Hoe een NIS2-risicobeoordeling uitvoeren met behulp van AI

Overzicht

Je leert hoe je AI kunt gebruiken om een uitgebreide NIS2-risicobeoordeling uit te voeren die aansluit bij Artikel 21. Deze handleiding behandelt de all-hazards-benadering die vereist is door de Richtlijn, waarbij zowel cyber- als niet-cyberrisico's worden geïdentificeerd, het proportionaliteitsbeginsel wordt toegepast, een risicomethode op maat van jouw entiteitstype wordt opgebouwd, gedetailleerde risicoregisters worden aangemaakt, jouw dreigingslandschap wordt geanalyseerd en risicobehandeling wordt gekoppeld aan de tien maatregelgebieden van Artikel 21.

Voor wie is dit bedoeld

Deze handleiding is bedoeld voor:

• Risicomanagers en CISO's die verantwoordelijk zijn voor NIS2-risicobeoordelingsprocessen
• Compliance officers die risicomanagementkaders voor NIS2 opbouwen of bijwerken
• Beveiligingsconsultants die NIS2-risicobeoordelingen uitvoeren voor klanten in kritieke sectoren
• IT-managers die de vereisten van Artikel 21 moeten vertalen naar uitvoerbare risicobehandelingsplannen
• Leden van het managementorgaan die risicobeheersmaatregelen moeten goedkeuren en hun persoonlijke aansprakelijkheid onder Artikel 20 moeten begrijpen

Voordat je begint

Je hebt nodig:

• Een ISMS Copilot-account (gratis proefversie beschikbaar)
• Jouw NIS2-scopebepaling (classificatie als essentiële of belangrijke entiteit) -- zie Hoe te beginnen met NIS2-implementatie met behulp van AI als je dit nog niet hebt voltooid
• Een inventaris van jouw kritieke informatiesystemen, netwerken en diensten
• Jouw huidige risicobeoordelingsdocumentatie (indien aanwezig)
• Goedkeuring van het managementorgaan voor het risicobeoordelingsproces (Artikel 20)

Inzicht in NIS2-risicobeoordelingsvereisten

Wat Artikel 21 vereist

Artikel 21(1) van de NIS2-richtlijn vereist dat essentiële en belangrijke entiteiten passende en proportionele technische, operationele en organisatorische maatregelen nemen om de risico's te beheren die de beveiliging van netwerk- en informatiesystemen bedreigen die deze entiteiten gebruiken voor hun activiteiten of voor het verlenen van hun diensten. Deze maatregelen moeten gebaseerd zijn op een all-hazards-benadering en moeten gericht zijn op het beschermen van netwerk- en informatiesystemen en hun fysieke omgeving tegen incidenten.

De all-hazards-benadering betekent dat jouw risicobeoordeling moet omvatten:

• Cyberdreigingen: Ransomware, phishing, geavanceerde persistente bedreigingen, DDoS, toeleveringsketencompromittering, insiderdreigingen
• Fysieke bedreigingen: Onbevoegde fysieke toegang, diefstal van apparatuur, sabotage, vandalisme
• Omgevingsbedreigingen: Natuurrampen, overstromingen, brand, stroomuitval, extreme weersomstandigheden
• Menselijke factoren: Menselijke fouten, social engineering, onvoldoende training, afhankelijkheid van sleutelpersonen
• Toeleveringsketenrisico's: Compromittering van leveranciers, afhankelijkheid van enkele leveranciers, kwetsbaarheden van derden
• Technische storingen: Hardwarefouten, softwarefouten, capaciteitsuitputting, configuratiefouten

Het proportionaliteitsbeginsel

Artikel 21(1) stelt expliciet dat maatregelen proportioneel moeten zijn aan:

• De mate van blootstelling van de entiteit aan risico's
• De omvang van de entiteit
• De waarschijnlijkheid en ernst van incidenten
• De maatschappelijke en economische impact van incidenten

Dit betekent dat een kleine managed serviceprovider die als essentiële entiteit is geclassificeerd, andere controleverwachtingen heeft dan een grote energieproducent, ook al moeten beide alle tien de maatregelgebieden aanpakken. Jouw risicobeoordeling moet documenteren hoe proportionaliteit is toegepast.

