{"id":43429,"date":"2026-05-30T17:40:48","date_gmt":"2026-05-30T15:40:48","guid":{"rendered":"https:\/\/sunbytes.io\/wp\/blog\/uncategorized\/nis2-implementation-roadmap\/"},"modified":"2026-05-30T17:40:50","modified_gmt":"2026-05-30T15:40:50","slug":"nis2-implementation-roadmap","status":"publish","type":"post","link":"https:\/\/sunbytes.kinsta.cloud\/nl\/blog\/cyberbeveiliging\/nis2-implementation-roadmap\/","title":{"rendered":"NIS2 implementation roadmap: een 12-wekenplan voor EU-SMEs"},"content":{"rendered":"\n

Een NIS2 implementation roadmap moet de directive vertalen naar een volgorde die uw management board, IT-team, compliance lead en leveranciers kunnen uitvoeren. Voor de meeste EU-SMEs mislukt het werk niet omdat Artikel 21 onbekend is. Het mislukt omdat scope, risicoanalyse, remediation, bewijs en board approval in de verkeerde volgorde plaatsvinden.<\/p>\n\n\n\n

Dit 12-wekenplan geeft EU-SMEs een praktische volgorde om van NIS2-onzekerheid naar een auditklare basislijn te gaan. Het gaat ervan uit dat uw organisatie al weet dat zij waarschijnlijk binnen scope valt, of dicht genoeg bij scope zit om voorbereiding zakelijk verstandig te maken.<\/p>\n\n\n\n

De roadmap volgt vier fases: scope bevestigen, de gap analysis uitvoeren, de hoogste risicogaps herstellen, bewijs verzamelen, het programma valideren en het bewijs archiveren dat uw team nodig heeft voor audits, klantvragenlijsten en managementreview.<\/p>\n\n\n\n

TL;DR<\/h2>\n\n\n\n

Een NIS2 implementation roadmap is een gefaseerd plan dat NIS2-verplichtingen omzet in owners, controles, bewijs, board decisions en reviewdatums. Voor EU-SMEs moet de roadmap beginnen met scopebevestiging, Artikel 21 gap analysis, risicorangschikking en managementzichtbaarheid voordat remediationwerk start.<\/p>\n\n\n\n

Een 12-weekse NIS2 implementation roadmap helpt EU-SMEs om compliancewerk te structureren over vier fases: Foundation, Risk and controls, Build and evidence, en Validation. Het doel is een auditklare basislijn: bevestigde scope, risicogewogen gaps, prioriteitscontroles in uitvoering, Tier 1 evidence georganiseerd en board approval gedocumenteerd.<\/p>\n\n\n\n

Deze roadmap gaat ervan uit dat u een gap analysis heeft uitgevoerd en uw RED en AMBER gaps kent. Als dat niet zo is, start dan met een NIS2 gap analysis voordat u dit plan als implementatievolgorde gebruikt.<\/p>\n\n\n\n

Fase<\/th>Weken<\/th>Belangrijkste output<\/th><\/tr><\/thead>
Fase 1: Foundation<\/td>Week 1\u20133<\/td>Scope bevestigd, gap analysis afgerond, board gebrieft<\/td><\/tr>
Fase 2: Risk and controls<\/td>Week 4\u20136<\/td>Risicoanalyse afgerond, RED gaps starten met remediation<\/td><\/tr>
Fase 3: Build and evidence<\/td>Week 7\u201310<\/td>Controles ge\u00efmplementeerd, Tier 1 evidence verzameld<\/td><\/tr>
Fase 4: Validation<\/td>Week 11\u201312<\/td>Board approval, residual risk record, evidence archive<\/td><\/tr><\/tbody><\/table>
Een 12-wekenplan voor EU-SMEs<\/figcaption><\/figure>\n\n\n\n

Waarom de roadmap start met een gap analysis \u2014 niet met controls implementation<\/h2>\n\n\n\n

De eerste fout bij NIS2-implementatie is starten met tools, beleid of training voordat de organisatie weet wat de daadwerkelijke gaps zijn.<\/p>\n\n\n\n

Een NIS2 roadmap moet niet beginnen met \u201ckoop MFA\u201d, \u201cschrijf een policy\u201d of \u201ctrain iedereen\u201d. Die acties kunnen nodig zijn, maar de volgorde telt. Week 1\u20133 moeten de scope bevestigen, de entiteit classificeren en een gap analysis uitvoeren op basis van Artikel 21-maatregelen. Pas daarna kan het team het juiste werk prioriteren.<\/p>\n\n\n\n

