Artikel 21 lid 2 van de NIS2-richtlijn schrijft tien categorieën risicobeheermaatregelen voor. Samenvatting van artikel 21, lid 2 (de volledige tekst staat in Richtlijn (EU) 2022/2555):
- beleid inzake risicoanalyse en beveiliging van informatiesystemen
- incidentenbehandeling
- bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer
- beveiliging van de toeleveringsketen, met inbegrip van rechtstreekse leveranciers en dienstverleners
- beveiliging bij verwerven, ontwikkelen en onderhouden, inclusief respons op en bekendmaking van kwetsbaarheden
- beleid en procedures om effectiviteit van risicobeheer te beoordelen
- basispraktijken cyberhygiëne en opleiding cyberbeveiliging
- beleid en procedures inzake cryptografie en, in voorkomend geval, encryptie
- personeel, toegangsbeleid en beheer van activa
- multifactor-authenticatie of continue authenticatie, beveiligde spraak/video/tekst-communicatie en beveiligde noodcommunicatie
Een deel hiervan is technisch aantoonbaar (bijvoorbeeld encryptie, MFA, kwetsbaarhedenbeheer); een ander deel is organisatorisch (beleid, training, governance). De NIS2 Quickscan kijkt alleen naar publiek toegankelijke informatie, zoals DNS-records, e-mailconfiguratie en publieke webendpoints. Het is een technische readiness-indicator, geen bewijs dat je aan de maatregelen voldoet.
Snel zelf de technische NIS2-stand nalopen? NIS2-gereedheid checken.
Zie ook: Vervangt deze scan een formele audit? · Security-diensten