Gratis NIS2-checklist voor de Cyberbeveiligingswet

A1

U heeft vastgesteld en onderbouwd of uw organisatie onder de Cbw valt, en of zij een essentiële of belangrijke entiteit is (sector uit bijlage 1 of 2, omvang).

Wetsartikel:

Art. 8 en 12 Cbw

In de toolkit:

CBW-001 Toepasselijkheid en registratie

A2

Uw organisatie is geregistreerd via MijnNCSC, met naam, adres, contactgegevens, IP-reeksen, sector, lidstaten, KvK-nummer en domeinnamen.

Wetsartikel:

Art. 44 lid 1 Cbw, art. 27 Cbb

In de toolkit:

CBW-001 Toepasselijkheid en registratie

A3

Er is vastgelegd wie wijzigingen in de registratie doorgeeft, onverwijld en in elk geval binnen twee weken.

Wetsartikel:

Art. 44 lid 2 Cbw

In de toolkit:

CBW-001 Toepasselijkheid en registratie

B1

Het bestuur heeft de maatregelen van de zorgplicht goedgekeurd, en dat besluit is vastgelegd.

Wetsartikel:

Art. 24 lid 1 Cbw

In de toolkit:

CBW-002 Bestuur - goedkeuring en training · DIR-P01 Procedure management review

B2

Elk bestuurslid heeft een certificaat van een training over cyberrisico's en de maatregelen van de zorgplicht (zittende bestuurders uiterlijk 15 augustus 2028, nieuwe binnen twee jaar na benoeming).

Wetsartikel:

Art. 24 lid 2, 3 en 5 Cbw, art. 21 en 22 Cbb

In de toolkit:

CBW-002 Bestuur - goedkeuring en training

B3

Elk bestuurslid houdt die kennis aantoonbaar actueel.

Wetsartikel:

Art. 24 lid 4 Cbw

In de toolkit:

CBW-002 Bestuur - goedkeuring en training

C1Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Er is schriftelijk vastgesteld beleid over de beveiliging van de netwerk- en informatiesystemen, en dat beleid wordt aantoonbaar toegepast.

Wetsartikel:

Art. 6 lid 1 Cbb

In de toolkit:

BLD-002 Informatiebeveiligingsbeleid · IHB-001 Handboek cyberbeveiliging

C2Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Rollen, verantwoordelijkheden en bevoegdheden voor beveiliging zijn vastgesteld; conflicterende rollen zijn zoveel mogelijk gescheiden.

Wetsartikel:

Art. 6 lid 2 Cbb

In de toolkit:

ORG-001 Rollen en verantwoordelijkheden

C3Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Van personeel en andere werkzame personen wordt verlangd dat zij de beveiliging volgens het beleid toepassen.

Wetsartikel:

Art. 6 lid 3 Cbb

In de toolkit:

GBR-001 Regels voor medewerkers

C4Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Er is een managementsystematiek waarmee de organisatie aantoonbaar aan de zorgplicht voldoet.

Wetsartikel:

Art. 6 lid 4 Cbb

In de toolkit:

IHB-001 Handboek cyberbeveiliging · SCP-001 Toepassingsgebied · DOC-P01 Procedure documentbeheer

C5Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Er is schriftelijk vastgesteld beleid over risicomanagement, met een risicomanagementmethodiek en criteria voor risicoacceptatie.

Wetsartikel:

Art. 7 lid 1 en 2 Cbb

In de toolkit:

ISB-P01 Procedure risicomanagement

C6Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Er zijn processen en procedures voor risicoanalyse, risicobeoordeling en risicobehandeling, en die worden aantoonbaar toegepast.

Wetsartikel:

Art. 7 lid 3 Cbb

In de toolkit:

ISB-P01 Procedure risicomanagement

C7Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Er is een overzicht van de risico's voor de netwerk- en informatiesystemen.