Een gap analysis<\/a><\/strong> werkt als een bouwkundige inspectie v\u00f3\u00f3r een renovatie. Het laat het team zien welke controles ontbreken, welke informeel zijn, welke wel werken maar niet met bewijs zijn onderbouwd, en welke managementbesluiten vereisen.<\/p>\n\n\n\n

Deze roadmap gebruikt de volgende RAG-taal:<\/p>\n\n\n\n

Rating<\/th>Betekenis<\/th>Implicatie voor de roadmap<\/th><\/tr><\/thead>
RED<\/td>Controle ontbreekt, is zwak of heeft geen bewijs<\/td>Eerst herstellen in Week 4\u201310<\/td><\/tr>
AMBER<\/td>Controle bestaat, maar heeft een sterker proces, eigenaarschap of bewijs nodig<\/td>Plannen en onderbouwen met bewijs in Week 7\u201312<\/td><\/tr>
GREEN<\/td>Controle bestaat, werkt en heeft bruikbaar bewijs<\/td>Opslaan in evidence pack<\/a><\/strong> en opnemen in reviewcadans<\/td><\/tr><\/tbody><\/table>
RAG-led roadmap<\/figcaption><\/figure>\n\n\n\n

De 12-weekse NIS2 implementation roadmap: overzicht<\/h2>\n\n\n\n
\"12-weekse
12-weekse NIS2 implementation roadmap overzicht<\/figcaption><\/figure>\n\n\n\n

De onderstaande tabel behandelt alle 12 weken over vier fases, met de focus, taken en deliverables per week. Pas de planning aan op uw type entiteit met behulp van de Essential\/Important-aanpassingen verderop in dit artikel.<\/p>\n\n\n\n

Week<\/th>Fase<\/th>Focus<\/th>Belangrijkste taken<\/th>Deliverable<\/th><\/tr><\/thead>
1<\/td>Fase 1: Foundation<\/td>Scope + classify<\/td>Bevestig entity classification als Essential of Important. Identificeer de nationale bevoegde autoriteit. Bevestig nationale registratiestatus of registratieplicht. Plan Phase 1-interviews en de Week 12 board approval-meeting.<\/td>Entity classification statement. Bevoegde autoriteit ge\u00efdentificeerd. Week 12 board meeting in de agenda.<\/td><\/tr>
2<\/td>Fase 1: Foundation<\/td>Gap analysis kickoff<\/td>Start het Article 21 gap analysis <\/a><\/strong>framework. Interview IT, HR, operations, compliance en management. Bouw een baseline inventory op langs de Article 21 measure areas.<\/td>Gap analysis in uitvoering. Concept baseline inventory.<\/td><\/tr>
3<\/td>Fase 1: Foundation<\/td>Gap assessment + RAG<\/td>Rond RAG-ratings af. Prioriteer gaps op risico. Presenteer bevindingen aan management. Koppel RED en AMBER gaps aan owners.<\/td>Gap assessment report. Geprioriteerd gap register. Board review van bevindingen.<\/td><\/tr>
4<\/td>Fase 2: Risk and controls<\/td>Risk assessment<\/td>Formaliseer risicoanalyse onder Article 21(2)(a). Identificeer dreigingen, kwetsbaarheden, business impact en eerste risk treatment actions.<\/td>Risk assessment results. Concept risk treatment plan.<\/td><\/tr>
5<\/td>Fase 2: Risk and controls<\/td>RED gap remediation start<\/td>Start remediation van RED gaps. Prioriteer de Article 23 incident reporting procedure en MFA deployment onder Article 21(2)(j), waar passend.<\/td>Incident response procedure opgesteld. MFA implementation in uitvoering. Access control review gestart.<\/td><\/tr>
6<\/td>Fase 2: Risk and controls<\/td>Policies + supply chain<\/td>Stel informatiebeveiligingsbeleid op of werk dit bij. Start supply chain security assessment voor kritieke leveranciers onder Article 21(2)(d).<\/td>Ondertekend informatiebeveiligingsbeleid. Minimaal \u00e9\u00e9n critical supplier assessment afgerond.<\/td><\/tr>
7<\/td>Fase 3: Build and evidence<\/td>Controls implementation<\/td>Zet RED gap remediation voort. Start AMBER gap remediation. Ontwerp of plan security awareness training.<\/td>Security controls implementation op schema. Training programme bevestigd.<\/td><\/tr>
8<\/td>Fase 3: Build and evidence<\/td>Training + evidence collection<\/td>Lever security awareness training aan medewerkers. Rond management board training af onder Article 20(2). Start met het verzamelen van Tier 1 evidence.<\/td>Training records voor medewerkers en management. Evidence collection 50% afgerond.<\/td><\/tr>
9<\/td>Fase 3: Build and evidence<\/td>Evidence collection continues<\/td>Zet Tier 1 evidence collection voort. Stel een business continuity plan op of review dit. Rond access reviews af.<\/td>Evidence pack 80% compleet. Business continuity plan opgesteld. Access review records afgerond.<\/td><\/tr>
10<\/td>Fase 3: Build and evidence<\/td>Evidence pack completion<\/td>Rond Tier 1 evidence af voor alle tien Article 21 measure areas. Organiseer evidence folder structure. Rond MFA rollout af of documenteer residual rollout plan.<\/td>NIS2 evidence pack compleet tot Tier 1. Folder structure georganiseerd.<\/td><\/tr>
11<\/td>Fase 4: Validation<\/td>Internal review<\/td>Review evidence pack tegenover Article 21 measures. Presenteer board RAG summary. Leg residual gaps en risk acceptance vast.<\/td>Internal review report. Residual risk acceptance record. Board RAG summary approved.<\/td><\/tr>
12<\/td>Fase 4: Validation<\/td>Readiness confirmation<\/td>Board keurt het Article 21 security programme formeel goed onder Article 20(1). Bevestig dat competent authority registration evidence is opgeslagen. Archiveer evidence pack met toegangsbeheer.<\/td>Board minutes approving Article 21 programme. Registration evidence opgeslagen. Evidence pack archived.<\/td><\/tr><\/tbody><\/table>
12-weekse NIS2 implementation roadmap voor EU-SMEs, van scopebevestiging tot board-approved auditklare basislijn.<\/figcaption><\/figure>\n\n\n\n

