NIS2 gap-analyse: wat wordt er precies gecontroleerd?

De Cyberbeveiligingswet — de Nederlandse implementatie van de Europese NIS2-richtlijn — is sinds 15 augustus 2026 van kracht. Voor essentiële en belangrijke entiteiten, en voor de organisaties die hen als leverancier bedienen, is de eerste praktische vraag zelden "wat betekent deze wet in algemene zin", maar "waar staan wij concreet ten opzichte van de zorgplicht". Een NIS2 gap-analyse — ook wel een NIS2 readiness assessment of NIS2 zelfscan genoemd — is het instrument dat die vraag beantwoordt. Dit artikel legt uit wat er tijdens zo'n gap-analyse precies wordt gecontroleerd, wat u eraan overhoudt, en hoe dit zich verhoudt tot een ISO 27001 gap-analyse.

Weet u nog niet zeker of uw organisatie onder de wet valt — rechtstreeks of via de ketenverplichting als leverancier? Bevestig dat eerst met de zelftoets voor de Cyberbeveiligingswet. Deze gap-analyse is de logische vervolgstap zodra dat beeld er is.

Voor directie en compliance-verantwoordelijken die weten dat hun organisatie in scope is, telt vooral de tijd: de wet kent geen overgangsperiode en de zorgplicht geldt sinds 15 augustus 2026 onverkort. Wachten tot een toezichthouder om inzicht vraagt, of tot een incident de zwakke plekken blootlegt, is geen strategie — een gerichte gap-analyse vóóraf wel.

Waarom een gap-analyse de eerste stap is, niet de audit zelf

Bij ISO 27001 is de volgorde inmiddels bekend: een certificatieaudit toetst het managementsysteem tegen de norm, en bij een positieve uitkomst volgt een certificaat. Veel organisaties nemen dat beeld onbewust mee zodra zij voor het eerst met de Cyberbeveiligingswet te maken krijgen — maar de wet kent geen certificatieaudit en geen certificaat. Er is geen geaccrediteerde instantie die na een positieve toets een bewijsstuk afgeeft. In plaats daarvan bestaat de wet uit een doorlopende zorgplicht, een meldplicht bij incidenten, en directe supervisie door een toezichthouder — voor de meeste sectoren de Rijksinspectie Digitale Infrastructuur (RDI), met het NCSC als centraal meldpunt.

Een gap-analyse is in die context geen generale repetitie voor een toetsmoment dat nog moet komen, maar een nulmeting: een feitelijke, gedocumenteerde vergelijking tussen uw huidige situatie en wat de zorgplicht vraagt, voordat u tijd en budget besteedt aan een verbetertraject. Zonder die nulmeting loopt u het risico maatregelen te implementeren die niet aansluiten op wat daadwerkelijk ontbreekt, of — net zo kostbaar — tijd te verliezen aan het opnieuw documenteren van wat al aantoonbaar op orde is.

Dat maakt de gap-analyse ook een bestuurlijk instrument, niet alleen een technisch. Omdat de Cyberbeveiligingswet expliciete bestuursbetrokkenheid vraagt, moet de directie of het bestuur uiteindelijk kunnen aantonen dat risicomaatregelen zijn goedgekeurd en dat men op de hoogte is van de belangrijkste risico's. Een rapport dat de hiaten helder en geprioriteerd op tafel legt, is precies wat nodig is om die goedkeuring gefundeerd te geven — in plaats van een aanname dat "het wel goed zit" omdat er nooit een incident is geweest.

De tien zorgplicht-maatregelen als toetsingskader

Een gap-analyse is zo goed als de norm waartegen hij toetst. Voor de Cyberbeveiligingswet vormen de tien zorgplicht-maatregelen die het NCSC beschrijft het uitgangspunt (zie NCSC — zorgplicht Cyberbeveiligingswet). Op hoofdlijnen gaat het om:

• Risicoanalyse en beleid voor de beveiliging van informatiesystemen
• Incidentafhandeling
• Bedrijfscontinuïteit, zoals back-upbeheer, disaster recovery en crisismanagement
• Beveiliging van de toeleveringsketen
• Beveiliging bij de verwerving, ontwikkeling en het onderhoud van netwerk- en informatiesystemen, inclusief kwetsbaarhedenbeheer
• Beleid en procedures om de effectiviteit van de maatregelen te beoordelen
• Basale cyberhygiëne en bewustwordingstraining
• Beleid voor cryptografie en versleuteling
• Personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen
• Gebruik van multifactorauthenticatie en beveiligde communicatie

Een gap-analyse loopt deze tien gebieden stuk voor stuk langs en beoordeelt per maatregel of u voldoet, gedeeltelijk voldoet, of nog een aantoonbare stap moet zetten. Omdat de zorgplicht risicogebaseerd is, hoeft niet elke maatregel voor elke organisatie even zwaar te worden ingevuld — maar elke maatregel moet wel aantoonbaar zijn overwogen, en dat "aantoonbaar" is precies waar een gap-analyse scherp op toetst.

