WGS en NIS2 Audit: zo maak je jouw organisatie aantoonbaar veilig

De wgs en NIS2 zetten organisaties onder druk om hun informatiebeveiliging niet alleen op orde te hebben, maar die ook aantoonbaar te maken. Dat verschil is groter dan het klinkt. Er zijn genoeg organisaties waar de beveiliging feitelijk prima geregeld is: er wordt zorgvuldig gepatcht, toegangsrechten worden gecontroleerd, incidenten worden serieus opgepakt en er wordt goed nagedacht over wie waar bij mag. Maar zodra een auditor of toezichthouder vraagt om bewijs, blijkt er niets van over te zijn. Geen registratie van de reviews, geen tickets van de incidenten, geen verslag van de leveranciersbeoordeling. Voor iemand die van buitenaf moet vaststellen of iets structureel gebeurt of toevallig één keer, is dat verschil in de kern hetzelfde als niets doen. Dat voelt onrechtvaardig, maar het is de logica waar beide kaders op rusten.

Wat de combinatie van WGS en NIS2 bijzonder maakt, is dat ze vanuit verschillende hoeken naar dezelfde organisatie kijken. De Wet gegevensverwerking door samenwerkingsverbanden regelt hoe deelnemende partijen binnen een aangewezen samenwerkingsverband persoonsgegevens mogen delen en verwerken, met stevige waarborgen rond doelbinding, rechtmatigheid, transparantie en periodieke toetsing. Het accent ligt daar op de zorgvuldigheid en rechtmatigheid van gegevensverwerking, juist omdat het gaat om gegevens die vanuit verschillende organisaties samenkomen en over mensen gaan die daar zelf geen zicht op hebben. NIS2 kijkt van een andere kant: die richtlijn stelt eisen aan de cyberweerbaarheid van organisaties in aangewezen sectoren, met een zorgplicht, meldtermijnen, ketenverplichtingen en expliciete verantwoordelijkheden voor bestuurders.

Toch komen beide uit bij dezelfde onderliggende vragen. Wie mag bij welke gegevens, en wordt dat gecontroleerd? Wat gebeurt er als er iets misgaat, en binnen welke termijn? Hoe houd je zicht op partijen waarmee je gegevens uitwisselt? En wie in de organisatie is hier eigenaar van? In dit artikel lees je wat beide kaders concreet betekenen, waarom een nis2 audit meer is dan een compliancemoment, hoe je je stapsgewijs voorbereidt, wat er tijdens de audit wordt beoordeeld en welke fouten je maar beter kunt overslaan.

Wat betekenen WGS en NIS2 voor jouw organisatie?

De kern van WGS in de praktijk

De Wet gegevensverwerking door samenwerkingsverbanden biedt een wettelijke grondslag voor het delen van persoonsgegevens tussen partijen die samen een maatschappelijk probleem aanpakken en die zonder die grondslag niet zomaar gegevens met elkaar zouden mogen uitwisselen. Denk aan samenwerkingsverbanden rond ondermijnende criminaliteit, financieel-economische criminaliteit of zorg en veiligheid, waar gemeenten, politie, opsporingsdiensten, zorgpartijen en andere organisaties gegevens bij elkaar leggen om een beeld te krijgen dat geen van hen alleen kan vormen. Precies omdat dat een vergaande inbreuk op de persoonlijke levenssfeer kan betekenen, is de wet omgeven met waarborgen: er moet een duidelijk omschreven doel zijn, de verwerking moet noodzakelijk en proportioneel zijn, resultaten mogen niet zonder meer voor andere doeleinden worden gebruikt, en er moet toezicht en controle zijn op wat er feitelijk gebeurt.

