NIS2 verhoogt de verwachtingen op het gebied van cybersecurity voor organisaties die essentiële en belangrijke diensten leveren in de Europese Unie. Voor IT- en beveiligingsteams heeft de richtlijn praktische gevolgen voor hoe organisaties cybersecurityrisico's beheren, toegang controleren, reageren op incidenten, kwetsbaarheden aanpakken en aantonen dat beveiligingsmaatregelen consistent worden toegepast.
Die vereisten worden steeds concreter naarmate EU-lidstaten NIS2 via nationale wetgeving invoeren. In Nederland is de Cyberbeveiligingswet ter implementatie van NIS2 op 15 augustus 2026 in werking getreden, waarmee nieuwe verplichtingen op het gebied van cyberbeveiliging, registratie en incidentmelding van kracht zijn geworden voor organisaties die onder de wet vallen.
IT-teams moeten begrijpen welke cybersecuritypraktijken ze moeten implementeren en hoe hun technologiestack hen kan helpen die maatregelen in de loop van de tijd te handhaven.
Wat is NIS2?
De richtlijn Netwerk- en informatiebeveiliging 2, beter bekend als NIS2, is een EU-richtlijn voor cyberbeveiliging die is ontworpen om de cyberbeveiliging en weerbaarheid in kritieke en belangrijke sectoren te versterken.
NIS2 bouwt voort op de oorspronkelijke NIS-richtlijn door vereisten voor cyberbeveiligingsrisicobeheer en incidentmelding toe te passen op een bredere groep organisaties. Ook worden de verwachtingen verhoogd op gebieden zoals kwetsbaarhedenbeheer, toegangsbeveiliging, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, incidentafhandeling en organisatorische verantwoordelijkheid.
EU-lidstaten implementeren NIS2 via nationale wetgeving. Hoewel de onderliggende richtlijn gemeenschappelijke cybersecuritydoelstellingen binnen de EU vastlegt, moeten organisaties de specifieke vereisten beoordelen die gelden in elk land waar ze actief zijn.
Wie moet voldoen aan NIS2?
NIS2 is van toepassing op organisaties die zijn geclassificeerd als essentiële of belangrijke entiteiten in een breed scala aan sectoren. De toepasbaarheid hangt af van factoren zoals de diensten die een organisatie levert, de omvang van de organisatie, de sector en de nationale wetgeving waarmee de richtlijn wordt uitgevoerd.
Onder de sectoren vallen onder meer:
Energie
Transport
Bankwezen en infrastructuur voor financiële markten
基金会
Digitale infrastructuur
ICT-servicemanagement
凌乱
Productie van bepaalde kritieke producten
Digitale dienstverleners
Post- en koeriersdiensten
Afvalbeheer
Voedselproductie en -distributie
Chemische industrie
Onderzoek
Organisaties moeten hun specifieke omstandigheden beoordelen in plaats van uitsluitend af te gaan op de branche of bedrijfsgrootte om te bepalen of NIS2 van toepassing is.
Welke cybersecurityvereisten introduceert NIS2?
NIS2 vereist dat organisaties die onder de richtlijn vallen passende en evenredige technische, operationele en organisatorische maatregelen nemen om cybersecurityrisico's te beheersen. Artikel 21 van de richtlijn noemt verschillende gebieden die organisaties moeten aanpakken.
Voor IT-teams hebben verschillende vereisten directe gevolgen voor de dagelijkse beveiligingsactiviteiten:
1. Risicobeheer voor cybersecurity
Organisaties hebben processen nodig om cyberbeveiligingsrisico's te identificeren en passende maatregelen te nemen om die te beperken.
Effectief risicobeheer hangt af van doorlopende zichtbaarheid in systemen, gebruikers, endpoints, kwetsbaarheden en beveiligingsconfiguraties. IT-teams hebben ook processen nodig om te beoordelen of hun beveiligingsmaatregelen effectief blijven werken naarmate omgevingen en dreigingen veranderen.
