De zorgplicht is de kern van NIS2 en dus van de Cyberbeveiligingswet, de Nederlandse implementatie die op 15 augustus 2026 in werking treedt. Organisaties moeten op basis van een eigen risicobeoordeling passende en evenredige maatregelen nemen om hun netwerk- en informatiesystemen te beveiligen. Artikel 21 van de richtlijn benoemt tien gebieden waarop die maatregelen ten minste betrekking hebben.
Wat is de zorgplicht precies?
De zorgplicht is nadrukkelijk géén afvinklijst. Het vertrekpunt is een risicobeoordeling: welke dreigingen raken uw dienstverlening, wat is de mogelijke impact en welke maatregelen passen daarbij? De richtlijn hanteert daarbij een all-hazards-benadering: niet alleen digitale aanvallen tellen mee, maar ook fysieke oorzaken zoals stroomuitval, brand of menselijke fouten. De maatregelen moeten passend zijn (aansluiten op het risico) en evenredig (in verhouding staan tot omvang, kosten en maatschappelijke rol van de organisatie).
Voor wie geldt de zorgplicht?
De zorgplicht geldt voor essentiële en belangrijke entiteiten in de aangewezen sectoren én voor overheden. Ook wie er formeel buiten valt, krijgt de eisen in de praktijk vaak opgelegd via klanten of de keten: ketenbeveiliging is immers zelf een van de tien maatregelgebieden. Twijfelt u over de scope, documenteer dan in elk geval de conclusie.
De tien maatregelgebieden van artikel 21
- Risicoanalyse en beveiligingsbeleid
- Een actueel, bestuurlijk vastgesteld informatiebeveiligingsbeleid op basis van risico.
- Incidentenbehandeling
- Een vastgesteld en beoefend proces voor detectie, afhandeling en evaluatie van incidenten.
- Bedrijfscontinuïteit
- Back-upbeheer, hersteltests en crisisbeheer voor uitval van kritieke ICT.
- Ketenbeveiliging
- Beveiligingseisen aan kritieke leveranciers en periodieke beoordeling daarvan.
- Veilige ontwikkeling en verwerving
- Beveiliging meenemen in inkoop, ontwikkeling en onderhoud van systemen.
- Effectiviteitstoetsing
- Beleid en procedures om te beoordelen of maatregelen werken (audits, pentesten).
- Cyberhygiëne en opleiding
- Basismaatregelen en periodieke bewustwording voor medewerkers.
- Cryptografie en encryptie
- Beleid voor versleuteling van gevoelige gegevens, in rust en onderweg.
- Toegangsbeveiliging en assetbeheer
- Least privilege, autorisatiebeheer en een actueel overzicht van bedrijfsmiddelen.
- Multifactorauthenticatie
- MFA op externe toegang en beheeraccounts, en beveiligde communicatie.
BIO2 als invulling voor de overheid
Voor Nederlandse overheden geldt de doorontwikkelde Baseline Informatiebeveiliging Overheid (BIO2) als praktische invulling van de zorgplicht. Wie aantoonbaar aan de BIO2 voldoet, geeft daarmee invulling aan de Cbw-maatregelen.
Zorgplicht en ISO 27001: grote overlap
Werkt uw organisatie al met ISO 27001 (of de BIO, die erop gebaseerd is), dan is een groot deel van de tien gebieden al belegd: risicobeleid, incidentbehandeling, continuïteit, toegangsbeveiliging en cryptografie komen rechtstreeks uit dat normenkader. De aanvulling die NIS2 vraagt, zit vooral in de expliciete bestuursverantwoordelijkheid, de ketenbeveiliging en het wettelijke meldproces. Breng de overlap in kaart en organiseer alleen wat ontbreekt, in plaats van opnieuw te beginnen.
Hoe maakt u de zorgplicht aantoonbaar?
- Doorloop per maatregelgebied een zelfevaluatie: wat staat er, wat ontbreekt, en waarom is dat passend bij uw risico’s?
- Vertaal elke ontbrekende maatregel naar een taak met eigenaar en deadline, zodat opvolging een proces wordt.
- Koppel bewijs aan de maatregelen: beleid, procedures, testrapporten, of een verwijzing naar het bronsysteem of zaaknummer.
- Laat het bestuur het beleid en de risicoafwegingen formeel vaststellen; die goedkeuring is zelf een wettelijke eis.
- Herbeoordeel periodiek (PDCA): een zorgplicht die één keer is ingevuld en daarna veroudert, is geen zorgplicht meer.
Drie veelgemaakte misstappen
- 1. Beleid zonder bestuurlijke vaststelling
- Een beveiligingsbeleid dat nooit door het bestuur is goedgekeurd, voldoet niet: artikel 20 van NIS2 legt de goedkeuring en het toezicht expliciet bij het bestuur, met persoonlijke aansprakelijkheid als sluitstuk.
- 2. Afvinken zonder risicobeoordeling
- Wie de tien gebieden als checklist afwerkt zonder eigen risicobeoordeling, kan niet uitleggen waaróm de maatregelen passend zijn. Precies die onderbouwing is wat een toezichthouder wil zien.
- 3. Eenmalig project in plaats van doorlopend proces
- De zorgplicht is een permanente verplichting. Zonder herbeoordelingsdata, taken en een rapportagecyclus zakt het dossier binnen een jaar terug naar de situatie van vóór het project.
Maak het aantoonbaar
De zorgplicht is risicogebaseerd: u moet kunnen laten zien dat uw maatregelen passen bij uw risico’s. Een bijgehouden zelfevaluatie per gebied, met onderbouwing, taken en bewijs, vormt het dossier richting bestuur en toezichthouder. In Normio staat die zelfevaluatie per zorgplichtgebied klaar, inclusief ISO-mapping en bestuursrapportage.