In de praktijk vertaalt zich dat naar een aantal zaken die in elke toetsing terugkomen. Er moeten heldere afspraken zijn over wie welke gegevens inbrengt en met welk doel. Er moet worden vastgelegd wie toegang heeft tot welke gegevens binnen het samenwerkingsverband, en die toegang moet beperkt zijn tot wat noodzakelijk is voor de taak. Er moet logging zijn van raadplegingen, en die logging moet ook daadwerkelijk worden beoordeeld in plaats van alleen bewaard. Er moet een privacyfunctie zijn die onafhankelijk kan oordelen, en er moet periodiek een onafhankelijke toetsing plaatsvinden waarvan de uitkomst wordt gedeeld en opgevolgd. Voor organisaties die deelnemen aan zo’n verband betekent dit dat hun interne inrichting mede bepaalt of het samenwerkingsverband als geheel voldoet, en dat maakt het onderwerp breder dan de afdeling die de gegevens aanlevert.

Waarom NIS2 extra eisen stelt

NIS2 is de opvolger van de eerste netwerk- en informatiebeveiligingsrichtlijn en breidt zowel de reikwijdte als de verplichtingen fors uit. Waar de voorganger vooral op een beperkte groep vitale aanbieders was gericht, raakt NIS2 een aanzienlijk breder deel van het bedrijfsleven en de publieke sector. Er wordt onderscheid gemaakt tussen essentiële en belangrijke entiteiten, waarbij sector en omvang samen bepalen in welke categorie je valt en hoe intensief het toezicht is. De zorgplicht zelf is voor beide categorieën vergelijkbaar en omvat onder meer risicomanagement, incidentafhandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij aanschaf en ontwikkeling van systemen, het meten van de effectiviteit van maatregelen, basishygiëne en awareness, cryptografie, personeelsbeveiliging en toegangsbeheer, en het gebruik van meervoudige authenticatie.

Twee elementen maken NIS2 in de praktijk scherper dan veel organisaties verwachten. Het eerste zijn de meldtermijnen: een vroegtijdige waarschuwing binnen vierentwintig uur, een uitgebreidere melding binnen tweeënzeventig uur en een eindrapportage binnen een maand. Die termijnen haal je alleen als vooraf is vastgelegd wie beoordeelt of iets meldingsplichtig is, wie de melding doet en welke informatie daarvoor direct beschikbaar moet zijn. Het tweede is de bestuurdersverantwoordelijkheid: bestuurders moeten de maatregelen goedkeuren, toezien op de uitvoering en zelf voldoende kennis hebben van cyberrisico’s. Dat maakt de bestuurskamer nadrukkelijk onderdeel van het auditobject, en het verklaart waarom een NIS2-traject niet uitsluitend bij IT kan worden belegd.

Waar de grootste overlap zit

Hoewel de aanleiding verschilt, komen beide kaders uit bij een gemeenschappelijke kern. Toegangsbeheer staat in beide op de eerste plaats: wie mag bij welke gegevens, is die toegang beperkt tot wat noodzakelijk is, en wordt dat periodiek beoordeeld en tijdig ingetrokken? Logging en monitoring volgen direct daarna, waarbij het in beide gevallen niet gaat om het vastleggen alleen maar om het daadwerkelijk beoordelen van wat er is vastgelegd. Incidentafhandeling komt eveneens in beide terug, met meldplichten die weliswaar verschillend zijn ingevuld maar hetzelfde vragen: weet wie beoordeelt, weet binnen welke termijn, en zorg dat de benodigde informatie klaarligt.

Daarnaast delen ze de nadruk op governance en eigenaarschap. Beide kaders vragen om aantoonbare betrokkenheid van het bestuur, om vastgelegde rollen en verantwoordelijkheden en om een cyclus waarin risico’s worden beoordeeld, maatregelen worden gekozen en de effectiviteit daarvan wordt gemeten. En beide besteden expliciet aandacht aan de partijen waarmee je samenwerkt: bij WGS gaat het om de andere deelnemers en de afspraken over gegevensuitwisseling, bij NIS2 om leveranciers en de risico’s die via hen binnenkomen. Voor organisaties die met beide te maken hebben, betekent dat dat een groot deel van het werk maar één keer hoeft, mits je die overlap vooraf in kaart brengt in plaats van er gaandeweg achter te komen.

