| Art. 21(a): Beleid inzake Risicoanalyse en Beveiliging van Informatiesystemen |
| 21a.1 | Evaluatiemethode• Gedocumenteerde methodologie voor cyberbeveiligingsrisicobeoordeling met betrekking tot identificatie, analyse en evaluatie van cyberrisico's? • Methodologie omvat waarschijnlijkheids- en impactschalen, risicoacceptatiecriteria? • Methodologie jaarlijks herzien en geactualiseerd? | — | Risico methodiek document; risicoregister; review records | |
| 21a.2 | Informatiebeveiligingsbeleid• Overkoepelend IS-beleid goedgekeurd door het bestuursorgaan EN gepubliceerd? • Beleid heeft betrekking op alle NIS2-relevante beveiligingsgebieden (toegang, incident, toeleveringsketen, crypto, enz.)? • Versiegestuurd, gecommuniceerd naar alle medewerkers en beschikbaar voor relevante externe partijen? | — | IS-beleidsdocument; goedkeuringsbewijs; distributiedossiers | |
| 21a.3 | Cyberrisicoregister• Cyberrisicoregister bijgehouden en actueel gehouden met geïdentificeerde risico's, eigenaren en behandelplannen? • Risico's die minimaal driemaandelijks worden beoordeeld of bij het optreden van significante wijzigingen? • Risicobehandelingsacties gevolgd tot afsluiting met eigenaarsverantwoordelijkheid? | — | Risicoregister; behandelplannen; review records; action tracker | |
| 21a.4 | Threat Intelligence• Bedreigingsinformatie feeds geïntegreerd in risicomanagementprocessen? • Sectorspecifieke intelligentie (Enisa, nationaal CSIRT, ISAC's) gemonitord? • Bedreigingslandschap beoordeeld in managementrapportage? | — | Bedreigingsintelabonnementen; bewijs van feedintegratie; managementrapporten | |
| 21a.5 | Jaarlijkse en gebeurtenisgestuurde risicobeoordeling• Risicobeoordeling minstens jaarlijks uitgevoerd en getriggerd door significante veranderingen? • Resultaten gepresenteerd aan het leidinggevend orgaan met actieplan? • Risicobeslissingen gedocumenteerd met restrisicoacceptatie door risico-eigenaren? | — | Jaarlijkse risicobeoordelingsverslagen; managementpresentatie; acceptatieverslagen | |
| Art. 21(b): Incidentafhandeling (Preventie, Detectie, Analyse, Inperking, Herstel) |
| 21b.1 | Incidentresponsplan• Gedocumenteerd IRP goedgekeurd door het management en ten minste jaarlijks getest? • Plan bestrijkt alle fasen: detectie, analyse, inperking, uitroeiing, herstel, beoordeling na een incident? • Rollen en verantwoordelijkheden toegewezen voor elke fase? | — | IRP-document; toetsopgaven; roltoewijzingen | |
| 21b.2 | Detectie- en bewakingsmogelijkheden• Technische monitoring- en detectiemogelijkheden geïmplementeerd in netwerk en systemen? • SIEM, IDS/IPS, EDR of gelijkwaardige tools die 24/7 waarschuwingen geven voor kritieke systemen? • Detectiedekking gedocumenteerd (activa, waarschuwingscategorieën, respons-SLA's)? | — | SIEM/monitoring tool evidence; alert coverage matrix; sla documentatie | |
| 21b.3 | Incidentanalyse, triage en draaiboeken• Incident triage en ernst classificatie procedure gedefinieerd? • Escalatiedrempels en communicatieketens gedocumenteerd? • Draaiboeken/runbooks voor veelvoorkomende incidenttypes (ransomware, datalek, DDoS)? | — | Triageprocedure; ernstmatrix; draaiboeken; escalatieboom | |
| 21b.4 | Inperking en uitroeiing• Procedures voor het indammen van bedreigingen en het isoleren van gecompromitteerde systemen? • Netwerkisolatie/ quarantainemogelijkheid getest? • Gedocumenteerde procedures voor het verwijderen, opschonen en opnieuw opbouwen van malware? | — | Inperkingsprocedures; isolatietestrecords; herbouwprocedures | |