Hoe AI de NIS2-risicobeoordeling transformeert

Traditionele risicobeoordeling voor NIS2 vereist diepgaande expertise op meerdere dreigingsdomeinen, sectorspecifieke kennis en het vermogen om honderden risico's te koppelen aan controlemaatregelen. ISMS Copilot versnelt dit door:

• Sectorspecifieke dreigingsinformatie: Het genereren van dreigingslandschappen op maat van jouw specifieke sector, gebaseerd op ENISA-rapporten en real-world aanvalspatronen
• Uitgebreide risico-identificatie: Het waarborgen van all-hazards-dekking door systematisch risicoscenario's te genereren over alle dreigingscategorieën
• Consistente scoring: Het consistent toepassen van waarschijnlijkheids- en impactcriteria op honderden risicoscenario's
• Controlekoppeling: Het automatisch koppelen van geïdentificeerde risico's aan de juiste maatregelgebieden van Artikel 21 en specifieke controles
• Generatie van risicoregisters: Het produceren van gestructureerde, auditklare risicoregisters in minuten in plaats van weken

Stap 1: Definieer jouw risicobeoordelingsmethodologie

Waarom methodologie eerst moet komen

Voordat je risico's identificeert, moet je jouw risicobeoordelingsmethodologie vaststellen en documenteren. Toezichthoudende autoriteiten zullen verifiëren dat er een methodologie bestaat, goedgekeurd door het managementorgaan, en consistent is toegepast op alle beoordeelde risico's.

De methodologie opbouwen met AI

1. Genereer het methodologieraamwerk:

   "Creëer een uitgebreide NIS2-risicobeoordelingsmethodologie voor een [sector]-organisatie die geclassificeerd is als een [essentiële/belangrijke] entiteit met [aantal werknemers] werknemers. De methodologie moet: een all-hazards-benadering aannemen zoals vereist door Artikel 21(1), risico-identificatie, -analyse, -evaluatie en -behandelingsstadia omvatten, waarschijnlijkheids- en impactschalen (5-punt) definiëren, risicoberekening en risicoacceptatiecriteria bevatten, het proportionaliteitsbeginsel behandelen, en geschikt zijn voor goedkeuring door ons managementorgaan."

2. Definieer impactspecifieke criteria voor NIS2:

   "Creëer NIS2-specifieke impactbeoordelingscriteria die vijf dimensies omvatten: (1) operationele verstoring van essentiële/belangrijke diensten, (2) financieel verlies inclusief mogelijke boetes tot EUR [10M/7M] of [2%/1,4%] van de omzet, (3) impact op andere entiteiten en sectoren (cascadereffecten), (4) aantal getroffen gebruikers/afnemers, en (5) reputatie- en maatschappelijke impact. Geef een 5-puntsschaal met concrete voorbeelden voor elke dimensie die relevant is voor een [sector]-organisatie."

3. Definieer waarschijnlijkheidscriteria:

   "Creëer risicowaarschijnlijkheidsbeoordelingscriteria voor onze NIS2-risicobeoordeling. Neem een 5-puntsschaal op (Zeldzaam/Onwaarschijnlijk/Mogelijk/Waarschijnlijk/Zeer waarschijnlijk) met: frequentiegebaseerde definities, dreigingscapaciteitsgebaseerde definities, en sectorspecifieke voorbeelden. Verwijs naar actuele ENISA-dreigingslandschapgegevens voor onze [sector]-sector."

4. Stel risicoacceptatiedrempels vast:

   "Definieer risicoacceptatiecriteria voor NIS2-naleving. De risicobereidheid van onze organisatie is [conservatief/gematigd/agressief]. Creëer: een risicomatrix (5x5) met kleurgecodeerde risiconiveaus, acceptatiedrempels per risiconiveau (accepteren/mitigeren/overdragen/vermijden), escalatieregels voor risico's boven de tolerantie, en goedkeuringsbevoegdheidsniveaus (risico-eigenaar/CISO/managementorgaan) voor elke behandelingsbeslissing."