Waarom een NIS2-audit onmisbaar is

Compliance versus echte security

Er zit een reëel risico in elk verplichtingsgedreven traject, en dat is dat de organisatie het voldoen aan de eisen verwart met het beheersen van het risico. Dat leidt tot herkenbaar gedrag: beleidsstukken die worden geschreven om een auditor tevreden te stellen, oefeningen die worden opgezet om te slagen in plaats van om iets te leren, en verbeterpunten die netjes worden geregistreerd maar nooit worden opgelost. Zo’n organisatie kan formeel keurig voldoen en tegelijk niet in staat zijn om een serieus incident goed door te komen. Het onderscheid is bovendien niet moeilijk te herkennen: bij compliance ligt de nadruk op volledigheid van documentatie, bij weerbaarheid op bruikbaarheid ervan.

Een goed uitgevoerde audit werkt precies andersom en levert juist het ongemakkelijke gesprek op. Die stelt vast dat er geen betrouwbaar overzicht is van welke leveranciers toegang hebben tot productiesystemen, dat incidenten wel worden opgelost maar nooit geanalyseerd, of dat de escalatie naar crisisniveau in theorie is geregeld maar nooit is geoefend. Dat zijn geen administratieve tekortkomingen maar concrete risico’s met een prijskaartje. Organisaties die bevindingen zo behandelen, halen structureel meer uit hun auditcyclus dan organisaties die vooral bezig zijn met het vermijden van rode vlaggen in het rapport.

De rol van bewijsvoering

Aantoonbaarheid is bij beide kaders geen administratieve bijzaak maar een zelfstandige verplichting, en dat verdient benadrukking omdat het zo vaak wordt onderschat. Een auditor kan niet vaststellen wat er in iemands hoofd zit of wat er in de wandelgangen wordt geregeld; hij kan alleen vaststellen wat er is vastgelegd. Dat betekent dat de kwaliteit van je bewijsvoering feitelijk bepaalt hoe je uit een audit komt, ongeacht hoe goed je organisatie in de praktijk functioneert. Wie dat accepteert, gaat zijn processen anders inrichten: niet met een extra administratieve laag erbovenop, maar zo dat het bewijs vanzelf ontstaat tijdens het werk.

Het verschil zit in kleine keuzes. Een toegangsreview die eindigt met een afgetekend overzicht in een vaste map levert automatisch bewijs op; dezelfde review afgehandeld via losse e-mails levert een zoektocht op. Een incident dat via een ticketsysteem loopt, laat een spoor na met tijdstempels, beoordeling en opvolging; hetzelfde incident dat via een telefoontje wordt opgelost, laat niets na. Een oefening met een kort verslag inclusief gemeten hersteltijd en verbeterpunten is bewijs; dezelfde oefening zonder verslag is een herinnering. Organisaties die dit consequent doorvoeren, ervaren audits als een routineactiviteit in plaats van als een periodieke crisis.

Veelvoorkomende audit-risico’s

Er zijn een paar plekken waar audits stelselmatig blijven haken. Toegangsbeheer levert veruit de meeste bevindingen op, en dan vooral aan de intrekkingskant: het aanmaken van accounts gaat overal goed omdat een medewerker die niet kan inloggen zich vanzelf meldt, maar het intrekken kent die natuurlijke druk niet en verwatert stilletjes. Rechten stapelen zich op bij mensen die intern van functie wisselen, beheeraccounts blijven bestaan lang nadat het project waarvoor ze werden gemaakt is afgerond, en gedeelde accounts blijven in gebruik omdat het praktisch is.

Daarnaast is er het risico van de risicoanalyse die verandert in een dood document. Het patroon is herkenbaar: bij de start wordt een uitgebreide analyse opgesteld, die vervolgens jaarlijks wordt “geactualiseerd” door de datum aan te passen. Een auditor prikt daar zonder moeite doorheen door te vragen hoe de analyse is aangepast na de migratie naar een nieuwe leverancier of na de introductie van een nieuw systeem. Een derde terugkerend risico is de keten: organisaties hebben hun eigen huis vaak redelijk op orde maar geen zicht op de partijen waarmee ze gegevens uitwisselen, terwijl juist daar in beide kaders expliciete eisen liggen.

