NIS2 en CER-richtlijn mappen
De NIS2 CER mapping laat zien dat de twee richtlijnen elkaar vooral raken bij risicobeoordeling, incidentrespons, bedrijfscontinuïteit, personeelsveiligheid en melden. Daar heeft een NIS2 eis een tegenhanger in de CER-richtlijn, maar steeds met een andere reikwijdte.
NIS2 richt die eisen op netwerk- en informatiesystemen. De CER-richtlijn richt ze op de fysieke weerbaarheid van de dienst zelf, tegen dreigingen als sabotage, natuurrampen en hybride dreigingen.
De technische NIS2 eisen hebben in CER geen tegenhanger. Dat gaat om veilige aanschaf en ontwikkeling van systemen, kwetsbaarheidsbeheer, cryptografie en meerfactorauthenticatie.
Andersom heeft NIS2 geen volwaardige tegenhanger voor de fysieke beveiliging van terreinen en installaties, en geen apart weerbaarheidsplan zoals CER dat vraagt.
De NIS2-kant van deze mapping komt uit artikel 21 van Richtlijn (EU) 2022/2555, zoals de Cyberbeveiligingswet en het Cyberbeveiligingsbesluit die uitwerken. De CER-kant komt uit Richtlijn (EU) 2022/2557, in Nederland omgezet in de Wet weerbaarheid kritieke entiteiten (Wwke).
Een officiële mapping tussen NIS2 en CER bestaat niet. De tabellen hieronder leggen de wetteksten zelf naast elkaar, per eis en in beide richtingen.
NIS2 naar CER: welke eisen van de CER-richtlijn bij welke NIS2 eis horen
De NIS2 eisen uit NIS2 artikel 21 lid 2 hebben bij zeven van de tien onderdelen een gedeeltelijke tegenhanger in de CER-richtlijn. Bestuur, melden en registratie staan als extra rijen onderaan.
| NIS2 eis | Tegenhanger in CER | Dekking | Bron NIS2 |
|---|---|---|---|
| Risicoanalyse en beleid voor informatiebeveiliging | Risicobeoordeling door de kritieke entiteit, gericht op alle risico's voor de dienstverlening | Deels | NIS2-richtlijn art. 21 lid 2 onder a |
| Incidentenbehandeling | Maatregelen om op incidenten te reageren en de gevolgen te beperken | Deels | NIS2-richtlijn art. 21 lid 2 onder b |
| Bedrijfscontinuïteit, back-upbeheer, noodherstel en crisisbeheer | Herstel na incidenten en maatregelen voor bedrijfscontinuïteit | Deels (back-up van data valt buiten CER) | NIS2-richtlijn art. 21 lid 2 onder c |
| Beveiliging van de toeleveringsketen | Afhankelijkheden van andere sectoren en leveranciers in de risicobeoordeling | Deels | NIS2-richtlijn art. 21 lid 2 onder d |
| Beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, inclusief kwetsbaarheden | Geen | Geen | NIS2-richtlijn art. 21 lid 2 onder e |
| Beoordeling van de effectiviteit van maatregelen | Geen eigen eis voor het toetsen van cybermaatregelen | Geen | NIS2-richtlijn art. 21 lid 2 onder f |
| Cyberhygiëne en training | Bewustwording en training van personeel | Deels | NIS2-richtlijn art. 21 lid 2 onder g |
| Cryptografie en encryptie | Geen | Geen | NIS2-richtlijn art. 21 lid 2 onder h |
| Personeelsbeveiliging, toegangsbeleid en beheer van activa | Beheer van personeelsveiligheid en toegang tot locaties | Deels | NIS2-richtlijn art. 21 lid 2 onder i |
| Meerfactorauthenticatie en beveiligde communicatie | Geen | Geen | NIS2-richtlijn art. 21 lid 2 onder j |
| Goedkeuring van de maatregelen door het bestuur | Maatregelen liggen bij de entiteit, zonder vergelijkbare goedkeuringsplicht voor het bestuur | Deels | NIS2-richtlijn art. 20 |
| Melden van significante incidenten | Melden van incidenten die de dienstverlening verstoren | Deels | NIS2-richtlijn art. 23 |
| Registratie in het nationale register | Aanwijzing als kritieke entiteit door de lidstaat | Deels (andere route) | Cbw art. 43 lid 1 |
Van de dertien rijen hebben er negen een gedeeltelijke tegenhanger en vier geen. Alle vier de rijen zonder tegenhanger zijn technisch restant; het gedeeltelijke restant is vooral organisatorisch.
