De NIS2 omvat een brede set aan maatregelen voor de Digitale Weerbaarheid van kritieke organisaties die tegenwoordig veel van hun processen hebben gedigitaliseerd. Bedrijven die verantwoordelijk zijn voor onder meer: water, gas & licht, zorg, transport, logistiek, communicatie, IT-dienstverlening en daarmee het functioneren van Nederland.

Uitval kan zeker door een cyberincident komen, maar uitval kan ook komen door een defect in een netwerk, een ontwerpfout of als gevolg van brand of overstroming. Het kan ook zo zijn dat er geen adequaat Disaster Recovery plan is en een uitval te lang duurt.

Veel maatregelen in de Cyberbeveiligingswet gaan niet over Cyberbeveiliging.  Professionals weten dit, maar een verantwoordelijk bestuurder kan door de naam van de wet al achterop raken in zijn of haar bewustwording.

De naam omvangt slechts een deel van wat de wet afdekt. Voor de volledigheid had een naam als Digitale Bedrijfscontinuïteitwet of Digitale Weerbaarheidswet, wellicht treffender geweest.

Evolutie van 10 jaar

NIS2 is de opvolger van de NIS1-richtlijn uit augustus 2016. Dat Nederland tien jaar later een wet heeft op basis van de NIS2 is een enorme vooruitgang, echter is een NIS3 over wederom tien jaar ook niet uitgesloten. Richtlijnen ontstaan door nieuwe ontwikkelingen waar oude richtlijnen niet in voorzien. Ontwikkelingen in OT, MedTech, AI, Droids & Drones, maken dergelijke richtlijnen over 10 jaar wellicht alweer achterhaald.

Een goede wet is noodzakelijk, maar hij werkt pas als er naleving en handhaving op is.

Hoewel de wet direct is ingegaan 15 augustus 2026, zijn de vereiste maatregelen niet van de een op andere dag geregeld in een organisatie. Hoewel er geen transitieperiode is in Nederland zoals destijds in België (5 maanden), lijkt het wel dat er nog geen actieve handhaving is en ook de praktische invulling hiervan nog in ontwikkeling is. Organisaties die zich nu nog moeten registreren in het nationale entiteiten register bij het NCSC en nog moeten starten met het kweken van bewustzijn bij bestuurders, zijn laat!

Wacht je hier te lang mee, dan heb je geen goed verhaal als er een incident plaatsvindt.

 Bedrijf Continuïteit Management

Wat de NIS2 eigenlijk adresseert is digitale bedrijfscontinuïteit in de breedte. In IT-jargon heet dit Business Continuïteit en het daarbij behorende proces van Business Continuity Management (BCM).

Artikel 21 van de richtlijn somt de verplichte beveiligingsmaatregelen op, en beveiliging tegen cyberaanvallen is daar slechts één onderdeel van. Diezelfde lijst noemt expliciet: business continuity, crisisbeheer, back-upbeheer en disaster recovery. Dat zijn geen cyberbeveiligingsmaatregelen, dat zijn continuïteitsmaatregelen die net zo relevant zijn bij een stroomstoring, een brand in het datacenter of een falende leverancier als bij een ransomware-aanval.

Het probleem is vaak dat organisaties die onder de wet vallen, al een vorm van continuïteitsplanning hebben, maar een verouderde vorm. Zo heeft een ziekenhuis doorgaans al jaren een calamiteitenplan voor stroomuitval, brand, een pandemie of een tekort aan IC-bedden. Dat plan wordt jaarlijks geoefend met de crisisorganisatie, en is doorgaans eigendom van facilitair management of een crisiscoördinator, niet van IT.

