NIS2 Industrie 2026: de volledige nalevingschecklist (30 punten)

· 16 minuten leestijd
16 min read
Eziwan-team
Eziwan-team
IoT-infrastructuur

De NIS2-richtlijn (Network and Information Security 2) is sinds oktober 2024 omgezet in Frans recht. In 2026 bevinden industriële entiteiten die nog niet zijn begonnen met het in overeenstemming brengen van hun systemen zich op glad ijs: de eerste sancties door de ANSSI worden verwacht, en cyberaanvallen op industriële infrastructuren blijven toenemen — volgens het CERT-FR zijn de OT-incidenten tussen 2023 en 2025 met 38 % gestegen.

Dit artikel geeft u een duidelijk overzicht van wat NIS2 van de sector verlangt en bevat een gestructureerde checklist met 30 punten om uw mate van naleving te beoordelen.

NIS2 in het kort: wat verandert er voor de Franse industrie?​

NIS2 volgt NIS1 (2016) op en heeft een aanzienlijk ruimer toepassingsgebied. De Europese richtlijn 2022/2555 is in Frankrijk omgezet in een specifieke wet die het ANSSI bevoegdheden op het gebied van toezicht, controle en sancties toekent.

Wat er fundamenteel verandert ten opzichte van NIS1:

  • Het toepassingsgebied wordt aanzienlijk uitgebreid: NIS1 had voornamelijk betrekking op operators van vitaal belang (OIV) en enkele kritieke dienstverleners. NIS2 voegt tienduizenden extra bedrijven toe, met name in de verwerkende industrie, de productie van medische hulpmiddelen, de chemische industrie en de productie van kritieke materialen.

  • De verantwoordelijkheid ligt bij het management: leidinggevenden kunnen persoonlijk aansprakelijk worden gesteld in geval van ernstige niet-naleving. Zij moeten de beveiligingsmaatregelen goedkeuren en een basiscursus cyberbeveiliging volgen.

  • De meldingstermijnen zijn kort: 24 uur voor de eerste melding bij een ernstig incident, 72 uur voor het tussentijdse rapport en een maand voor het eindrapport.

  • De verplichtingen gelden ook voor de toeleveringsketen: u moet de beveiliging beoordelen van uw kritieke leveranciers en dienstverleners die toegang hebben tot uw systemen.

De richtlijn onderscheidt twee categorieën entiteiten op basis van hun omvang en hun bedrijfstak, met enigszins verschillende verplichtingen.

Voor wie geldt dit: essentiële entiteiten versus belangrijke entiteiten​

Essentiële entiteiten (EE)

Als essentiële entiteiten worden aangemerkt: grote organisaties (> 250 werknemers OF > 50 miljoen euro omzet OF > 43 miljoen euro balanstotaal) in de volgende sectoren:

  • Energie (elektriciteit, gas, aardolie, waterstof)
  • Vervoer (luchtvaart, spoorwegen, scheepvaart, wegvervoer)
  • Bankwezen en infrastructuur van de financiële markten
  • Gezondheidszorg
  • Drinkwater en afvalwater
  • Digitale infrastructuur
  • Beheer van ICT-diensten
  • Overheidsinstanties
  • Ruimtevaart

Essentiële entiteiten staan onder proactief toezicht van de ANSSI: geplande audits, inspecties ter plaatse, meldingsplicht bij onzekerheden.

Belangrijke entiteiten (BE)

Als belangrijke entiteiten worden beschouwd: middelgrote organisaties (> 50 werknemers OF > 10 miljoen euro omzet) in de volgende sectoren:

  • Post- en verzenddiensten
  • Afvalbeheer
  • Fabricage, productie en distributie van chemische producten
  • Productie, verwerking en distributie van levensmiddelen
  • Verwerkende industrie (inclusief de productie van medische hulpmiddelen, computers, elektronica, elektrische apparatuur, machines, voertuigen en transportmiddelen)
  • Digitale dienstverleners
  • Onderzoek

Belangrijke entiteiten vallen onder reactief toezicht: de ANSSI voert geen spontane controles uit, maar kan een controle in gang zetten naar aanleiding van een melding van een incident of een signaal.

