{"id":33717,"date":"2026-05-23T17:47:05","date_gmt":"2026-05-23T15:47:05","guid":{"rendered":"https:\/\/sunbytes.io\/wp\/blog\/uncategorized\/nis2-gap-analyse\/"},"modified":"2026-05-23T17:47:07","modified_gmt":"2026-05-23T15:47:07","slug":"nis2-gap-analyse","status":"publish","type":"post","link":"https:\/\/sunbytes.kinsta.cloud\/nl\/blog\/cyberbeveiliging\/nis2-gap-analyse\/","title":{"rendered":"Hoe voer je een NIS2-gap analyse uit: het 5-stappen assessment framework"},"content":{"rendered":"\n

Een NIS2-gap analyse zet regeldruk om in een werkbaar plan. Het laat zien welke cybersecuritymaatregelen al bestaan, welke ontbreken, welke gaps het hoogste risico cre\u00ebren en welk bewijs het bedrijf moet kunnen opleveren.<\/p>\n\n\n\n

Voor EU-bedrijven die zich voorbereiden op NIS2 is het doel niet om n\u00f3g een beleidsdocument te maken. Het doel is om te weten waar de organisatie staat ten opzichte van de cybersecurity-risicobeheermaatregelen uit Artikel 21<\/a><\/strong>, en vervolgens een herstelplan te bouwen dat het management kan goedkeuren en teams kunnen uitvoeren.<\/p>\n\n\n\n

Dit artikel legt een 5-stappenframework uit voor het uitvoeren van een NIS2-gap analyse. Het laat ook zien waar externe ondersteuning de objectiviteit van scores, de kwaliteit van bewijs en bestuursklare rapportage kan verbeteren.<\/p>\n\n\n\n

TL;DR<\/h2>\n\n\n\n

Een NIS2-gap analyse is een gestructureerde beoordeling van bestaande cybersecuritycontroles ten opzichte van NIS2 Artikel 21<\/a><\/strong>. Het bewijst geen compliance; het laat zien welke controles bestaan, welke gaps onvoldoende bewijs hebben, welke risico\u2019s als eerste moeten worden opgelost en wat het management moet goedkeuren. De output moet bestaan uit een RAG-beoordeeld gaprapport, een risicogerangschikt gapregister en een herstelroadmap van 12\u201316 weken.<\/p>\n\n\n\n

De 5 stappen zijn:<\/p>\n\n\n\n

    \n
  1. Bevestig scope en entiteitsclassificatie \u2014 output: scopestatement en classificatie als Essentieel\/Belangrijk.<\/li>\n\n\n\n
  2. Bouw een baseline-inventarisatie \u2014 output: huidige controles gekoppeld aan Artikel 21.<\/li>\n\n\n\n
  3. Beoordeel gaps met RAG-scores \u2014 output: ROOD, ORANJE, GROEN-score per maatregel.<\/li>\n\n\n\n
  4. Prioriteer gaps op basis van risico en inspanning \u2014 output: gerangschikt gapregister.<\/li>\n\n\n\n
  5. Bouw de herstelroadmap \u2014 output: actieplan van 12\u201316 weken met eigenaren en bewijsdoelen.<\/li>\n<\/ol>\n\n\n\n

    Voor een lichtere zelfbeoordeling, gebruik de NIS2-compliance checklist.<\/a><\/strong> Als u niet zeker weet of NIS2 op uw organisatie van toepassing is, begin dan met het bevestigen van de NIS2-scope<\/a><\/strong> v\u00f3\u00f3r de gap analyse.<\/p>\n\n\n\n

    Wat een NIS2-gap analyse is \u2014 en wat het niet is<\/h2>\n\n\n\n

    Een NIS2-gap analyse is een gestructureerde beoordeling van uw huidige cybersecuritymaatregelen ten opzichte van NIS2-vereisten. Voor de meeste bedrijven moet de beoordeling huidige werkwijzen, beleidsdocumenten, controles en bewijs koppelen aan de 10 cybersecurity-risicobeheergebieden die in Artikel 21 worden genoemd.<\/p>\n\n\n\n

