Toezicht op NIS2- en KSC-naleving: documenten, registers en tests als sluitend bewijs

Toezicht op de naleving van NIS2 en KSC gaat verder dan het tonen van beleidsdocumenten en procedures. De toezichthouder kan nagaan of de organisatie haar verplichtingen correct heeft afgebakend, verantwoordelijkheden heeft toegewezen, beheersmaatregelen heeft ingevoerd en de werking daarvan kan aantonen met actuele registers, testresultaten en managementbesluiten. De voorbereiding moet daarom worden ingericht als een aantoonbare bewijsketen: van verplichting en risico via de toegepaste maatregel naar het uitvoeringsbewijs, de beoordeling van de doeltreffendheid en de reactie op een afwijking.

De toezichthouder beoordeelt het systeem, niet de ordner

Het uitgangspunt is niet het aantal beleidsdocumenten en procedures, maar een juiste afbakening van de verplichtingen. De organisatie moet kunnen aangeven welke diensten, processen, informatiesystemen, locaties en leveranciersafhankelijkheden onder de KSC-eisen vallen en op welke grondslag deze afbakening is vastgesteld. Voordat de documentatie wordt geordend, moet het bestuur daarom de status van de organisatie en de reikwijdte van de geleverde diensten bevestigen. Vervolgens moet een verantwoordelijke voor de voorbereiding op het toezicht worden aangewezen.

Het grootste bewijsrisico ontstaat wanneer de documentatie maatregelen beschrijft die in de praktijk niet worden toegepast of niet met registraties kunnen worden onderbouwd. Dit speelt met name bij toegangsbeoordelingen, risicoanalyses, back-ups, leveranciersbeheersing en bedrijfscontinuïteitstests. Het bewijsmateriaal moet één samenhangende keten vormen: eis of risico, besluit, toegepaste beheersmaatregel, verantwoordelijkheid, uitvoeringsregistratie, resultaat van de doeltreffendheidsbeoordeling en reactie op een geconstateerde afwijking.

De toezichthouder kan beginnen bij een kaderdocument en vervolgens een operationele steekproef uitvoeren. Als de incidentprocedure de classificatie en escalatie van gebeurtenissen beschrijft, moet de organisatie rekening houden met controle van meldingen, reactietijden, genomen besluiten, communicatie, afsluiting van dossiers en lessen uit incidenten. De reikwijdte van het systeem wordt niet alleen met een beschrijving aangetoond, maar ook met een overzicht van diensten en afhankelijkheden, een activaregister, toegewezen eigenaren en de aansluiting daarvan op operationele registraties.

NIS2- en KSC-documentatie vóór toezicht: welke beleidsdocumenten, registers en bewijzen zijn werkelijk nodig? moet een werkend managementmechanisme weerspiegelen en geen verzameling sjablonen zijn. Toezicht door een bevoegde autoriteit moet bovendien worden onderscheiden van een managementsysteemaudit. Beide kunnen vergelijkbaar bewijsmateriaal gebruiken, maar toezicht is gericht op de uitvoering van verplichtingen die voortvloeien uit de toepasselijke regelgeving en het mandaat van de toezichthouder. Een audit beoordeelt de conformiteit en doeltreffendheid van een systeem aan de hand van vastgestelde criteria. Een positieve uitkomst van het ene traject vervangt het andere niet.

Reikwijdte en verantwoordelijkheden onder de loep

De eerste categorie bewijs moet duidelijk maken waarom de organisatie onder bepaalde verplichtingen valt en waar de grenzen van de omgeving onder toezicht liggen. De toezichthouder kan een onderbouwing verwachten van de kwalificatie van de organisatie, de identificatie van gereguleerde diensten en de daaraan gekoppelde processen, informatie-assets, systemen, locaties en leveranciers. De reikwijdte mag niet uitsluitend worden omschreven aan de hand van de bedrijfsactiviteit. Zij moet het mogelijk maken om een dienst te volgen vanaf het bedrijfsproces, via de ondersteunende bedrijfsmiddelen, tot en met externe afhankelijkheden.