2. Preventie, detectie en respons op incidenten
NIS2 vereist dat organisaties zich voorbereiden op cybersecurity-incidenten en processen opzetten om daarmee om te gaan.
Daardoor is zichtbaarheid extra belangrijk. IT- en beveiligingsteams hebben voldoende informatie over systemen en activiteiten nodig om potentiële problemen te identificeren, incidenten te onderzoeken, herstelmaatregelen te nemen en het bewijs te leveren dat nodig is voor incidentmelding en analyse na incidenten.
3. Omgang met kwetsbaarheden en softwarebeveiliging
Kwetsbaarheidsbeheer is een ander belangrijk onderdeel van het NIS2-kader.
Organisaties hebben processen nodig om kwetsbaarheden in hun technologische omgevingen te identificeren en aan te pakken voordat die tot onnodige blootstelling leiden. Dit omvat het onderhouden van besturingssystemen en applicaties, het toepassen van beveiligingsupdates, het volgen van de voortgang van herstelmaatregelen en het evalueren of beveiligingsmaatregelen effectief blijven.
Een herhaalbaar proces voor patchbeheer kan helpen de tijd te verkorten tussen het identificeren van een kwetsbaarheid en het verhelpen van getroffen systemen.
4. Identiteit, authenticatie en toegangscontrole
NIS2 richt zich specifiek op toegangsbeheer en identiteitsgerelateerde beveiligingsmaatregelen.
IT-teams moeten kunnen bepalen wie toegang heeft tot systemen en middelen, de juiste machtigingen toepassen, toegang verwijderen wanneer die niet langer nodig is, en waar passend sterke authenticatiemechanismen gebruiken.
Deze praktijken worden extra belangrijk voor beheer en support op afstand, waarbij gebruikers met uitgebreide rechten mogelijk toegang hebben tot systemen van buiten de traditionele netwerkperimeter van de organisatie.
5. Security monitoring en auditability
Organisaties hebben ook manieren nodig om de effectiviteit van hun cybersecuritymaatregelen te evalueren.
Gecentraliseerde logs, activiteitsgegevens, endpointinformatie en beveiligingsrapportages kunnen teams helpen gebeurtenissen te onderzoeken en aan te tonen hoe controles worden toegepast. Toegankelijk bewijs bijhouden maakt het ook makkelijker om beveiligingsprocessen te beoordelen en je voor te bereiden op audits.
Logregistratie alleen voldoet niet aan de NIS2-vereisten, maar betrouwbare gegevens zijn een belangrijk onderdeel van een breder complianceprogramma.
6. Bedrijfscontinuïteit en beveiliging van de toeleveringsketen
NIS2 gaat veel verder dan endpoint- en toegangsbeveiliging. De richtlijn behandelt ook gebieden zoals:
Bedrijfscontinuïteit
Back-upbeheer en disaster recovery
Crisisbeheer
Beveiliging van de toeleveringsketen
Beveiligingsbeleid
Training in cyberbeveiliging
Cryptografie en versleuteling
Beveiliging van personeelszaken
Vermogensbeheer
Organisaties hebben daarom een gecoördineerd complianceprogramma nodig waarbij technologie, processen, beleid, medewerkers, leveranciers en leiderschap samenkomen.
Wat betekent NIS2 voor IT-teams?
Voor veel IT-teams onderstreept NIS2 de noodzaak om bestaande cybersecuritypraktijken consistenter, zichtbaarder en beter herhaalbaar te maken.
Belangrijke operationele prioriteiten zijn onder meer:
Zicht houden op apparaten, applicaties, kwetsbaarheden en beveiligingsstatus.
Besturingssystemen en applicaties up-to-date houden met patches via vastgestelde processen.
Toegang tot systemen beheren en regelmatig controleren.
Sterke authenticatie en passende toegangsrechten toepassen.