Stap 2: Identificeer en catalogiseer jouw assets

Wat moet worden opgenomen in jouw assetinventaris

NIS2-risicobeoordeling vereist een grondig begrip van de netwerk- en informatiesystemen die jouw organisatie gebruikt voor activiteiten en dienstverlening. Jouw assetinventaris moet het volgende omvatten:

Assetcategorie

Voorbeelden

NIS2-relevantie

Informatieassets

Klantgegevens, operationele gegevens, configuratiegegevens, inloggegevens

Vertrouwelijkheid, integriteit, beschikbaarheid van diensten

Hardware

Servers, netwerkapparatuur, OT/ICS-systemen, endpoints, IoT-apparaten

Bescherming van de fysieke omgeving, toegangscontrole

Software

Besturingssystemen, applicaties, firmware, SCADA/DCS-systemen

Kwetsbaarheidsbeheer, acquisitiebeveiliging

Netwerkinfrastructuur

Routers, switches, firewalls, VPN's, draadloze netwerken

Netwerkbeveiliging, segmentatie, monitoring

Cloudservices

IaaS, PaaS, SaaS-providers, CDN, DNS

Toeleveringsketenbeveiliging, risico's van derden

Mensen

Sleutelpersoneel, beheerders, externe contractors

HR-beveiliging, toegangscontrole, training

Faciliteiten

Datacenters, kantoren, industriële locaties, controlekamers

Fysieke omgeving, bedrijfscontinuïteit

Diensten

Essentiële/belangrijke geleverde diensten, ondersteunende diensten

Dienstbeschikbaarheid, impactbeoordeling van incidenten

Jouw assetinventaris genereren met AI

1. Maak de inventarisjabloon:

   "Genereer een uitgebreide assetinventarisjabloon voor NIS2-risicobeoordeling bij een [sector]-organisatie. Voeg kolommen toe voor: Asset-ID, Assetnaam, Assetcategorie, Beschrijving, Asseteigenaar, Bedrijfskritikaliteit (1-5), Afhankelijkheden (upstream/downstream), Locatie, Relevantie voor NIS2-maatregelgebied, en Huidige beschermingsmaatregelen. Vul vooraf in met typische assets voor een [sector]-entiteit."

2. Identificeer kritieke dienstafhankelijkheden:

   "Voor onze [sector]-organisatie die [beschrijf essentiële/belangrijke diensten] levert, breng de kritieke afhankelijkheden in kaart tussen onze diensten en onderliggende assets. Creëer een afhankelijkheidstabel die laat zien: welke assets welke diensten ondersteunen, single points of failure, en cascaderende impactpaden als specifieke assets worden gecompromitteerd. Dit is cruciaal voor de NIS2-incidentimpactbeoordeling."

3. Classificeer assets op basis van kritikaliteit:

   "Pas bedrijfskritikaliteitsclassificaties toe op onze assetinventaris voor NIS2-risicobeoordeling. Classificatiecriteria moeten rekening houden met: impact op de levering van essentiële/belangrijke diensten als de asset wordt gecompromitteerd, hersteltijdvereisten, regelgevende gevoeligheid, en onderlinge verbondenheid met andere kritieke assets. Wijs kritikaliteitsniveaus toe (Kritiek/Hoog/Middelmatig/Laag) met een onderbouwing voor elk."

Stap 3: Analyseer jouw dreigingslandschap

Een sectorspecifiek dreigingsprofiel opbouwen

NIS2 vereist een all-hazards-benadering, maar de specifieke dreigingen waarmee jouw organisatie wordt geconfronteerd, zijn sterk afhankelijk van jouw sector, geografische locatie en technologische omgeving. ENISA publiceert jaarlijkse dreigingslandschaprapporten die sectorspecifieke informatie bieden.