    Een afgeronde gap analyse moet vier vragen beantwoorden:<\/p>\n\n\n\n

    \u25cf Welke NIS2 Artikel 21-maatregelen hebben al controles?
    \u25cf Welke controles bestaan, maar missen gedocumenteerd bewijs?
    \u25cf Welke gaps cre\u00ebren het hoogste handhavings-, operationele of incidentrisico?
    \u25cf Wat moet als eerste worden opgelost, door wie en wanneer?<\/p>\n\n\n\n

    Een gap analyse bewijst niet dat het bedrijf compliant is. Het is voorbereidend werk v\u00f3\u00f3r een formele audit, toezicht, buyer due diligence of goedkeuring door het bestuur. Een gap analyse levert ook een formeel assessmentrapport op met scores, bevindingen, bewijsstatus en herstelprioriteiten.<\/p>\n\n\n\n

    NIS2-readiness verandert wanneer uw systemen, leveranciers, teams en incidentprocessen veranderen. Een gap analyse moet onderdeel worden van een terugkerende governancecyclus, niet een document dat in een map blijft staan.<\/p>\n\n\n\n

    Het 5-stappenframework voor NIS2-gap analyse<\/h2>\n\n\n\n
    \"Het
    Het 5-stappenframework voor NIS2-gap analyse<\/figcaption><\/figure>\n\n\n\n

    <\/p>\n\n\n\n

    Het framework hieronder volgt de volgorde die de meeste bedrijven zouden moeten gebruiken: bevestig de scope, verzamel de baseline, beoordeel de gaps, rangschik het werk en zet het resultaat om in een herstelplan.<\/p>\n\n\n\n

    De assessment moet worden gekoppeld aan NIS2 Artikel 21, dat cybersecurity-risicobeheermaatregelen behandelt zoals risicoanalyse, incidentafhandeling, bedrijfscontinu\u00efteit, supply chain security, kwetsbaarhedenbeheer, cyberhygi\u00ebne, cryptografie, toegangscontrole, assetmanagement en multi-factor authentication.<\/p>\n\n\n\n

    Stap 1: Bevestig uw NIS2-scope en entiteitsclassificatie<\/h3>\n\n\n\n

    Begin met het bevestigen of NIS2 op uw organisatie van toepassing is en hoe de entiteit moet worden geclassificeerd.<\/p>\n\n\n\n

    Deze stap is belangrijk omdat de scope de rest van de assessment be\u00efnvloedt. Een Essenti\u00eble entiteit en een Belangrijke entiteit kunnen te maken krijgen met verschillende toezichtmodellen, rapportageverwachtingen en handhavingsrisico\u2019s. Sector, omvang, bedrijfsactiviteit en rol in de supply chain zijn allemaal van belang.<\/p>\n\n\n\n

    Uw team moet drie zaken documenteren:<\/p>\n\n\n\n

    1. Sectorclassificatie<\/h4>\n\n\n\n

    Bepaal of het bedrijf onder een Annex I- of Annex II-sector valt. Voorbeelden zijn energie, transport, zorg, digitale infrastructuur, ICT-dienstbeheer, voedsel, productie, post- en koeriersdiensten en openbaar bestuur.<\/p>\n\n\n\n

    2. Omvangsdrempel<\/h4>\n\n\n\n

    Controleer of de organisatie voldoet aan de drempels voor medewerkers, omzet of balanstotaal die entiteiten doorgaans binnen de scope brengen. Sommige entiteiten kunnen ongeacht omvang onder de scope vallen vanwege hun sector of servicerol.<\/p>\n\n\n\n

    3. Rol in de supply chain<\/h4>\n\n\n\n

    Controleer of het bedrijf diensten levert aan een Essenti\u00eble of Belangrijke entiteit. Managed service providers, softwareleveranciers, cloudgerelateerde providers en securitydienstverleners kunnen NIS2-gerelateerde verwachtingen krijgen, zelfs wanneer de wet indirect via contracten van toepassing is.<\/p>\n\n\n\n

    Deliverable van de gap analyse:<\/strong> Bevestigde scopestatement, entiteitsclassificatie, toepasselijke sector, relevante businessunits, systemen binnen scope en bekende aannames over de bevoegde autoriteit.<\/p>\n\n\n\n

    Als de scope nog niet is bevestigd, gebruik dan NIS2-scope<\/a><\/strong> voordat u het volledige framework uitvoert.<\/p>\n\n\n\n