Wetsartikel:

Art. 7 lid 4 Cbb

In de toolkit:

RSK-002 Risicoregister en behandelplan

C8Onderdeel a: Beleid inzake risicoanalyse en beveiliging van informatiesystemen

Op basis van dat overzicht zijn beveiligingseisen gesteld, en waar nodig zijn maatregelen structureel en aantoonbaar geborgd.

Wetsartikel:

Art. 7 lid 5 Cbb

In de toolkit:

RSK-002 Risicoregister en behandelplan

C9Onderdeel b: Incidentenbehandeling

Er is schriftelijk vastgesteld beleid over incidentenbehandeling, en dat wordt aantoonbaar toegepast.

Wetsartikel:

Art. 8 lid 1 Cbb

In de toolkit:

ISB-P03 Incidenten melden en afhandelen

C10Onderdeel b: Incidentenbehandeling

Rollen en procedures zijn vastgesteld voor het detecteren, analyseren, reageren op, documenteren, rapporteren van en leren van incidenten.

Wetsartikel:

Art. 8 lid 2, 4 en 5 Cbb

In de toolkit:

ISB-P03 Incidenten melden en afhandelen · T-ISB-001 Incidentrapport

C11Onderdeel b: Incidentenbehandeling

Relevante gebeurtenissen in de systemen worden gemonitord om incidenten te detecteren, analyseren en classificeren.

Wetsartikel:

Art. 8 lid 3 Cbb

In de toolkit:

ISB-P10 Logging en monitoring

C12Onderdeel b: Incidentenbehandeling

Relevante gebeurtenissen worden gelogd; de logbestanden worden een vooraf bepaalde periode bewaard en beschermd tegen ongeautoriseerde wijziging.

Wetsartikel:

Art. 8 lid 6 Cbb

In de toolkit:

ISB-P10 Logging en monitoring

C13Onderdeel c: Bedrijfscontinuïteit en crisisbeheer

Er is schriftelijk vastgesteld bedrijfscontinuïteitsbeleid voor de netwerk- en informatiesystemen.

Wetsartikel:

Art. 9 lid 1 Cbb

In de toolkit:

ISB-P04 Bedrijfscontinuïteit

C14Onderdeel c: Bedrijfscontinuïteit en crisisbeheer

Er worden back-ups gemaakt waarvan de betrouwbaarheid periodiek wordt geverifieerd, en de herstelprocedures worden periodiek getest.

Wetsartikel:

Art. 9 lid 2 Cbb

In de toolkit:

ISB-P11 Back-up en herstel

C15Onderdeel c: Bedrijfscontinuïteit en crisisbeheer

Er is een schriftelijk bedrijfscontinuïteitsplan en een herstelplan, en beide worden periodiek getest.

Wetsartikel:

Art. 9 lid 3 en 4 Cbb

In de toolkit:

ISB-P04 Bedrijfscontinuïteit · ISB-P11 Back-up en herstel

C16Onderdeel c: Bedrijfscontinuïteit en crisisbeheer

Er is een schriftelijk crisisplan met taken en bevoegdheden, communicatiemiddelen en waar passend noodvoorzieningen; het wordt periodiek getest en beoefend.

Wetsartikel:

Art. 9 lid 5 Cbb

In de toolkit:

ISB-P04 Bedrijfscontinuïteit

C17Onderdeel d: Beveiliging van de toeleveringsketen

Er is schriftelijk vastgesteld beleid over de toeleveringsketen: hoe de organisatie omgaat met afhankelijkheden van leveranciers en dienstverleners.

Wetsartikel:

Art. 10 lid 1 Cbb

In de toolkit:

ISB-P05 Leveranciers en clouddiensten

C18Onderdeel d: Beveiliging van de toeleveringsketen

Rechtstreekse leveranciers en dienstverleners worden getoetst aan de beveiligingseisen, en dat wordt periodiek gecontroleerd.

