NIS2-cryptografie-eisen: waarom "wij hebben encryptie" zakt voor Artikel 21(2)(h)
Een MSP die ik ken slaagde voor twaalf van de dertien eisengebieden in de NIS2-readinessbeoordeling van een klant. Het gebied waarvoor ze zakten was cryptografie. Niet omdat de klant geen encryptie had — TLS zat overal, laptops draaiden BitLocker, back-ups waren AES-256. Ze zakten omdat niemand een document kon tonen toen de auditor vroeg: "laat me je cryptografiebeleid zien." "Wij hebben encryptie" klopte. Alleen was dat niet de vraag.
Dit is de val in NIS2 Artikel 21(2)(h). Encryptie is een maatregel die je uitrolt. Cryptografie is onder NIS2 een beleid dat je moet besturen, documenteren en aantonen. Dat zijn niet dezelfde dingen, en precies in dat gat lopen readinessbeoordelingen nu vast.
Artikel 21(2)(h) vraagt om beleid, niet om een product
Artikel 21 somt tien basismaatregelen voor risicobeheer op die elke essentiële en belangrijke entiteit moet hebben. Punt (h) luidt: "beleid en procedures met betrekking tot het gebruik van cryptografie en, waar passend, encryptie." Lees het twee keer. De verplichting is het beleid en de procedures. Encryptie is datgene wat het beleid stuurt — en zelfs dat is beperkt tot "waar passend."
Die formulering is bepalend voor hoe je klanten adviseert. Een maatregel-eerst-mentaliteit vraagt: "is de data versleuteld?" Een NIS2-mentaliteit vraagt: "bepaalt een gedocumenteerd beleid wanneer, waar en hoe cryptografie wordt toegepast, en kun je aantonen dat het is gevolgd?" De meeste organisaties beantwoorden de eerste vraag en vallen stil bij de tweede.
Cryptografie staat naast de andere negen maatregelen, en het is er een die teams consequent onderschatten omdat het als een opgelost probleem voelt. Dat is het niet. Het is een governanceprobleem in een technisch kostuum.
Artikel 21 — 10 NIS2 Cybersecuritymaatregelen
Artikel 21
10 Cybersecuritymaatregelen
Governance & Strategie
1Risicoanalyse & informatiebeveiligingsbeleid6Effectiviteitsbeoordeling van beveiligingsmaatregelenIncidenten & Continuïteit
2Incidentafhandeling & melding3Bedrijfscontinuïteit & disaster recoveryToeleveringsketen & Systemen
4Beveiliging van de toeleveringsketen5Beveiliging bij de ontwikkeling van netwerk- en informatiesystemenTechnische Beheersing
8Cryptografie & versleuteling10Multi-factor authenticatie & veilige communicatieMensen & Middelen
7Cyberhygiëne & training9HR-beveiliging & toegangscontrole
Wat "wij hebben encryptie" mist
Een cryptografiebeleid van NIS2-niveau dekt vijf dingen die een kale uitrol niet dekt.
Algoritmekeuze. Welke algoritmen zijn goedgekeurd, welke zijn verouderd, welke zijn verboden. "AES-256 en TLS 1.2+" is een begin; een beleid benoemt ook wat verboden is en wie uitzonderingen goedkeurt.
Sleutelbeheer. Generatie, opslag, rotatie en vernietiging. Hier zijn de meeste omgevingen het zwakst — sleutels in configuratiebestanden, geen rotatieschema, geen registratie van wie bij de key vault kan.
Encryptiescope. Wat moet versleuteld zijn in rust, tijdens transport en — steeds vaker — tijdens gebruik. Databases, bestandssystemen, back-ups, verwisselbare media, intern verkeer tussen services. Het beleid bepaalt de grens; de grens is auditbaar.
Certificaatbeheer. Uitgifte, monitoring, vernieuwing. Een verlopen intern certificaat is zowel een storing als een bevinding.
Crypto-agility. Het vermogen om een algoritme snel te vervangen wanneer het verouderd of gebroken is — zonder te herarchitecteren. Vroeger een pluspunt. De EU heeft er nu een klok op gezet.
Als je compliance voor klanten regelt, is dit dezelfde discipline die je al toepast op multifactorauthenticatie en back-ups: de maatregel is het makkelijke deel, het gedocumenteerde, geteste en bewezen proces is de deliverable.