Nuttige logs en activiteitsregistraties bijhouden voor onderzoeken en audits.
Beveiligingsproblemen snel identificeren en herhaalbare herstelprocessen opzetten.
Beveiligings- en onderhoudsworkflows waar passend automatiseren.
Nauwkeurige hardware- en software-inventarissen bijhouden.
Beoordelen of cybersecuritymaatregelen blijven functioneren zoals bedoeld.
Bewijs leveren dat aantoont hoe beveiligingsmaatregelen worden toegepast.
Voor organisaties die al volwassen cybersecuritypraktijken volgen, kan NIS2 veel bestaande processen bevestigen. De uitdaging is om ervoor te zorgen dat die processen consistent werken in de hele omgeving en indien nodig aantoonbaar zijn.
NIS2-implementatie in de hele Europese Unie
NIS2 stelt een gemeenschappelijk cyberbeveiligingskader vast in de Europese Unie, maar elke lidstaat implementeert de richtlijn via zijn eigen nationale wetgeving.
Daarom moeten organisaties de specifieke vereisten bekijken die gelden in elk land waar ze actief zijn. Deze kunnen nationale regels omvatten met betrekking tot registratie van entiteiten, beheer van cyberbeveiligingsrisico's, incidentmelding, toezichthoudende autoriteiten en handhaving.
Hoewel de implementatiedetails per land verschillen, blijven de onderliggende cybersecuritydoelstellingen van NIS2 in grote lijnen consistent binnen de EU.
Hoe Splashtop NIS2-naleving benadert
Splashtop voldoet aan de toepasselijke NIS2-vereisten en heeft meer dan 150 maatregelen geïmplementeerd die zijn gekoppeld aan vereisten die van toepassing zijn op cloudserviceproviders. Deze maatregelen helpen bij het opzetten van een gestructureerde aanpak voor het beheren van de cybersecurityverantwoordelijkheden die gepaard gaan met het leveren van cloudgebaseerde services.
Omdat NIS2 via nationale wetgeving wordt geïmplementeerd, zijn sommige verplichtingen landspecifiek. Splashtop heeft zich bijvoorbeeld geregistreerd bij het Nationaal Cyber Security Centrum van Nederland (NCSC-NL) in overeenstemming met de toepasselijke Nederlandse vereisten.
Voor organisaties die technologieaanbieders beoordelen als onderdeel van hun eigen NIS2-programma's, kunnen de cyberbeveiligingspraktijken en de nalevingspositie van een aanbieder ook meewegen in bredere risicoanalyses van leveranciers en de toeleveringsketen.
Hoe Splashtop NIS2-cybersecurityvereisten kan ondersteunen
Organisaties kunnen de mogelijkheden van Splashtop ook gebruiken ter ondersteuning van verschillende technische praktijken die betrokken zijn bij het onderhouden van een NIS2-complianceprogramma.
1. Veilige externe toegang en authenticatie
Remote access moet strikt worden beheerd wanneer medewerkers, IT-beheerders, leveranciers en supporttechnici vanaf verschillende locaties verbinding kunnen maken met bedrijfssystemen.
Splashtop biedt beveiligings- en beheermogelijkheden, waaronder versleutelde externe verbindingen, multifactorauthenticatie, SSO-/SAML-integratie, gedetailleerde machtigingen en gecentraliseerd beheer.
Met deze maatregelen kunnen organisaties beheren wie op afstand toegang heeft tot systemen en sterkere authenticatie toepassen op remote workflows.
2. Toegangscontrole en least privilege
Gebruikers moeten het toegangsniveau krijgen dat nodig is voor hun verantwoordelijkheden, zonder onnodig brede toegang tot systemen.
Met Splashtop kunnen beheerders gebruikers, groepen, computers en machtigingen centraal beheren. Organisaties kunnen deze instellingen gebruiken om te bepalen welke gebruikers toegang hebben tot specifieke systemen en die toegang aanpassen wanneer verantwoordelijkheden veranderen.
