NIS2 documentatie: welk beleid en welke documenten je nodig hebt
Onder NIS2 is het niet genoeg om je beveiliging op orde te hebben. Je moet het ook kunnen aantonen. Dat vraagt om beleid en documentatie. Dit artikel zet op een rij welke documenten je nodig hebt en hoe uitgebreid ze moeten zijn.
Een van de minder zichtbare maar belangrijke eisen van NIS2 is aantoonbaarheid. Je kunt je beveiliging perfect op orde hebben, maar als je het niet kunt laten zien, voldoe je formeel niet. De toezichthouder beoordeelt namelijk niet alleen of je maatregelen werken, maar ook of je kunt aantonen dat je ze bewust hebt gekozen, ingevoerd en onderhouden.
Dat betekent: documentatie. Voor veel ondernemers is dat het minst aantrekkelijke deel, maar het hoeft geen bureaucratisch moeras te worden. Dit artikel zet op een rij welk beleid en welke documenten je nodig hebt, en hoe uitgebreid ze moeten zijn. Of de wet op jou van toepassing is, lees je in NIS2: voor welke bedrijven geldt het.
Waarom documentatie verplicht is
De gedachte achter de documentatieplicht is simpel: zonder vastlegging is beveiliging afhankelijk van toeval en van personen. Als de enige die weet hoe de back-up werkt morgen vertrekt, ben je kwetsbaar. Documentatie maakt je beveiliging herhaalbaar, overdraagbaar en aantoonbaar.
| Doel | Wat documentatie oplevert |
|---|---|
| Aantoonbaarheid | Je kunt laten zien dat je maatregelen hebt |
| Herhaalbaarheid | Processen werken ook zonder de bedenker |
| Overdraagbaarheid | Nieuwe medewerkers weten wat te doen |
| Continuiteit | Kennis verdwijnt niet met personeel |
De toezichthouder, de Rijksinspectie Digitale Infrastructuur, vraagt bij toezicht vaak juist naar deze documentatie. Een vragenlijst of inspectie draait grotendeels om wat je kunt laten zien.
De kerndocumenten
Je hoeft geen bibliotheek aan documenten te produceren. Een set kerndocumenten dekt het grootste deel van de aantoonbaarheid. Onderstaande lijst vormt de basis voor een MKB-bedrijf.
| Document | Wat erin staat |
|---|---|
| Beveiligingsbeleid | De uitgangspunten en verantwoordelijkheden |
| Risicoregister | De beoordeelde risico's en gekozen maatregelen |
| Incidentprocedure | Hoe je incidenten afhandelt en meldt |
| Continuiteitsplan | Hoe je herstelt na uitval |
| Leveranciersoverzicht | Welke leveranciers welke afspraken hebben |
| Toegangsoverzicht | Wie toegang heeft tot welke systemen |
Deze 6 documenten vormen samen een werkbare basis. Ze hoeven niet dik te zijn; een beveiligingsbeleid van enkele pagina's is voor een MKB-bedrijf vaak voldoende, mits het de kern raakt en actueel is.
Het beveiligingsbeleid
Het beveiligingsbeleid is het overkoepelende document waarin je vastlegt hoe je organisatie met informatiebeveiliging omgaat. Het hoeft niet lang te zijn, maar moet wel een aantal onderwerpen raken.
| Onderwerp in het beleid | Toelichting |
|---|---|
| Doel en reikwijdte | Waarvoor het beleid geldt |
| Verantwoordelijkheden | Wie waarvoor verantwoordelijk is |
| Uitgangspunten | De principes, zoals toegang op basis van noodzaak |
| Naleving en evaluatie | Hoe je toetst en wanneer je herziet |
Het beleid wordt goedgekeurd door het bestuur, wat meteen de bestuurlijke betrokkenheid aantoont. Een beleid van 3 tot 6 pagina's is voor de meeste MKB-bedrijven passend; langer maakt het niet beter, en vaak juist minder bruikbaar.
Hoeveel is genoeg
Een veelgestelde vraag is hoe uitgebreid de documentatie moet zijn. Het antwoord is risicogebaseerd, net als de maatregelen zelf: de documentatie moet in verhouding staan tot je omvang en je risico's.
| Organisatie | Passende documentatie |
|---|---|
| Klein, lager risico | Kernset van enkele pagina's per document |
| Middelgroot | Uitgebreidere set met procesbeschrijvingen |
| Hoog risico of essentieel | Volledig beheersysteem, mogelijk ISO 27001 |
Voor een MKB-bedrijf met een gemiddeld risico is de genoemde kernset doorgaans voldoende. Een ISO 27001-beheersysteem is uitgebreider en biedt structuur, maar is geen verplichting onder NIS2. Begin met de kern en bouw uit naar wat je risico vraagt.
Houd het actueel
Documentatie die 1 keer is opgesteld en daarna in een la verdwijnt, is waardeloos en zelfs riskant: hij wekt de indruk dat alles in orde is terwijl de werkelijkheid is veranderd. Actualiteit is daarom een eis op zich.
- Dateer elk document. Een document zonder datum is niet te beoordelen op actualiteit.
- Wijs een eigenaar aan. Per document iemand die verantwoordelijk is voor het bijwerken.
- Plan een herzieningsmoment. Minstens 1 keer per jaar, en na elke grote verandering.
- Koppel het aan je risicobeoordeling. Als de risico's veranderen, verandert de documentatie mee.
- Bewaar oude versies. Zo kun je aantonen dat je structureel onderhoudt.
Met dit ritme blijft je documentatie levend en aantoonbaar. Reken op circa 1 dag per jaar voor het bijwerken van de kernset, plus kortere updates bij veranderingen.
