De meeste bedrijven die onder NIS2 vallen dóén de dingen al. Back-ups draaien. MFA staat aan. Iemand patcht. Het gat zit zelden in de maatregel zelf, maar in het feit dat niemand een toezichthouder een geschreven, gedateerde, goedgekeurde procedure kan laten zien waarin staat hoe die maatregel werkt en wie ervoor verantwoordelijk is.
Artikel 21, lid 2 van de richtlijn noemt tien gebieden, en de formulering telt: er wordt herhaaldelijk gevraagd om beleid en procedures, niet om capaciteiten. Incidentafhandeling. Bedrijfscontinuïteit. Toeleveringsketenbeveiliging. Toegangsbeheer en personeelsbeveiliging. Beleid en procedures om te beoordelen of de maatregelen daadwerkelijk werken. Een tool die iets doet is niet hetzelfde als een procedure die beschrijft hoe het gebeurt.
Dit is een praktische blik op de documentatiekant van NIS2, geschreven voor Europese ops- en IT-teams. Volledige openheid: wij bouwen Loopyback, een in de EU gehoste tool voor procesdocumentatie, dus wij zijn niet neutraal. Wij zijn ook geen GRC-platform, en de eerlijke grenzen daarvan staan verderop.
Wat de richtlijn vraagt, vertaald naar documentatie
Artikel 21, lid 1 zet de toon: maatregelen moeten passend en evenredig zijn aan omvang, blootstelling en risico. Van een logistiek bedrijf met zestig mensen wordt niet verwacht wat een bank levert. Maar evenredig is niet hetzelfde als afwezig, en "we doen het wel, we hebben het alleen nooit opgeschreven" is de zwakst mogelijke positie bij een inspectie.
Artikel 20 verhoogt de inzet. Bestuursorganen moeten de risicobeheersmaatregelen goedkeuren en toezien op de uitvoering, en kunnen aansprakelijk worden gehouden. Goedkeuren veronderstelt iets om goed te keuren. Dat iets is een document met een versie, een datum en een naam erop.
Artikel 21, lid 2, onder g voegt basale cyberhygiëne en beveiligingsopleiding toe. Training die geen spoor achterlaat, is qua bewijs geen training geweest.
De vier eigenschappen die een gids tot bewijs maken
Een procedure telt pas mee als ze vier vragen ter plekke kan beantwoorden.
| Wikipagina | Word-bestand op een gedeelde schijf | Opgenomen stapsgewijze gids | |
|---|---|---|---|
| Wie schreef het, en wanneer | Meestal zichtbaar | Gaat vaak verloren bij kopiëren | Vastgelegd bij de opname |
| Welke versie is goedgekeurd | Zelden bijgehouden | Hooguit versies in de bestandsnaam | Versiegeschiedenis per gids |
| Klopt het nog | Onbekend tot iemand kijkt | Onbekend | Screenshots tonen de echte interface, dus afwijking valt op |
| Wie heeft het gelezen | Nee | Nee | Hangt van de tool af, vraag het na |
De derde rij wordt onderschat. Een geschreven procedure veroudert onzichtbaar: de woorden lezen nog prima, twee jaar nadat het beheerpaneel veranderde. Een gids met screenshots faalt luidruchtig, want het scherm in de gids komt niet meer overeen met het scherm voor je neus. Voor een bewijsdossier is luidruchtig falen een voordeel.
Waar documentatie zelf een risico wordt
Bij beveiligingsprocedures zit een specifieke val. De gids die uitlegt hoe je een sleutel roteert, een account reset of bij een productieomgeving komt, is per definitie een kaart van je maatregelen. Twee gevolgen.
Er staat in wat er niet in mag staan. Een toegangsbeheerprocedure opnemen betekent screenshots van gebruikerslijsten, e-mailadressen, rollen, soms een token in de adresbalk. Onder de AVG is dat verwerking van persoonsgegevens; onder NIS2 (21, lid 2, onder i) is het bovendien een artefact van je toegangsbeheer. Redactie die plaatsvindt voordat het screenshot de browser verlaat, houdt het volledig buiten de keten. Redactie achteraf niet, want het origineel reisde al mee.
De hosting is een ketenvraag. Artikel 21, lid 2, onder d gaat over beveiliging in de relatie met directe leveranciers. Je documentatieleverancier is een directe leverancier die een beschrijving van je beveiligingsmaatregelen bewaart. Dat maakt vier vragen redelijk, en stel ze ook aan ons:
- Waar staat de content, en waar staan de back-ups?