Het geval van Franse industriële KMO’s

Een industrieel MKB-bedrijf met 75 werknemers en een omzet van 12 miljoen euro wordt in het kader van NIS2 als een belangrijke entiteit beschouwd. Het is onderworpen aan alle technische verplichtingen, hoewel er per sector uitstel voor het voldoen aan de eisen kan worden verleend.

De ANSSI heeft op de website anssi.fr een tool voor zelfbeoordeling van de reikwijdte gepubliceerd. Als u deze controle nog niet hebt uitgevoerd, is dit de eerste stap.

Technische checklist — 30 controlepunten​

A. Overzicht van de activa (5 punten)​

☐ A1. Volledige inventaris van IT-middelen U beschikt over een actuele inventaris van alle IT-apparatuur (servers, werkstations, netwerkapparatuur), inclusief de versie van het besturingssysteem, de versie van kritieke software, de verantwoordelijke en de bedrijfskriticiteit. Deze wordt ten minste om de zes maanden bijgewerkt.

☐ A2. Volledige inventaris van OT-activa Uw inventaris omvat besturingsautomaten (PLC, RTU), HMI's, SCADA-supervisors, IoT-gateways, industriële routers en alle apparatuur die is aangesloten op het OT-netwerk. De firmwareversie en de datum van de laatste update worden gedocumenteerd.

☐ A3. In kaart brengen van gegevensstromen De communicatiestromen tussen IT- en OT-systemen worden vastgelegd in de vorm van een gegevensstroomdiagram. Niet-gedocumenteerde stromen worden standaard geblokkeerd (whitelist-beleid).

☐ A4. Indeling van bedrijfsmiddelen naar kriticiteit Elk bedrijfsmiddel wordt ingedeeld op basis van zijn kriticiteit voor de bedrijfscontinuïteit: kritiek (onmiddellijke stopzetting van de productie indien het bedrijfsmiddel wordt aangetast), belangrijk (aanzienlijke verslechtering), standaard. Deze indeling vormt de leidraad voor de prioriteiten op het gebied van veiligheid.

☐ A5. Levenscyclusbeheer Er is een gedocumenteerd proces voor het beheer van apparatuur aan het einde van de levensduur: verwijdering van apparatuur waarvoor geen ondersteuning meer wordt geboden, veilige buitengebruikstelling (wissen van gegevens, verwijderen van accounts) en recycling.

B. Toegangsbeheer en authenticatie (5 punten)​

☐ B1. MFA voor toegang op afstand Meervoudige authenticatie (MFA) is verplicht voor elke toegang op afstand tot informatiesystemen, inclusief VPN-toegang tot OT-netwerken. SMS-OTP-oplossingen worden door het ANSSI afgeraden; geef de voorkeur aan TOTP (Google Authenticator, Aegis) of FIDO2-sleutels.

☐ B2. Het principe van minimale rechten Gebruikersaccounts beschikken uitsluitend over de rechten die nodig zijn voor hun taken. Speciale beheerdersaccounts staan los van de accounts voor dagelijks werk. De rechten worden minimaal eenmaal per jaar en bij elke functiewisseling herzien.

☐ B3. Beheer van gedeelde en serviceaccounts Gedeelde accounts (generieke accounts zoals "admin" en "operator") worden verwijderd of vervangen door accounts op naam. Accounts voor applicaties worden beheerd in een beveiligde opslagplaats (CyberArk, Hashicorp Vault, Bitwarden Business) met automatische wachtwoordrotatie.

☐ B4. Controle van de fysieke toegang De fysieke toegang tot serverruimtes, schakelkasten en technische ruimtes wordt gecontroleerd via een toegangskaart of sleutel, waarbij de toegang wordt geregistreerd. De toegang van externe medewerkers wordt bijgehouden.

☐ B5. Intrekking van toegangsrechten Een geformaliseerde procedure waarborgt dat toegangsrechten onmiddellijk worden ingetrokken bij vertrek of bij een functiewisseling. De termijn voor intrekking wordt gedocumenteerd en bedraagt minder dan 24 uur voor kritieke toegangsrechten.