Fase 1: Foundation (Week 1\u20133) \u2014 scope, gap analysis en board briefing<\/h2>\n\n\n\n

Fase 1 cre\u00ebert de feitelijke basis voor de rest van de roadmap. Het team bevestigt of de organisatie een Essential of Important entity is, identificeert de relevante bevoegde autoriteit, controleert nationale registratieverplichtingen en voert de gap analysis uit.<\/p>\n\n\n\n

Week 1: Scope confirmation and entity classification<\/h3>\n\n\n\n

Week 1 moet \u00e9\u00e9n kort document opleveren: het entity classification statement.<\/p>\n\n\n\n

Dit document moet de sector, het type entiteit, de omvangsdrempel, het land of de landen van operatie, de nationale bevoegde autoriteit en de registratiestatus vastleggen. Voor cross-border SMEs moet het statement ook benoemen welke Member State-regels het meest relevant zijn voor elke servicelijn.<\/p>\n\n\n\n

De tweede actie in Week 1 is calendar control. Plan alle stakeholderinterviews voor Week 1\u20132 en zet de Week 12 board approval-meeting direct in de agenda.<\/p>\n\n\n\n

Deliverable: Entity classification statement. Bevoegde autoriteit ge\u00efdentificeerd. Week 12 board meeting gepland.<\/p>\n\n\n\n

Als de organisatie nog niet zeker weet of NIS2 van toepassing is, is de eerste stap om een plain-English scope test <\/a><\/strong>uit te voeren voordat remediation owners worden toegewezen.<\/p>\n\n\n\n

Week 2: Gap analysis in progress<\/h3>\n\n\n\n

Week 2 draait sterk om interviews. De gap analysis heeft input nodig van IT, HR, operations, compliance, procurement en management. Elk team is eigenaar van een deel van de control environment.<\/p>\n\n\n\n

IT kan toegangsbeheer, asset inventory, logging, patching en incident handling toelichten. HR kan onboarding, offboarding, training en role-based access toelichten. Procurement kan supplier due diligence toelichten. Management kan governance, risk appetite en approval cadence toelichten.<\/p>\n\n\n\n

Deliverable: Concept baseline inventory gemapt op Article 21 measure areas.<\/p>\n\n\n\n

Week 3: Gap assessment, RAG rating en board briefing<\/h3>\n\n\n\n

Aan het einde van Week 3 moet de gap analysis ver genoeg zijn om managementbesluiten te ondersteunen. Elke gap moet een RAG-rating, owner, risk note, remediation action en evidence target hebben.<\/p>\n\n\n\n

De board moet niet wachten tot Week 12 om de eerste NIS2-update te zien. Article 20 legt governanceverantwoordelijkheid bij management bodies. Dat betekent dat management zicht nodig heeft voordat remediation start.<\/p>\n\n\n\n