CIR 2024/2690 maakte van de richtsnoer een regel
Dit veranderde de inzet. Uitvoeringsverordening (EU) 2024/2690, van kracht sinds november 2024, werkt de technische maatregelen achter Artikel 21 uit voor de sector digitale infrastructuur — en geldt rechtstreeks in alle 27 lidstaten. Geen nationale omzetting, geen wachten op de wet van jouw land. Als het op jou van toepassing is, bindt het je al.
De bijlage van de verordening telt dertien eisengebieden, en cryptografie is er een van. Ze eist expliciet een cryptografiebeleid gebaseerd op de stand van de techniek, mechanismen voor crypto-agility die snelle algoritmevervanging mogelijk maken, en aansluiting bij erkende standaarden zoals ISO/IEC 27001 en de relevante ENISA- en ETSI-richtsnoeren.
De scopevraag is degene die je met elke klant als eerste moet uitklaren. CIR 2024/2690 raakt DNS-aanbieders, TLD-registries, aanbieders van cloudcomputing, CDN's, datacenterdiensten, managed service providers, managed security service providers, onlinemarktplaatsen, zoekmachines, sociale netwerken en vertrouwensdienstverleners. Als je een MSP bent: je staat op die lijst — je draagt deze verplichtingen voor je eigen bedrijfsvoering, niet alleen voor je klanten.
Is NIS2 van toepassing op uw organisatie?
1Is uw organisatie actief in een essentiële of belangrijke sector (energie, transport, zorg, digitale infrastructuur, enz.)?
Ja▼Nee▼2Heeft uw organisatie 50 of meer werknemers, of een jaarlijkse omzet van meer dan €10 miljoen?
✗NIS2 is niet rechtstreeks van toepassing op uw organisatie.
Ja▼Nee▼✓NIS2 is van toepassing op uw organisatie als essentiële of belangrijke entiteit.
3Is uw organisatie een aanbieder van kritieke infrastructuur of een gekwalificeerde vertrouwensdienstverlener?
Ja▼!NIS2 kan van toepassing zijn op uw organisatie — raadpleeg juridisch advies om uw status te bevestigen.
1Is uw organisatie actief in een essentiële of belangrijke sector (energie, transport, zorg, digitale infrastructuur, enz.)?
Ja ↓Nee →2Heeft uw organisatie 50 of meer werknemers, of een jaarlijkse omzet van meer dan €10 miljoen?
Ja ↓Nee →3Is uw organisatie een aanbieder van kritieke infrastructuur of een gekwalificeerde vertrouwensdienstverlener?
Ja ↓Nee →✗NIS2 is niet rechtstreeks van toepassing op uw organisatie.
✓NIS2 is van toepassing op uw organisatie als essentiële of belangrijke entiteit.
!NIS2 kan van toepassing zijn op uw organisatie — raadpleeg juridisch advies om uw status te bevestigen.
Van toepassingMogelijk van toepassingNiet van toepassing
De quantumklok is nu een compliancedeadline
Crypto-agility werd in 2026 concreet. De NIS-samenwerkingsgroep publiceerde een gecoördineerd implementatieplan voor de overgang naar post-quantumcryptografie, met harde mijlpalen die rechtstreeks aansluiten op je NIS2-verplichtingen.
Eind 2026 — lidstaten starten een nationale post-quantumtransitiestrategie en coördineren op EU-niveau.
Eind 2030 — hoogrisico-toepassingen moeten uiterlijk op deze datum zijn overgezet naar post-quantumcryptografie.
2035 — de transitie is voltooid voor zoveel systemen als praktisch haalbaar.
Het mechanisme dat dit terugkoppelt naar Artikel 21(2)(h) is crypto-agility. Je kunt in 2030 niet migreren naar quantumbestendige algoritmen als je systemen RSA en ECC vast hebben ingebakken in applicaties zonder upgradepad. De "stand van de techniek"-toets die auditors vandaag op een cryptografiebeleid loslaten, leest het plan al als context — wat betekent dat een beleid zonder crypto-agilitybepaling in 2026 aantoonbaar niet de stand van de techniek is.
