NIS2 Artikel 21(2)(a): de twee documenten waar elke auditor als eerste om vraagt

Op 15 augustus 2026 trad de Nederlandse Cyberbeveiligingswet in werking. Ruim 8.000 organisaties hebben nu een zorgplicht, een registratieplicht bij het NCSC en een meldklok van 24 uur.

Geen van hen krijgt als eerste een vraag over hun EDR-console.

NIS2 Artikel 21(2)(a) is waar elk toezichtsgesprek begint: uw beleid voor de beveiliging van netwerk- en informatiesystemen, en uw risicomanagementkader. Twee documenten. Beide goedgekeurd door het bestuursorgaan. Beide gedateerd.

De meeste organisaties hebben geen van beide in de vorm die de regelgeving daadwerkelijk vereist. Dit is wat Artikel 21(2)(a) eist, maatregel voor maatregel, en wat dat betekent voor de consultants die het moeten leveren.

Artikel 21(2)(a) zijn twee verplichtingen, geen één

De richtlijntekst is kort: "beleid inzake risicoanalyse en beveiliging van informatiesystemen." Snel gelezen klinkt dat als één beleidsdocument.

Uitvoeringsverordening (EU) 2024/2690 denkt daar anders over. De bijlage splitst Artikel 21(2)(a) in twee afzonderlijke hoofdsecties:

• Sectie 1 — Beleid voor de beveiliging van netwerk- en informatiesystemen, plus rollen, verantwoordelijkheden en bevoegdheden.
• Sectie 2 — Risicomanagementbeleid: het kader, nalevingsmonitoring en onafhankelijke beoordeling.

De uitvoeringsverordening is rechtstreeks bindend voor DNS-aanbieders, TLD-registers, cloudaanbieders, datacenteroperators, CDN's, managed service providers, managed security service providers, online marktplaatsen, zoekmachines, sociale platforms en vertrouwensdienstverleners. Voor alle anderen is het de feitelijke maatstaf, omdat nationale toezichthouders niets specifiekers hebben om aan te meten.

Levert u één gecombineerd "informatiebeveiligingsbeleid" en noemt u Artikel 21(2)(a) daarmee afgerond, dan heeft u ongeveer de helft ingevuld.

Uw beveiligingsbeleid kent elf verplichte onderdelen

Bijlage punt 1.1.1 somt op wat het hoogste beleidsniveau moet bevatten. Niet "zou moeten overwegen" — moet vastleggen:

1. De aanpak van de entiteit voor het beheer van de beveiliging van haar netwerk- en informatiesystemen
2. Aansluiting op bedrijfsstrategie en -doelstellingen
3. Vastgestelde beveiligingsdoelstellingen
4. Een toezegging tot continue verbetering
5. Een toezegging om middelen te leveren — personeel, budget, processen, tools, technologie
6. Communicatie naar en erkenning door relevante medewerkers en externe partijen
7. Rollen en verantwoordelijkheden zoals vastgelegd in punt 1.2
8. De te bewaren documentatie en de bewaartermijn
9. Een lijst van de onderwerpspecifieke beleidsdocumenten
10. Indicatoren en maatstaven om de uitvoering en het huidige volwassenheidsniveau te monitoren
11. De datum van formele goedkeuring door de bestuursorganen

Punt 5 is degene waarop de meeste audits stranden. Beleid dat zich committeert aan beveiliging maar nooit aan budget of formatie, voldoet niet aan 1.1.1(e). Punt 10 evenmin: kunt u de indicatoren waarmee u uw eigen beleid meet niet tonen, dan heeft u een intentieverklaring, geen beleid.

Punt 11 is het goedkoopst te herstellen en ontbreekt het vaakst. Beleid zonder gedateerde goedkeuring door het bestuursorgaan is voor toezichtsdoeleinden een concept.

Waar 21(2)(a) staat tussen de tien maatregelen

Artikel 21(2)(a) is de eerste van tien risicobeheersmaatregelen — en degene waarvan alle andere maatregelen zijn afgeleid. Toegangsbeheer onder 21(2)(i) moet een onderwerpspecifiek beleid zijn onder uw hoofdbeleid. Back-upvereisten onder 21(2)(c) moeten voortkomen uit een bedrijfsimpactanalyse die uw risicobehandelplan voedt. Gaat (a) mis, dan hebben de andere negen geen fundament.

Het bestuursorgaan moet tekenen — en opnieuw tekenen

Punt 1.1.2 vereist dat het beleid door de bestuursorganen ten minste jaarlijks wordt beoordeeld en waar nodig geactualiseerd, en daarnaast telkens wanneer significante incidenten of significante wijzigingen in bedrijfsvoering of risico's optreden. Het resultaat van elke beoordeling moet worden gedocumenteerd.

Twee praktische gevolgen.