BCM 1.0 is: continuïteitsplanning gebouwd rond fysieke en organisatorische risico's, met ICT als bijzaak of zelfs blinde vlek. In veel BCM 1.0-plannen staat wél wat er gebeurt als de stroom uitvalt, maar niet wat er gebeurt als het ziekenhuisinformatiesysteem, de PACS-omgeving voor beeldvorming, of de medicatie-uitgifte-applicatie platligt, of dat nu komt door een cyberaanval, een defect in de infrastructuur, een ontwerpfout, of een storing bij een leverancier. Terwijl die systemen inmiddels net zo kritisch zijn voor het voortbestaan van de zorgverlening als de noodstroomvoorziening.

Dat is precies de leemte die de Cyberbeveiligingswet niet langer toestaat. Risicobeheer moet volgens artikel 21 expliciet de ICT-systemen omvatten die de essentiële dienst mogelijk maken. Een calamiteitenplan waarin de afhankelijkheid van kritieke ICT-systemen onvoldoende is meegenomen, zal niet goed aansluiten op de risicogerichte eisen van de Cyberbeveiligingswet.

BCM 2.0 is het antwoord: een continuïteitsplan waarin ICT niet een los hoofdstuk achteraf is, maar vanaf de basis is meegenomen in de business impact analyse, de risicobeoordeling en de herstelscenario's. Concreet betekent dit voor een ziekenhuis onder meer dat ICT-systemen in de business impact analyse worden behandeld als kritieke bedrijfsmiddelen, niet als IT-aangelegenheid, met een eigen maximaal toelaatbare uitvalduur (MTD) per systeem, net zoals die al bestaat voor stroom of water.

Het onderliggende netwerk erft daarbij de hoogste kritikaliteit van alle systemen die het draagt. Als het EPD, PACS en de medicatie-uitgifte allemaal over hetzelfde netwerk lopen, is de continuïteit van dat netwerk per definitie net zo kritisch als het meest kritische systeem erop, een risico dat in BCM 1.0-plannen vrijwel nooit expliciet zo wordt benoemd.

Het crisisteam dat het calamiteitenplan oefent, oefent ook het scenario waarin ICT-continuïteit wegvalt, ongeacht de oorzaak, inclusief communicatie zonder e-mail, en zorgprocessen zonder het EPD. Disaster recovery-plannen voor kritieke applicaties worden niet alleen door IT beheerd, maar getoetst tegen dezelfde hersteltijden die de zorgprocessen vereisen, niet andersom. Eigenaarschap verschuift van "IT lost dit zelf op" naar een gedeelde verantwoordelijkheid tussen crisismanagement en ICT, met duidelijke bestuurlijke verantwoordelijkheid voor zowel cyberrisico's als de continuïteit van kritieke dienstverlening.

Van BCM 1.0 naar BCM 2.0

De beweging van BCM 1.0 naar BCM 2.0 is dus geen technisch project, het is een organisatorisch project dat crisismanagement en IT samenbrengt onder één continuïteitsstrategie. Het vereist wel een integrale samenwerking op organisatorisch en technisch niveau.

Organisaties die dit nu nog als twee gescheiden werelden behandelen, lopen niet alleen een compliance-risico onder de Cyberbeveiligingswet, maar ontdekken bij het eerstvolgende serieuze incident dat hun calamiteitenplan simpelweg niet werkt voor het scenario dat zich het vaakst voordoet: geen brand, geen overstroming, geen pandemie, maar juist uitval van de systemen en netwerken waarvan kritieke processen afhankelijk zijn.

Bij Fidoa adviseren we dan ook om werk te maken van een BCM 2.0. Vanuit onze sectorspecialisatie voor ziekenhuizen zien we dat hier een grote slag kan worden gemaakt waar de gehele organisatie bij gebaat is.

Het voordeel van een BCM 1.0 naar BCM 2.0-project is ook dat direct alle facetten worden doorlopen die van belang zijn voor bedrijfscontinuïteit voor zowel fysieke als digitale weerbaarheid. Door deze nieuwe baseline jaarlijks te onderhouden, worden organisaties echt structureel weerbaar.