    Stap 2: Baseline-inventarisatie \u2014 breng in kaart wat u momenteel heeft<\/h3>\n\n\n\n

    De baseline-inventarisatie legt vast welke securitymaatregelen al bestaan. Begin niet met de vraag of het bedrijf compliant is. Begin met de vraag wat al aanwezig is, waar het wordt toegepast en of er bewijs bestaat.<\/p>\n\n\n\n

    Stel voor elk Artikel 21-gebied vier vragen:<\/p>\n\n\n\n

    \u25cf Bestaat er een beleid of procedure?
    \u25cf Is het ge\u00efmplementeerd in de systemen en teams waarop het van toepassing is?
    \u25cf Is er bewijs dat het wordt gevolgd?
    \u25cf Wordt het beoordeeld volgens een vast ritme?<\/p>\n\n\n\n

    Veel bedrijven hebben al securitypraktijken die echt bestaan, maar niet zijn gedocumenteerd. IT kan bijvoorbeeld handmatig toegangsrechten beoordelen, engineering kan kwetsbaarheden met hoog risico snel patchen, of operations kan back-upprocessen hebben. De gap is niet altijd \u201cer bestaat niets\u201d. Vaak is de gap dat het bedrijf niet kan bewijzen dat de controle werkt.<\/p>\n\n\n\n

    Dat onderscheid is belangrijk. Een ontbrekende controle en een ongedocumenteerde controle vereisen ander herstelwerk.<\/p>\n\n\n\n

    Artikel 21-gebied<\/th>Bestaat huidige maatregel?<\/th>Ge\u00efmplementeerd?<\/th>Bewijs beschikbaar?<\/th>Eigenaar<\/th>Notities<\/th><\/tr><\/thead>
    Risicoanalyse en beveiliging van informatiesystemen<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>CISO \/ IT \/ Ops<\/td><\/td><\/tr>
    Incidentafhandeling<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    Bedrijfscontinu\u00efteit en crisismanagement<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    Supply chain security<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    Veilige acquisitie, ontwikkeling, onderhoud en kwetsbaarhedenbeheer<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    Beoordeling van effectiviteit<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    Cyberhygi\u00ebne en cybersecuritytraining<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    Cryptografie en encryptie<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    HR-security, toegangscontrole, assetmanagement<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr>
    MFA, beveiligde communicatie, noodcommunicatie<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td>Ja \/ Deels \/ Nee<\/td><\/td><\/td><\/tr><\/tbody><\/table>
    Artikel 21 baseline-inventarisatiegrid voor NIS2-gap analyse<\/figcaption><\/figure>\n\n\n\n

    Deliverable van de gap analyse:<\/strong> Artikel 21 baseline-inventarisatie die per maatregel de beleidsstatus, implementatiestatus, beschikbaarheid van bewijs, controle-eigenaar en notities laat zien.<\/p>\n\n\n\n

    Stap 3: Gap assessment \u2014 RAG-score per Artikel 21-maatregel<\/h3>\n\n\n\n

    De gap assessment zet de baseline-inventarisatie om in een duidelijk readinessbeeld. Elke Artikel 21-maatregel krijgt een RAG-score: ROOD, ORANJE of GROEN.<\/p>\n\n\n\n

    De score moet gebaseerd zijn op bewijs, niet op vertrouwen. Als een controle bestaat maar niemand het beleid, de tickethistorie, audittrail, trainingsregistratie of reviewlog kan laten zien, mag deze niet als GROEN worden beoordeeld.<\/p>\n\n\n\n

    Score<\/th>Wat het betekent<\/th>Voorbeeld<\/th>Herstelprioriteit<\/th><\/tr><\/thead>
    ROOD<\/td>De maatregel ontbreekt of is niet onderbouwd met bewijs<\/td>Er bestaat geen proces voor incidentrapportage<\/td>Hoog<\/td><\/tr>
    ORANJE<\/td>De maatregel bestaat deels of het bewijs is onvolledig<\/td>MFA is actief voor beheertools, maar niet voor alle systemen binnen scope<\/td>Middel tot hoog<\/td><\/tr>
    GROEN<\/td>De maatregel is ge\u00efmplementeerd, onderbouwd met bewijs en wordt beoordeeld<\/td>Kwartaalreviews van toegangsrechten hebben registraties, eigenaren en vervolgacties<\/td>Onderhouden en monitoren<\/td><\/tr><\/tbody><\/table>
    Gap assessment \u2014 RAG-score per Artikel 21-maatregel<\/figcaption><\/figure>\n\n\n\n

