NIS2 beveiligde communicatie: de helft van Artikel 21(2)(j) die de meeste programma's overslaan

Tussen februari en juni 2026 volgde Sophos een campagne die het STAC4749 noemt. De aanvallers maakten Microsoft Teams-accounts aan op IT-achtige domeinen, belden medewerkers alsof ze de helpdesk waren en praatten hen een Quick Assist-sessie in. Minstens drie van die inbraken eindigden in Chaos-ransomware. Eén ging van het eerste Teams-gesprek naar versleutelde bestanden in minder dan 17 uur.

Vraag je nu af waarmee die organisaties hun respons coördineerden. Teams. Outlook. Dezelfde tenant waar de aanvaller al in zat.

Dat is het probleem dat de NIS2-eisen voor beveiligde communicatie moeten oplossen. Artikel 21(2)(j) is de maatregel die dit dekt, en het is de helft van dat artikel die de meeste complianceprogramma's nooit implementeren.

Artikel 21(2)(j) heeft twee helften, en de meeste programma's bouwen er maar één

De tekst van de richtlijn is kort: "het gebruik van multifactorauthenticatie of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit, waar passend."

Iedereen leest het eerste deel. MFA krijgt budget, een project en een regel in het bestuursrapport. Waarom MFA alleen een audit niet meer doorstaat, behandelden we eerder dit jaar.

Het tweede deel wordt genegeerd. Het bevat twee afzonderlijke verplichtingen: beveilig je dagelijkse spraak-, video- en tekstkanalen, en heb een noodcommunicatiesysteem dat nog werkt als de dagelijkse kanalen dat niet meer doen.

"Waar passend" is geen ontsnappingsclausule. Het is een risicogebaseerde kwalificatie. Besluit je dat een maatregel niet passend is, dan moet dat besluit met onderbouwing in de risicobeoordeling staan. Een auditor ziet stilte als een gap, niet als een besluit.

Artikel 21 — 10 NIS2 Cybersecuritymaatregelen
🛡️
Artikel 21
10 Cybersecuritymaatregelen
📊Governance & Strategie
1Risicoanalyse & informatiebeveiligingsbeleid
6Effectiviteitsbeoordeling van beveiligingsmaatregelen
🚨Incidenten & Continuïteit
2Incidentafhandeling & melding
3Bedrijfscontinuïteit & disaster recovery
🔗Toeleveringsketen & Systemen
4Beveiliging van de toeleveringsketen
5Beveiliging bij de ontwikkeling van netwerk- en informatiesystemen
🔐Technische Beheersing
8Cryptografie & versleuteling
10Multi-factor authenticatie & veilige communicatie
👥Mensen & Middelen
7Cyberhygiëne & training
9HR-beveiliging & toegangscontrole

De uitvoeringsverordening verspreidt de eis over vijf secties

Uitvoeringsverordening (EU) 2024/2690 van de Commissie is het gedetailleerde regelboek voor digitale infrastructuur, beheer van ICT-diensten en digitale aanbieders. MSP's en MSSP's vallen er dus rechtstreeks onder. Nationale autoriteiten in andere sectoren gebruiken het als referentie voor wat "passend" betekent.

Er staat geen sectie in met de naam "beveiligde communicatie". Wie ernaar zoekt, concludeert dat de verplichting dun is. Dat is ze niet. Ze is verspreid:

Punt 3.5.3 vereist communicatieplannen en -procedures voor incidentrespons: met het CSIRT of de bevoegde autoriteit, tussen je eigen medewerkers en met externe belanghebbenden.

Punt 4.1.2(c) vereist dat het bedrijfscontinuïteits- en disaster-recoveryplan de belangrijkste contactpersonen en interne en externe communicatiekanalen vermeldt.

Punt 4.2.4(d) vereist ten minste gedeeltelijke redundantie van "passende communicatiekanalen", naast redundantie van systemen, faciliteiten en personeel.

Punt 4.3.2(b) vereist dat het crisismanagementproces de communicatiemiddelen met bevoegde autoriteiten definieert, voor zowel verplichte meldingen als niet-verplichte uitwisselingen.

Punt 6.7.2(i) en (k) vereisen vertrouwde, geïsoleerde kanalen tussen systemen en een implementatieplan voor moderne e-mailcommunicatiestandaarden.

Punt 11.7 dekt de MFA-helft.

Het praktische gevolg: een auditor vraagt niet "hebben jullie beveiligde communicatie?" Hij vraagt om je incidentresponsprocedure, je BC/DR-plan en je crisismanagementproces, en zoekt in elk daarvan naar het communicatiekanaal. Is het antwoord in alle drie "e-mail en Teams", dan schrijft de bevinding zichzelf.

Je incidentrespons draait op het systeem waar de aanvaller in zit

Ga uit van compromittering. Dat is geen paranoia, het is gedocumenteerd gedrag.