C. VPN en versleuteling van OT-communicatie (5 punten)​

☐ C1. VPN voor alle OT-toegang op afstand Elke externe toegang tot een OT-netwerk (SCADA, supervisie, PLC's) moet verplicht via een versleutelde VPN (IPsec, OpenVPN of wederzijdse TLS) verlopen. Directe internettoegang tot OT-apparatuur is verboden en wordt technisch geblokkeerd.

☐ C2. IT/OT-segmentatie Het OT-netwerk is fysiek of logisch gescheiden van het IT-netwerk (kantoor, bedrijf). De communicatie tussen de zones verloopt via een DMZ of een speciale firewall met expliciete regels. Het standaardbeleid is „alles weigeren“.

☐ C3. Versleuteling van cloudcommunicatie Alle communicatie tussen apparatuur in het veld en cloudplatforms (MQTT, HTTPS, REST-API) maakt minimaal gebruik van TLS 1.2 (TLS 1.3 aanbevolen). De certificaten zijn geldig, niet zelfondertekend en de vervaldatum ervan wordt gecontroleerd.

☐ C4. Geen enkele inkomende poort is open naar het internet Geen enkel OT-apparaat, geen enkele HMI en geen enkele supervisor is rechtstreeks via internet toegankelijk via een inkomende poort. Elke toegang op afstand wordt geïnitieerd vanaf het apparaat naar het platform (het zogenaamde "call home"-model of toegang via een VPN-client).

☐ C5. Beheer van sleutels en certificaten Er wordt een inventaris bijgehouden van TLS-certificaten, VPN-sleutels en applicatiegeheimen. Er wordt een waarschuwing gegeven wanneer sleutels en certificaten binnen 30 dagen verlopen. Er is een gedocumenteerd rotatieproces.

D. Detectie van en reactie op incidenten (4 punten)​

☐ D1. Logboekregistratie van beveiligingsgebeurtenissen Kritieke apparatuur (firewall, VPN, HMI, SCADA-servers) genereert beveiligingslogs die worden verzameld in een gecentraliseerd systeem (SIEM, syslog-server). De bewaartermijn bedraagt ten minste 12 maanden voor essentiële entiteiten en 6 maanden voor belangrijke entiteiten.

☐ D2. Monitoring van afwijkingen Er zijn regels voor het opsporen van afwijkingen actief op de OT-netwerkstromen: verbindingen naar onbekende bestemmingen, ongebruikelijke verkeersvolumes, verbindingen buiten de productie-uren, herhaalde mislukte authenticatiepogingen.

☐ D3. Gedocumenteerde procedure voor incidentafhandeling Er is een incidentresponsplan (IRP) opgesteld, goedgekeurd door het management en dat ten minste één keer per jaar wordt getest (simulatieoefening of tabletop-test). Het omvat de fasen van detectie, beheersing, uitroeiing, herstel en communicatie.

☐ D4. Contactgegevens CERT-FR en ANSSI zijn up-to-date Het bedrijf heeft zijn contactgegevens via het NIS2-portaal bij de ANSSI geregistreerd. De contactgegevens van de veiligheidsverantwoordelijke en de directie zijn up-to-date. De contactgegevens van CERT-FR (cert-fr.cert.gouv.fr, +33 3 51 14 17 41) zijn bekend bij de betrokken teams.

E. Bedrijfscontinuïteit (4 punten)​

☐ E1. Gedocumenteerd bedrijfscontinuïteitsplan (BCP) Er is een BCP gedocumenteerd en getest dat scenario's van cyberaanvallen (ransomware, SCADA-inbreuken) omvat. Het beschrijft de procedures voor het functioneren in noodmodus (handmatige modus, herstart vanaf schone back-ups).

☐ E2. Regelmatige en geteste back-ups De configuraties van de PLC’s, SCADA, HMI’s en servers worden volgens een gedocumenteerd beleid geback-upt. De back-ups worden offline of in een geïsoleerde omgeving opgeslagen. Het terugzetten ervan wordt minimaal halfjaarlijks getest.