| 21b.5 | Invorderingsprocedures• Herstelprocedures na een incident gedocumenteerd met RTO's gedefinieerd voor kritieke diensten? • Serviceherstelstappen, validatietests en afmeldingsproces gedocumenteerd? • Terugkeer-naar-normale-operaties criteria gedefinieerd? | — | Herstelprocedures; RTO/RPO-definities; hersteltestrecords | |
| 21b.6 | Beoordeling na incident en geleerde lessen• Beoordeling na het incident uitgevoerd voor alle belangrijke incidenten? • Geleerde lessen gedocumenteerd en acties toegewezen aan eigenaren en vervaldatums? • Analyse-outputs van de hoofdoorzaak die worden teruggekoppeld naar risicobeheer en beleidsupdates? | — | PIR-rapporten; actietracker; updates van risicoregisters; bewijs van beleidsherziening | |
| Art. 21(c): Bedrijfscontinuïteit, Back-upbeheer, Disaster Recovery & Crisismanagement |
| 21c.1 | Bedrijfscontinuïteitsplan (BCP)• BCP gedocumenteerd voor alle kritieke netwerk- en informatiediensten? • BCP minstens jaarlijks getest inclusief cyberincidentscenario's? • BCP-rollen, escalatiecontacten en activeringscriteria gedocumenteerd? | — | BCP-document; testoefeningsrapporten; activeringsregistraties | |
| 21c.2 | Back-upbeleid en testen• Back-upbeleid met betrekking tot reikwijdte, frequentie, bewaartermijn, opslaglocatie (inclusief offsite/air-gapped) en codering? • Back-ups van alle kritieke systemen genomen en herstel regelmatig getest (minimaal driemaandelijks)? • Back-up integriteit verificatie en hersteltijd gemeten? | — | Back-upbeleid; back-uplogboeken; hersteltestrecords; integriteitscontrole resultaten | |
| 21c.3 | Uitwijkplan• IT DR-plan afgestemd op BCP met betrekking tot failover en herstel van kritieke systemen? • RTO en RPO gedefinieerd en overeengekomen voor alle kritieke diensten? • DR failover-tests die ten minste jaarlijks worden uitgevoerd met gedocumenteerde resultaten? | — | DR-plan; RTO/RPO-register; DR-testresultaten; BCP-uitlijningsbewijs | |
| 21c.4 | Crisisbeheersingsprocedures• Crisismanagementprocedures voor grote cybergebeurtenissen gedocumenteerd? • Crisisteamsamenstelling, rollen en escalatiepad gedefinieerd? • Crisiscommunicatieplan voor interne, externe, media- en regelgevende communicatie? | — | Crisismanagementplan; teamsamenstelling; communicatiesjablonen; registraties van oefeningen | |
| 21c.5 | Noodcontacten en communicatiebestendigheid• Contactpersonenlijst voor noodgevallen (sleutelpersoneel, toezichthouders, leveranciers, autoriteiten) die elk kwartaal wordt bijgehouden en beoordeeld? • Out-of-band communicatiemogelijkheden beschikbaar als primaire systemen in gevaar komen? • Contacten getest tijdens oefeningen? | — | Contactdirectory voor noodgevallen; revisierecords; out-of-band-communicatietestbewijs | |
| Art. 21(d): Beveiliging van de Toeleveringsketen |
| 21d.1 | Leveranciersinventaris en risicoregister• Uitgebreide inventarisatie van kritische externe leveranciers en dienstverleners onderhouden? • Risicoregister toeleveringsketen met risicoclassificaties, kriticiteitsclassificatie en laatste beoordelingsdatums? • Leveranciers gecategoriseerd per niveau (kritisch, significant, standaard)? | — | Leveranciersinventaris; supply chain risicoregister; tiering criteria | |