Wetsartikel:

Art. 10 lid 2 Cbb

In de toolkit:

T-LEV-001 Leveranciersbeoordeling · AST-001 Register bedrijfsmiddelen

C19Onderdeel e: Beveiliging bij verwerven, ontwikkelen en onderhouden

Er is schriftelijk vastgesteld beleid voor de risico's bij het verwerven van software, hardware en diensten.

Wetsartikel:

Art. 11 lid 1 Cbb

In de toolkit:

ISB-P05 Leveranciers en clouddiensten · ISB-P08 Wijzigingen in systemen en projecten

C20Onderdeel e: Beveiliging bij verwerven, ontwikkelen en onderhouden

Als de organisatie zelf systemen ontwikkelt: er zijn procedures voor veilige ontwikkeling in alle ontwikkelingsfasen.

Wetsartikel:

Art. 11 lid 2 Cbb

In de toolkit:

ISB-P13 Veilige softwareontwikkeling

C21Onderdeel e: Beveiliging bij verwerven, ontwikkelen en onderhouden

Er zijn procedures voor onderhoud en beheer, met ten minste configuratiebeheer en wijzigingsbeheer.

Wetsartikel:

Art. 11 lid 3 Cbb

In de toolkit:

ISB-P08 Wijzigingen in systemen en projecten · ISB-P12 Netwerkbeveiliging · T-WIJ-001 Wijzigingsverzoek

C22Onderdeel e: Beveiliging bij verwerven, ontwikkelen en onderhouden

Er is geregeld hoe op kwetsbaarheden wordt gereageerd en hoe ze worden bekendgemaakt.

Wetsartikel:

Art. 21 lid 3 onderdeel e Cbw

In de toolkit:

ISB-P14 Werkplekken, malware en kwetsbaarheden

C23Onderdeel f: Beoordelen van de effectiviteit van maatregelen

De doeltreffendheid van de maatregelen wordt periodiek geëvalueerd en schriftelijk vastgelegd; waar nodig worden maatregelen aangepast.

Wetsartikel:

Art. 18 Cbb

In de toolkit:

AUD-P01 Procedure evaluatie en interne audit · T-AUD-003 Evaluatiechecklist Cyberbeveiligingswet · DIR-P01 Procedure management review

C24Onderdeel g: Cyberhygiëne en opleiding

Personeel is, voor zover relevant voor de functie, bewust van de risico's en past cyberhygiëne toe.

Wetsartikel:

Art. 12 lid 1 Cbb

In de toolkit:

CMP-001 Competenties, training en bewustzijn · GBR-001 Regels voor medewerkers

C25Onderdeel g: Cyberhygiëne en opleiding

Medewerkers met beveiligingstaken zijn aangewezen en krijgen regelmatig opleiding.

Wetsartikel:

Art. 12 lid 2 Cbb

In de toolkit:

CMP-001 Competenties, training en bewustzijn

C26Onderdeel h: Cryptografie en encryptie

Er is schriftelijk vastgesteld beleid over cryptografie, met procedures die aantoonbaar worden toegepast.

Wetsartikel:

Art. 13 lid 1 en 2 Cbb

In de toolkit:

ISB-P09 Versleuteling

C27Onderdeel h: Cryptografie en encryptie

Vastgelegd is wanneer cryptografie wordt ingezet, welke encryptie wordt gebruikt, en wie verantwoordelijk is voor implementatie en sleutelbeheer.

Wetsartikel:

Art. 13 lid 3 Cbb

In de toolkit:

ISB-P09 Versleuteling

C28Onderdeel i: Personeel, toegangsbeleid en beheer van assets

De personen met beveiligingsrollen zijn aangewezen; die aanwijzing wordt periodiek geëvalueerd.

Wetsartikel:

Art. 14 lid 1 en 2 Cbb

In de toolkit:

ORG-001 Rollen en verantwoordelijkheden · HRM-P01 Procedure HR-beveiliging

C29Onderdeel i: Personeel, toegangsbeleid en beheer van assets

Er zijn betrouwbaarheidseisen voor personeel, voor zover passend en nodig voor de taak.