Ten eerste is "jaarlijks" een ondergrens, geen agenda. Een fusie, een nieuw cloudplatform, een ransomware-incident bij een belangrijke leverancier — elk daarvan triggert een tussentijdse beoordeling. Nam uw klant in maart een nieuw ERP in gebruik terwijl het beleid voor het laatst in januari is beoordeeld, dan is dat een hiaat dat een toezichthouder met één vraag vindt.

Ten tweede is de beoordeling een bestuursactiviteit, geen IT-activiteit. De CISO kan hem voorbereiden. Het bestuursorgaan moet hem uitvoeren. Dit is de operationele uitwerking van de persoonlijke aansprakelijkheid in Artikel 20 — en de reden dat bestuursnotulen auditbewijs zijn geworden.

Ten minste één persoon moet rechtstreeks aan het bestuur rapporteren

Punt 1.2.3 is één zin met grote gevolgen: ten minste één persoon rapporteert rechtstreeks aan de bestuursorganen over de beveiliging van netwerk- en informatiesystemen.

Voor een MSP is dit de grens die u namens uw klant niet kunt overschrijden. U kunt de SOC draaien, het beleid schrijven, het risicoregister bijhouden en het bestuursdossier voorbereiden. U kunt niet namens hen de persoon zijn die aan het bestuur rapporteert, omdat de verantwoordelijkheid binnen de entiteit ligt.

Punt 1.2.5 voegt scheiding van conflicterende taken toe, waar van toepassing. Punt 1.2.4 erkent de realiteit bij kleinere entiteiten: beveiliging mag een taak zijn naast een bestaande rol in plaats van een aparte functie. Wat het niet toestaat, is dat de taak ontbreekt.

Het risicomanagementkader is een proces, geen spreadsheet

Bijlage punt 2.1.2 definieert het cyberrisicomanagementproces in tien stappen. Entiteiten moeten:

• Een risicomanagementmethodologie volgen
• Een risicotolerantieniveau vaststellen in lijn met de risicobereidheid
• Risicocriteria vaststellen en onderhouden
• Risico's identificeren en documenteren via een all-hazards-benadering, expliciet inclusief derden en single points of failure
• Dreiging, waarschijnlijkheid, impact en risiconiveau analyseren met behulp van cyberdreigingsinformatie en kwetsbaarheidsdata
• Risico's evalueren aan de hand van de criteria
• Behandelopties identificeren en prioriteren
• De uitvoering van behandelmaatregelen continu monitoren
• Benoemen wie verantwoordelijk is voor elke behandelmaatregel en per wanneer
• Behandelmaatregelen vastleggen in een risicobehandelplan, met begrijpelijke onderbouwing van geaccepteerd restrisico

Leg die lijst naast het gemiddelde klantrisicoregister. De meeste hebben een lijst risico's met een rood-oranje-groene score. Zeer weinige hebben een gedocumenteerde methodologie, een vastgesteld tolerantieniveau, benoemde eigenaren met deadlines en een schriftelijke onderbouwing van restrisico.

De all-hazards-eis is ook breder dan de meeste teams aannemen. Hij omvat fysieke en omgevingsdreigingen, leveranciersuitval en personeelsuitval — niet alleen cyberaanvallen. Bevat uw register alleen aanvalsscenario's, dan voldoet het niet aan 2.1.2(d). Met name risico's van derden moeten in het register zelf herkenbaar zijn, en daar raakt het aan de ketenverplichtingen onder Artikel 21(2)(d).

Punt 2.1.3 voegt een randvoorwaarde toe die consultants moeten verwelkomen: bij het prioriteren van behandeling moeten entiteiten de implementatiekosten afwegen tegen het verwachte voordeel. Proportionaliteit staat in de verordening. U hoeft niet alles aan te bevelen — u moet onderbouwen wat u wel en niet heeft gedaan.

Restrisico heeft een naam nodig

Punt 2.1.1 is de zin die governance verandert: resultaten van risicobeoordelingen en restrisico's moeten worden geaccepteerd door de bestuursorganen, of door personen die verantwoordelijk zijn en bevoegd om risico's te beheren, met adequate rapportage aan de bestuursorganen.

Dat is een handtekeningvereiste. "Het bestuur is geïnformeerd" is geen acceptatie. Er moet een besluit zijn, door een benoemde verantwoordelijke, vastgelegd.

Punt 2.1.4 vereist vervolgens dat de risicobeoordeling en het behandelplan op geplande momenten en ten minste jaarlijks worden herzien, en na significante incidenten of significante wijzigingen. Dezelfde triggerlogica als bij de beleidsbeoordeling, toegepast op het register.

Nalevingsmonitoring en onafhankelijke beoordeling zijn twee verschillende dingen

Punt 2.2 vereist regelmatige toetsing van de naleving van uw eigen beleid, standaarden en regels, met regelmatige rapportage aan de bestuursorganen via een effectief nalevingsrapportagesysteem.