1. Genereer jouw dreigingslandschap:

   "Creëer een uitgebreide dreigingslandschapanalyse voor onze [sector]-organisatie voor NIS2-risicobeoordeling. Neem op: (1) Cyberdreigingen: belangrijkste aanvalsvectoren die onze sector targeten (met recente voorbeelden), dreigingsactoren die het meest relevant zijn voor onze sector (door staten gesteund, cybercriminelen, hacktivisten, insiders), en opkomende dreigingen. (2) Fysieke bedreigingen: ongeautoriseerde fysieke toegang, diefstal van apparatuur, sabotage. (3) Omgevingsbedreigingen: natuurrampen die relevant zijn voor onze [locatie], risico's op het elektriciteitsnet, klimaatgerelateerde risico's. (4) Menselijke bedreigingen: social engineering-patronen in onze sector, indicatoren voor insiderdreigingen, afhankelijkheid van sleutelpersonen. (5) Toeleveringsketenbedreigingen: gangbare aanvalspatronen in de toeleveringsketen in onze sector, afhankelijkheidsrisico's. Verwijs waar van toepassing naar ENISA-dreigingslandschapgegevens."

2. Beoordeel dreigingsactorcapaciteiten:

   "Voor elke categorie dreigingsactoren die relevant is voor onze [sector]-entiteit, beoordeel: motivatie (financieel, spionage, verstoring, ideologisch), capaciteitsniveau (opportunistisch tot geavanceerd), typische aanvalsmethoden, targetingspatronen voor onze sector, en historische incidenten die vergelijkbare organisaties hebben getroffen. Presenteer dit als een dreigingsactormatrix."

3. Identificeer sectorspecifieke aanvalsscenario's:

   "Genereer 20 realistische aanvalsscenario's specifiek voor een [sector]-organisatie voor NIS2-risicobeoordeling. Elk scenario moet omvatten: dreigingsactor, aanvalsvector, doelwitassets, potentiële impact op essentiële/belangrijke diensten, waarschijnlijkheidsbeoordeling, en cascadereffecten op andere entiteiten of sectoren. Neem zowel cyber- als niet-cyberscenario's op om te voldoen aan de all-hazards-vereiste."

Stap 4: Voer de risicobeoordeling uit

Risico-identificatie

Met jouw assetinventaris en dreigingslandschap vastgesteld, identificeer je systematisch risico's door te overwegen hoe elke dreiging kwetsbaarheden in elke kritieke asset kan uitbuiten, en wat de impact zou zijn op jouw essentiële of belangrijke diensten.

1. Genereer het initiële risicoregister:

   "Gebruikmakend van de assetinventaris en het dreigingslandschap die we hebben ontwikkeld, genereer een uitgebreid risicoregister voor onze NIS2-risicobeoordeling. Voor elke risico-invoer moet het volgende worden opgenomen: Risico-ID, Risicotitel, Risicobeschrijving (dreiging + kwetsbaarheid + impact), Betrokken Asset(s), Dreigingscategorie (cyber/fysiek/omgeving/mens/toeleveringsketen), Betrokken NIS2 Artikel 21-maatregelgebied(en), Bestaande Controles, Residuele Waarschijnlijkheid (1-5), Residuele Impact (1-5), Risicoscore, Risiconiveau, Risico-eigenaar, en Aanbevolen Behandeling. Genereer minimaal 40 risico's die alle dreigingscategorieën dekken voor een [sector]-organisatie."

2. Zorg voor all-hazards-dekking:

   "Controleer ons risicoregister op volledigheid wat betreft all-hazards. Verifieer dat we voldoende dekking hebben over: cyberdreigingen (minimaal 15 risico's), fysieke bedreigingen (minimaal 5 risico's), omgevingsbedreigingen (minimaal 5 risico's), menselijke factorrisico's (minimaal 5 risico's), toeleveringsketenrisico's (minimaal 5 risico's), en technische storingen (minimaal 5 risico's). Identificeer eventuele hiaten en genereer aanvullende risico-invoer om deze op te vullen."