CER naar NIS2: welke eisen van de CER-richtlijn meetellen voor NIS2
De CER-eisen tellen voor NIS2 mee waar ze ook de netwerk- en informatiesystemen raken. De fysieke kern van CER heeft in NIS2 hooguit een gedeeltelijke tegenhanger.
| Onderdeel van CER | NIS2 tegenhanger | Bron NIS2 |
|---|---|---|
| Risicobeoordeling door de kritieke entiteit | Risicoanalyse, deels | NIS2-richtlijn art. 21 lid 2 onder a |
| Fysieke beveiliging van terreinen en installaties | Bescherming van de fysieke omgeving van systemen, deels | NIS2-richtlijn art. 21 lid 1 |
| Reageren op en herstellen van incidenten | Incidentenbehandeling en bedrijfscontinuïteit, deels | NIS2-richtlijn art. 21 lid 2 onder b en c |
| Weerbaarheidsplan | Geen apart plan; continuïteitsplannen dekken een deel | NIS2-richtlijn art. 21 lid 2 onder c |
| Personeelsveiligheid en antecedentenonderzoek | Personeelsbeveiliging, deels | NIS2-richtlijn art. 21 lid 2 onder i |
| Bewustwording van personeel | Cyberhygiëne en training, deels | NIS2-richtlijn art. 21 lid 2 onder g |
| Melden van verstorende incidenten | Melden van significante incidenten, deels | NIS2-richtlijn art. 23 |
| Aanwijzing als kritieke entiteit | Kritieke entiteit valt onder de Cyberbeveiligingswet | Cbw art. 8 lid 1 |
Werkplekbeheer en Compliant
Audit-klaar wórden is stap één. Met compliant werkplekbeheer houd je het daarna aantoonbaar werkend, vaste prijs per werkplek, van MKB tot Enterprise.
Kies dit als je op je eigen Microsoft 365-licentie blijft en de technische basis op orde wilt: beheer, back-up, endpointbescherming en toegangsbeheer.
Kies dit als je naast de techniek ook je mensen wilt meenemen. Inclusief Business Premium en security awareness-training.
Kies dit als een opdrachtgever, tender of norm bewijs van je vraagt. Inclusief de Purview- en Defender-suites, monitoring en de rapportage waar een auditor om vraagt.
Kies dit als je organisatie uit Compliant MKB groeit en op Microsoft 365 E5 wilt draaien.
Verschillen tussen NIS2 en CER in de mapping
De verschillen tussen NIS2 en CER in de mapping zitten in de technische eisen van NIS2 en de fysieke eisen van CER. Wil je weten hoe die verschillen in de volle reikwijdte van beide kaders uitpakken, dan lees je dat op NIS2 vs CER.
Welke NIS2 eisen dekt CER niet?
De NIS2 eisen die CER niet dekt, zijn de eisen aan de systemen zelf:
- Veilige aanschaf, ontwikkeling en onderhoud van systemen en kwetsbaarheidsbeheer (NIS2-richtlijn art. 21 lid 2 onder e).
- Toetsing van de effectiviteit van de cybermaatregelen (NIS2-richtlijn art. 21 lid 2 onder f).
- Cryptografie en encryptie (NIS2-richtlijn art. 21 lid 2 onder h).
- Meerfactorauthenticatie en beveiligde communicatie (NIS2-richtlijn art. 21 lid 2 onder j).
- Back-upbeheer van data als deel van de continuïteit (NIS2-richtlijn art. 21 lid 2 onder c).
- Goedkeuring van de maatregelen door het bestuur (NIS2-richtlijn art. 20).
Welke CER-eisen dekt NIS2 niet?
De CER-eisen die NIS2 niet volledig dekt, gaan over de fysieke dienstverlening:
- Fysieke beveiliging van terreinen, gebouwen en installaties buiten de omgeving van de systemen.
- Een apart weerbaarheidsplan voor de kritieke dienst.
- Antecedentenonderzoek naar personeel in gevoelige functies.
- Risico's als natuurrampen, terrorisme en volksgezondheidscrises als vertrekpunt van de risicobeoordeling.