In cijfers
| Gegeven | Waarde |
|---|---|
| Kerndocumenten | 6 |
| Omvang beveiligingsbeleid | 3 tot 6 pagina's |
| Herziening | minstens 1 keer per jaar |
| Onderhoud per jaar | circa 1 dag |
| Kosten opstellen met begeleiding | 1.500 tot 5.000 euro |
| Boete bij tekortschieten | tot 10 miljoen euro of 2 procent omzet |
De documentatie is dus geen enorme klus: een beperkte set, een paar dagen werk om op te stellen en circa 1 dag per jaar om te onderhouden. Die investering maakt het verschil tussen aantoonbaar voldoen en formeel tekortschieten.
Waar dit op aansluit
Documentatie is de lijm tussen alle NIS2-onderdelen. Je risicobeoordeling leidt tot beleid, je maatregelen worden vastgelegd, je meldproces en continuiteitsplan staan op papier, en het bestuur keurt het beleid goed. Bij toezicht is juist deze documentatie wat de RDI wil zien. Het NIS2-stappenplan en de NIS2-compliance pillar verzamelen het geheel.
Begin daarom niet met dikke documenten, maar met een werkbare kernset die je actueel houdt. Aantoonbaarheid komt niet van volume, maar van een complete, gedateerde en onderhouden set die de werkelijkheid weerspiegelt.
Documentatie in tijd en geld
Documentatie hoeft geen grote kostenpost te zijn. Hieronder de inspanning voor een MKB-bedrijf, afgezet tegen de risico's bij tekortschieten.
| Gegeven | Waarde |
|---|---|
| Opstellen kernset met begeleiding | 1.500 tot 5.000 euro |
| Tijd om de kernset op te stellen | circa 24 uur |
| Onderhoud | circa 8 uur per jaar |
| Herziening | elke 12 maanden |
| Boete essentiele entiteit | tot 10 miljoen euro of 2 procent omzet |
| Boete belangrijke entiteit | tot 7 miljoen euro of 1,4 procent omzet |
| Drempel omvang | vanaf 50 medewerkers of 10 miljoen euro |
| Meldtermijn na incident | binnen 24 uur |
| Aandeel dat onder de regels valt | circa 58 procent |
Het opstellen van de kernset kost een MKB-bedrijf grofweg 24 uur, of 1.500 tot 5.000 euro als je het laat begeleiden. Het onderhoud is licht: circa 8 uur per jaar, mits je elke 12 maanden een vast herzieningsmoment aanhoudt. Dat is een bescheiden investering voor iets wat bij toezicht het verschil maakt.
Want juist de documentatie is wat de toezichthouder wil zien. Bij een vragenlijst of inspectie draait het om aantoonbaarheid: kun je laten zien dat je je risico's hebt beoordeeld, je maatregelen hebt vastgelegd en je beleid hebt goedgekeurd? Een organisatie zonder dossier kan haar beveiliging mondeling toelichten, maar dat weegt minder zwaar dan vastgelegd, gedateerd bewijs. Met boetes tot 10 miljoen euro of 2 procent van de omzet is dat geen detail.
Voor de circa 58 procent van de organisaties die onder de regels valt, is documentatie daarmee geen bureaucratie om de bureaucratie, maar de manier waarop je je inspanningen zichtbaar en verdedigbaar maakt. Begin met de kernset, houd hem actueel, en je bent voorbereid op elke vraag van de RDI.
Een laatste praktische tip: begin niet met schrijven, maar met je risicobeoordeling, want die levert vanzelf de inhoud van je documentatie. Houd vervolgens elke 12 maanden een herzieningsmoment aan en koppel het aan je meldproces, dat binnen 24 uur of 72 uur moet werken. Met circa 35 procent van het MKB dat zich al voorbereidt, en boetes tot 10 miljoen euro of 2 procent omzet, is een actueel dossier geen luxe maar je belangrijkste bewijs.
Kort gezegd: goede documentatie is niet de dikste map, maar de map die klopt, gedateerd is en de werkelijkheid van je organisatie weergeeft, zodat je bij elke vraag van de toezichthouder rustig kunt verwijzen naar wat er zwart op wit staat.
Veelgestelde vragen
Welke documenten heb ik nodig voor NIS2?
Een kernset van beveiligingsbeleid, risicoregister, incidentprocedure, continuiteitsplan, leveranciersoverzicht en toegangsoverzicht dekt voor een MKB-bedrijf het grootste deel van de aantoonbaarheid.
Hoe uitgebreid moet mijn beveiligingsbeleid zijn?
Voor de meeste MKB-bedrijven volstaat een beleid van 3 tot 6 pagina's dat doel, verantwoordelijkheden, uitgangspunten en evaluatie raakt. Langer is niet beter.
Heb ik ISO 27001 nodig?
Nee, dat is geen verplichting onder NIS2. Een ISO 27001-beheersysteem biedt wel structuur en is nuttig bij een hoger risico, maar de kernset volstaat voor een gemiddeld MKB-bedrijf.
Waarom is documentatie verplicht?
NIS2 vraagt aantoonbaarheid. Je moet kunnen laten zien dat je maatregelen bewust zijn gekozen, ingevoerd en onderhouden. Zonder documentatie voldoe je formeel niet, ook al werkt je beveiliging.
Hoe vaak moet ik de documentatie bijwerken?
Minstens 1 keer per jaar en na elke grote verandering. Reken op circa 1 dag per jaar voor het onderhoud van de kernset.
Dit is een onderwerp waarvan de exacte invulling in de Cyberbeveiligingswet nog wordt vastgesteld. Raadpleeg voor je eigen situatie de officiele bronnen of een gespecialiseerde adviseur.