Microsoft en CISA beschrijven allebei hoe Octo Tempest, beter bekend als Scattered Spider, de Slack, Teams en Exchange Online van een slachtoffer doorzoekt op gesprekken over de eigen inbraak, en aanschuift bij incidentresponscalls om te leren hoe verdedigers op hen jagen. In juni 2026 werden DragonForce-affiliates gezien die command-and-control-verkeer via legitieme Microsoft Teams-relays lieten lopen, zodat het opging in normaal samenwerkingsverkeer.

Heeft de aanvaller een geprivilegieerd Entra ID-account, dan is elk kanaal dat tegen Entra ID authenticeert voor hem leesbaar. Inclusief het "back-up" Teams-kanaal dat je voor het crisisteam aanmaakte.

Een noodcommunicatiesysteem doorstaat drie tests:

Gescheiden identiteit. Het authenticeert niet via je primaire identity provider. Kom je er via SSO in, dan komt de aanvaller er via een gecompromitteerde SSO ook in.

Gescheiden infrastructuur. Het draait niet in dezelfde tenant, op hetzelfde domein of achter dezelfde DNS die je misschien moet uitschakelen.

Vooraf ingericht en geoefend. De contactlijst bestaat offline, de accounts bestaan vóór het incident en het kanaal is in een test gebruikt. Punt 4.1.4 vereist dat BC/DR-plannen op geplande intervallen worden getest. Het noodkanaal is onderdeel van dat plan, dus onderdeel van die test.

In de praktijk is dit niet duur. Een Signal- of Threema-groep op MDM-beheerde toestellen met accounts die niet aan corporate SSO hangen. Een geprinte contactkaart in de crisismap. Een break-glass-mailbox bij een andere provider. De kosten zitten niet in de tooling. De kosten zitten in de discipline om het actueel te houden.

Nog een detail dat vaak wordt gemist: de vroegtijdige waarschuwing binnen 24 uur onder Artikel 23 moet je CSIRT bereiken, ook als je mailserver juist datgene is wat plat ligt. De contactgegevens die je bij registratie aan het nationale entiteitenregister gaf, zijn wat het CSIRT gebruikt om je terug te bellen. Is dat een mailbox in de gecompromitteerde tenant, dan heb je een meldprobleem bovenop een beveiligingsprobleem. De incidentafhandelingsprocedure moet de terugvalroute naar het CSIRT expliciet benoemen.

NIS2 Incidentmeldingstijdlijn
24h
⚡Vroege Waarschuwing
Meld het significante incident binnen 24 uur na ontdekking bij de bevoegde autoriteit (CSIRT/NCA).
Stap 1
72h
📋Incidentmelding
Dien binnen 72 uur een gedetailleerde melding in met een eerste beoordeling van ernst, impact en indicatoren van compromittering.
Stap 2
1mo
📊Eindrapport
Lever binnen één maand een uitgebreid eindrapport op met oorzaakanalyse, genomen maatregelen en grensoverschrijdende impact.
Stap 3
24h
⚡Vroege Waarschuwing
Meld het significante incident binnen 24 uur na ontdekking bij de bevoegde autoriteit (CSIRT/NCA).
72h
📋Incidentmelding
Dien binnen 72 uur een gedetailleerde melding in met een eerste beoordeling van ernst, impact en indicatoren van compromittering.
1mo
📊Eindrapport
Lever binnen één maand een uitgebreid eindrapport op met oorzaakanalyse, genomen maatregelen en grensoverschrijdende impact.

NIS2 beveiligde communicatie is een configuratiestandaard, geen productaankoop

Teams, Google Meet en Zoom versleutelen allemaal tijdens transport. Niemand zakt voor een audit omdat zijn videogesprekken onversleuteld zijn. De vraag die de verordening echt stelt is: wie kan je mensen bereiken, via welke kanalen en onder welke controles?

Vertaal dat naar concrete instellingen en het beeld wordt helder.

Externe toegang. STAC4749 en de Black Basta-campagne daarvoor waren allebei afhankelijk van externe Teams-accounts die medewerkers konden berichten en bellen. Externe federatie beperken tot een allow-list van partnerdomeinen, of externe chat en gesprekken blokkeren voor de meeste gebruikers, haalt het toegangspunt weg. Punt 6.7.2(c) vereist al dat je netwerkcommunicatie voorkomt die niet nodig is voor de bedrijfsvoering. Dit is de samenwerkingslaag-versie van die regel.

E-mailauthenticatie. Punt 6.7.2(k) vraagt om een implementatieplan voor "internationaal overeengekomen en interoperabele moderne e-mailcommunicatiestandaarden". De technische implementatierichtsnoeren van ENISA van juni 2025 wijzen naar SPF, DKIM en DMARC voor afzenderauthenticatie en MTA-STS of DANE voor transportversleuteling. Een DMARC-record op p=none is monitoring, geen bescherming. Auditors kennen het verschil inmiddels.

Goedgekeurde tools per classificatie. Je cryptografiebeleid onder Artikel 21(2)(h) moet vastleggen welke berichten- en vergadertools zijn goedgekeurd voor welk classificatieniveau. Een bestuur dat een incident bespreekt via WhatsApp op privételefoons is een bevinding, omdat er geen beleid is dat het toestaat en geen controle die het beheerst.