Management checkpoint (Article 20) \u2014 Week 3<\/h3>\n\n\n\n

Management board gebrieft over de bevindingen uit de gap analysis. Article 20 oversight start hier. De briefing moet worden gedocumenteerd in board meeting notes of een gelijkwaardig record. De board is nu op de hoogte van de NIS2 gaps van de organisatie.<\/p>\n\n\n\n

Common delay risk \u2014 Week 2\u20133<\/h3>\n\n\n\n

Stakeholderbeschikbaarheid is het eerste punt waarop de planning vastloopt. Gap analysis vereist tijd van IT, HR, operations, compliance, procurement en management. Als die interviews niet in Week 1 worden gepland, schuift de hele roadmap op. Mitigatie: verstuur alle Phase 1 calendar invites voordat de gap analysis begint.<\/p>\n\n\n\n

Fase 2: Risk and controls (Week 4\u20136) \u2014 risk assessment en RED gap remediation<\/h2>\n\n\n\n

Fase 2 zet het gap register om in remediationwerk. De prioriteit is niet om alles tegelijk op te lossen. De prioriteit is om de gaps aan te pakken die de hoogste compliance- en operationele blootstelling veroorzaken.<\/p>\n\n\n\n

Voor veel SMEs zijn incident reporting en access control de eerste twee RED gaps. Incident reporting telt omdat er tijdens de roadmap een incident kan plaatsvinden. Access control telt omdat accounts, privileges en MFA zichtbaar zijn in audits, vragenlijsten en incidentreviews.<\/p>\n\n\n\n

Week 4: Risk assessment and treatment plan<\/h3>\n\n\n\n

Week 4 zet het gap register om in een risk treatment plan. Onder Article 21(2)(a) hebben covered entities beleid nodig voor risk analysis en information system security. In de praktijk betekent dit dat de organisatie een herhaalbare manier nodig heeft om risico\u2019s te identificeren, te rangschikken, owners toe te wijzen en treatment te bepalen.<\/p>\n\n\n\n

Elke RED of AMBER gap moet worden beoordeeld op business impact, waarschijnlijkheid, system exposure, data sensitivity en afhankelijkheid van leveranciers.<\/p>\n\n\n\n

Deliverable: Risk assessment results en concept risk treatment plan.<\/p>\n\n\n\n

Zodra de risk assessment is opgesteld, gebruikt u een NIS2 compliance checklist<\/a><\/strong> om te controleren of de belangrijkste Article 21 control areas zijn afgedekt voordat remediation begint.<\/p>\n\n\n\n

Week 5: RED gap remediation starts<\/h3>\n\n\n\n

Week 5 moet starten met de controles die niet kunnen wachten.<\/p>\n\n\n\n

De eerste is Article 23 incident reporting<\/a><\/strong>. NIS2 reporting vereist early warning, incident notification en final reporting voor significante incidenten. De praktische output is een incident response procedure met benoemde rollen, classification criteria, escalation path en reporting timeline.<\/p>\n\n\n\n

De tweede prioriteit is MFA of secure authentication onder Article 21(2)(j), waar passend. Het bewijs is niet alleen een screenshot die laat zien dat MFA bestaat. Het bewijs moet scope, rollout status, exceptions, owner en review date laten zien.<\/p>\n\n\n\n

Deliverable: Incident response procedure opgesteld. MFA implementation in uitvoering. Access control review gestart.<\/p>\n\n\n\n

Week 6: Policies and supply chain<\/h3>\n\n\n\n

Week 6 zet risk treatment om in management-approved policy. Het informatiebeveiligingsbeleid moet direct verwijzen naar Article 21 measures. Generieke \u201ccybersecurity policy\u201d-formuleringen zijn zwakker, omdat ze niet laten zien dat management het NIS2 security programme heeft goedgekeurd.<\/p>\n\n\n\n

Supply chain assessment start ook in Week 6. Onder Article 21(2)(d)<\/a><\/strong> moeten entiteiten supply chain security aanpakken, inclusief leveranciersrelaties. Probeer binnen een 12-weekse roadmap niet elke leverancier tegelijk te beoordelen. Start met de drie belangrijkste kritieke leveranciers: de leveranciers met de meeste systeemtoegang, datatoegang of operationele afhankelijkheid.<\/p>\n\n\n\n

Deliverable: Ondertekend informatiebeveiligingsbeleid. Minimaal \u00e9\u00e9n critical supplier assessment afgerond.<\/p>\n\n\n\n