Hoe bereid je je voor op een WGS NIS2 audit?

Stap 1: scope bepalen

Alles begint bij de scope, en dat is meteen de fase waarin de kostbaarste fouten worden gemaakt. Bepaal welke organisatieonderdelen, processen, systemen en gegevensstromen binnen de audit vallen, en doe dat op basis van wat de kaders vragen en niet op basis van wat handig uitkomt. Bij NIS2 wordt de reikwijdte grotendeels bepaald door de wet: val je binnen de aangewezen sectoren en drempels, dan geldt de zorgplicht voor je organisatie en kun je die niet zelf kleiner maken. Bij WGS wordt de scope bepaald door het samenwerkingsverband waaraan je deelneemt en door de gegevensverwerkingen die daaruit voortvloeien.

Besteed daarbij bijzondere aandacht aan uitbestede diensten en clouddiensten, want de neiging bestaat om alles wat bij een externe partij draait als “geregeld” te beschouwen. Dat is het zelden. Een clouddienst kan uitstekend functioneren en tegelijk niet voldoen aan jouw eisen rond bewaartermijnen, logging of herstel. Leg vast wat wel en niet meedoet, onderbouw waarom, en toets die afbakening bij de partijen die er belang bij hebben: je toezichthouder, je ketenpartners of je grootste opdrachtgever.

Stap 2: beleid en processen inventariseren

Breng vervolgens in kaart wat er al is. Dat betekent niet alleen het verzamelen van beleidsstukken, maar vooral het vaststellen of die stukken nog aansluiten op de praktijk. Loop je documentatie door op wijzigingen in organisatie, systemen en leveranciers van de afgelopen periode, verwijder wat niet meer klopt en actualiseer wat achterloopt. Werk daarbij vanuit één samenhangende set documenten die beide kaders bedient in plaats van gescheiden stromen: één informatiebeveiligingsbeleid, één risicomanagementproces, één incidentprocedure die zowel de interne afhandeling als de meldplichten dekt, één leveranciers- en ketenbeleid.

Het waardevolste onderdeel van deze stap is het onderscheid tussen twee soorten gaten die vaak op één hoop worden gegooid: dingen die je niet doet, en dingen die je wel doet maar niet kunt aantonen. Die vragen een compleet andere aanpak. Het eerste betekent iets inrichten en implementeren, wat maanden kan kosten. Het tweede betekent registratie organiseren, wat vaak binnen weken op te lossen is en dus als eerste aandacht verdient. Leg de uitkomst vast in één overzicht met per maatregel de eisen die eronder vallen, zodat direct zichtbaar wordt welke inspanningen dubbel renderen.

Stap 3: technische maatregelen controleren

Toetsen betekent hier daadwerkelijk uitproberen en niet alleen navragen. Controleer of toegangsrechten kloppen door een steekproef te nemen op medewerkers die het afgelopen jaar uit dienst zijn gegaan of intern van functie zijn gewisseld: zijn hun accounts en rechten tijdig aangepast? Kijk of meervoudige authenticatie daadwerkelijk is afgedwongen, en dan vooral voor toegang op afstand en voor beheerinterfaces die vanaf internet bereikbaar zijn. Vraag om het verslag van de laatste restoretest en controleer of daarin staat hoe lang het duurde en wat er misging; ontbreekt dat verslag, dan is dat op zichzelf de bevinding.

Besteed daarnaast aandacht aan logging en monitoring, en dan specifiek aan de vraag of signalen bij iemand terechtkomen die er actie op onderneemt. Logging die wordt vastgelegd maar nooit beoordeeld, voldoet aan de letter en niet aan de bedoeling, en bij WGS is het beoordelen van raadplegingen juist een van de kernwaarborgen. Controleer ook of gefaalde jobs, zoals een mislukte back-up, tot een melding leiden bij een persoon en niet in een logbestand verdwijnen dat niemand opent.