Overeenkomsten tussen NIS2 en CER in de mapping
De overeenkomsten tussen NIS2 en CER zitten in de opbouw van de zorgplicht: beide kaders vragen dezelfde soort stappen, op een ander terrein.
- Beide kaders beginnen bij een risicobeoordeling die de maatregelen bepaalt.
- Beide vragen maatregelen om incidenten op te vangen en de dienst te herstellen.
- Beide vragen aandacht voor afhankelijkheden van leveranciers en andere sectoren.
- Beide vragen maatregelen voor personeel: training, bewustwording en veilige toegang.
- Beide kennen een meldplicht voor incidenten die de dienstverlening raken.
- Een kritieke entiteit onder de Wwke valt ook onder de Cyberbeveiligingswet (Cbw art. 8 lid 1), dus de twee mappings lopen voor die organisatie samen.
Een dekkingspercentage staat hier niet, omdat de rijen van ongelijke omvang zijn en geen officiële telling bestaat die je kunt narekenen.
Gap-analyse tussen NIS2 en CER: zo pak je het aan
Een gap-analyse tussen NIS2 en CER doe je per richting, met de mappingtabel als werklijst. Zo zie je welk bewijs al voor beide kaders telt.
Vanuit CER naar NIS2
- Mapping erbij: neem de tabel CER naar NIS2 en zet je bestaande CER-maatregelen per rij.
- Vaststellen wat werkt: controleer per rij of de maatregel ook de netwerk- en informatiesystemen afdekt, bijvoorbeeld of het continuïteitsplan het herstel van Microsoft 365 en de back-ups noemt.
- Gaps markeren: markeer de NIS2 eisen zonder CER-tegenhanger, zoals encryptie, meerfactorauthenticatie en kwetsbaarheidsbeheer.
- Vastleggen en oppakken: leg per gap de technische maatregel en het bewijs vast, zoals een MFA-rapport, een patchoverzicht of een encryptie-instelling.
Vanuit NIS2 naar CER
- Mapping erbij: neem de tabel NIS2 naar CER en zet je NIS2 maatregelen per rij.
- Vaststellen wat werkt: controleer of de risicoanalyse ook fysieke dreigingen en uitval van locaties meeneemt.
- Gaps markeren: markeer de CER-eisen zonder volwaardige NIS2 tegenhanger, zoals het weerbaarheidsplan en de fysieke beveiliging.
- Vastleggen en oppakken: leg per gap de eigenaar vast; fysieke maatregelen liggen meestal bij facilitair beheer, niet bij IT.
Zo helpt ClickOn met NIS2 en CER-richtlijn
Een groot deel van de NIS2 eisen in deze mapping is IT-beheer: toegangsbeheer, back-up en herstel, versleuteling, monitoring en patching. Dat IT-beheer doet ClickOn als beheerpartij, zodat de maatregelen voor NIS2 en CER in één keer staan en per rij het bewijs klaarligt.
ClickOn heeft voor dat IT-beheer twee aanbiedingen. De Compliance Sprint maakt je ICT-omgeving binnen 30 dagen technisch toezicht-klaar, voor een vaste prijs per werkplek: eerst de nulmeting en gap-analyse, dan de inrichting, daarna het bewijs. Met compliant werkplekbeheer (ClickOn Compliant MKB) houdt ClickOn je omgeving na de Sprint aantoonbaar werkend, met werkplekken ingericht op de ISO 27001-norm en zonder lock-in.
Het bewijs van ClickOn komt samen in een dashboard en een maandelijkse rapportage, en bij een externe ISO- of NIS2-audit staat ClickOn je 16 uur per jaar bij.
Beleid, governance-advies en de formele audit blijven bij je compliance-adviseur of auditor, en de fysieke beveiliging van je gebouw, zoals sloten en pasjes, bij je eigen organisatie; ClickOn levert de technische uitvoering en het bewijs. ClickOn is zelf sinds 2021 ISO 27001-gecertificeerd, via TÜV Nord, en heeft sinds augustus 2026 het NIS2 Supply Chain-certificaat op niveau Substantial (NIS2-SC20), uitgegeven door de Foundation for Quality & Innovation.
Kies per stap de route die past
ClickOn voert de ICT-laag van NIS2 uit en levert het bewijs. Beleid, governance en de formele audit blijven bij je adviseur of auditor.