De basis voor de voorbereiding is een actuele, door het bestuur goedgekeurde scopebeschrijving, aangevuld met een overzicht van diensten en processen, een register van kritieke bedrijfsmiddelen en een heldere verantwoordelijkheidsstructuur. Documenten waarin rollen worden vastgelegd, moeten niet alleen functietitels noemen, maar ook bevoegdheden voor risicoacceptatie, activering van noodmaatregelen, escalatie van incidenten en besluitvorming over leveranciers. Eigenaren van diensten, bedrijfsmiddelen en risico’s moeten worden aangewezen in overeenstemming met de feitelijke verdeling van bevoegdheden.

Een typische inconsistentie ontstaat wanneer het register een formele risico-eigenaar noemt, terwijl het risico door iemand anders wordt geaccepteerd zonder passende bevoegdheid en zonder gedocumenteerd besluit. Hetzelfde probleem doet zich voor bij uitzonderingen op beveiligingsmaatregelen, bedrijfscontinuïteit en leveranciersgoedkeuring. Vergaderverslagen, bestuursbesluiten, goedkeuringen van risicobeoordelingen, budgetbesluiten en managementbeoordelingen moeten aantonen dat het bestuur op de hoogte is van wezenlijke risico’s, kwesties buiten de operationele bevoegdheden beslist en toeziet op de uitvoering van genomen besluiten.

De kwalificatiemethode, opname in het toepasselijke register en de bevoegdheden van de toezichthouder moeten telkens worden vastgesteld op basis van de actuele wetgeving en de specifieke situatie van de organisatie. Een praktische uitwerking hiervan is NIS2: zelfbeoordeling en inschrijving in het KSC-register – wat moet een productiebedrijf doen? Als de organisatie als essentiële entiteit is aangemerkt, moet de scopebeoordeling ook worden gekoppeld aan Verplichte KSC-audit: welke essentiële entiteiten moeten zich voorbereiden op de eerste conformiteitsbeoordeling? De status op zichzelf bewijst echter niet dat het bestuur de grenzen van de verantwoordelijkheid heeft goedgekeurd en periodieke beoordeling daarvan heeft geborgd.

Registers laten de feitelijke uitvoering zien

Een register vormt alleen bewijs van doorlopende beheersing wanneer het de besluiten en activiteiten uit de processen weerspiegelt. Het mag geen bijlage bij een procedure zijn die slechts periodiek wordt bijgewerkt. Voordat een hulpmiddel wordt gekozen, moeten de verplichte velden, gegevensbronnen, registratie-eigenaren en regels voor wijzigingsgoedkeuring worden vastgesteld. Een spreadsheet kan volstaan als deze toegangsbeheersing, wijzigingshistorie, eenduidige verantwoordelijkheid en bescherming tegen onbevoegde wijzigingen biedt. Een geavanceerd systeem maakt gegevens niet betrouwbaar als onduidelijk is wie het register bijwerkt, wanneer dat gebeurt en op grond van welke gebeurtenis.

Het risicoregister moet dreigingsscenario’s verbinden met diensten en bedrijfsmiddelen. Daarnaast moet het de eigenaar, bestaande beheersmaatregelen, beoordelingsuitkomst, gekozen risicobehandeling en voortgang van acties vermelden. De toezichthouder kan controleren of een risico dat als te beperken is aangemerkt, is gekoppeld aan een actie, deadline en uitvoeringsbewijs. Voor een geaccepteerd risico moet goedkeuring door een daartoe bevoegde persoon beschikbaar zijn. Bruikbare managementindicatoren zijn onder meer het aantal openstaande risico’s, nog niet afgeronde acties en besluiten die opnieuw moeten worden beoordeeld. Dit zijn door de organisatie vastgestelde indicatoren en geen wettelijke drempelwaarden.

Het incidenten- en gebeurtenissenregister moet reconstructie mogelijk maken van detectie, classificatie, escalatie, de beslissing over melding, communicatie, herstel en formele afsluiting met geleerde lessen. Gerelateerd bewijsmateriaal omvat registers van kwetsbaarheden, patches en geaccepteerde uitzonderingen, toegangsbeoordelingen, back-up- en herstelactiviteiten, configuratiewijzigingen, beheerdersactiviteiten, trainingen en oefeningen.

