Hoe werkt een periodieke audit voor NIS2-compliance bij mkb?

Een periodieke NIS2-audit is een gestructureerde beoordeling waarmee een mkb-bedrijf aantoont dat het voldoet aan de beveiligingseisen van de NIS2-richtlijn en de aankomende Cyberbeveiligingswet. De audit controleert of technische en organisatorische maatregelen op orde zijn en of risico’s aantoonbaar worden beheerd. In dit artikel beantwoorden we de meest gestelde vragen over NIS2-audits voor het mkb: wat wordt er gecontroleerd, hoe vaak, door wie en wat kost het.

Welke onderdelen worden gecontroleerd tijdens een NIS2-audit?

Tijdens een NIS2-audit voor het mkb worden technische beveiligingsmaatregelen, organisatorische processen en de aantoonbaarheid van risicobeheer beoordeeld. De audit toetst of een organisatie haar beveiligingsverplichtingen niet alleen heeft ingericht, maar ook kan bewijzen. Dat bewijs is cruciaal: toezichthouders accepteren geen goede bedoelingen zonder documentatie.

Concreet kijkt een NIS2-audit naar de volgende gebieden:

• Risicobeoordeling: heeft de organisatie haar digitale risico’s in kaart gebracht en op basis daarvan maatregelen genomen?
• Technische beveiliging: denk aan endpoint protection, netwerksegmentatie, toegangsbeheer en een actueel back-upbeleid
• Incidentrespons: zijn er procedures voor het detecteren, melden en afhandelen van beveiligingsincidenten?
• Meldplicht: kan de organisatie een incident binnen 24 uur melden bij de bevoegde autoriteit?
• Ketenbeveiliging: worden afspraken met toeleveranciers en partners over informatiebeveiliging vastgelegd?
• Bewustwording: zijn medewerkers getraind en is er een informatiebeveiligingsbeleid dat wordt nageleefd?
• Bestuursverantwoordelijkheid: is het management aantoonbaar betrokken bij het beveiligingsbeleid?

Een goede NIS2-audit begint altijd met een nulmeting: waar staat de organisatie nu ten opzichte van waar ze moet staan? Dat verschil bepaalt de prioriteiten. TCA hanteert hiervoor het ISO 27001-raamwerk, dat als basis dient voor een gestructureerde en herhaalbare aanpak.

Hoe vaak moet een mkb-bedrijf een NIS2-audit uitvoeren?

De NIS2-richtlijn schrijft geen vaste auditfrequentie voor, maar de verplichting tot aantoonbaar en doorlopend risicobeheer impliceert dat een jaarlijkse audit voor de meeste mkb-bedrijven de minimumstandaard is. Bij significante veranderingen in de organisatie of het dreigingslandschap is een tussentijdse herbeoordeling noodzakelijk.

In de praktijk hanteren organisaties die serieus met NIS2-compliance aan de slag gaan een ritme van:

• Jaarlijkse volledige audit: een grondige beoordeling van alle onderdelen, inclusief documentatie en bewijs
• Kwartaalcontroles: kortere checks op specifieke onderdelen zoals incidentlogs, toegangsbeheer en patchstatus
• Directe herbeoordeling: na een beveiligingsincident, een grote IT-wijziging of wanneer een nieuwe toeleverancier wordt toegevoegd

Compliance is geen eenmalig project. De Cyberbeveiligingswet, die naar verwachting medio 2026 in werking treedt, verwacht dat organisaties aantoonbaar blijven voldoen. Dat vraagt om een cyclisch proces, niet om een eenmalig vinkje.

Wie mag een NIS2-audit uitvoeren: intern of extern?

Een NIS2-audit mag zowel intern als extern worden uitgevoerd, maar voor de meeste mkb-bedrijven is een externe audit sterk aan te raden. Interne audits zijn alleen geloofwaardig als de organisatie beschikt over medewerkers met aantoonbare kennis van informatiebeveiliging en compliance. Bij het merendeel van het mkb ontbreekt die expertise.