Management checkpoint (Article 20) \u2014 Week 6<\/h3>\n\n\n\n

Information security policy ingediend voor management signature. Dit is een van de eerste Article 20 evidence documents. Het beleid moet specifiek verwijzen naar Article 21 measures, niet alleen naar \u201ccybersecurity\u201d.<\/p>\n\n\n\n

Common delay risk \u2014 Week 5\u20136<\/h3>\n\n\n\n

Supply chain <\/a><\/strong>scope kan te snel groeien. \u201cAssess all suppliers\u201d is geen Week 6-taak. Mitigatie: beoordeel eerst de top drie kritieke leveranciers en verplaats leveranciers met lager risico naar een 90-day post-roadmap plan.<\/p>\n\n\n\n

Loopt u achter met uw NIS2 implementation \u2014 of weet u niet zeker waar uw team moet starten?<\/p>\n\n\n\n

Sunbytes kan instappen bij de fase waar u nu tegenaan loopt. Als de gap analysis nog niet is gestart, ondersteunen wij Phase 1. Als RED gaps bekend zijn maar remediation is vastgelopen, helpen wij om Phase 2 om te zetten in gecontroleerd deliverywerk. Als uw bewijs verspreid staat over folders, tickets en meeting notes, helpen wij om Phase 3 te structureren tot een evidence pack dat uw team kan gebruiken. Talk to Sunbytes about your NIS2 roadmap.<\/a><\/strong><\/p>\n\n\n\n

Fase 3: Build and evidence (Week 7\u201310) \u2014 controls implementation en evidence collection<\/h2>\n\n\n\n

Fase 3 is het langste deel van de roadmap, omdat plannen worden omgezet in werkende controles en bewijs. Een policy zonder bewijs beantwoordt geen audit request. Een control zonder ownership overleeft de volgende access review niet. Een remediation ticket zonder closure evidence bewijst niet dat het risico is verlaagd.<\/p>\n\n\n\n

Week 7: Continue RED gaps and start AMBER gaps<\/h3>\n\n\n\n

Week 7 houdt RED gap remediation in beweging en start AMBER gaps die proces- of bewijsverbetering nodig hebben.<\/p>\n\n\n\n

Typisch Week 7-werk omvat access review clean-up, afronding van MFA rollout, bevestiging van incident response-rollen, supplier evidence collection, updates aan het secure development process en eigenaarschap voor business continuity.<\/p>\n\n\n\n

Training moet deze week ook worden ontworpen of gepland. Article 20(2) verplicht management bodies om training te volgen en moedigt vergelijkbare training voor medewerkers aan. Het trainingsrecord wordt governance evidence, niet alleen awareness evidence.<\/p>\n\n\n\n

Deliverable: Security controls implementation op schema. Training programme bevestigd.<\/p>\n\n\n\n

Week 8: Training and evidence collection<\/h3>\n\n\n\n

Week 8 moet training records opleveren voor zowel medewerkers als management. Het record moet datum, deelnemers, training topic, trainer of bron, aanwezigheidsstatus en follow-up actions bevatten.<\/p>\n\n\n\n

Dit is ook het moment waarop het evidence pack zichtbaar begint te worden. Bewijs moet worden verzameld in een consistente folder structure, niet verspreid over systemen.<\/p>\n\n\n\n

Deliverable: Training records voor medewerkers en management. Evidence collection 50% compleet.<\/p>\n\n\n\n

Op dit punt moet het team starten met het opbouwen van het NIS2 evidence pack<\/a><\/strong>, zodat elke control een duidelijke owner, proof record en review status heeft.<\/p>\n\n\n\n

Management checkpoint (Article 20) \u2014 Week 8<\/h3>\n\n\n\n

Training completion records van de management board zijn Article 20(2)-bewijs. Deze records moeten in het evidence pack worden opgeslagen, niet alleen in HR- of learning systems.<\/p>\n\n\n\n

Week 9: Evidence collection continues<\/h3>\n\n\n\n

Week 9 is het moment waarop het evidence pack meestal wordt getest. Het team moet voor elk Article 21 measure area \u00e9\u00e9n vraag stellen: kunnen wij bewijzen dat deze control bestaat en werkt?<\/p>\n\n\n\n

