NIS2-naleving: IAM en toegangscontrole op orde brengen vóór de audit van 2026
Een beveiligingsteam dat geen lijst kan overleggen van wie toegang heeft tot wat, en niet kan aantonen waarom iedere persoon deze toegang nog nodig heeft, loopt niet langer alleen risico op aanvallen. Onder de NIS2-richtlijn stelt diezelfde lacune de organisatie nu ook bloot aan toezichthouders, en brengt het de bestuurders die de organisatie leiden in gevaar van persoonlijke aansprakelijkheid. Auditors komen niet om de complexiteit van een beveiligingsprogramma te beoordelen. Ze komen om te controleren of een organisatie op verzoek bewijs kan leveren dat toegang tot gevoelige systemen en data is geautoriseerd, beoordeeld en gelogd.
Dat onderscheid is belangrijk omdat het bepaalt wat “goed genoeg” betekent. Zoals Help Net Security op 1 september 2026 meldde, worden audits die gekoppeld zijn aan nationale NIS2-transpositiewetten vanaf oktober juridisch bindend in EU-lidstaten, waarbij diverse landen harde registraties en handhavingsdata instellen voor de komende weken. Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten riskeren tot 7 miljoen euro of 1,4 procent van de omzet. Bestuursorganen, oftewel raden van bestuur en benoemde bestuurders, lopen persoonlijke aansprakelijkheid op die kan leiden tot tijdelijke schorsing uit leidinggevende functies als hun organisatie geen redelijk bestuur over cyberbeveiligingsrisico kan aantonen.
Dit alles hangt niet af van de vraag of een organisatie ooit een datalek heeft gehad. Het draait om het kunnen aantonen van het eigen werk. Een slapend serviceaccount dat al achttien maanden niet is beoordeeld, een externe medewerker die het project heeft verlaten maar nog steeds beheerdersrechten heeft, een auditlog die bestaat maar niet geëxporteerd kan worden in een bruikbaar formaat voor de auditor—elk van deze situaties is een bevinding die kan worden vastgesteld, ongeacht of ze al zijn misbruikt.
Daarom is identity & access management verschoven van een technische hygiëne-onderwerp naar een compliance-risico op bestuursniveau. Organisaties die NIS2-naleving behandelen als een documentatieoefening in plaats van een bewijsvoeringsoefening, zijn het meest geneigd hun eerste audit niet te halen. De rest van dit artikel behandelt wat de bewijsstandaard vereist, waarom zichtbaarheid op inloggegevens en toegangen de snelste manier is om het gat te dichten, en hoe een platform dat draait op uniforme logs en gereguleerd toegangsbeheer de rekensom verandert voordat de auditor arriveert.
Belangrijkste inzichten
1. NIS2 straft het ontbreken van bewijs, niet imperfecte beveiliging.
Auditors controleren of organisaties kunnen bewijzen dat toegang is geautoriseerd, beoordeeld en gelogd, niet of hun beveiligingsprogramma vlekkeloos is.
2. De financiële en persoonlijke risico’s zijn beide groot.
Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2 procent van de wereldwijde omzet, belangrijke entiteiten tot 7 miljoen euro of 1,4 procent, en bestuursorganen kunnen persoonlijke aansprakelijkheid oplopen, inclusief tijdelijke schorsing van leidinggevende functies.
3. Bewijs van toegangscontrole is de snelste compliance-winst.
Het inventariseren van inloggegevens, sluiten van slapende accounts en het mogelijk maken van exporteerbare logs kan een organisatie binnen enkele weken auditklaar maken, terwijl andere NIS2-verplichtingen, zoals risicobeheer toeleveringsketen, maanden kosten om operationeel te krijgen.
4. De gaten die toezichthouders het vaakst vinden zijn specifiek en terugkerend.
Slapende accounts, te veel rechten op rollen en inloggegevens die al 90 dagen of langer niet zijn beoordeeld, zijn de bewijslekken die in bijna elke mislukte toegangscontrole-audit naar voren komen.
