NIS2-documenten: welke documentatie uw bedrijf nodig heeft
NIS2 verplicht u uw beveiligingsmaatregelen vast te leggen (§ 30(1), derde zin, BSIG). De wet vraagt uitdrukkelijk om beleid (Konzepte) voor risicoanalyse en IT-beveiliging, het controleren van de effectiviteit, cryptografie, en personeel, toegang en IT-beheer. Voor de rest volstaat vaak een lijst. De wet schrijft geen vorm voor.
Wat de wet eist
Essentiële en belangrijke entiteiten nemen maatregelen op tien gebieden (§ 30(2) BSIG). Zij leggen schriftelijk vast dat zij dat doen (§ 30(1), derde zin, BSIG).
Voor vier gebieden spreekt de wet uitdrukkelijk van beleid: risicoanalyse en IT-beveiliging (nr. 1), het beoordelen van de effectiviteit (nr. 6), cryptografie (nr. 8), en personeel, toegangscontrole en IT-beheer (nr. 9).
De wet legt niet vast hoe de documenten eruitzien, hoe lang ze zijn of in welke software u ze bijhoudt. Ze volgen het risico, de omvang en de kosten van uw bedrijf (§ 30(1), tweede zin, BSIG).
§ 30(1) en (2) BSIG · Art. 21 NIS 2
De documenten in één overzicht
Deze zes documenten dekken de gebieden waar een geschreven tekst zinvol is. De directie keurt elk ervan goed.
| Document | Wat erin staat |
|---|---|
| Informatiebeveiligingsbeleid§ 30(2) nr. 1 | Hoe uw bedrijf met informatiebeveiliging omgaat: doelen, verantwoordelijkheden, hoe risico's worden beoordeeld. |
| Incidentresponsplan§ 30(2) nr. 2 | Wie bij een incident beslist, wie u belt, hoe u elkaar zonder IT bereikt en hoe u bij het BSI meldt. |
| Bedrijfscontinuïteitsplan§ 30(2) nr. 3 | Wat moet blijven draaien als de IT uitvalt, en hoe u de bedrijfsvoering herstelt. |
| Regels voor aanschaf, onderhoud en kwetsbaarheden§ 30(2) nr. 5 | Waar u op let bij de aanschaf van IT, hoe updates worden geïnstalleerd en waar anderen gevonden kwetsbaarheden kunnen melden. |
| Cryptografiebeleid§ 30(2) nr. 8 | Waar en hoe u versleutelt, bijvoorbeeld laptops, e-mail en toegang op afstand. |
| Beleid voor personeel, toegang en IT-beheer§ 30(2) nr. 9 | Wie welke toegang krijgt, hoe nieuwe mensen die krijgen en vertrekkers die verliezen, en hoe u uw IT beheert. |
Waar een lijst volstaat
Voor andere gebieden hebt u geen doorlopende tekst nodig. Een lijst die u actueel houdt, laat zien wat u doet.
| Lijst | Wat erin staat |
|---|---|
| Uw bedrijfsmiddelen§ 30(2) nrs. 1 en 9 | Waarmee uw bedrijf werkt: processen, software, apparaten, ruimtes, netwerken, en wie ze levert. |
| Uw leveranciers§ 30(2) nr. 4 | Wie voor u werkt en wat u met hen over beveiliging hebt afgesproken. |
| Uw back-ups§ 30(2) nr. 3 | Wat er wordt geback-upt, waarmee, en wanneer het terugzetten voor het laatst is getest. |
| Uw trainingen§ 30(2) nr. 7 · § 38(3) | Wie wanneer welke training heeft gevolgd, medewerkers en directie. |
| Tweede factor en beveiligde communicatie§ 30(2) nr. 10 | Waar een tweede factor het inloggen beschermt en welke kanalen u voor beveiligde communicatie gebruikt. |
| Directiebeoordeling§ 30(2) nr. 6 · § 38(1) | Wanneer de directie heeft nagegaan of de maatregelen werken, wat zij besloot en wie wat doet en wanneer. |
Meer voor bepaalde digitale aanbieders
Voor aanbieders zoals cloud, datacenters, beheerde diensten en enkele andere digitale diensten geldt ook Uitvoeringsverordening (EU) 2024/2690. Haar bijlage beschrijft veel vastleggingen nauwkeuriger.