☐ E3. Redundantie van netwerktoegang Kritieke locaties beschikken over redundante connectiviteit (Dual SIM met meerdere providers, glasvezel + 4G LTE) om de toegang op afstand voor monitoring te waarborgen in geval van een storing bij een provider.

☐ E4. Gedocumenteerde hersteltijden (RTO/RPO) Voor elk kritiek systeem zijn de doelstellingen voor herstel na een incident (RTO: Recovery Time Objective, RPO: Recovery Point Objective) vastgelegd en gedocumenteerd. Deze doelstellingen zijn in overeenstemming met de contractuele verplichtingen jegens de klanten.

F. Opleiding en bewustmaking (3 punten)​

☐ F1. Verplichte cyberopleiding voor het management NIS2 schrijft voor dat leidinggevenden moeten worden opgeleid op het gebied van cyberrisico’s en de beveiligingsmaatregelen die voor de organisatie gelden. Deze opleiding (minimaal 4 uur) moet worden gedocumenteerd met vermelding van de datum en een certificaat.

☐ F2. Regelmatige bewustmaking van medewerkers Er wordt minstens één keer per jaar voor alle medewerkers een bewustmakingssessie over cyberrisico’s (phishing, social engineering, wachtwoorden) georganiseerd. Ook onderaannemers die toegang hebben tot de systemen worden hierbij betrokken.

☐ F3. Phishing-oefening Er wordt minstens één keer per jaar een gesimuleerde phishing-oefening gehouden om de waakzaamheid van de medewerkers te meten en te bepalen welke personen extra training nodig hebben.

G. Beheer van derden en onderaannemers (4 punten)​

☐ G1. Overzicht van kritieke onderaannemers De dienstverleners die toegang hebben tot uw informatiesystemen of OT (integrators, onderhoudsbedrijven, softwareontwikkelaars) worden vermeld, samen met de kriticiteit van hun toegang. Dit overzicht wordt up-to-date gehouden.

☐ G2. Contractuele beveiligingsbepalingen Contracten met kritieke dienstverleners bevatten beveiligingsbepalingen: meldingsplicht bij incidenten, naleving van NIS2 voor onderworpen entiteiten, recht op audit, vertrouwelijkheid.

☐ G3. Beperkte en traceerbare toegang voor onderaannemers De aan onderaannemers verleende toegang op afstand (toegang voor PLC-onderhoud, hulp op afstand) is beperkt in de tijd, wordt bijgehouden in een logboek en kan onmiddellijk worden ingetrokken. Specifieke VPN's per dienstverlener verdienen de voorkeur boven gedeelde accounts.

☐ G4. Beveiligingsbeoordeling van kritieke leveranciers De beveiligingsstatus van leveranciers van kritieke software of hardware wordt aan een minimale beoordeling onderworpen (vragenlijst, ISO 27001-certificeringen, audit).

Beheer van externe toegang bij OT: de blinde vlek van NIS2​

Beveiligde toegang op afstand tot OT-systemen is vaak de meest kritieke blinde vlek van industriële bedrijven. Het is ook een van de meest misbruikte aanvalsvectoren — het ENISA-rapport uit 2025 over OT-incidenten noemt onvoldoende beveiligde toegang op afstand als de belangrijkste toegangsvector bij 42 % van de gedocumenteerde incidenten.

De meest voorkomende slechte praktijken:

  • Poort 3389 (RDP) die rechtstreeks via internet openstaat naar een SCADA-supervisor
  • Een "admin"-account met het wachtwoord "password" op een via het web toegankelijke HMI
  • Gedeelde VPN voor operators zonder netwerksegmentatie (de medewerker heeft toegang tot het hele netwerk)
  • TeamViewer of AnyDesk zonder MFA, met permanente toegang

De NIS2-conforme aanpak:

  1. Er zijn geen inkomende poorten op het internet geopend vanuit het OT-netwerk
  2. Alle toegang op afstand verloopt via een VPN met MFA (OpenVPN + clientcertificaat + OTP TOTP)
  3. De VPN-toegang is beperkt tot de subnetten die nodig zijn voor het werk van de dienstverlener (segmentatie via VLAN)
  4. Elke sessie voor toegang op afstand wordt gelogd met tijdstempel, identiteit van de gebruiker en uitgevoerde acties
  5. Uitzonderlijke toegang (noodreparaties) wordt tijdelijk verleend via een goedkeuringsworkflow en automatisch ingetrokken na afloop van de sessie

Deze architectuur is haalbaar voor een klein tot middelgroot industrieel bedrijf met moderne apparatuur — een industriële Eziwan-router met ingebouwde OpenVPN/IPSec-VPN en toegang op afstand via het Eziwan Cloud-platform voldoet aan deze eisen zonder dat daarvoor een complexe infrastructuur nodig is.

Termijnen voor het melden van incidenten (24 uur / 72 uur)​

NIS2 schrijft strikte meldingstermijnen voor in geval van een significant beveiligingsincident, gedefinieerd als een incident dat een aanzienlijke invloed heeft of kan hebben op de continuïteit van de dienstverlening.

Eerste melding (Early Warning) — 24 uur: Melding aan het ANSSI via het daarvoor bestemde portaal indien het incident waarschijnlijk grensoverschrijdende gevolgen heeft, het het gevolg is van een strafbaar feit of het andere entiteiten kan treffen. Deze melding is beknopt: aard van het incident, getroffen systemen, geschatte initiële impact.

Tussentijdse melding — 72 uur: Een meer gedetailleerd rapport met een voorlopige beoordeling van de ernst, de vermoedelijke oorzaak en de lopende inperkingsmaatregelen.

Eindrapport — 1 maand: Volledige beschrijving van het incident, vastgestelde oorzaak, daadwerkelijke gevolgen, genomen corrigerende maatregelen, maatregelen ter voorkoming van herhaling.

Praktische tip: de termijnen gaan in vanaf het moment dat het bedrijf kennis heeft van het incident — niet vanaf het moment dat het incident daadwerkelijk is begonnen. Een ransomware-incident dat drie weken na de eerste inbraak wordt ontdekt, laat de termijn ingaan op de datum van ontdekking, niet op de datum van de inbraak. Leg de chronologie van de ontdekking nauwkeurig vast.

Boetes: tot 10 miljoen euro of 2 % van de wereldwijde omzet​

NIS2 voert een stelsel van administratieve sancties in dat aanzienlijk strenger is dan dat van NIS1.

Belangrijkste bepalingen:

  • Boetes tot 10 miljoen euro of 2 % van de totale wereldwijde jaaromzet (het hoogste bedrag)
  • Mogelijke tijdelijke opschorting van activiteiten of leidinggevende functies

Belangrijke entiteiten:

  • Boetes tot 7 miljoen euro of 1,4 % van de totale wereldwijde jaaromzet

Criteria voor het vaststellen van sancties:

  • Ernst en duur van de overtreding
  • Opzettelijk of door nalatigheid begaan
  • Maatregelen die zijn genomen om de schade te beperken
  • Eerdere naleving door de entiteit
  • Medewerking met het ANSSI

In de praktijk zullen de eerste Franse sancties waarschijnlijk gericht zijn op grote essentiële entiteiten, alvorens te worden uitgebreid naar belangrijke entiteiten. Maar de ervaring met de AVG leert dat de overheid snel aan kracht wint zodra het kader eenmaal is vastgesteld.

Aansprakelijkheid van bestuurders: in geval van een ernstige inbreuk als gevolg van kennelijke nalatigheid bepaalt NIS2 dat bestuurders persoonlijk kunnen worden vervolgd. Deze bepaling is een belangrijke nieuwigheid die cyberbeveiliging op het niveau van de raad van bestuur brengt.