Uitstel van een patch moet herleidbaar zijn vanaf de vastgestelde kwetsbaarheid, via de impactbeoordeling en het uitzonderingsbesluit, naar compenserende maatregelen, de datum voor herbeoordeling en het bewijs van afsluiting. Alleen een lijst met achterstallige patches maakt niet duidelijk of het uitstel beheerst wordt.

De beheersing van de toeleveringsketen vereist dezelfde samenhang. Een contractenlijst vervangt geen leveranciersclassificatie, beoordeling van afhankelijkheden van diensten en bedrijfsmiddelen, vastgestelde beveiligingseisen, beoordelingsregistraties of besluiten over niet-geaccepteerde tekortkomingen. Het register moet zichtbaar maken wie de leverancier heeft toegelaten, welke afwijkingen zijn goedgekeurd en wanneer de volgende beoordeling plaatsvindt. Vooral leveranciers zonder actuele beoordeling en niet-uitgevoerde acties uit eerdere beoordelingen moeten worden bewaakt. Dit onderwerp blijft ook relevant bij de uitvoering van het programma Implementatie van NIS2 na inschrijving in het KSC-register – actieplan tot 3 april 2027.

Bewaartermijnen, toegangsregels en goedkeuring van wijzigingen moeten worden afgestemd op het type registratie, de bewijswaarde, wettelijke en contractuele eisen en de behoeften bij incidentanalyse. Er mag niet zonder voorafgaande analyse één bewaartermijn voor alle registers worden gehanteerd. Incidentmeldtermijnen en de beveiliging van bewijsmateriaal moeten telkens worden geverifieerd aan de hand van de geldende regelgeving en richtlijnen van de bevoegde autoriteit. Een bredere inventarisatie is opgenomen in NIS2- en KSC-documentatie vóór toezicht: welke beleidsdocumenten, registers en bewijzen zijn werkelijk nodig? Operationele volwassenheid blijkt echter vooral uit registraties die tijdens het dagelijkse werk ontstaan en uit de zichtbare keten van afspraak naar controleresultaat en corrigerende maatregel.

Elke test moet leiden tot een besluit

De toezichthouder kan niet alleen vragen naar het bedrijfscontinuïteitsplan, de incidentresponsprocedure of bevestiging dat back-ups worden uitgevoerd. Ook moet kunnen worden aangetoond dat deze maatregelen zijn beproefd onder omstandigheden die aansluiten op de werkelijke diensten, technologieën en leveranciersafhankelijkheden. Het testprogramma moet voortkomen uit de risicobeoordeling, de kritikaliteit van de dienst, wijzigingen in de omgeving en wettelijke en contractuele eisen. Er bestaat geen universele testfrequentie voor alle beheersmaatregelen. Gebieden met een hoge impact, snel veranderende omstandigheden of wezenlijke afwijkingen uit eerdere tests moeten vaker worden beoordeeld.

Voor iedere test moeten het onderwerp en de acceptatiecriteria vooraf zijn vastgelegd. De registratie moet de scope, het scenario, de deelnemers, de omgeving, de acceptatiecriteria en toegestane toleranties bevatten. Na uitvoering moeten ook het resultaat, de afwijkingen en de werkelijke of potentiële impact op de dienst worden vastgelegd. Bij tekortkomingen moet het bewijsmateriaal de corrigerende acties, eigenaren, deadlines en datum van herbeoordeling vermelden.

Bruikbare indicatoren zijn de werkelijke hersteltijd, het gerealiseerde herstelpunt, de escalatietijd en het percentage acties dat na een test is afgerond. Een van de ernstigste organisatorische tekortkomingen is periodiek testen zonder succescriteria of zonder de vastgestelde afwijkingen aantoonbaar af te sluiten.

Belangrijke beproevingen zijn onder meer gegevensherstel vanuit back-ups, overschakeling naar uitwijkvoorzieningen, incidentresponsoefeningen, tests van crisiscommunicatie, toegangsbeoordelingen, herstel van configuraties en technische kwetsbaarheidstests, waaronder scans en — waar het risico dit rechtvaardigt — penetratietests. Een resultaat van een leverancier kan deel uitmaken van het bewijs, maar vervangt geen test binnen de eigen organisatie als de processen, integraties, verantwoordelijkheden en operationele omstandigheden van die organisatie niet zijn meegenomen.