Punt 2.3 vereist iets heel anders: een onafhankelijke beoordeling van de aanpak van de entiteit voor beveiligingsbeheer — mensen, processen en technologie — uitgevoerd door personen met passende auditcompetentie die niet in de gezagslijn staan van het beoordeelde gebied.

Waar scheiding vanwege de omvang onmogelijk is, moet de entiteit alternatieve maatregelen treffen om onpartijdigheid te garanderen. Overslaan is geen optie.

Dit is de duidelijkste commerciële opening in Artikel 21(2)(a) voor consultants en vCISO's. Een belangrijke entiteit met tien medewerkers kan geen intern onafhankelijke beoordelaar leveren. Een externe is de alternatieve maatregel. Let op: 2.3 staat naast, niet in plaats van, de effectiviteitsbeoordeling onder Artikel 21(2)(f) — toezichthouders verwachten beide.

Toezichthouders wachten niet langer

De druk komt uit twee richtingen tegelijk.

Nationaal: Nederland ging op 15 augustus 2026 live met de Cyberbeveiligingswet, met 18 sectoren en ruim 8.000 entiteiten. Het Duitse registratievenster sloot maanden geleden terwijl een groot deel van de entiteiten binnen scope zich nog niet had geregistreerd. Oostenrijk, Zweden, Polen en Portugal zijn alle van kracht.

Vanuit Brussel: op 8 juli 2026 verwees de Europese Commissie Ierland, Spanje, Frankrijk en Nederland naar het Hof van Justitie van de EU wegens onvolledige omzetting, met een verzoek om financiële sancties. Lidstaten die traag omzetten worden hard aangespoord — wat historisch gezien vertaalt naar nationale autoriteiten die graag handhavingsactiviteit tonen zodra hun wet er is.

Wat er gebeurt als 21(2)(a) ontbreekt

Ontbrekend of ongedateerd beleid is zelden de bevinding die een inspectie beëindigt. Het is de bevinding die er een start. Is het hoofdbeleid niet goedgekeurd, dan hebben de onderliggende onderwerpspecifieke beleidsdocumenten geen mandaat. Heeft het risicoregister geen methodologie, dan wordt elke onderliggende controlekeuze onverdedigbaar.

Vanaf daar escaleert het toezichtsinstrumentarium: bindende aanwijzingen, verplichte audits op kosten van de entiteit, openbaarmaking van niet-naleving, bestuurlijke boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en — voor essentiële entiteiten — tijdelijke schorsing van bestuursfuncties.

Een 30-dagenplan voor consultants

Ondersteunt u klanten binnen scope, dan levert deze volgorde het snelst verdedigbaar bewijs op:

Dag 1–5. Haal het huidige beveiligingsbeleid van de klant op. Toets het aan de elf onderdelen in punt 1.1.1. De meeste falen op middelen, indicatoren en de goedkeuringsdatum.

Dag 6–10. Stel vast of iemand rechtstreeks aan het bestuursorgaan rapporteert over beveiliging. Zo niet: benoem die persoon en laat het notuleren.

Dag 11–20. Herbouw het risicoregister rond 2.1.2: gedocumenteerde methodologie, vastgestelde tolerantie, all-hazards-scope inclusief leveranciers en single points of failure, benoemde eigenaren, deadlines en schriftelijke onderbouwing van restrisico.

Dag 21–25. Leg het beleid en het risicobehandelplan voor aan het bestuursorgaan. Zorg voor formele goedkeuring, gedateerd en genotuleerd.

Dag 26–30. Bepaal de cadans voor nalevingsmonitoring onder 2.2 en plan de eerste onafhankelijke beoordeling onder 2.3, met een expliciete notitie over hoe onpartijdigheid wordt gewaarborgd.

Dat levert de twee artefacten op waar een toezichthouder als eerste om vraagt — met het governance-spoor dat bewijst dat ze echt zijn.

Wilt u snel weten hoe een klant ervoor staat ten opzichte van Artikel 21 voordat u een projectscope vastlegt, doe dan de NIS2 quick scan. Die brengt de hiaten in minuten in kaart, zodat u het werk kunt prijzen in plaats van te gokken.

De korte versie

Artikel 21(2)(a) is geen documentatie-overhead. Het is de maatregel die alle andere maatregelen verdedigbaar maakt. Beleid met elf gedefinieerde onderdelen en een gedateerde bestuursgoedkeuring. Een risicokader met een methodologie, benoemde eigenaren en geaccepteerd restrisico. Nalevingsmonitoring, en een onafhankelijke beoordeling door iemand buiten de gezagslijn.

Al het andere in Artikel 21 rust daarop. Bouw die eerst.