3. Beoordeel cascaderende en cross-sectorimpacts:

   "Analyseer voor de 10 hoogst gewaardeerde risico's in ons register potentiële cascaderende impacts: (1) hoe dit risico andere entiteiten die afhankelijk zijn van onze diensten kan beïnvloeden, (2) hoe verstoring van onze diensten zich kan verspreiden binnen onze sector, (3) of de impact kan overslaan naar andere NIS2-sectoren. Deze analyse van cascaderende impact is cruciaal voor de bepaling van de significantie van NIS2-incidenten."

Risico-evaluatie en scoring

1. Pas consistente scoring toe:

   "Controleer en valideer de risicoscores in ons risicoregister. Voor elk risico, verifieer dat: de waarschijnlijkheidsbeoordeling de huidige dreigingsinformatie voor onze sector weerspiegelt, de impactbeoordeling alle vijf NIS2-relevante impactdimensies (operationele verstoring, financieel verlies, cascadereffecten, getroffen gebruikers, maatschappelijke impact) in overweging neemt, en de risicoscoreberekening onze goedgekeurde methodologie volgt. Markeer eventuele inconsistenties en beveel aanpassingen aan."

2. Maak een risico-heatmap:

   "Genereer een risico-heatmapvisualisatie voor ons NIS2-risicoregister die laat zien: de verdeling van risico's over waarschijnlijkheids- en impactniveaus, clustering van risico's per dreigingscategorie, en identificatie van de belangrijkste risicoclusters die prioriteit behandeling vereisen. Formatteer als een HTML-tabel met kleurgecodeerde cellen."

Stap 5: Ontwikkel risicobehandelingsplannen in lijn met Artikel 21

Risico's koppelen aan de maatregelgebieden van Artikel 21

Elk risico in jouw register moet worden gekoppeld aan één of meer van de tien maatregelgebieden van Artikel 21(2), en jouw behandelingsplannen moeten de controles specificeren die elk risico aanpakken. Dit creëert het audittraject van risico-identificatie tot en met de implementatie van controles.

1. Koppel risico's aan controles:

   "Koppel voor elk risico in ons risicoregister de aanbevolen behandeling aan specifieke NIS2 Artikel 21(2) maatregelgebieden: (a) risicoanalyse en informatiebeveiligingsbeleid, (b) incidentafhandeling, (c) bedrijfscontinuïteit en disaster recovery, (d) toeleveringsketenbeveiliging, (e) netwerk- en informatiesysteembeveiliging inclusief kwetsbaarheidsbeheer, (f) effectiviteitsbeoordeling, (g) cyberhygiëne en training, (h) cryptografie, (i) HR-beveiliging, toegangscontrole en assetbeheer, (j) multi-factor authenticatie en veilige communicatie. Voor elke koppeling, specificeer de concrete controle die moet worden geïmplementeerd en de verwachte risicoreductie."

2. Maak risicobehandelingsplannen:

   "Genereer voor de 20 hoogste risico's in ons register die onze risicoacceptatiedrempel overschrijden, gedetailleerde risicobehandelingsplannen. Elk plan moet omvatten: Risico-ID, Behandelingsbeslissing (mitigeren/overdragen/vermijden), Specifieke Controles die moeten worden geïmplementeerd, Verantwoordelijke Persoon, Implementatietijdlijn, Verwacht Residueel Risico Na Behandeling, Benodigde Middelen, en Succescriteria. Zorg ervoor dat behandelingen proportioneel zijn aan de omvang en risicoblootstelling van onze organisatie zoals vereist door NIS2 Artikel 21(1)."

3. Documenteer risicoacceptatiebeslissingen:

   "Genereer voor risico's die binnen onze acceptatiedrempel vallen, formele risicoacceptatiestatements. Elk statement moet omvatten: Risico-ID, Risicobeschrijving, Huidige Risicoscore, Rechtvaardiging voor Acceptatie (inclusief proportionaliteitsredenering), Voorwaarden voor Herziening, Acceptatiebevoegdheid (risico-eigenaar of managementorgaan), en Herzieningsdatum. Deze statements moeten worden goedgekeurd door de juiste autoriteit volgens onze risicomethodologie."