5. Geünificeerde auditlogging en op attributen gebaseerde toegangscontrole dichten het gat direct.
Platformen die één enkele, exporteerbare audittrail genereren over elk gevoelig datakanaal, gecombineerd met rolgebaseerde en op attributen gebaseerde rechten, bieden compliance-teams het bewijs dat een auditor verwacht, zonder handmatige reconstructie.
De bewijsstandaard achter NIS2-handhaving
NIS2, formeel Richtlijn (EU) 2022/2555, vervangt de oorspronkelijke NIS-richtlijn met een veel bredere reikwijdte en een aanzienlijk strengere handhavingspositie. Het geldt voor essentiële en belangrijke entiteiten in sectoren als energie, transport, bankwezen, zorg, digitale infrastructuur, overheidsdiensten en een groeiende lijst van andere sectoren die lidstaten in hun nationale wetgeving hebben opgenomen. Twee bepalingen zijn het belangrijkst voor deze discussie. Artikel 21(2)(i) vereist het gebruik van multi-factor authentication, beveiligde communicatie en toegangscontrolebeleid. Artikel 21(2)(d) vereist beveiligingsmaatregelen in de toeleveringsketen die de verantwoordelijkheid van een organisatie uitbreiden naar leveranciers en dienstverleners.
Het praktische verschil tussen deze twee verplichtingen is de tijdlijn. Volgens Help Net Security kunnen organisaties doorgaans binnen twee tot vier weken gedocumenteerd en afdwingbaar toegangscontrolebeleid implementeren, terwijl risicobeheer toeleveringsketen in de praktijk zes tot twaalf maanden nodig heeft om volwassen te worden. Die asymmetrie verklaart waarom toegangscontrole de eerste stap is voor organisaties die richting de compliance-deadline in oktober werken. Het is de NIS2-vereiste die het meest direct onder controle van de organisatie valt, en het is de snelste die auditors kunnen verifiëren, omdat het bewijs—of het ontbreken daarvan—zich bevindt in identity-systemen en log-repositories die al bestaan.
Wat auditors testen is of het vastgestelde toegangsbeleid van een organisatie overeenkomt met de werkelijke situatie. Een schriftelijk beleid waarin staat dat toegang elk kwartaal wordt beoordeeld, betekent niets voor een auditor als niemand de beoordelingsverslagen kan overleggen. Een bewering dat slapende accounts direct worden uitgeschakeld, betekent niets als het identity-systeem serviceaccounts toont die al meer dan een jaar niet zijn gebruikt en nog steeds actief zijn. Dit is de bewijsstandaard die NIS2 introduceert, en die is onverbiddelijk voor het gat tussen wat het beveiligingsbeleid zegt en wat de infrastructuur afdwingt.
Welke Data Compliance Standards zijn belangrijk?
Read Now
Boetecategorieën en persoonlijke aansprakelijkheid voor bestuursorganen
Het financiële risico onder NIS2 is gestructureerd in twee niveaus die de kritiek van de betrokken sector volgen. Essentiële entiteiten, waaronder grote organisaties in energie, bankwezen, zorg en digitale infrastructuur, riskeren administratieve boetes tot 10 miljoen euro of 2 procent van de totale wereldwijde jaaromzet van het voorgaande boekjaar, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten, een bredere categorie waaronder postdiensten, afvalbeheer, voedselproductie en producenten, riskeren boetes tot 7 miljoen euro of 1,4 procent van de wereldwijde omzet.
Wat NIS2 onderscheidt van veel eerdere compliance-kaders is de laag van persoonlijke aansprakelijkheid bovenop deze bedrijfsboetes. Bestuursorganen—de raden van bestuur en senior executives die verantwoordelijk zijn voor risicobeheer cyberbeveiliging—kunnen persoonlijk aansprakelijk worden gesteld voor het niet implementeren van adequate maatregelen. Nationale autoriteiten kunnen eisen dat er een publieke verklaring komt waarin de verantwoordelijke natuurlijke en rechtspersonen worden genoemd, en in de ernstigste gevallen kunnen zij betrokkenen tijdelijk uitsluiten van leidinggevende of managementfuncties tot herstel is voltooid. Dat is een fundamenteel ander soort druk dan een compliance officer die een gap-analyse onder de aandacht van het bestuur brengt. Het zet de CISO, de compliance officer en de raad van bestuur samen in één ruimte met hetzelfde belang: het dichten van het bewijslek vóór de auditor arriveert, niet erna.