    Een bruikbare RAG-score moet tot actie leiden. \u201cORANJE omdat documentatie zwak is\u201d is beter dan \u201cgedeeltelijke compliance\u201d. De eerste uitspraak vertelt het team wat het moet oplossen. De tweede labelt alleen het probleem.<\/p>\n\n\n\n

    De RAG-weergave moet ook juridische, operationele en bewijsgaps van elkaar scheiden. Een ontbrekend proces voor incidentrapportage cre\u00ebert directe NIS2-blootstelling. Een leveranciersreviewproces met onvolledige registraties kan bewijsrisico cre\u00ebren. Zwak asset-eigenaarschap kan operationeel risico cre\u00ebren omdat niemand weet wie tijdens een incident verantwoordelijk is.<\/p>\n\n\n\n

    NIS2 Artikel 20 verplicht bestuursorganen van Essenti\u00eble en Belangrijke entiteiten om cybersecurity-risicobeheermaatregelen goed te keuren en toezicht te houden op implementatie. Daarom moet de gap analyse een bestuursleesbaar overzicht van de bevindingen opleveren.<\/p>\n\n\n\n

    Deliverable van de gap analyse:<\/strong> RAG-beoordeeld Artikel 21-gap assessmentrapport dat per maatregel de huidige staat, score, bewijsstatus, samenvatting van de bevinding en aanbevolen herstelactie laat zien.<\/p>\n\n\n\n

    U kunt de eerste drie stappen intern uitvoeren. Het lastige deel is vaak objectiviteit: teams kunnen controles hoger beoordelen omdat zij weten dat er informele praktijken bestaan. Sunbytes <\/a><\/strong>kan de assessment ondersteunen als compliance readiness specialist door de baseline-inventarisatie te beoordelen, RAG-scores te valideren, ontbrekend bewijs te identificeren en de bevindingen om te zetten in een herstelplan dat klaar is voor het bestuur. Neem contact op met Sunbytes over NIS2-readiness<\/a><\/strong>.<\/p>\n\n\n\n

    Stap 4: Prioriteer gaps op basis van handhavingsrisico en herstelinspanning<\/h3>\n\n\n\n

    Niet elke gap moet worden opgelost in de volgorde waarin deze in het rapport staat. Sommige gaps cre\u00ebren directe blootstelling. Andere zijn belangrijk, maar vragen om gefaseerd werk.<\/p>\n\n\n\n

    Begin met RODE gaps die incidentrapportage, toegangscontrole, bedrijfscontinu\u00efteit en leveranciersrisico raken. Deze gebieden kunnen snel problemen veroorzaken, omdat ze be\u00efnvloeden hoe het bedrijf reageert wanneer er iets misgaat.<\/p>\n\n\n\n

    Identificeer daarna RODE of ORANJE gaps die meer tijd nodig hebben om te sluiten. Supply chain security is een goed voorbeeld. Een bedrijf kan leveranciersrisico niet in \u00e9\u00e9n middag oplossen als contracten, leveranciersclassificatie, securityvragenlijsten en een reviewritme ontbreken.<\/p>\n\n\n\n

    Kijk daarna naar snelle afrondingen. Sommige ORANJE bevindingen kunnen worden opgelost met een beleidsupdate, bewijsregistratie, systeemexport of reviewlog. Deze acties vervangen geen dieper herstelwerk, maar helpen de organisatie van \u201cwe doen dit informeel\u201d naar \u201cwe kunnen dit aantonen\u201d.<\/p>\n\n\n\n