Na iedere test moet de diensteigenaar een gedocumenteerd besluit nemen: het resultaat accepteren, een correctie invoeren, een compenserende maatregel vaststellen, de test herhalen of het risico binnen de toegekende bevoegdheid accepteren.

Een geslaagde back-up van een database bewijst nog niet dat de dienst kan worden hersteld. Tijdens een test kan blijken dat de applicatie afhankelijk is van een niet-gedocumenteerde configuratieversie, het identiteitsmechanisme in de uitwijkomgeving niet functioneert, sleutels niet beschikbaar zijn of de enige medewerker die de opstartvolgorde kent niet bij het herstel betrokken is. Alleen een test van de volledige afhankelijkheidsketen maakt het mogelijk om de werkelijke hersteltijd en het herstelpunt met de criteria te vergelijken, de impact op de dienst te beoordelen en een besluit te nemen over gereedheid of noodzakelijke verbetering.

Deze manier van testregistratie is in iedere sector relevant, ook bij de analyse van NIS2 voor productiebedrijven: op wie is de richtlijn van toepassing, welke verplichtingen gelden en hoe bereidt u de organisatie voor zonder het onderwerp tot IT te beperken? De verwachte bewijsvoering moet aansluiten op de verplichtingen die gelden voor de organisatie, haar diensten en de actuele juridische situatie. De kern blijft een samenhangende keten: vastgesteld risico, geplande test, meetbaar criterium, gedocumenteerd resultaat, besluit van de eigenaar en bevestiging dat acties doeltreffend zijn afgesloten.

Inconsistenties verhogen de kosten van toezicht

Formeel volledige documentatie verliest haar waarde als deze niet overeenkomt met de feitelijke situatie. De toezichthouder kan verklaringen uit beleidsdocumenten vergelijken met systeemconfiguraties, meldingsregistraties, contracten, toegangslijsten, scanresultaten, testverslagen en toelichtingen van proceseigenaren. Het gaat niet om redactionele uniformiteit, maar om de mogelijkheid een besluit te volgen vanaf de vastgestelde verplichting en het risico tot de ingevoerde beheersmaatregel, het bewijs van de werking en de reactie op een afwijking.

Een interne controleproef voorafgaand aan het officiële toezicht moet gebaseerd zijn op een doelgerichte steekproef van diensten, incidenten, leveranciers en toegangsrechten. Vervolgens wordt vanuit de documentatie doorgegaan naar de brongegevens. Zo worden onder meer een verouderd activaregister, verschillende benamingen voor dezelfde dienst, risico’s zonder eigenaar, niet-geregistreerde incidenten, leveranciers zonder gedocumenteerde beoordeling en corrigerende acties zonder doeltreffendheidscontrole zichtbaar. Afwijkingen moeten worden opgelost door de feitelijke situatie en de eigenaar van de registratie vast te stellen, niet door documenten ad hoc gelijk te trekken.

Bij een productiebedrijf mag de beoordeling niet beperkt blijven tot de kantoor-IT. Voor een geselecteerde dienst kan zij ook technisch onderhoud, industriële automatisering, externe servicetoegang, configuratiebeheer en afhankelijkheden tussen productiesystemen omvatten. Een toegangsoverzicht kan bijvoorbeeld geen account van een servicemonteur bevatten, terwijl het contract, de verbindingslog en de apparaatconfiguratie het bestaan ervan bevestigen. Het belang van dergelijke afhankelijkheden wordt nader besproken in NIS2 voor productiebedrijven: op wie is de richtlijn van toepassing, welke verplichtingen gelden en hoe bereidt u de organisatie voor zonder het onderwerp tot IT te beperken?

Een managementsysteemcertificaat kan structuur bieden voor risicomanagement, documentbeheersing, audits en corrigerende maatregelen, maar vervangt geen analyse van de juridische reikwijdte of het bewijs dat specifieke KSC-verplichtingen zijn uitgevoerd. Deze grens wordt toegelicht in NIS2 en NEN-EN-ISO 27001: wat biedt het certificaat en wat ontbreekt nog voor KSC-naleving? Het ontbreken van één registratie hoeft niet automatisch te betekenen dat sprake is van niet-naleving. Wel moeten de betekenis van het ontbrekende bewijs, de oorzaak van de lacune en de mogelijkheid om de werking van de maatregel met andere betrouwbare registraties aan te tonen worden beoordeeld.