Deze aansprakelijkheidsstructuur verklaart waarom NIS2 dit jaar een van de meest besproken onderwerpen is in bestuursrapportages. Uit een Kiteworks Data Security and Compliance Risk: 2026 Annual Survey Report onder 459 leiders op het gebied van security, compliance en technologie blijkt dat Europese en Britse organisaties AI- en dataregelgeving als hun grootste compliance-uitdaging zien, vaker dan in andere regio’s. Het rapport wijt dit direct aan de concrete handhavingsomgeving die is ontstaan door GDPR, de EU AI-wet en de NIS2-meldtermijnen. Regulatoire druk van deze omvang blijft niet lang beperkt tot beleidsdiscussies. Het komt terug op bestuursagenda’s, budgetaanvragen en steeds vaker in persoonlijke risicogesprekken met de bedrijfsjurist.
Waarom zichtbaarheid op inloggegevens en toegangen de snelste compliance-winst is
Elke mislukking in toegangscontrole is uiteindelijk terug te voeren op een inloggegeven, of dat nu toebehoort aan een medewerker, een externe, een serviceaccount of een API-sleutel die niemand zich nog herinnert. Het 2026 Data Breach Investigations Report van Verizon toont aan dat het misbruiken van kwetsbaarheden inmiddels vaker voorkomt als initiële toegangsfactor dan misbruik van inloggegevens, en nu verantwoordelijk is voor 31 procent van de datalekken. Maar misbruik van inloggegevens is niet verdwenen als bedreiging. Het is simpelweg dieper in de aanvalsketen terechtgekomen. Volgens de bevindingen van Verizon in 2026, zoals gerapporteerd door Help Net Security, komen inloggegevens nog steeds ergens in de keten voor bij 39 procent van de datalekken; ze functioneren minder als voordeur en meer als het gereedschap waarmee aanvallers zich lateraal verplaatsen zodra ze binnen zijn.
De kostengegevens onderstrepen waarom dit specifiek van belang is voor een complianceprogramma, niet alleen voor een beveiligingsprogramma. IBM’s Cost of a Data Breach Report 2026 stelt de wereldwijde gemiddelde kosten van een datalek op 4,99 miljoen dollar, een stijging van 12 procent ten opzichte van het jaar ervoor en een recordhoogte. Identity & access management stond op de derde plaats van kostenverlagende factoren die IBM onderzocht, en verlaagde de gemiddelde kosten van een datalek met 225.622 dollar wanneer het correct werd ingezet. Slecht beheerde geheimen en sleutels hadden het tegenovergestelde effect en verhoogden de gemiddelde kosten met 198.933 dollar wanneer ze bijdroegen aan een datalek. Niet-naleving van toepasselijke regelgeving voegde daar nog eens 201.112 dollar aan toe. Toegangsbeheer is dus geen zachte controle die er goed uitziet op een slide; het is een van de weinige hefbomen met een direct meetbaar effect op zowel de kosten van een datalek als de blootstelling aan regelgeving.
Hierdoor heeft zichtbaarheid op inloggegevens zijn reputatie als snelste compliance-winst verdiend. Het inventariseren van alle onbeheerde inloggegevens, inclusief serviceaccounts, API-sleutels en certificaten, is een project dat de meeste identity-teams direct kunnen starten met tools die ze al bezitten. Het afdwingen van phishing-resistente multi-factor authentication op bevoorrechte en externe accounts volgt een vergelijkbaar kort traject. Geen van beide vereist een nieuw inkooptraject of een langdurig integratieproces. Wat wel vereist is, is de discipline om de inventarisatie af te ronden en actie te ondernemen op wat deze aan het licht brengt—meestal meer vergeten accounts en verweesde rechten dan de meeste teams vooraf verwachten.