Stap 4: verantwoordelijkheden vastleggen

Beide kaders stranden zelden op techniek en vaak op eigenaarschap. Zolang informatiebeveiliging “van IT” is, blijven onderwerpen als leveranciersbeheer, personeelsbeveiliging, bewustwording en continuïteit tussen wal en schip vallen, want die horen bij inkoop, HR, communicatie en operations. Geef daarom elke maatregel en elk proces een aanwijsbare eigenaar buiten de securityfunctie waar dat logisch is, en zorg dat die eigenaar begrijpt waarom de maatregel bestaat in plaats van alleen dat zijn naam ergens in een tabel staat.

Bij NIS2 is dat bovendien niet vrijblijvend, omdat de richtlijn expliciete verantwoordelijkheden bij bestuurders legt. Betrek het bestuur daarom vroeg en houd die betrokkenheid aantoonbaar. Een periodieke bespreking waarin risico’s, incidenten, meetresultaten en openstaande verbeterpunten aan de orde komen, met vastgelegde besluiten, dient meteen als bewijs voor beide kaders. Regel daarnaast vervanging voor kritieke rollen, want een incident houdt geen rekening met vakanties en een escalatielijn die op één persoon steunt, is geen escalatielijn.

Stap 5: bewijsdocumentatie verzamelen

Richt één centrale locatie in met een indeling die een auditor logisch kan volgen, en organiseer je processen zo dat bewijs daar vanzelf terechtkomt. Denk aan: risicoregisters met wijzigingshistorie, verslagen van directiebeoordelingen met besluiten, registraties van toegangsreviews met de opvolging van de gemelde correcties, incidentdossiers met beoordeling en evaluatie, wijzigingsdossiers met goedkeuringen, testverslagen van herstelprocedures, trainingsregistraties met deelnamecijfers en leveranciersdossiers met de gemaakte afspraken.

Een praktische toets: als het meer dan een paar minuten kost om een gevraagd bewijsstuk te vinden, deugt de structuur niet. Auditors trekken uit een rommelige bewijsbasis bovendien conclusies die verder gaan dan de vindbaarheid alleen, omdat samengeraapt materiaal de vraag oproept hoe structureel het onderliggende proces werkelijk is. Investeren in die structuur betaalt zich terug bij elke audit, elke klantvraag en elk toezichthoudersverzoek daarna.

Wat wordt er tijdens de audit beoordeeld?

Governance en risicomanagement

De auditor begint doorgaans bij de bovenkant: is duidelijk wie waarvoor verantwoordelijk is, is er beleid dat door het bestuur is vastgesteld, en stuurt dat bestuur aantoonbaar op basis van informatie die het krijgt? Vervolgens wordt de risicobeoordeling beoordeeld, en daarbij wordt vooral gekeken of die leeft. Een levende analyse beweegt mee met wat er in de organisatie gebeurt: er is zichtbaar iets aangepast na de migratie naar een nieuwe leverancier, na de introductie van een nieuw systeem of na een incident. Ook de koppeling tussen risico’s en maatregelen komt aan bod: is duidelijk welke maatregel welk risico beperkt, wie de eigenaar is, en welk restrisico overblijft? En is dat restrisico expliciet aanvaard door iemand met de bevoegdheid daartoe?

Toegangsbeheer en incidentrespons

Dit is het onderwerp waar de meeste tijd naartoe gaat en waar de meeste bevindingen ontstaan. Aan de toegangskant wordt gekeken naar het toekennen, wijzigen en intrekken van rechten, naar functiescheiding, naar het beheer van geprivilegieerde accounts, naar meervoudige authenticatie en naar de periodieke beoordeling van autorisaties, inclusief de opvolging daarvan. Dat laatste ontbreekt vaak: er wordt keurig een overzicht gegenereerd en rondgestuurd, maar niemand controleert of de gemelde correcties ook zijn doorgevoerd.