- Wie zijn de sub-processors, en is die lijst actueel?
- Welk doorgiftemechanisme geldt als er verwerking buiten de EU plaatsvindt?
- Hoe wordt delen beheerst, en kunnen publieke links op organisatieniveau uit?
Onze vergelijking van Europese SOP- en documentatiesoftware loopt de hostingvraag tool voor tool na.
Veelgemaakte fouten
Beleid schrijven in plaats van procedures. "Wij maken regelmatig back-ups" is beleid. Een procedure zegt wie de hersteltest uitvoert, op welk systeem, hoe vaak, en hoe een geslaagd resultaat eruitziet. Artikel 21, lid 2, onder f vraagt expliciet naar het beoordelen van effectiviteit, dus die test heeft zelf een procedure nodig.
Alleen het gelukkige pad documenteren. De incidentprocedure die telt, is die welke iemand om 02:00 uur onder stress volgt. Staat er niet in wie je belt en wat je doet als de eerste contactpersoon niet opneemt, dan overleeft ze het eerste echte incident niet.
Geen goedkeuringsspoor. Een perfecte procedure die niemand in het bestuur ooit heeft afgetekend, voldoet niet aan artikel 20. Zet goedkeuringsdatum en goedkeurder in het document zelf, niet in een mailwisseling.
De documentatietool zien als het compliancesysteem. Dat is het niet. Een gidsenbibliotheek bevat procedures, geen risicoregister, geen assetinventaris en geen incidentenlog. Wie je documentatiesoftware verkoopt als NIS2-compliance overdrijft, wij inbegrepen. Wat het wél wegneemt is het meest gebruikte excuus dat procedures ontbreken: dat opschrijven te lang duurt.
Taal het begrip laten blokkeren. Leest de ploeg die de procedure volgt geen Engels, dan is een Engelse procedure geen doeltreffende maatregel, wat er ook in het bestand staat.
Nooit meer terugkijken. Procedures die voor de audit zijn geschreven en daarna vergeten, lopen binnen twee kwartalen achter. Koppel aan elke procedure een reviewdatum en behandel een gemiste review als een klein incident.
Veelgestelde vragen
Valt ons bedrijf onder NIS2?
De richtlijn richt zich in beginsel op middelgrote en grote entiteiten in de sectoren van bijlage I en II, waarbij de nationale omzetting de details invult. In Nederland loopt dat via de Cyberbeveiligingswet, in België via de NIS2-wet en het CyberFundamentals-kader van het CCB. De precieze drempels haal je uit die nationale wet, niet uit de richtlijn alleen.
Hoeveel documentatie is genoeg?
Artikel 21, lid 1 zegt evenredig. Een werkbare ondergrens: één geschreven procedure per gebied uit lid 2, elk met een eigenaar, een reviewdatum en een goedkeuring. De diepgang volgt uit je risicoprofiel, niet uit een sjabloon.
Kunnen we onze ISO 27001-documentatie hergebruiken?
Grotendeels wel. De overlap met bijlage A is aanzienlijk en toezichthouders herkennen dat. NIS2 legt extra nadruk op bestuurdersaansprakelijkheid, keten en meldtermijnen, dus reken op uitbreiden in plaats van opnieuw beginnen.
Leveren screenshots in beveiligingsprocedures een AVG-probleem op?
Dat kan. Gebruikerslijsten, mailboxen en beheerpanelen bevatten persoonsgegevens, en een procedure die jaren blijft staan overleeft de records erin. Redigeer vóór de opname waar de tool dat toestaat, en zorg dat je screenshots kunt terugvinden als er een verwijderverzoek komt. Onze uitleg over SOP''s maken zonder er uren aan te verliezen gaat in op de structuurkant.
---
Loopyback neemt een procedure één keer op, redigeert persoonsgegevens voordat ze de browser verlaten, houdt versiegeschiedenis bij en publiceert in 10+ talen vanaf EU-infrastructuur in België. Prijzen beginnen bij een gratis plan, €16 per maand voor individueel gebruik en €24 per seat voor teams.
Oprichter van Loopyback
Suleyman is de oprichter van Loopyback, een Belgische tool die workflows omzet in stapsgewijze gidsen. Hij schrijft over documentatie, SOP's en kennis uit hoofden halen.