De bewijslekken bij toegangscontrole die auditors het vaakst vinden
Drie specifieke gaten komen in bijna elke mislukte toegangscontrole-audit naar voren. Ze verdienen het om afzonderlijk genoemd te worden, omdat elk een iets andere herstelbenadering vereist.
Slapende accounts zijn de meest voorkomende bevinding. Dit zijn gebruikersaccounts, serviceaccounts en API-inloggegevens die actief blijven in een directory, lang nadat de persoon, het project of de integratie waarvoor ze nodig waren, is gestopt. Een kwartaalbeoordeling van de levenscyclus, gekoppeld aan een gedocumenteerd proces in plaats van een ad-hoc opschoning, is wat NIS2-auditors verwachten te zien. Het ontbreken van zo’n beoordeling is op zichzelf al een bevinding, ongeacht of een slapend account ooit is misbruikt.
Te veel rechten op rollen zijn het tweede terugkerende gat. Toegang stapelt zich op wanneer medewerkers van team wisselen, tijdelijke projectverantwoordelijkheden krijgen of rechten overnemen van een voorganger zonder dat oude rechten worden ingetrokken. Rolgebaseerde toegangscontrole, gecombineerd met op attributen gebaseerde toegangscontrole voor meer granulaire voorwaarden zoals apparaatstatus, locatie of gevoeligheid van data, geeft een organisatie de structurele middelen om rechten af te stemmen op de huidige behoefte in plaats van op historische opbouw. Zowel NIST SP 800-63B als ENISA-richtlijnen wijzen op hetzelfde onderliggende principe: toegang moet standaard worden geminimaliseerd en op een vast schema opnieuw worden toegekend, niet eenmalig worden verleend en vervolgens onbeperkt blijven bestaan.
Niet-beoordeelde inloggegevens gekoppeld aan ongebruikte toegang—oftewel accounts of sleutels die al 90 dagen of langer niet zijn gebruikt—maken het rijtje compleet. Dit is het gat dat een NIS2 gap-analyse doorgaans als eerste aan het licht brengt, omdat het direct meetbaar is op basis van logdata en geen interviews of beleidsbeoordeling vereist. Een organisatie die haar eigen identity-infrastructuur kan bevragen en deze lijst binnen enkele minuten kan produceren, staat er fundamenteel anders voor tijdens een audit dan een organisatie die weken nodig heeft om het handmatig te reconstrueren.
Het Kiteworks 2026 Annual Survey Report geeft een cijfer voor hoe wijdverbreid dit bewijslek is. Drieënzestig procent van de ondervraagde organisaties kreeg in de afgelopen 12 maanden te maken met ten minste één compliance-gevolg, gedefinieerd als een auditbevinding, een verplicht herstelplan, een escalatie naar het bestuur, een contractuele boete of een formeel onderzoek door de toezichthouder. De helft kon niet binnen één werkdag een volledig auditrecord van data-toegang overleggen, en slechts 33 procent beschikte over logs die manipulatie konden aantonen. De aanbeveling van het rapport is duidelijk: DORA-, NIS2- en EU AI-wet-auditverplichtingen werken met tijdlijnen die de helft van de organisaties momenteel niet kan halen, en het opbouwen van deze bewijscapaciteit is niet iets dat reactief kan worden gedaan zodra een toezichthouder erom vraagt.
Een auditklaar toegangscontroleprogramma opbouwen
Het dichten van deze gaten draait minder om het aanschaffen van nieuwe technologie en meer om het operationaliseren van controles die de meeste organisaties al in huis hebben. Een kwartaalcyclus voor toegangsbeoordeling, gedocumenteerd en herhaalbaar, vormt de basis. Die cyclus moet elk type account omvatten, niet alleen menselijke medewerkers, en moet een verslag opleveren dat een auditor kan beoordelen zonder dat het securityteam een live demonstratie hoeft te geven.