Voor klanten is dit geen probleem voor 2030. Het is een documentatieprobleem voor 2026: je cryptografiebeleid heeft een clausule voor post-quantumgereedheid nodig en een inventaris van waar je huidige algoritmen leven. De organisaties die "harvest now, decrypt later" — tegenstanders die vandaag versleuteld verkeer opvangen om het te breken zodra quantumcomputing rijp is — als een reële dreiging behandelen, bouwen die inventaris nu op.
Wat een auditor daadwerkelijk zal vragen
Readinessbeoordelingen testen niet of je encryptiesoftware bezit. Ze testen of je bewijs kunt leveren. Voor cryptografie kun je verwachten dat er wordt gevraagd naar het geschreven cryptografiebeleid met een benoemde eigenaar en herzieningsdatum; een inventaris van gebruikte algoritmen en protocollen over systemen heen; een sleutelbeheerprocedure die de volledige levenscyclus dekt; een certificaatinventaris met vervaltracking; en bewijs dat het beleid wordt gehandhaafd, niet alleen gearchiveerd.
Dat laatste punt is waar de discipline "beoordeel effectiviteit" cryptografie raakt — dezelfde effectiviteitstoetsing die Artikel 21(2)(f) eist, geldt hier. Een beleid dat niemand tegen de werkelijkheid toetst, is een bevinding die staat te wachten.
Zakken voor deze maatregel blijft niet beperkt
Cryptografie verdient aandacht die niet in verhouding staat tot die ene regel in Artikel 21, omdat een gat hier doorwerkt. Een zwakke cryptografische houding is niet één losse bevinding — ze ondermijnt je claims over incidentafhandeling (gelekte data zou beschermd zijn), je toezeggingen over de toeleveringsketen (je vroeg leveranciers om maatregelen die je zelf niet kunt aantonen) en de persoonlijke aansprakelijkheidspositie van je bestuur, want tekenen voor een compliancehouding die je niet kunt bewijzen is precies het risico dat NIS2 voor het management creëerde.
NIS2-sanctie-escalatie — Voorbij de boete
!Aanleiding
Non-compliance gedetecteerd of incident treedt op
Een toezichthouder identificeert een compliance-hiaat of een organisatie voldoet niet aan de NIS2-vereisten
Toezichthouders kunnen opleggen▼Niet-financiële sancties1Nalevingsbevelen met bindende deadlines
2Verplichte security-audits op eigen kosten
3Publieke bekendmaking van overtredingen
4Bindende instructies over specifieke beveiligingsmaatregelen
Escaleert naar▼Operationele en persoonlijke gevolgen1Opschorting van certificeringen of vergunningen
2Tijdelijk verbod op bestuursfuncties voor personen
3Publieke benoeming van verantwoordelijke natuurlijke personen
AanleidingNiet-financieelOperationeel / persoonlijk
Omdat CIR 2024/2690 deze eisen rechtstreeks van kracht maakt voor de sector digitale infrastructuur, is "onze nationale wet is nog niet definitief" geen verweer voor de entiteiten die eronder vallen. De verplichting is live.
Wat je dit kwartaal moet doen
Begin met drie stappen. Eerst: schrijf of ververs het cryptografiebeleid als een bestuurd document — eigenaar, herzieningsritme, toegestane en verboden algoritmen, sleutellevenscyclus. Twee: bouw de algoritme-inventaris; je kunt geen crypto-agility claimen voor systemen die je niet in kaart hebt gebracht. Drie: voeg de post-quantumclausule nu toe, zodat de migratie van 2030 een gepland project is in plaats van een scramble.
Als je klanten adviseert en wilt weten waar cryptografie tussen hun andere gaten staat vóór een auditor het weet, is een gestructureerde gap-analyse de snelste manier om erachter te komen. Je kunt een gratis NIS2-readinessbeoordeling doen op nis2certify.org/quick-scan — die markeert precies de documentatiegaten, zoals een niet-gedocumenteerd cryptografiebeleid, waarop audits stilletjes mislukken.
"Wij hebben encryptie" was nooit de finish. Onder Artikel 21(2)(h) en CIR 2024/2690 is het beleid de deliverable — en de quantumklok betekent dat het beleid dat je dit jaar schrijft nu al naar 2030 moet kijken.