Hoe pakt u NIS2 aan als MKB, zonder er een jaarproject van te maken?
De kortste route is niet een groot plan schrijven, maar starten bij wat er al ligt. De meeste MKB-bedrijven hebben al een wachtwoordbeleid, een back-upschema, een lijst met wie toegang heeft tot welke systemen en een contactpersoon voor IT. Dat is geen volledig cyberbeveiligingsbeleid, maar het is wel het beginpunt van een dossier: per maatregel vastleggen wat de status is, wie ervoor verantwoordelijk is en welk bewijsstuk aantoont dat het ook echt gebeurt.
Een dossier op deze manier opbouwen is geen project van maanden. Het is een lijst die u vandaag opent en die groeit terwijl u werkt: de ene maatregel staat er al, de andere komt er deze maand bij. Er is geen moment waarop het "af" is, en dat is ook niet de bedoeling. De zorgplicht die uit de NIS2-richtlijn en de nationale wetten daarover volgt, is geen eenmalige exercitie maar een doorlopende praktijk. Een levend register past daar beter bij dan een dik document dat na oplevering in een map verdwijnt.
Begin bij wat er al ligt, niet bij een blanco pagina
Veel bedrijven denken dat ze bij nul beginnen zodra het woord NIS2 valt. Dat is zelden zo. Een installatiebedrijf heeft meestal al afspraken over wie toegang heeft tot de systemen van klanten, een HR-afdeling heeft een proces voor het intrekken van toegang bij uitdiensttreding, en bijna elk bedrijf heeft een vorm van back-up, ook al staat die niet op papier als "back-upbeleid". De eerste stap is dus niet schrijven, maar inventariseren: wat doen we al, waar staat dat vastgelegd, en wie kan dat aantonen.
Daarna pas volgt de vraag welke onderdelen nog ontbreken. Dat scheelt niet alleen tijd, het voorkomt ook dat u dubbel werk doet of beleid opstelt voor iets dat in de praktijk al goed geregeld is, alleen nog niet zichtbaar gemaakt. Wilt u eerst weten of uw organisatie hier überhaupt onder valt, of via een klant geraakt wordt, dan is dat met een paar vragen te zien waar u ongeveer staat, zonder dat u daarvoor iets hoeft aan te schaffen.
Eén maatregel, één status, één eigenaar, één bewijsstuk
De kern van een werkbaar dossier is simpel: per maatregel vier vaste velden. De status geeft aan of iets is geregeld, gedeeltelijk geregeld of nog moet gebeuren. De eigenaar is de persoon die ervoor verantwoordelijk is, niet noodzakelijk de directeur zelf. Het bewijsstuk is wat aantoont dat de maatregel bestaat: een schema, een export uit een systeem, een ondertekend document. Zonder die vier velden blijft een dossier een verzameling goede bedoelingen; met die velden wordt het iets waarmee u ook een securityvragenlijst van een klant kunt beantwoorden, omdat u niet hoeft te improviseren maar kunt teruggrijpen op wat er al vastligt.
Deze structuur werkt ook prettig omdat u niet alles tegelijk hoeft aan te pakken. U kunt beginnen bij de maatregelen waar u al het meeste voor heeft, die snel op orde te krijgen zijn, en de rest gefaseerd oppakken. Een overzicht van welke maatregelen de zorgplicht precies verwacht, en wat daaronder valt, vindt u terug bij de uitgewerkte onderwerpen per situatie.
Waarom dit sneller gaat dan het klinkt
De indruk dat NIS2 een jaarproject is, ontstaat vaak doordat mensen denken in een compleet beleidsdocument dat in één keer klaar moet zijn. Een levend register werkt andersom: het begint klein en onvolledig, en wordt bij elke wijziging in uw organisatie automatisch bijgewerkt, omdat u toch al bezig bent met die verandering. Een nieuwe leverancier, een ander toegangssysteem, een nieuwe medewerker met beheerrechten — elk moment is een natuurlijk aanknopingspunt om het dossier bij te werken, in plaats van een keer per jaar alles over te doen.
Wat het dossier wel en niet oplevert
Uit een bijgehouden dossier volgen de documenten die u nodig heeft: het beleid zelf, de antwoorden op vragenlijsten van afnemers, en voorbereide teksten voor registratie of een melding bij de toezichthouder. Die melding of registratie dient u wel zelf in bij het portaal van uw toezichthouder; een dossier bereidt dat voor, maar neemt het indienen niet over. Het dossier is ook geen vervanger voor een audit, een pentest of certificering — dat blijft werk van gespecialiseerde partijen, net als incidentrespons als er daadwerkelijk iets misgaat.
Wie precies wil weten hoe zo'n dossier tot stand komt en welke bronnen daarbij gebruikt worden, leest dat op de pagina over waar de informatie in het platform vandaan komt. Voor de situatie van uw eigen organisatie, met de bijbehorende juridische gevolgen, blijft een jurist of de bevoegde toezichthouder het aangewezen aanspreekpunt.
Wilt u zien waar uw organisatie op dit moment staat, doe dan de gratis NIS2-check of blader door de onderwerpen die het dichtst bij uw situatie aansluiten.