch tijdspad, gevolgd door een meldingsprocedure die aansluit bij de NIS2-rapportagetermijnen, en voorbereiding van het leidinggevend orgaan op zijn eigen verantwoordelijkheid. Aantoonbaarheid is geen eindpunt. Het is iets wat blijft draaien nadat het project is afgerond.

Niet zeker of dit voor jou geldt?

Sector en omvang bepalen samen of NIS2 rechtstreeks van toepassing is, en de indirecte contractuele druk (via een klant of opdrachtgever) is minstens even vaak de eigenlijke aanleiding om ermee aan de slag te gaan. Een korte scoping-analyse geeft daar snel duidelijkheid over.