Aan de incidentkant wordt gekeken of medewerkers weten wat ze moeten melden en waar, of meldingen daadwerkelijk binnenkomen, of ze worden beoordeeld op meldingsplichtigheid, en of de escalatie naar crisisniveau helder is belegd. De meldtermijnen uit NIS2 maken dat extra scherp, want vierentwintig uur is te kort om tijdens het incident nog uit te zoeken wie mag beslissen. Ook wordt gekeken of afgeronde meldingen worden geanalyseerd op patronen en of dat tot aanpassingen leidt.

Leveranciers- en ketenbeveiliging

Dit onderdeel wint snel aan gewicht en is voor veel organisaties het minst ontwikkeld. Beoordeeld wordt of je een actueel overzicht hebt van je leveranciers en ketenpartners, welke daarvan kritiek zijn, welke toegang zij hebben tot je systemen en gegevens, en welke afspraken daarover zijn vastgelegd. Ook wordt gekeken of die afspraken worden gecontroleerd: een contractuele beveiligingsbijlage die nooit is getoetst, is een intentie en geen maatregel. Bij WGS krijgt de uitwisseling met andere deelnemers in het samenwerkingsverband bijzondere aandacht, waaronder de vraag of gegevens alleen worden gedeeld voor het afgesproken doel en of dat controleerbaar is.

Monitoring, logging en rapportage

Tot slot wordt gekeken of je ziet wat er gebeurt en of je erover kunt rapporteren. Concreet: wordt er gelogd op de plekken waar dat vereist is, worden logs beschermd tegen manipulatie, worden ze lang genoeg bewaard, en worden ze beoordeeld? Voor gegevensverwerking binnen een samenwerkingsverband is het beoordelen van raadplegingen een kernwaarborg, en het is een van de punten waarop organisaties het vaakst tekortschieten omdat de logging wel bestaat maar er niemand structureel naar kijkt. Daarnaast wordt beoordeeld of je de effectiviteit van maatregelen meet en of die metingen bij het bestuur terechtkomen in een vorm waar het iets mee kan.

Praktische checklist voor een sterke auditvoorbereiding

• Breng alle relevante systemen en data in kaart. Welke gegevens verwerk je, waar staan ze, wie kan erbij en welke partijen zijn betrokken; zonder dat overzicht is elke risicobeoordeling

• Controleer of beleid actueel en goedgekeurd is. Kijk naar de laatste wijzigingen in organisatie en systemen, en zorg dat elk document een eigenaar, een versie en een vaststellingsbesluit heeft.

• Test incidentprocedures en escalatiepaden. Oefen een scenario inclusief de beoordeling of iets meldingsplichtig is, en meet of je de termijnen daadwerkelijk haalt.

• Leg securitymaatregelen vast met bewijs. Registraties met datum, naam en uitkomst wegen zwaarder dan beleidsteksten; richt één vindbare locatie in waar dat vanzelf terechtkomt.

• Controleer leveranciersafspraken en SLA’s. Actueel overzicht van kritieke partijen, vastgelegde beveiligings- en meldafspraken, en toets of die afspraken ook worden nagekomen.

• Train medewerkers op awareness en meldplicht. Rolspecifiek en doorlopend, met aandacht voor een meldcultuur waarin het melden van een eigen fout niet tot verwijten leidt.

Veelgemaakte fouten bij WGS en NIS2 audits

Te weinig eigenaarschap

De hardnekkigste fout is dat het onderwerp bij één afdeling wordt neergelegd, meestal IT of compliance, terwijl de eisen de hele organisatie raken. Leveranciersafspraken liggen bij inkoop, in- en uitdiensttreding bij HR, crisiscommunicatie bij communicatie, en de uiteindelijke verantwoordelijkheid bij het bestuur. Zolang die partijen niet zijn aangehaakt, blijven er structureel gaten die geen enkele securityafdeling kan dichten. De remedie is simpel maar vraagt doorzettingsvermogen: benoem per thema een eigenaar met mandaat en bespreek de voortgang periodiek op een niveau waar besluiten kunnen worden genomen.