Wat een NIS2 gap-analyse concreet oplevert

Aan het einde van een gap-analyse staat niet een pass/fail-oordeel, maar twee concrete producten. Ten eerste een rapport dat per zorgplicht-maatregel laat zien waar u staat, met een inschatting van risico en de inspanning die nodig is om een hiaat te dichten. Ten tweede een routekaart: een praktisch, geprioriteerd stappenplan van hiaat naar aantoonbare naleving, met een indicatie van wie wat oppakt.

Beide documenten zijn bedoeld om intern te onderbouwen wat er moet gebeuren en in welke volgorde — richting uw bestuur, richting een toezichthouder als die om inzicht vraagt, en richting uw eigen planning. Wat u vervolgens met die routekaart doet — zelf uitvoeren, uitbesteden aan een andere partij, of in een vervolgtraject laten begeleiden — is een keuze die na de gap-analyse bij u ligt.

Het rapport onderscheidt daarbij doorgaans drie statussen per maatregel: volledig aantoonbaar op orde, gedeeltelijk ingevuld maar nog niet volledig bewijsbaar, en ontbrekend. Die tussenstatus is in de praktijk vaak de grootste categorie — beleid dat wel bestaat maar niet consequent wordt toegepast, of een proces dat informeel werkt maar nergens is vastgelegd. Precies die categorie is waar een verbeterplan het meeste rendement oplevert, omdat de basis er al ligt en het vooral gaat om formaliseren en aantonen in plaats van van de grond af opbouwen.

Verschil met een ISO 27001 gap-analyse

Wie al bekend is met een ISO 27001 gap-analyse, herkent de vorm — een systematische vergelijking tussen huidige situatie en een toetsingskader — maar het doel verschilt wezenlijk. Een ISO 27001 gap-analyse toetst tegen een certificeerbare norm, als voorbereiding op een certificatieaudit die met een certificaat kan eindigen. Een NIS2 gap-analyse toetst tegen wettelijke zorgplicht-, meld- en governance-verplichtingen waarvoor geen certificatieaudit bestaat: het resultaat is een nulmeting en routekaart, geen voorbereiding op een toetsmoment.

Voor organisaties die al met een ISO 27001-ISMS werken, is dat goed nieuws: risicobeheer, toegangsbeveiliging, incidentafhandeling en continuïteit zijn dan doorgaans al ingericht, waardoor de NIS2 gap-analyse vooral laat zien wat er aan zorgplicht-specifieke eisen — zoals de meldtermijn bij incidenten of de expliciete bestuursbetrokkenheid — nog bovenop komt. Een bestaand certificaat is echter geen vrijbrief: het dekt niet automatisch elk detail dat de Cyberbeveiligingswet apart vereist.

Een tweede, praktischer verschil zit in het vervolg. Een ISO 27001 gap-analyse mondt logisch uit in een certificatieaudit bij een geaccrediteerde certificerende instelling — een extern, formeel toetsmoment met een vooraf bekende uitkomst: certificaat of niet. Een NIS2 gap-analyse mondt uit in een verbeterplan zonder extern toetsmoment; de "opvolging" is intern toezicht, periodieke herbeoordeling en, waar relevant, verantwoording aan een sectorale toezichthouder. Voor organisaties die zowel met ISO 27001-certificering als met NIS2 en bredere compliance-vraagstukken te maken hebben, is het efficiënt om ze in samenhang te bekijken: de onderliggende maatregelen overlappen grotendeels, en dubbel documenteren van hetzelfde bewijs kost onnodig tijd.

Hoe lang duurt een NIS2 gap-analyse

Er bestaat geen vaste doorlooptijd die voor elke organisatie geldt. Bepalend zijn onder meer de omvang van uw organisatie en het aantal locaties en systemen, de mate waarin beleid en bewijs al gedocumenteerd zijn, en of u al met een ISMS of vergelijkbaar risicobeheerproces werkt. Een organisatie met een werkend ISO 27001-managementsysteem doorloopt een NIS2 gap-analyse doorgaans sneller dan een organisatie die bij nul begint, simpelweg omdat een groot deel van het bewijs — beleid, risicoregisters, toegangsoverzichten — al bestaat en alleen tegen de zorgplicht-specifieke eisen hoeft te worden gelegd.

Concrete duur en planning bespreken we tijdens de intake, op basis van uw scope — geen algemeen getal dat voor elke organisatie evenveel zegt.

Van gap-analyse naar verbeterplan

Een gap-analyse is het startpunt, niet het eindpunt. De zorgplicht is een doorlopende verplichting: de effectiviteit van maatregelen moet periodiek opnieuw worden getoetst, bijvoorbeeld na wijzigingen in uw dienstverlening, technologie of leveranciers. De routekaart uit de gap-analyse geeft daarvoor de eerste, geprioriteerde stappen — van de meest risicovolle hiaten naar de kleinere aanvullingen — zodat u niet alles tegelijk hoeft aan te pakken, maar wel weloverwogen begint bij wat het zwaarst weegt.

Sinds de Cyberbeveiligingswet van kracht is geworden, geldt de zorgplicht direct — er is geen overgangsperiode waarin een gap-analyse nog vrijblijvend is (zie Rijksoverheid — Cyberbeveiligingswet vanaf 15 augustus 2026 van kracht). Hoe eerder u weet waar de hiaten zitten, hoe meer ruimte u heeft om ze gecontroleerd te dichten, in plaats van onder tijdsdruk van een toezichthouder of een incident.