Vergaderhygiëne. Lobby ingeschakeld, geauthenticeerd deelnemen aan interne vergaderingen, schermdelen en opnemen alleen door de host, en een regel dat niemand in een crisiscall anoniem is.

Spraak. SIP-trunks en VoIP over TLS en SRTP, en, voor locaties waar het ertoe doet, noodoproepcapaciteit die niet afhankelijk is van een werkend bedrijfsnetwerk.

Niets hiervan vereist de aankoop van een nieuw product. Alles vereist iemand die eigenaar is van de configuratie en het bewijs kan exporteren.

Waar een auditor daadwerkelijk om vraagt

Toezichthouders vragen inmiddels om bewijspakketten in plaats van beleidsverklaringen. De algemene bewijschecklist behandelden we twee weken geleden. Voor Artikel 21(2)(j) kun je deze acht items verwachten:

De communicatiesectie van de incidentresponsprocedure, met primaire en terugvalkanalen en eigenaren.
De sectie belangrijkste contacten en kanalen van het BC/DR-plan, gedateerd binnen de huidige reviewcyclus.
Een redundantieverklaring voor communicatiekanalen onder punt 4.2.4(d).
Een testverslag waaruit blijkt dat het noodkanaal tijdens een oefening is gebruikt.
Een export van de externe-toegangsconfiguratie van Teams of Google Workspace.
DNS-records voor DMARC, MTA-STS en, waar gebruikt, DANE.
De lijst met goedgekeurde communicatietools, gekoppeld aan classificatieniveaus.
De risicobeoordelingsregels die eventuele "niet passend"-besluiten onderbouwen.

Kun je alle acht binnen een dag leveren, dan ben je klaar met deze maatregel. Kun je er drie leveren, dan weet je waar de gap-analyse begint.

Voor MSP's geldt deze maatregel dubbel

Een MSP is een entiteit voor beheer van ICT-diensten onder Bijlage I van NIS2. CIR 2024/2690 is er rechtstreeks op van toepassing. Dat is je eigen verplichting.

Dan is er de klantkant. Het supply-chain-securitybeleid van elke klant onder punt 5.1 hoort de cybersecuritypraktijken van zijn dienstverleners te beoordelen. Je vermogen om tijdens een incident met een klant te communiceren, via een kanaal dat niet de gecompromitteerde tenant van de klant is en niet jouw gecompromitteerde tenant, is een van die praktijken.

Speel dit scenario door: je RMM of je M365-tenant is gecompromitteerd. Veertig klanten moeten dat binnen enkele uren horen. Je e-mail is juist datgene wat gecompromitteerd is. Wat is de lijst, waar staat die, en wie heeft hem op een telefoon die niet synchroniseert met corporate SSO?

Is er geen antwoord, dan is dat het eerste punt op je eigen herstelplan. De Nederlandse Cyberbeveiligingswet is sinds 15 augustus 2026 van kracht en de RDI houdt rechtstreeks toezicht op beheer van ICT-diensten. Het Duitse BSI en het Belgische CCB doen dat al langer. De dubbele verplichting voor MSP's is in geen van die markten nog theoretisch.

NIS2-sanctie-escalatie — Voorbij de boete
!
Aanleiding
Non-compliance gedetecteerd of incident treedt op
Een toezichthouder identificeert een compliance-hiaat of een organisatie voldoet niet aan de NIS2-vereisten
Toezichthouders kunnen opleggen▼
Niet-financiële sancties
1
Nalevingsbevelen met bindende deadlines
2
Verplichte security-audits op eigen kosten
3
Publieke bekendmaking van overtredingen
4
Bindende instructies over specifieke beveiligingsmaatregelen
Escaleert naar▼
Operationele en persoonlijke gevolgen
1
Opschorting van certificeringen of vergunningen
2
Tijdelijk verbod op bestuursfuncties voor personen
3
Publieke benoeming van verantwoordelijke natuurlijke personen
Aanleiding
Niet-financieel
Operationeel / persoonlijk

Waar je deze maand begint

Dit is geen project met een stuurgroep. Het zijn vier taken.

Kies het noodkanaal en richt het in. Gescheiden identiteit, gescheiden infrastructuur, contactlijst offline opgeslagen.

Schrijf het op. Voeg het kanaal toe aan de incidentresponsprocedure onder 3.5.3 en aan de sectie belangrijkste contacten van het BC/DR-plan onder 4.1.2(c).

Sluit de voordeur. Beperk externe federatie in Teams. Zet DMARC op p=reject zodra de rapportage je legitieme afzenders bevestigt.

Test het. Het eerste bericht van je volgende tabletop-oefening gaat alleen via het noodkanaal. Ziet niemand het, dan heb je iets belangrijks geleerd op een gunstig moment.

Wil je weten waar Artikel 21(2)(j) staat naast de andere negen maatregelen voor een specifieke klant, dan dekt de NIS2Certify quick scan alle tien in ongeveer tien minuten en geeft je een geprioriteerde gap-lijst om mee aan de slag te gaan.