Het proportionaliteitsbeginsel toepassen op behandelingen

NIS2 vereist niet dat alle organisaties identieke controles toepassen. Jouw behandelingen moeten proportioneel zijn aan jouw specifieke risicoblootstelling.

"Controleer onze risicobehandelingsplannen op naleving van het proportionaliteitsbeginsel. Onze organisatie heeft [aantal werknemers] werknemers, EUR [omzet] jaaromzet, en opereert in de [sector]-sector als een [essentiële/belangrijke] entiteit. Beoordeel voor elke voorgestelde behandeling of deze: (1) proportioneel is aan onze omvang en middelen, (2) proportioneel is aan de waarschijnlijkheid en ernst van het risico, (3) in lijn is met state-of-the-art praktijken voor onze sector, en (4) kosteneffectief is ten opzichte van de bereikte risicoreductie. Markeer behandelingen die mogelijk disproportioneel duur of onvoldoende zijn, en beveel alternatieven aan."

Stap 6: Documenteer en presenteer de risicobeoordeling

Het formele risicobeoordelingsrapport opstellen

1. Genereer het rapport:

   "Creëer een formeel NIS2-Risicobeoordelingsrapport voor onze organisatie. Structureer het rapport als volgt: (1) Samenvatting voor het management met belangrijke bevindingen en top risico's, (2) Scope en Methodologie (verwijzing naar onze goedgekeurde methodologie), (3) Samenvatting van de Assetinventaris, (4) Analyse van het Dreigingslandschap, (5) Risicoregister met volledige scoringdetails, (6) Risico-Heatmap, (7) Risicobehandelingsplannen voor risico's die de acceptatiedrempel overschrijden, (8) Risicoacceptatiestatements voor geaccepteerde risico's, (9) Koppeling van Risico's aan Artikel 21(2) Maatregelgebieden, (10) Proportionaliteitsbeoordeling, (11) Aanbevelingen en Volgende Stappen, (12) Bijlagen (volledig risicoregister, dreigingsprofielen, assetinventaris). Dit rapport zal worden gepresenteerd aan het managementorgaan voor goedkeuring."

2. Maak de samenvatting voor het managementorgaan:

   "Maak een 3-pagina's tellende executive summary van onze NIS2-risicobeoordelingsresultaten voor het managementorgaan. Focus op: top 10 risico's en hun bedrijfsimpact, gebieden waar we het meest blootgesteld zijn, vereiste investeringen voor risicobehandeling, tijdlijn voor het implementeren van prioritaire behandelingen, en de specifieke goedkeurings- en toezichtsverplichtingen van het managementorgaan. Voeg een duidelijke aanbeveling toe voor een besluit van het managementorgaan om het risicobehandelingsplan goed te keuren."

Stap 7: Stel doorlopende risicomonitoring in

Continu risicobeheer

NIS2-naleving is geen eenmalige oefening. Jouw risicobeoordeling moet regelmatig worden herzien en bijgewerkt, en telkens wanneer er significante wijzigingen optreden.

1. Definieer de herzieningscyclus:

   "Creëer een schema voor het herzien en bijwerken van de risicobeoordeling voor doorlopende NIS2-naleving. Definieer: (1) Frequentie van regelmatige herziening (aanbevolen driemaandelijks voor essentiële entiteiten, halfjaarlijks voor belangrijke entiteiten), (2) Triggergebeurtenissen die onmiddellijke herbeoordeling vereisen (nieuwe dreigingen, incidenten, organisatorische wijzigingen, wijzigingen in de toeleveringsketen, regelgevingsupdates), (3) Rollen die verantwoordelijk zijn voor monitoring en escalatie, (4) Proces voor het bijwerken van het risicoregister en behandelingsplannen, (5) Rapportagefrequentie aan het managementorgaan."

2. Bouw dreigingsmonitoringsprocedures op:

   "Creëer een dreigingsinformatie-monitoringsprocedure voor onze [sector]-organisatie ter ondersteuning van doorlopende NIS2-risicobeoordeling. Neem op: bronnen om te monitoren (ENISA, nationale CSIRT-adviezen, sector-ISAC's, beveiligingsbulletins van leveranciers), monitoringsfrequentie, criteria voor het escaleren van nieuwe dreigingen naar risicoherbeoordeling, en integratie met onze incidentdetectiecapaciteiten."