| 21d.2 | Beveiligingsvereisten in leverancierscontracten• Cybersecurity-eisen opgenomen in alle kritieke leverancierscontracten? • Contractuele clausules die betrekking hebben op: meldingsverplichtingen voor incidenten, minimale beveiligingsnormen, auditrechten, gegevensbescherming? • Naleving van de ENISA-beveiligingsrichtlijnen voor de toeleveringsketen | — | Voorbeeld leverancierscontracten; checklist beveiligingsclausules; bewijs van juridische beoordeling | |
| 21d.3 | Beveiligingsbeoordelingen en audits van leveranciers• Regelmatige beveiligingsbeoordelingen of audits van kritieke leveranciers uitgevoerd? • Beoordelingsfrequentie op basis van leveranciersrisicolaag (kritisch: jaarlijks, significant: tweejaarlijks)? • Beoordelingsresultaten bijgehouden en saneringsplannen gemonitord? | — | Leveranciersbeoordelingsrapporten; beoordelingsschema; saneringstracker | |
| 21d.4 | Herkomst software en hardware• Proces om integriteit en authenticiteit van software en hardware van leveranciers te verifiëren? • SBOM (software bill of materials) of gelijkwaardig voor kritische softwarecomponenten? • Kwetsbaarheidsmonitoring van externe componenten (CVE-tracking, leveranciersadviezen)? | — | SBOM-records; softwareverificatieproces; CVE-monitoringbewijs | |
| 21d.5 | Toegang van derden• Bevoorrechte en externe toegang door leveranciers die formeel worden gecontroleerd, gemonitord en geregistreerd? • Just-in-time toegangsvoorziening of sessie-opname voor kritieke leverancierstoegang? • Formeel offboardingproces voor beëindigde leveranciersrelaties? | — | Toegangscontrolelogboeken; JIT-toegangsrecords; sessie-opnames; checklist voor offboarding | |
| Art. 21(e): Netwerkbeveiliging, Veilige Verwerving, Ontwikkeling & Onderhoud |
| 21e.1 | Netwerkbeveiligingsarchitectuur• Netwerksegmentatie, perimetercontroles en toegangscontrolearchitectuur gedocumenteerd? • Firewallbeleid, DMZ en microsegmentatie jaarlijks geïmplementeerd en beoordeeld? • Netwerkarchitectuurdiagram actueel en nauwkeurig? | — | Netwerkarchitectuur documenten; firewall regels review; segmentatie bewijs | |
| 21e.2 | Kwetsbaarheidsbeheerprogramma• Programma voor het scannen van kwetsbaarheden dat alle netwerkactiva en -systemen binnen het bereik bestrijkt? • Kritieke en hoge kwetsbaarheden gepatcht binnen gedefinieerde SLA's (bijv. kritieke 72 uur, hoge 14 dagen)? • Kwetsbaarheidsmanagement KPI's bijgehouden en gerapporteerd aan het management? | — | Scan rapportages; patch sla beleid; KPI rapportages; saneringsregistraties | |
| 21e.3 | Veilige ontwikkelingslevenscyclus (SDLC)• Veilig SDLC-beleid met betrekking tot ontwerp, codebeoordeling, testen en implementatie? • SAST/DAST-tools geïntegreerd in CI/CD-pijplijn voor ontwikkelde toepassingen? • Beveiligingstests (penetratietests) uitgevoerd voor belangrijke systeemwijzigingen? | — | SDLC-beleid; SAST/DAST-resultaten; pentestrapporten; codebeoordelingsbewijs | |
| 21e.4 | Veranderingsmanagement• Formeel wijzigingsbeheerproces voor alle IS/netwerkwijzigingen met beveiligingseffectbeoordeling? • Wijzigingen getest en goedgekeurd voor productie-implementatie? • Beoordelings- en terugdraaivermogen na wijziging gedocumenteerd en getest? | — | Wijzigingsbeheerproces; CAB-dossiers; veiligheidsbeoordelingsformulieren; terugdraaiplannen | |
| 21e.5 | Beleid inzake openbaarmaking van kwetsbaarheden• Responsible vulnerability disclosure (RVD) beleid gepubliceerd en toegankelijk? • Rapportagekanaal voor externe beveiligingsonderzoekers (security.txt of gelijkwaardig)? • CVE-coördinatie en NCA-openbaarmakingsproces gedocumenteerd? | — | RVD-beleid; meldingskanaal; coördinatieprocedure; CVD-historie | |