Toegangscontroles gebaseerd op zero trust-architectuur—waarbij niets standaard wordt vertrouwd, ongeacht de netwerklocatie—verminderen het aantal accounts met te veel rechten voordat ze zich kunnen opstapelen. Multi-factor authentication op bevoorrechte en externe toegang, waar mogelijk phishing-resistent volgens NIST SP 800-63B Sectie 5.2.10, sluit een van de meest voorkomende initiële toegangsvectoren direct af. Geen van deze controles is exotisch. Wat organisaties die een audit moeiteloos doorstaan onderscheidt van degenen die dat niet doen, is meestal of de controles technisch worden afgedwongen, automatisch worden gelogd en op een vast schema worden beoordeeld, in plaats van alleen te worden beschreven in een beleid dat niemand consequent volgt.
Gecentraliseerde, exporteerbare auditlogging verbindt het hele programma. Een auditor wil niet horen dat logs ergens verspreid staan over een dozijn verschillende systemen. Ze willen één samenhangend overzicht van wie wat heeft benaderd, wanneer en met welke autorisatie, aangeleverd in een formaat dat de audit ondersteunt in plaats van bemoeilijkt. Hier kruist risicobeheer toeleveringsketen zich ook direct met toegangscontrole, omdat toegang voor leveranciers en externe partijen precies de categorie inloggegevens is die het vaakst ongemerkt veroudert nadat een project is afgerond.
Een CISO Dashboard dat slapende accounts, verouderde rechten en de volledigheid van logs in één overzicht toont, geeft compliance- en securityleiders hetzelfde beeld dat een auditor uiteindelijk zal vragen—nog vóór de audit begint. Die zichtbaarheid maakt van een NIS2-assessment een bevestiging van reeds geleverd werk, in plaats van een last-minute race.
Hoe Kiteworks aansluit op NIS2-bewijsvereisten
Kiteworks secure data exchange is gebouwd op hetzelfde principe van bewijsvoering dat NIS2-auditors nu afdwingen. Het platform genereert één enkele, uniforme audittrail over elk kanaal waar gevoelige content beweegt, waaronder e-mail, beheerde bestandsoverdracht, bestandsoverdracht en webformulieren. Hierdoor hoeven compliance-teams niet de toegangsgeschiedenis te reconstrueren uit een dozijn gescheiden systemen wanneer een auditor erom vraagt. Rolgebaseerde en op attributen gebaseerde toegangscontrole dwingt minimaal noodzakelijke rechten af op contentniveau, waarmee direct het probleem van te veel rechten wordt aangepakt dat NIS2-audits het vaakst signaleren.
Kiteworks beschikt over FedRAMP Matige Autorisatie, ISO 27001-naleving certificering en SOC 2-naleving attestation, en NIS2 staat hiernaast als een van de regelgevingskaders waarvoor het platform is ontworpen om gedocumenteerd, verifieerbaar bewijs te leveren in plaats van alleen zelfverklaring. Voor organisaties die richting de compliance-deadline in oktober werken, betekent dit dat de inventarisatie van inloggegevens, de kwartaalbeoordelingsworkflow en de exporteerbare logs die een auditor verwacht, al structurele onderdelen zijn van het platform, en niet nog onder tijdsdruk vanaf nul moeten worden opgebouwd.
Aangezien compliance-kosten snel stijgen naarmate een organisatie langer wacht met het dichten van bekende bewijslekken, is de snelste route naar gereedheid meestal die met de minste nieuwe infrastructuur. Het consolideren van toegangsbeheer en auditlogging op een platform dat specifiek voor deze bewijsstandaard is gebouwd, is vaak goedkoper en aanzienlijk sneller dan proberen dezelfde zichtbaarheid achteraf samen te stellen uit een handvol losse tools.
Meer weten over het dichten van NIS2-bewijslekken in toegangscontrole vóór de volgende audit van uw organisatie? Plan vandaag nog een demo op maat.