    Een eenvoudige prioriteringsmethode is:<\/p>\n\n\n\n

    Prioriteit<\/th>Type gap<\/th>Waarom dit eerst komt<\/th><\/tr><\/thead>
    1<\/td>RODE gaps met incident- of rapportageblootstelling<\/td>Ze be\u00efnvloeden de respons onder druk<\/td><\/tr>
    2<\/td>RODE gaps met lange hersteltijd<\/td>Ze hebben vroeg eigenaarschap nodig<\/td><\/tr>
    3<\/td>ORANJE gaps met zwak bewijs<\/td>Ze kunnen mogelijk worden gesloten met documentatie en reviewregistraties<\/td><\/tr>
    4<\/td>GROENE gebieden met onderhoudsbehoefte<\/td>Ze hebben ritme nodig, geen groot hersteltraject<\/td><\/tr><\/tbody><\/table>
    Prioriteer gaps-methode<\/strong><\/figcaption><\/figure>\n\n\n\n

    Deliverable van de gap analyse:<\/strong> Risicogeprioriteerd gapregister met alle RODE en ORANJE bevindingen, handhavingsrisico, operationeel risico, herstelinspanning, eigenaar en streefdatum.<\/p>\n\n\n\n

    Stap 5: Bouw de NIS2-herstelroadmap<\/h3>\n\n\n\n

    De laatste stap zet het gapregister om in werk dat het bedrijf kan uitvoeren. Een herstelroadmap moet laten zien wie eigenaar is van elke actie, welk bewijs voltooiing aantoont en welk besluit op bestuursniveau nodig is.<\/p>\n\n\n\n

    Voor de meeste EU-MKB\u2019s en mid-market bedrijven is een roadmap van 12\u201316 weken een praktisch startpunt. De exacte tijdlijn hangt af van scope, aantal systemen binnen scope, aantal leveranciers, bewijsmaturiteit en intern eigenaarschap.<\/p>\n\n\n\n

    Een bruikbare roadmap bevat vijf velden:<\/p>\n\n\n\n

    Roadmapveld<\/th>Wat opnemen<\/th><\/tr><\/thead>
    Bevinding<\/td>De RODE of ORANJE gap uit de assessment<\/td><\/tr>
    Actie<\/td>De benodigde hersteltaak<\/td><\/tr>
    Eigenaar<\/td>Het verantwoordelijke team of de verantwoordelijke rol<\/td><\/tr>
    Deadline<\/td>Streefdatum voor afronding<\/td><\/tr>
    Bewijsdoel<\/td>Het document, de export, het ticket, beleid, logboek of record dat voltooiing bewijst<\/td><\/tr><\/tbody><\/table>
    NIS2-herstelroadmap<\/figcaption><\/figure>\n\n\n\n

    De bestuurssamenvatting moet boven de roadmap staan. Deze moet de algemene RAG-status, de top drie RODE gaps, de hersteltijdlijn en de benodigde besluiten van het management laten zien.<\/p>\n\n\n\n

    Dit verbindt de gap analyse met Artikel 20-governance. Het management kan cybersecurity-risicobeheermaatregelen niet goed goedkeuren als bevindingen, risico\u2019s en het herstelplan niet zijn gedocumenteerd.<\/p>\n\n\n\n

    De lijst met bewijsdoelen uit deze stap wordt het startpunt voor het [NIS2 evidence pack]<\/strong>.<\/p>\n\n\n\n

    Deliverable van de gap analyse:<\/strong> NIS2-herstelroadmap, RAG-bestuurssamenvatting, lijst met bewijsdoelen per Artikel 21-maatregel en een actieplan op basis van eigenaren.<\/p>\n\n\n\n

    Wat een afgeronde NIS2-gap analyse oplevert<\/h2>\n\n\n\n

    Een afgeronde NIS2-gap analyse moet drie kerndocumenten opleveren.<\/p>\n\n\n\n

    1. Gap assessmentrapport<\/h3>\n\n\n\n

    Dit is het belangrijkste assessmentdocument. Het laat de huidige staat van elke Artikel 21-maatregel zien, de RAG-score, bewijsstatus en details van bevindingen. Het rapport moet geschreven zijn voor zowel technische als managementlezers. Technische teams hebben voldoende detail nodig om gaps op te lossen. Het management heeft een duidelijk beeld nodig van blootstelling en beslispunten.<\/p>\n\n\n\n