Onvolledige documentatie

De klassieker die onverminderd terugkeert: de organisatie werkt zorgvuldig, maar er blijft niets van over. Er wordt gepatcht zonder registratie, incidenten worden opgelost zonder ticket, autorisaties worden gecontroleerd zonder afgetekend overzicht en leveranciers worden beoordeeld tijdens een gesprek zonder verslag. Wat hier telt is het onderscheid tussen beleid en bewijs: dikke handboeken maken geen indruk, registraties met datum, naam en uitkomst wel. Een beknopt beleid met sluitende uitvoeringsregistratie staat er aanzienlijk sterker voor dan een lijvig handboek zonder enig spoor van naleving.

Geen aansluiting tussen beleid en praktijk

Een even veelvoorkomend probleem is dat het beleid iets beschrijft wat de organisatie niet doet. Dat gebeurt zelden met opzet: het beleid werd ooit geschreven met de beste bedoelingen, de praktijk is daarna geëvolueerd, en niemand heeft het document meegenomen. Voor een auditor is die discrepantie zwaarwegend, want het roept de vraag op waar het beleid dan wél voor dient. De oplossing is niet het beleid ambitieuzer maken maar juist realistischer: beschrijf wat je doet en kunt aantonen, en wees expliciet over de dingen die je bewust anders invult en waarom.

Vergeten van leveranciers in de keten

Tot slot het onderdeel dat het vaakst wordt onderschat. Organisaties richten hun eigen huis in en gaan er stilzwijgend van uit dat wat bij een externe partij ligt daar ook geregeld is. Beide kaders vragen echter expliciet om zicht op de keten: welke partijen zijn betrokken, welke toegang hebben ze, welke afspraken zijn er gemaakt en worden die nagekomen? Een contractuele beveiligingsbijlage die nooit is getoetst, telt niet als beheersmaatregel. Begin daarom met een compleet overzicht van je leveranciers en ketenpartners, bepaal welke daarvan kritiek zijn, en richt de aandacht op die groep in plaats van op alles tegelijk.

Veelgestelde vragen

Wat is het verschil tussen een interne check en een NIS2 audit?

Een interne check voer je uit voor jezelf, met als doel te ontdekken waar je nog niet voldoet zodat je dat kunt oplossen. Die mag informeel zijn, mag verkennend zijn en heeft geen formele status naar buiten toe. Een NIS2-audit is een gestructureerde beoordeling tegen de eisen die uit de richtlijn voortvloeien, doorgaans uitgevoerd door een onafhankelijke partij en met een rapportage die je kunt gebruiken richting je bestuur, je ketenpartners of een toezichthouder. Het verschil zit vooral in onafhankelijkheid en aantoonbaarheid: iemand die zelf de maatregelen heeft ingericht, kan die niet objectief beoordelen, en zonder vastgelegde uitkomst heb je niets om mee aan te tonen.

Moet elke organisatie een WGS NIS2 audit doen?

Nee. NIS2 geldt voor organisaties in de aangewezen sectoren die de omvangsdrempels halen, verdeeld over essentiële en belangrijke entiteiten. WGS geldt voor de aangewezen samenwerkingsverbanden en de partijen die daaraan deelnemen. Val je buiten beide, dan geldt de verplichting niet rechtstreeks. Maar de indirecte werking is aanzienlijk: leveranciers van organisaties die er wel onder vallen, krijgen via contracten en leveranciersbeoordelingen met dezelfde eisen te maken. Voor veel dienstverleners komt het onderwerp daarom niet binnen via een toezichthouder, maar via een vragenlijst van hun grootste klant.

Hoe lang duurt de voorbereiding meestal?