Bijvoorbeeld:<\/p>\n\n\n\n

Control area<\/th>Zwak bewijs<\/th>Sterker bewijs<\/th><\/tr><\/thead>
Access control<\/td>Screenshot van users<\/td>Access policy, approval record, quarterly review, exception list<\/td><\/tr>
Incident response<\/td>Alleen policy PDF<\/td>Procedure, role matrix, incident classification flow, reporting timeline<\/td><\/tr>
Supplier security<\/td>Supplier list<\/td>Critical supplier register, questionnaire, risk rating, follow-up owner<\/td><\/tr>
Business continuity<\/td>Backup statement<\/td>BCP, recovery owner, test record, open actions<\/td><\/tr>
Training<\/td>Slide deck<\/td>Attendance record, topic list, board training record<\/td><\/tr><\/tbody><\/table>
Evidence collection<\/figcaption><\/figure>\n\n\n\n

Deliverable: Evidence pack 80% compleet. Business continuity plan opgesteld of gereviewd. Access review records afgerond.<\/p>\n\n\n\n

Week 10: Evidence pack completion<\/h3>\n\n\n\n

In Week 10 moet Tier 1 evidence bestaan voor alle tien Article 21 measure areas. Tier 1 betekent het minimumbewijs dat nodig is om te laten zien dat de control bestaat, een owner heeft en kan worden gereviewd. Tier 2 evidence kan later volgen waar de organisatie meer auditdiepte nodig heeft.<\/p>\n\n\n\n

De folder structure telt. Evidence moet makkelijk te navigeren zijn op control area, owner, datum en status. Een regulator, auditor, buyer of board member moet de projectgeschiedenis niet hoeven interpreteren om te begrijpen wat er is gedaan.<\/p>\n\n\n\n

Deliverable: Tier 1 NIS2 evidence pack afgerond. MFA afgerond of residual rollout gedocumenteerd. Folder structure georganiseerd.<\/p>\n\n\n\n

Common delay risk \u2014 Week 8\u20139<\/h3>\n\n\n\n

Evidence bestaat vaak wel, maar is niet leesbaar of toegankelijk. Screenshots staan in tickets, policies staan in shared drives en approvals staan in meeting notes. Mitigatie: benoem in Week 1 \u00e9\u00e9n evidence coordinator die evidence ownership vanaf het begin volgt.<\/p>\n\n\n\n

Fase 4: Validation and readiness (Week 11\u201312) \u2014 review, board approval en archive<\/h2>\n\n\n\n

Fase 4 controleert of de organisatie kan uitleggen wat is gedaan, wat open blijft, wie residual risk heeft geaccepteerd en waar het bewijs is opgeslagen.<\/p>\n\n\n\n

Deze fase moet geen grote nieuwe controls introduceren. De fase moet de basislijn valideren, evidence gaps sluiten, residual risk documenteren en het management body het Article 21 security programme laten goedkeuren.<\/p>\n\n\n\n

Week 11: Internal review<\/h3>\n\n\n\n

Week 11 is een interne review langs de tien Article 21 measure areas. Het team moet bevestigen dat elk gebied een owner, control status, evidence record en next action heeft wanneer nodig.<\/p>\n\n\n\n

Residual gaps moeten worden gedocumenteerd. Voor AMBER gaps betekent dit owner, target date, business impact en interim control. Voor RED gaps die open blijven, moet management het risico begrijpen en een vastgelegde beslissing nemen.<\/p>\n\n\n\n

Deliverable: Internal review report. Residual risk acceptance record. Board RAG summary approved.<\/p>\n\n\n\n

Week 12: Readiness confirmation<\/h3>\n\n\n\n

Week 12 is het board approval point. Het management body moet het Article 21 security programme formeel goedkeuren en die goedkeuring vastleggen in notulen.<\/p>\n\n\n\n

De board minutes moeten benoemen wat is gepresenteerd, wie aanwezig was, wat is goedgekeurd, welke residual gaps open blijven en welke next review cadence geldt. De notulen moeten specifiek verwijzen naar het Article 21 programme. \u201cCybersecurity update approved\u201d is te vaag.<\/p>\n\n\n\n

Competent authority registration moet niet als een nieuwe Week 12-taak worden behandeld. In Week 12 moet de organisatie bevestigen dat registration evidence of registration status is opgeslagen in het evidence pack. Als registratie nog niet compleet is, is dat een readiness gap, geen validation task.<\/p>\n\n\n\n

Deliverable: Board minutes approving Article 21 programme. Competent authority registration evidence opgeslagen. Evidence pack archived en access-controlled.<\/p>\n\n\n\n

Management checkpoint (Article 20) \u2014 Week 12<\/h3>\n\n\n\n

Board approval in meeting minutes is het belangrijkste Article 20 compliance document in deze roadmap. Het moet specifiek verwijzen naar het Article 21 security programme, de aanwezigen benoemen, de approval date vastleggen en alle residual risk noemen die door management is geaccepteerd.<\/p>\n\n\n\n