    2. Risicogeprioriteerd gapregister<\/h3>\n\n\n\n

    Dit is de werkende herstellijst. Het rangschikt RODE en ORANJE bevindingen op basis van risico en inspanning. Een goed gapregister voorkomt dat het team elk probleem als even belangrijk behandelt. Het laat zien wat deze week actie nodig heeft, wat een projecteigenaar nodig heeft en wat kan worden gepland nadat gaps met een hoger risico zijn gesloten.<\/p>\n\n\n\n

    3. Herstelroadmap<\/h3>\n\n\n\n

    Dit is het uitvoeringsplan. Het zet de bevindingen om in een reeks van 12\u201316 weken met eigenaren, deadlines en bewijsdoelen. De roadmap moet ook laten zien welk bewijs later nodig zal zijn. Dat maakt de volgende stap eenvoudiger: het bouwen van het NIS2 evidence pack.<\/strong><\/p>\n\n\n\n

    Hoe lang duurt een NIS2-gap analyse?<\/h2>\n\n\n\n

    Een NIS2-gap analyse duurt meestal tussen de 2 en 8 weken, afhankelijk van scope, interne beschikbaarheid en bewijsmaturiteit.<\/p>\n\n\n\n

    Type assessment<\/th>Typische tijdlijn<\/th>Beste match<\/th><\/tr><\/thead>
    Interne zelfbeoordeling<\/td>2\u20134 weken<\/td>Teams met sterk intern eigenaarschap en duidelijke systeemscope<\/td><\/tr>
    Begeleide assessment<\/td>3\u20136 weken<\/td>Teams die externe structuur willen maar intern bewijs kunnen aanleveren<\/td><\/tr>
    Volledige externe assessment<\/td>4\u20138 weken<\/td>Teams die bestuursklare output, onafhankelijke scoring en sterkere bewijsbeoordeling nodig hebben<\/td><\/tr><\/tbody><\/table>
    Tijdlijn voor NIS2-gap analyse<\/figcaption><\/figure>\n\n\n\n

    Interne assessments duren vaak langer dan verwacht, omdat bewijsverzameling afhankelijk is van drukke teams. Begeleide assessments verminderen die vertraging door het bedrijf een duidelijke requestlijst, interviewstructuur, scoringsmethode en outputformat te geven. Een volledige externe assessment is nuttig wanneer de organisatie buyer due diligence, bestuursreview, investeerdersvragen of aandacht van toezichthouders verwacht.<\/p>\n\n\n\n

    Nederlandse context: NIS2-nulmeting, Cyberbeveiligingswet en Wbni-overgang<\/h2>\n\n\n\n

    Voor Nederlandse bedrijven wordt een NIS2-gap analyse vaak omschreven als een NIS2-nulmeting of NIS2-gap analyse. De Nederlandse term is belangrijk, omdat deze het werk positioneert als een baseline assessment: waar staan we vandaag en wat moet veranderen voordat we readiness kunnen aantonen?<\/p>\n\n\n\n

    Op 19 mei 2026 was het Nederlandse voorstel voor de Cyberbeveiligingswet op 15 april 2026 <\/a>aangenomen door de Tweede Kamer en bevond het zich nog in het proces van de Eerste Kamer, met commissiebijdrage gepland op 19 mei 2026. De huidige Nederlandse Wbni blijft relevant totdat deze wordt vervangen; de NCTV stelt dat de Wbni uiteindelijk wordt vervangen door de Cyberbeveiligingswet<\/a>, waarmee de Europese NIS2-richtlijn in Nederland wordt ge\u00efmplementeerd.<\/p>\n\n\n\n

    Voor publicatie op 20 mei 2026 is de veiligste juridische formulering: Nederlandse organisaties moeten zich voorbereiden op NIS2 via het kader van de Cyberbeveiligingswet, terwijl zij de definitieve datum van inwerkingtreding en eventuele sectorspecifieke richtlijnen van Nederlandse autoriteiten blijven volgen.<\/p>\n\n\n\n

    Een Nederlandse NIS2-nulmeting moet daarom bevatten:<\/p>\n\n\n\n

    \u25cf scope- en sectorclassificatie onder de Nederlandse implementatieroute;
    \u25cf huidige controlemapping ten opzichte van Artikel 21;
    \u25cf bewijsstatus per maatregel;
    \u25cf bestuursklare RAG-samenvatting;
    \u25cf herstelroadmap met genoemde eigenaren;
    \u25cf aannames over registratie, rapportage en autoriteiten waar van toepassing.<\/p>\n\n\n\n