Dat hangt sterk af van je startpunt. Een organisatie die al een volwassen managementsysteem heeft, bijvoorbeeld op basis van ISO 27001, kan in enkele maanden de aanvullende punten afdekken. Een organisatie die vanaf de basis begint, is doorgaans zes tot twaalf maanden bezig, waarbij niet de techniek maar het opbouwen van bewijs over een periode de meeste tijd kost. Wat zich in geen geval laat comprimeren, zijn zaken als een risicobeoordeling met inhoud, ketenafspraken die met leveranciers moeten worden onderhandeld en bestuurlijke besluitvorming die aantoonbaar moet plaatsvinden.

Welke documenten zijn essentieel voor de audit?

De kern bestaat uit: een door het bestuur vastgesteld informatiebeveiligingsbeleid, een actueel risicoregister met de koppeling naar maatregelen en eigenaren, een incidentprocedure inclusief de beoordeling op meldingsplichtigheid en de escalatie naar crisisniveau, een overzicht van kritieke leveranciers en ketenpartners met de gemaakte afspraken, registraties van toegangsreviews met de opvolging, verslagen van tests en oefeningen met gemeten uitkomsten, trainingsregistraties, en verslagen van directiebeoordelingen met vastgelegde besluiten. Belangrijker dan volledigheid is dat deze documenten actueel zijn en dat er registraties bij horen die laten zien dat het beschreven proces ook echt is uitgevoerd.

Wat gebeurt er als je niet voldoet?

Dat verschilt per kader. Bij NIS2 heeft de toezichthouder bevoegdheden die kunnen oplopen tot forse boetes, met daarnaast maatregelen die zich in het uiterste geval richten op bestuurders persoonlijk, en bij essentiële entiteiten kan er ook proactief worden gecontroleerd in plaats van alleen naar aanleiding van een incident. Bij WGS gaat het vooral om de rechtmatigheid van de gegevensverwerking, met toezicht vanuit de Autoriteit Persoonsgegevens en de mogelijkheid dat verwerkingen moeten worden aangepast of gestaakt. In beide gevallen geldt bovendien dat een niet-nageleefde verplichting vooral zichtbaar wordt op het slechtst denkbare moment, namelijk na een incident, wanneer wordt teruggekeken naar wat je vooraf had geregeld.

Conclusie

Een WGS NIS2 audit is meer dan een controlelijst afvinken. Beide kaders dwingen een organisatie om te expliciteren wat er feitelijk gebeurt, wie waarvoor verantwoordelijk is en waaraan je ziet dat maatregelen werken. Dat is ongemakkelijk werk, want het legt onvermijdelijk zaken bloot die je liever niet had gevonden: de vergeten toegangsrechten, de logging waar niemand naar kijkt, de leverancier waarmee nooit iets is vastgelegd. Maar precies daar zit de waarde. Die gaten bestonden al; het enige verschil is dat je ze nu kent en er iets aan kunt doen.

Wat beide kaders bovendien gemeen hebben, is dat ze elkaar in de uitvoering versterken. Toegangsbeheer, logging, incidentafhandeling, ketenbeheer, governance en bewustwording komen in beide terug, en wie ze als één samenhangend geheel inricht, betaalt niet twee keer voor grotendeels hetzelfde werk. Eén risicobeeld, één escalatielijn, één set eigenaren en één bewijsbasis die zowel de toezichthouder als de ketenpartner als de auditor bedient: dat is aanzienlijk goedkoper en, belangrijker, aanzienlijk consistenter dan twee parallelle trajecten die na een jaar uit elkaar zijn gelopen.

Wie tijdig begint met voorbereiden, verkleint daarmee niet alleen zijn risico’s maar vergroot vooral de aantoonbaarheid van wat er al goed gaat. Begin daarom niet met documenteren maar met inventariseren: breng in kaart wat er al werkt, waar het bewijs ontbreekt, welke verplichtingen concreet op je van toepassing zijn en welke eisen je ketenpartners je stellen. Vanuit dat overzicht volgt de juiste volgorde vanzelf, en bouw je stap voor stap aan een organisatie die niet alleen veilig werkt, maar dat op elk moment ook kan laten zien.