Wetsartikel:

Art. 14 lid 3 Cbb

In de toolkit:

HRM-P01 Procedure HR-beveiliging · T-GHV-001 Geheimhoudingsverklaring

C30Onderdeel i: Personeel, toegangsbeleid en beheer van assets

Er is schriftelijk vastgesteld beleid over logische en fysieke toegang: uitgeven, monitoren, gebruiken, wijzigen en intrekken van identiteiten en autorisaties.

Wetsartikel:

Art. 15 lid 1 en 2 Cbb

In de toolkit:

ISB-P02 Toegangsbeheer · ISB-P07 Fysieke beveiliging

C31Onderdeel i: Personeel, toegangsbeleid en beheer van assets

Identiteiten, authenticatiemiddelen en autorisaties worden periodiek gecontroleerd op noodzaak, juistheid en actualiteit.

Wetsartikel:

Art. 15 lid 3 Cbb

In de toolkit:

ISB-P02 Toegangsbeheer

C32Onderdeel i: Personeel, toegangsbeleid en beheer van assets

Er is schriftelijk vastgesteld beleid voor assetbeheer, met een classificatiesysteem en regels voor aanvaardbaar gebruik.

Wetsartikel:

Art. 16 lid 1 en 2 Cbb

In de toolkit:

ISB-P06 Classificatie en uitwisseling van informatie · GBR-001 Regels voor medewerkers

C33Onderdeel i: Personeel, toegangsbeleid en beheer van assets

Er is een volledige en actuele inventaris van de assets, met procedures voor het beheer ervan.

Wetsartikel:

Art. 16 lid 3 en 4 Cbb

In de toolkit:

AST-001 Register bedrijfsmiddelen

C34Onderdeel j: Multifactorauthenticatie en beveiligde communicatie

Waar passend wordt multifactor- of continue authenticatie gebruikt, en beveiligde spraak-, video- en tekstcommunicatie en noodcommunicatie.

Wetsartikel:

Art. 21 lid 3 onderdeel j Cbw

In de toolkit:

ISB-P02 Toegangsbeheer

C35

Gerichte attenderingen, beveiligingsadviezen en dreigingsinformatie (bijvoorbeeld van het CSIRT) worden beoordeeld; de uitkomst wordt schriftelijk vastgelegd.

Wetsartikel:

Art. 17 Cbb

In de toolkit:

CBW-003 Register attenderingen en adviezen

D1

Er zijn criteria om te bepalen wanneer een incident significant is (ernstige verstoring, financieel verlies of schade aan anderen).

Wetsartikel:

Art. 25 Cbw

In de toolkit:

CBW-P01 Procedure meldplicht significante incidenten

D2

Een vroegtijdige waarschuwing aan CSIRT en toezichthouder kan onverwijld en in elk geval binnen 24 uur, met de contactgegevens van de verantwoordelijke functionaris.

Wetsartikel:

Art. 26 Cbw

In de toolkit:

CBW-P01 Procedure meldplicht significante incidenten · T-CBW-001 Meldingsdossier significant incident

D3

Een melding met een eerste beoordeling van ernst en gevolgen kan binnen 72 uur.

Wetsartikel:

Art. 27 Cbw

In de toolkit:

CBW-P01 Procedure meldplicht significante incidenten · T-CBW-001 Meldingsdossier significant incident

D4

Op verzoek kan een tussentijds verslag worden ingediend, en uiterlijk een maand na de melding een eindverslag (of een voortgangsverslag als het incident nog loopt).

Wetsartikel:

Art. 28 en 29 Cbw

In de toolkit:

CBW-P01 Procedure meldplicht significante incidenten · T-CBW-001 Meldingsdossier significant incident

D5

Afnemers worden waar nodig onverwijld geïnformeerd over significante incidenten en over maatregelen bij een significante cyberdreiging.

Wetsartikel:

Art. 30 Cbw

In de toolkit:

CBW-P01 Procedure meldplicht significante incidenten · COM-001 Communicatieplan