De kosten van toezicht lopen vooral op wanneer bewijs verspreid is opgeslagen, bevoegdheden onduidelijk zijn en niemand de beantwoording en goedkeuring van aan te leveren stukken coördineert. Teams moeten tegenstrijdige gegevens dan tijdens het toezicht handmatig op elkaar afstemmen. Het vooraf aanwijzen van een coördinator, eigenaren van afzonderlijke bewijsstukken en regels voor het oplossen van inconsistenties beperkt de werklast en het risico dat tegenstrijdige verklaringen aan de toezichthouder worden verstrekt.

Gereedheid ontstaat door een interne controleproef

Een interne controleproef moet beginnen met bevestiging van de status van de organisatie, de reikwijdte van diensten waarop de verplichtingen van toepassing zijn en de verantwoordelijkheden van het bestuur en de proceseigenaren. Vervolgens stelt de coördinator voor het contact met de toezichthouder een conformiteitsmatrix op waarin iedere verplichting aan een eigenaar en bewijsstuk wordt gekoppeld. Pas daarna worden steekproeven uit registraties beoordeeld, gesprekken met verantwoordelijke personen gevoerd en het verloop van een geselecteerd incident of een test gereconstrueerd. De coördinator moet toegang tot het bestuur hebben en bevoegd zijn om inconsistenties te laten oplossen, zonder de inhoudelijke eigenaren van het bewijs te vervangen.

Iedere eigenaar van een verplichting moet kunnen verwijzen naar:

• het kaderdocument waarin de werkwijze is vastgelegd,
• de registratie die de uitvoering van de verplichting aantoont,
• de indicator waarmee de doeltreffendheid van de maatregel wordt beoordeeld,
• het meest recente besluit dat uit de beoordeling is voortgekomen.

Ontbreekt een van deze elementen, dan is de bewijsketen onderbroken. Een incidentresponsprocedure is onvoldoende als de organisatie niet ook het incidentregister, de reactietijd, de effectbeoordeling, het resultaat van de oorzaakanalyse en het besluit over aanpassing van de beheersmaatregelen kan tonen. Reconstructie van een praktijkgeval maakt bovendien zichtbaar of verklaringen van medewerkers overeenkomen met de registraties en het werkelijke verloop.

De proef moet ook de logistiek van het toezicht omvatten: ontvangst en registratie van het verzoek, toewijzing van een deadline en eigenaar, goedkeuring van stukken, bescherming van gevoelige informatie, versiebeheer en registratie van afspraken met de toezichthouder. Het is zinvol om een situatie te oefenen waarin een opgevraagde registratie gegevens bevat die buiten het onderwerp van het toezicht vallen of aanvullende context vereist. Zo wordt duidelijk wie over de omvang van de verstrekking beslist en hoe de overdracht van materiaal wordt vastgelegd.

Het verbeterplan moet tekortkomingen prioriteren op basis van de impact op de dienst, juridische blootstelling, kans op constatering en de tijd die nodig is om betrouwbaar bewijs van doeltreffendheid te verkrijgen. De prioriteit mag niet worden bepaald door het gemak waarmee een nieuwe procedure kan worden geschreven. Het bestuur keurt prioriteiten, middelen en het aanvaardbare risiconiveau goed. Een actie kan pas worden afgesloten nadat de maatregel opnieuw is beoordeeld.

De planning moet worden gebaseerd op de feitelijke status van de organisatie, correspondentie met de toezichthouder en de actuele regelgeving. Na vaststelling van de status kan de analyse worden aangevuld met NIS2: zelfbeoordeling en inschrijving in het KSC-register – wat moet een productiebedrijf doen? en Implementatie van NIS2 na inschrijving in het KSC-register – actieplan tot 3 april 2027. De in deze publicaties genoemde data en verplichtingen moeten telkens aan de actuele juridische situatie worden getoetst.