Officiële bronnen (ANSSI, CERT-FR)​

  • ANSSI — NIS2-portaal: https://www.cert.ssi.gouv.fr/nis2 — tool voor zelfbeoordeling van de reikwijdte, sectorale richtlijnen, tijdschema voor naleving
  • ANSSI — Gids voor IT-beveiliging: referentiekader met 42 basismaatregelen, gratis beschikbaar, goed uitgangspunt voor kmo's
  • CERT-FR: cert-fr.cert.gouv.fr — beveiligingsbulletins, waarschuwingen over kritieke kwetsbaarheden, melding van incidenten (signalement@cert.gouv.fr)
  • ANSSI — Richtlijn voor de beveiliging van industriële systemen: specifiek referentiekader voor OT/SCADA, zeer relevant voor de verwerkende industrie
  • CNIL en NIS2: NIS2-naleving vormt een aanvulling op de AVG — de technische beveiligingsmaatregelen voldoen vaak tegelijkertijd aan beide regelgevingen

Voor kleine organisaties raadt het ANSSI aan om te beginnen met de CyberDC-diagnose, die beschikbaar is via cybermalveillance.gouv.fr, en vervolgens op basis van de uitkomst prioriteiten te stellen voor de te nemen maatregelen.

Veelgestelde vragen​

Valt mijn industriële KMO onder NIS2? Als u tussen de 50 en 249 werknemers heeft (of een omzet tussen 10 miljoen euro en 50 miljoen euro) en actief bent in een sector die in NIS2 wordt genoemd (kritieke verwerkende industrie, water, energie, gezondheidszorg, enz.), bent u waarschijnlijk een belangrijke entiteit (EI). Onder deze drempels valt u in principe niet direct onder de regelgeving, maar uw opdrachtgevers (EE of EI) kunnen u contractuele beveiligingsverplichtingen opleggen. Gebruik de zelfbeoordelingstool van ANSSI op cert.ssi.gouv.fr/nis2 om dit te controleren.

Wanneer worden de eerste NIS2-sancties in Frankrijk verwacht? De Franse omzetting is sinds oktober 2024 van kracht. Het ANSSI geeft in eerste instantie prioriteit aan het informeren van de betrokken entiteiten en het begeleiden bij het naleven van de voorschriften. De eerste administratieve sancties worden vanaf 2026 verwacht, te beginnen bij grote essentiële entiteiten. Voor kmo’s geldt doorgaans een overgangsperiode voordat sancties worden opgelegd.

Heeft NIS2 betrekking op OT/SCADA-systemen of alleen op bedrijfsinformatiesystemen? NIS2 is expliciet van toepassing op OT-systemen (Operational Technology), SCADA, ICS en industriële besturingssystemen. Het ANSSI heeft een specifieke gids gepubliceerd, getiteld „Beveiliging van industriële systemen”, waarin concrete maatregelen worden beschreven voor PLC's, HMI's, SCADA en OT-netwerken. De IT/OT-segmentatie en het beveiligen van externe toegang tot PLC's zijn directe verplichtingen.

Kan één enkel NIS2-incident automatisch tot sancties leiden? Nee. Een meldingsplicht is geen sanctie. De verplichting om een incident binnen 24 uur aan het ANSSI te melden, leidt niet automatisch tot een sanctie — het is een procedurele verplichting. Sancties worden opgelegd bij niet-naleving van de technische en organisatorische maatregelen (onbeveiligde toegang, ontbrekende back-ups, geen beheer van kwetsbaarheden), of bij gebrek aan medewerking met de ANSSI.

Hoe toon je je NIS2-conformiteit aan bij het ANSSI? Het ANSSI kan om schriftelijk bewijs vragen: door het management goedgekeurde beveiligingsbeleidsregels, beveiligingslogboeken, auditresultaten, opleidingsplannen en een getest noodherstelplan. Voor essentiële entiteiten zijn audits ter plaatse mogelijk. De beste voorbereiding is om uw maatregelen vanaf nu systematisch te documenteren: implementatiedatum, verantwoordelijke, resultaten.

Meer informatie​

Wilt u meer weten? Eziwan helpt industriële bedrijven hun OT-toegang op afstand te beveiligen in overeenstemming met de NIS2-vereisten: OpenVPN/IPSec-VPN, netwerksegmentatie, geen open inkomende poorten. Bekijk onze gids over OT-cyberbeveiliging of neem contact met ons op voor een audit van uw externe toegangen.

Aanvullende bronnen​