Door deze instellingen te centraliseren, kunnen IT-teams ook eenvoudiger machtigingen voor externe toegang controleren en toegang verwijderen wanneer die niet langer nodig is.
3. Logboeken en auditbewijzen
Inzicht in wie toegang had tot een systeem en wanneer is belangrijk voor beveiligingsonderzoeken en auditgereedheid.
Splashtop biedt mogelijkheden voor sessie- en activiteitenregistratie die organisaties kunnen helpen gegevens van remoteaccess-activiteiten bij te houden. Afhankelijk van de Splashtop-oplossing en configuratie kunnen organisaties ook aanvullende logging- en SIEM-mogelijkheden gebruiken om relevante activiteiten op te nemen in bredere workflows voor beveiligingsmonitoring.
Deze gegevens vormen nog een bron van bewijs wanneer IT-teams beveiligingsincidenten onderzoeken, toegangsactiviteiten controleren of aantonen hoe maatregelen werken.
4. Kwetsbaarheids- en patchbeheer met Splashtop AEM
Niet-gepatchte kwetsbaarheden kunnen endpoints onnodig blootstellen. Splashtop AEM helpt IT-teams om kwetsbaarheids- en patchbeheer continuër te maken met gecentraliseerd inzicht en automatisering.
Met Splashtop AEM kunnen IT-teams:
Identificeer kwetsbaarheden die van invloed zijn op beheerde endpoints.
Gebruik CVE-inzichten om prioriteit te geven aan herstelmaatregelen.
Installeer patches voor ondersteunde besturingssystemen en toepassingen van derden.
Pas patchbeleid toe op groepen endpoints.
Controleer de patchstatus en identificeer mislukkingen.
Houd een inventaris bij van hardware en software.
Gebruik automatisering om repetitief herstelwerk te verminderen.
In plaats van vooral te vertrouwen op periodieke handmatige controles, kunnen IT-teams endpointcondities continu monitoren en actie ondernemen wanneer kwetsbaarheden of ontbrekende updates worden vastgesteld.
5. Endpointmonitoring en herstel
Het handhaven van cybersecuritymaatregelen vereist ook dat teams herkennen wanneer endpointcondities buiten het verwachte beleid vallen en daar passend op reageren.
Splashtop AEM biedt gecentraliseerd endpointinzicht, proactieve meldingen, beleidsgebaseerd beheer, scripts, taken en mogelijkheden voor herstel. Deze tools kunnen IT-teams helpen problemen te identificeren en corrigerende maatregelen toe te passen op beheerde endpoints zonder elk apparaat afzonderlijk aan te pakken.
Automatisering kan terugkerende beveiligings- en onderhoudsprocessen ook consistenter en herhaalbaarder maken, waardoor inconsistenties afnemen die ontstaan wanneer taken sterk afhankelijk zijn van handmatige tussenkomst.
Bouw aan een beter herhaalbare aanpak voor naleving van NIS2
NIS2 vergroot het belang van cybersecuritymaatregelen die organisaties consequent kunnen toepassen, monitoren, documenteren en verbeteren. Veilige toegang, sterke authenticatie, het verhelpen van kwetsbaarheden, endpointzichtbaarheid en betrouwbare activiteitsregistraties kunnen allemaal bijdragen aan die basis.
Splashtop helpt IT-teams om veilige remote access en support te centraliseren en breidt tegelijk zichtbaarheid, patchbeheer, automatisering en endpointbeheer uit via Splashtop AEM. Splashtop's eigen naleving van NIS2 en registratie bij NCSC-NL geven klanten ook aanvullende informatie om mee te nemen bij het beoordelen van de beveiligingspositie van hun technologieaanbieders.
Lees meer over hoe Splashtop je organisatie kan helpen veilige toegang, endpointbeheer en NIS2-paraatheid te versterken.