Voor alle andere bedrijven is die bijlage niet bindend. Zij kan als houvast dienen.
§ 30(3) BSIG · Uitvoeringsverordening (EU) 2024/2690
Voor wie de uitvoeringsverordening geldtWat dit betekent bij 50 tot 150 medewerkers
U hebt geen verzameling sjablonen voor elk detail nodig. Eén document per gebied waar een tekst nodig is, en lijsten die u actueel houdt voor de rest.
Belangrijker dan de lengte is dat de documenten bij uw bedrijf passen en dat wat erin staat ook gebeurt.
De wet eist geen certificaat zoals ISO 27001. Het kan uw bewijs wel ondersteunen.
§ 30(1), tweede en derde zin, BSIG
Een voorbeeld
Een verzonnen bedrijf: een maker van verpakkingsmachines met 110 medewerkers. Machinebouw staat in bijlage 2 van de BSIG, dus het bedrijf is een belangrijke entiteit.
De IT-verantwoordelijke schrijft op waarmee het bedrijf werkt: ERP, ontwerpsoftware, productiebesturing, e-mail, back-up. Bij elk onderdeel staat wie het levert.
Uit zijn antwoorden over de tien gebieden ontstaan de zes documenten. Het incidentresponsplan zegt dat de directeur beslist en de IT-verantwoordelijke meldt.
Leveranciers, back-ups en trainingen houdt het bedrijf bij als lijsten.
De directeur leest de documenten en keurt ze goed. Komt er een nieuwe dienstverlener bij, dan zet de IT die op de leverancierslijst.
Zo gaat het in de doorloop
In de doorloop op nisd2.eu ontstaan de documenten uit uw antwoorden.
Uit uw antwoorden ontstaan zes documenten: beveiligingsbeleid, incidentresponsplan, bedrijfscontinuïteitsplan, cryptografiebeleid, beleid voor personeel, toegang en bedrijfsmiddelen, en regels voor aanschaf, onderhoud en kwetsbaarheden.
Aan elk document kunt u eigen bepalingen toevoegen.
Waar een lijst volstaat, houdt u een lijst bij: uw IT, uw leveranciers, uw back-ups, uw trainingen.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account. Naam en datum staan daarna op elk document.
De export zet alles in één document, dat u als pdf in de browser bewaart.
Veelgestelde vragen
Welke documenten eist NIS2?
De BSIG verplicht u de invoering van uw maatregelen vast te leggen (§ 30(1), derde zin). Zij noemt uitdrukkelijk beleid voor risicoanalyse en IT-beveiliging, effectiviteit, cryptografie, en personeel, toegang en IT-beheer (§ 30(2) nrs. 1, 6, 8 en 9).
Is er een voorgeschreven vorm?
Nee. De wet legt vorm noch lengte vast. De documenten volgen het risico, de omvang en de kosten van uw bedrijf.
Moeten de documenten ondertekend worden?
De BSIG schrijft geen handtekening voor. Maar de directie moet de maatregelen invoeren en er toezicht op houden (§ 38(1) BSIG), en de EU-richtlijn eist dat zij ze goedkeurt (art. 20(1) NIS 2). Een vastgelegde goedkeuring door de directie ligt daarom voor de hand.
Hebben we een ISO 27001-certificering nodig?
De wet eist die niet. Een certificaat kan uw bewijs ondersteunen, maar dekt de BSIG niet automatisch.
Bronnen
- BSI-wet (BSIG) §§ 30 en 38, gesetze-im-internet.de/bsig_2025
- Richtlijn (EU) 2022/2555 (NIS 2), art. 20 en 21, EUR-Lex
- Uitvoeringsverordening (EU) 2024/2690, art. 1 en bijlage, EUR-Lex
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write the security policy
A short policy that management approves.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