    Wacht niet op elk detail van nationale implementatie voordat u met de baseline begint. De gap analyse identificeert werk dat bedrijven hoe dan ook nodig zullen hebben: incidentafhandeling, toegangscontrole, bedrijfscontinu\u00efteit, leverancierssecurity, kwetsbaarhedenbeheer, training, encryptie en bewijsmanagement.<\/p>\n\n\n\n

    Veelgemaakte fouten bij het uitvoeren van een NIS2-gap analyse<\/h2>\n\n\n\n

    Fout 1: Beginnen met tools in plaats van scope<\/h3>\n\n\n\n

    Een toolinventarisatie is nuttig, maar vertelt u niet of de organisatie binnen de scope valt, welke systemen belangrijk zijn of welke Artikel 21-maatregelen moeten worden beoordeeld. Begin met scope en entiteitsclassificatie.<\/p>\n\n\n\n

    Fout 2: Informele werkwijzen behandelen als compliance<\/h3>\n\n\n\n

    Een team kan het juiste doen zonder bewijs. Voor NIS2-readiness is dat nog steeds een gap. De assessment moet onderscheid maken tussen \u201ccontrole ontbreekt\u201d en \u201ccontrole bestaat, maar bewijs is zwak\u201d.<\/p>\n\n\n\n

    \"Sunbytes<\/figure>\n\n\n\n

    Fout 3: Alles ORANJE beoordelen<\/h3>\n\n\n\n

    Als elke maatregel ORANJE is, heeft de assessment niet genoeg beslissingen genomen. Sommige gaps zijn ROOD omdat er geen controle is. Sommige zijn GROEN omdat de controle is ge\u00efmplementeerd en onderbouwd met bewijs. Een bruikbare RAG-score dwingt prioritering af.<\/p>\n\n\n\n

    Fout 4: Een roadmap bouwen zonder eigenaren<\/h3>\n\n\n\n

    Een herstelroadmap zonder eigenaren is een lijst, geen plan. Elke actie moet een verantwoordelijke rol, streefdatum en bewijsdoel hebben.<\/p>\n\n\n\n

    Fout 5: Management pas aan het einde betrekken<\/h3>\n\n\n\n

    Artikel 20 brengt cybersecurity-governance naar het bestuursorgaan. Het management heeft niet elk technisch detail nodig, maar wel de risicopositie, belangrijkste bevindingen, hersteltijdlijn en benodigde besluiten.<\/p>\n\n\n\n

    Hoe Sunbytes NIS2-gap analyse en Compliance Readiness ondersteunt<\/h2>\n\n\n\n

    Sunbytes helpt EU-bedrijven NIS2-vereisten om te zetten in een assessment, bewijsbeeld en herstelplan dat teams kunnen uitvoeren.<\/p>\n\n\n\n

    Onze Compliance Readiness<\/a><\/strong>-ondersteuning kan bestaan uit:<\/p>\n\n\n\n

    \u25cf NIS2-gap assessmentrapport gekoppeld aan Artikel 21;
    \u25cf RAG-score per cybersecurity-risicobeheermaatregel;
    \u25cf risicogeprioriteerd gapregister;
    \u25cf herstelroadmap met eigenaren en deadlines;
    \u25cf RAG-bestuurssamenvatting voor managementreview;
    \u25cf lijst met bewijsdoelen voor de volgende readinessfase.<\/p>\n\n\n\n

    Het doel is niet om uw interne eigenaarschap te vervangen. Uw team kent de systemen, leveranciers en operationele beperkingen nog steeds het beste. Sunbytes voegt structuur, onafhankelijke scoring, bewijsbeoordeling en een deliveryplan toe dat ambigu\u00efteit vermindert.<\/p>\n\n\n\n

    Waarom Sunbytes?<\/h3>\n\n\n\n

    Sunbytes<\/a><\/strong> is een Nederlands technologiebedrijf met het hoofdkantoor in Nederland en een delivery hub in Vietnam. Al 15 jaar helpen we klanten wereldwijd Transform \u00b7 Secure \u00b7 Accelerate door strategie te verbinden met betrouwbare delivery en security die in het proces is ingebouwd.<\/p>\n\n\n\n