Veelvoorkomende valkuilen bij risicobeoordeling en hoe deze te vermijden

Valkuil

Waarom het belangrijk is voor NIS2

Hoe het te vermijden

Alleen focus op cyber

Schendt de all-hazards-vereiste van Artikel 21(1)

Beoordeel systematisch fysieke, omgevings- en menselijke risico's naast cyberdreigingen

Geen gedocumenteerde methodologie

Toezichthoudende autoriteiten vereisen bewijs van een consistente, herhaalbare aanpak

Documenteer en laat goedkeuren door het managementorgaan voordat je begint met de beoordeling

Cascaderende impacts negeren

NIS2-incidentsignificantie houdt rekening met impact op andere entiteiten en sectoren

Analyseer cross-entiteit en cross-sectorimpact voor hoog gewaardeerde risico's

Disproportionele controles

Artikel 21(1) vereist proportionaliteit -- over- of ondercontrole is niet-conform

Documenteer de proportionaliteitsredenering voor elke behandelingsbeslissing

Statisch risicoregister

Het dreigingslandschap verandert continu; een verouderd register toont slecht bestuur aan

Stel driemaandelijkse herzieningen en triggergebaseerde herbeoordelingsprocessen in

Ontbrekende goedkeuring door het management

Artikel 20 vereist goedkeuring van risicobeheersmaatregelen door het managementorgaan

Presenteer de risicobeoordeling en behandelingsplannen aan het bestuur; leg de goedkeuring vast in de notulen

Geen dekking van toeleveringsketenrisico's

Artikel 21(2)(d) vereist specifiek toeleveringsketenrisicobeoordeling

Neem leveranciers- en derdenrisico's systematisch op in het register

Volgende stappen

Met jouw risicobeoordeling voltooid, heb je nu de basis voor het implementeren van NIS2-controles over alle maatregelgebieden van Artikel 21.

Ga verder met de volgende handleidingen in deze reeks:

• Beleidscreatie: Zie Hoe NIS2-cyberbeveiligingsbeleid te creëren met behulp van AI om jouw risicobehandelingsplannen om te zetten in auditklare beleidsdocumenten voor elk van de tien maatregelgebieden van Artikel 21
• Incidentrapportage: Zie Hoe NIS2-incidentrapportage te implementeren met behulp van AI om de incidentdetectie- en rapportagecapaciteiten op te bouwen die zijn geïdentificeerd in jouw risicobehandelingsplannen
• Toeleveringsketenbeveiliging: Zie Hoe NIS2-toeleveringsketenbeveiliging te beheren met behulp van AI voor gedetailleerde begeleiding bij het aanpakken van de toeleveringsketenrisico's die zijn geïdentificeerd in jouw register

Als je de initiële setup nog niet hebt voltooid, begin dan met Hoe te beginnen met NIS2-implementatie met behulp van AI voor scoping, governance en werkruimteconfiguratie.

Voor kant-en-klare prompts voor risicobeoordeling, bekijk de NIS2 Directive Prompt Library. Voor een uitgebreid overzicht van alle NIS2-vereisten, zie de NIS2 Compliance Guide for In-Scope Companies.

Hulp krijgen

Voor extra ondersteuning bij NIS2-risicobeoordeling:

• Vraag ISMS Copilot: Gebruik jouw NIS2-werkruimte voor doorlopende vragen en updates over risicobeoordeling
• Upload bestaande risicogegevens: Ontvang AI-analyse van jouw huidige risicoregisters, dreigingsbeoordelingen of controle-inventarissen
• Sectorspecifieke begeleiding: Vraag om dreigingslandschappen en risicoscenario's op maat van jouw specifieke sector en operationele omgeving
• Framework alignment: Ontvang begeleiding bij het afstemmen van NIS2-risicobeoordeling op ISO 27005, ISO 31000 of andere risicomanagementnormen die je al gebruikt