Common delay risk \u2014 Week 12<\/h3>\n\n\n\n

Board approval schuift op wanneer de meeting niet vroeg wordt gepland. Voor SMEs kunnen board calendars vier tot zes weken vooruit vol zitten. Mitigatie: plan de Week 12 board meeting op de eerste werkdag van Week 1. De Week 12 board approval moet worden gedocumenteerd als management accountability<\/a><\/strong> evidence, niet worden behandeld als algemene cybersecurity update.<\/p>\n\n\n\n

De roadmap aanpassen voor Essential vs Important entities<\/h2>\n\n\n\n

Essential en Important entities kunnen dezelfde 12-weekse structuur gebruiken, maar de timing en bewijsdiepte verschillen. Essential entities hebben meestal eerder sterkere readiness nodig, omdat de supervisory expectations hoger zijn.<\/p>\n\n\n\n

Aspect<\/th>Essential entity<\/th>Important entity<\/th><\/tr><\/thead>
Supervisory model<\/td>Reken op meer proactive supervisory scrutiny. Evidence moet vanaf Week 12 klaar zijn voor review.<\/td>Supervision is waarschijnlijker reactief, bijvoorbeeld na een incident of klacht. Evidence moet nog steeds in Week 12 georganiseerd zijn.<\/td><\/tr>
Supply chain assessment priority<\/td>Hoger. Kritieke leveranciers moeten vroeg worden beoordeeld, met een sterker follow-up plan.<\/td>Start met kritieke leveranciers in Week 6. Leveranciers met lager risico kunnen naar het 90-day plan.<\/td><\/tr>
Management governance urgency<\/td>Board visibility moet vroeg plaatsvinden. Een Week 3 board briefing is niet optioneel.<\/td>Board briefing in Week 3 en formele approval in Week 12 is meestal werkbaar voor de roadmap.<\/td><\/tr>
Registration status<\/td>Bevestig v\u00f3\u00f3r Week 1 waar nationale regels registratie vereisen. Als dit niet compleet is, wordt registratie de eerste readiness action.<\/td>Bevestig in Week 1 en sla evidence op. Als dit niet compleet is, leg het vast als readiness gap en wijs een owner toe.<\/td><\/tr>
Evidence standard<\/td>Tier 1 evidence plus geselecteerde Tier 2 evidence aanbevolen tegen Week 12.<\/td>Tier 1 evidence voor alle tien Article 21 measure areas tegen Week 12. Tier 2 kan naar de improvement cycle.<\/td><\/tr><\/tbody><\/table>
Roadmap aanpassen voor Essential vs Important entities<\/figcaption><\/figure>\n\n\n\n

Dutch Wbni and RDI context<\/h3>\n\n\n\n

Voor Nederlandse organisaties wordt NIS2 ge\u00efmplementeerd via de Cyberbeveiligingswet (Cbw)<\/a>. De Tweede Kamer heeft de Cbw en Wwke in april 2026 aangenomen, maar organisaties moeten nog steeds de laatste datum van inwerkingtreding en sector guidance controleren via offici\u00eble Nederlandse overheid- en RDI-bronnen voordat zij vertrouwen op implementatieformuleringen.<\/p>\n\n\n\n

Voor Nederlandse entiteiten moet registratie worden behandeld als een prerequisite of Week 1 confirmation task, niet als een Week 12 deliverable. Als uw organisatie registratieplichtig is en dit nog niet heeft afgerond, doe dat dan voordat u de 12-weekse roadmap als implementatievolgorde behandelt.<\/p>\n\n\n\n

Voor organisaties in digital infrastructure, managed services, telecom, finance en healthcare moeten de bevoegde autoriteit en sectorspecifieke verwachtingen worden gecontroleerd voordat een generieke roadmap wordt gebruikt. De volgorde helpt nog steeds, maar sectorregels kunnen invloed hebben op timelines, evidence depth en reporting channels.<\/p>\n\n\n\n

De drie meest voorkomende NIS2 implementation delays \u2014 en hoe u ze voorkomt<\/h2>\n\n\n\n
\"03
03 meest voorkomende NIS2 implementation delays<\/figcaption><\/figure>\n\n\n\n

De 12-weekse roadmap loopt vast wanneer drie afhankelijkheden worden behandeld als administratieve taken in plaats van delivery risks.<\/p>\n\n\n\n