Veelgestelde vragen
NIS2 heeft de reikwijdte van de oorspronkelijke NIS-richtlijn aanzienlijk verbreed en omvat nu een lange lijst van belangrijke sectoren buiten de klassieke kritieke infrastructuur, waaronder producenten, voedselproductie, post- en koeriersdiensten en digitale aanbieders. Veel organisaties die dachten buiten de scope van de oorspronkelijke richtlijn te vallen, vallen nu wél onder de NIS2-nalevingsregels, vooral als zij essentiële of belangrijke entiteiten als leverancier bedienen. Een formele NIS2 gap-analyse op basis van uw nationale transpositiewet is de enige betrouwbare manier om de scope te bevestigen, aangezien lidstaten enige flexibiliteit hebben in het definiëren van drempelwaarden voor omvang en sectoren.
Auditors willen doorgaans gedocumenteerde kwartaalbeoordelingen van toegangen voor elk type account, een actuele inventarisatie van slapende en ongebruikte inloggegevens, bewijs dat multi-factor authentication is afgedwongen op bevoorrechte en externe toegang, en een gecentraliseerde log die op verzoek geëxporteerd kan worden in plaats van handmatig te worden samengesteld. Een CISO Dashboard dat deze informatie al op één plek toont, maakt het verschil tussen een reactie op dezelfde dag en een wekenlange zoektocht wanneer een auditverzoek binnenkomt.
NIS2 breidt de aansprakelijkheid uit tot het bestuursorgaan van de organisatie, oftewel de raad van bestuur en benoemde senior executives die verantwoordelijk zijn voor toezicht op cyberbeveiligingsrisico’s. Nationale autoriteiten kunnen openbaarmaking eisen van de verantwoordelijke personen en, in ernstige gevallen, hen tijdelijk uitsluiten van leidinggevende functies tot herstel is geverifieerd. Dit is een wezenlijk ander risico dan alleen bedrijfsboetes, en daarom is bewijs van toegangscontrole een agendapunt op bestuursniveau geworden in plaats van een puur technische zorg. Kaders als GDPR-naleving introduceerden vergelijkbare persoonlijke aansprakelijkheid voor privacy officers, en NIS2 past diezelfde logica toe op cyberbeveiligingsbestuur.
Logs registreren dat een gebeurtenis heeft plaatsgevonden. Zichtbaarheid op inloggegevens betekent dat u op elk moment precies weet welke accounts bestaan, waar ze toegang toe hebben, wanneer ze voor het laatst zijn gebruikt en of die toegang nog steeds een legitieme zakelijke noodzaak weerspiegelt. Een organisatie kan uitgebreide logs hebben en toch een audit op toegangscontrole niet halen als niemand kan uitleggen waarom een slapend serviceaccount nog steeds beheerdersrechten heeft. Door continue inventarisatie van inloggegevens te combineren met afdwingbare MFA op bevoorrechte accounts, wordt het gat gedicht tussen het loggen van een gebeurtenis en het daadwerkelijk beheren van toegang voordat de gebeurtenis plaatsvindt.
Volgens Help Net Security duurt het implementeren van toegangscontrole doorgaans twee tot vier weken voor organisaties die al identity-infrastructuur hebben, aanzienlijk sneller dan de zes tot twaalf maanden die meestal nodig zijn voor risicobeheer toeleveringsketen onder Artikel 21(2)(d). Die tijdlijn gaat uit van een gerichte inspanning op het inventariseren van inloggegevens, sluiten van slapende accounts en het mogelijk maken van exporteerbare logs, in plaats van een brede herziening van het beveiligingsprogramma. Organisaties die vanaf het begin zijn gebouwd op zero trust-beveiliging met rolgebaseerde en op attributen gebaseerde toegang, doorlopen dit traject doorgaans nog sneller omdat de onderliggende controles vooral configuratie en verificatie vereisen in plaats van een volledig nieuwe opbouw.
Aanvullende bronnen
- Blog Post Het touwtrekken om uw data: hoe de CLOUD- en SHIELD-wetten beveiliging en privacy tegenover elkaar zetten
- Blog Post Beveilig gevoelige data door DSPM te koppelen aan uw compliance-doelen
- Brief Top 3 FERPA-overtredingen en hoe u ze voorkomt
- Blog Post Executive Order 14117: Bescherming van de gevoelige bulkdata van Amerikanen
- Blog Post NIS2-naleving nodig? Begin met ISO 27001