1. Stakeholder availability in Week 2\u20133<\/h3>\n\n\n\n

Gap analysis vereist interviews met IT, HR, operations, compliance, procurement en management. Als die mensen niet beschikbaar zijn, loopt de gap analysis vast.<\/p>\n\n\n\n

Prevention: plan interviews in Week 1. Benoem \u00e9\u00e9n owner voor het interviewplan. Start de gap analysis niet zonder bevestigde calendar slots.<\/p>\n\n\n\n

2. Supply chain assessment in Week 5\u20136<\/h3>\n\n\n\n

Supplier reviews groeien snel wanneer het team elke supplier tegelijk probeert te behandelen. Dat maakt de roadmap te zwaar voor een 12-weekse basislijn.<\/p>\n\n\n\n

Prevention: start met de top drie kritieke leveranciers. Gebruik data access, system access en operational dependency als selectiecriteria. Verplaats de volledige supplier list naar een 90-day plan.<\/p>\n\n\n\n

3. Board meeting scheduling in Week 12<\/h3>\n\n\n\n

De Week 12 board approval is een compliance deliverable, geen formaliteit. Als de meeting niet vroeg wordt geboekt, kan approval meerdere weken opschuiven.<\/p>\n\n\n\n

Prevention: plan de Week 12 meeting in Week 1. Stuur de board tegelijkertijd een korte roadmap note, zodat zij weten welk besluit nodig zal zijn.<\/p>\n\n\n\n

Wat \u201caudit-ready in Week 12\u201d echt betekent<\/h2>\n\n\n\n

Audit-ready in Week 12 betekent niet dat elk security issue is gesloten. Het betekent dat de organisatie kan laten zien wat is beoordeeld, wat is hersteld, wat open blijft, wie elke gap bezit en welk bewijs het programma ondersteunt.<\/p>\n\n\n\n

Wat het betekent<\/h3>\n\n\n\n

In Week 12 moet de organisatie beschikken over:<\/p>\n\n\n\n

    \n
  1. Tier 1 evidence voor alle tien Article 21 measure areas.<\/li>\n\n\n\n
  2. Een management-approved Article 21 security programme.<\/li>\n\n\n\n
  3. Board minutes die approval onder Article 20 governance vastleggen.<\/li>\n\n\n\n
  4. Competent authority registration evidence of status opgeslagen in het evidence pack.<\/li>\n\n\n\n
  5. Resterende AMBER gaps gedocumenteerd met owners, datums en interim controls.<\/li>\n\n\n\n
  6. Een 90-day improvement plan voor werk dat niet binnen de 12-weekse basislijn kan worden afgerond.<\/li>\n<\/ol>\n\n\n\n

    Wat het niet betekent<\/h3>\n\n\n\n

    Audit-ready betekent geen perfecte compliance. Sommige AMBER gaps kunnen nog openstaan met gedocumenteerde remediation timelines.<\/p>\n\n\n\n

    Het betekent ook niet het einde van het compliance programme. NIS2 readiness vereist review cycles, access reviews, supplier reassessments, training updates, incident tests en management reporting.<\/p>\n\n\n\n

    Het beschermt de organisatie ook niet tegen een significant incident tijdens de roadmap. Article 23 readiness moet in Week 5 starten, omdat incidenten v\u00f3\u00f3r Week 12 kunnen plaatsvinden.<\/p>\n\n\n\n

    Hoe Sunbytes de NIS2 implementation roadmap levert voor Nederlandse organisaties<\/h2>\n\n\n\n

    Sunbytes structureert NIS2 implementation support rond dezelfde operationele volgorde: scope, gap analysis, risk-ranked remediation, evidence pack assembly en board-ready documentation.<\/p>\n\n\n\n

    Voor Nederlandse en EU-SMEs is het praktische doel geen generieke compliance statement. Het doel is een set documenten en controles die een CTO, compliance officer of management body kan gebruiken v\u00f3\u00f3r de volgende audit, customer security questionnaire of remediation review.<\/p>\n\n\n\n

    Why Sunbytes?<\/h3>\n\n\n\n

    Sunbytes<\/a><\/strong> is een Nederlands technologiebedrijf met hoofdkantoor in Nederland en een delivery hub in Vietnam. Al 15 jaar helpen wij klanten wereldwijd met Transform \u00b7 Secure \u00b7 Accelerate \u2014 strategie omzetten in deliverywerk met security ingebouwd. Sunbytes is ISO 27001 gecertificeerd, en engagements kunnen werken onder een getekende DPA met een gedocumenteerd auditspoor.<\/p>\n\n\n\n