Interne audit: wanneer het werkt

Een interne audit kan zinvol zijn als tussentijdse check, bijvoorbeeld om de voortgang van maatregelen te bewaken. Hiervoor is een IT-verantwoordelijke met kennis van beveiligingsstandaarden nodig. De uitkomsten zijn waardevol voor intern gebruik, maar bieden beperkte zekerheid richting toezichthouders of opdrachtgevers in de keten.

Externe audit: wanneer het noodzakelijk is

Voor de jaarlijkse NIS2-compliance-audit is een externe partij verstandiger. Een onafhankelijke auditor beoordeelt zonder blinde vlekken, herkent afwijkingen die intern worden gemist en levert een rapport dat geloofwaardig is voor toezichthouders en zakelijke partners. Externe audits op basis van het ISO 27001-raamwerk bieden bovendien een gestructureerde en internationaal erkende meetlat.

TCA voert als ISO 27001-gecertificeerde IT-partner periodieke audits en herbeoordelingen uit als onderdeel van een doorlopend beheercontract. Zo blijft compliance geen eenmalige exercitie, maar een continu proces.

Wat kost een periodieke NIS2-audit voor een mkb-bedrijf?

De kosten van een NIS2-audit voor het mkb variëren sterk, afhankelijk van de omvang van de organisatie, de complexiteit van de IT-omgeving en of de audit intern of extern wordt uitgevoerd. Een externe NIS2-compliance-audit voor een bedrijf met 50 tot 250 medewerkers kost doorgaans tussen de 2.000 en 8.000 euro per jaar, exclusief de kosten voor het implementeren van eventuele verbetermaatregelen.

De totale kosten worden bepaald door:

• Scope van de audit: hoeveel systemen, locaties en processen worden beoordeeld?
• Huidige volwassenheid: hoe verder een organisatie al is met beveiliging, hoe minder werk een audit kost
• Frequentie: jaarlijkse audits zijn goedkoper als ze worden gecombineerd met doorlopende monitoring
• Gecombineerd of los: audits die onderdeel zijn van een managed servicecontract zijn vrijwel altijd voordeliger dan losse opdrachten

Een praktische manier om kosten te beheersen: begin met een gratis nulmeting om te bepalen waar de grootste gaten zitten. Zo investeer je gericht in de maatregelen die het meest urgent zijn en voorkom je dat je betaalt voor een uitgebreide audit terwijl de basis nog niet op orde is.

Wat gebeurt er als een mkb-bedrijf geen NIS2-audit uitvoert?

Een mkb-bedrijf dat geen NIS2-audit uitvoert en niet aantoonbaar voldoet aan de Cyberbeveiligingswet, riskeert boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Daarnaast zijn bestuurders persoonlijk aansprakelijk als blijkt dat het management onvoldoende heeft gedaan om cybersecurity te borgen.

Maar de financiële risico’s zijn niet het enige probleem. In de praktijk spelen ook deze gevolgen een rol:

• Contractverlies: opdrachtgevers in essentiële sectoren gaan NIS2-compliance steeds vaker eisen als voorwaarde voor samenwerking. Wie niet kan aantonen compliant te zijn, verliest aanbestedingen en bestaande contracten
• Reputatieschade: een beveiligingsincident bij een niet-compliant bedrijf leidt tot publieke bekendmaking en verlies van klantvertrouwen
• Bestuurdersaansprakelijkheid: de NIS2-richtlijn legt de verantwoordelijkheid expliciet bij het management, niet bij de IT-afdeling
• Toezichtsmaatregelen: toezichthouders kunnen bij niet-naleving ook verplichte maatregelen opleggen of tijdelijke beperkingen instellen

Niets doen is daarmee geen neutrale keuze. Het is een actief risico dat zowel financieel als operationeel gevolgen heeft.

Hoe begin je als mkb met een eerste NIS2-compliance-audit?

De eerste stap voor een mkb-bedrijf dat wil starten met een NIS2-compliance-audit is een nulmeting: een beoordeling van de huidige beveiligingssituatie ten opzichte van de NIS2-eisen. Die nulmeting brengt in kaart welke maatregelen al aanwezig zijn, waar de grootste tekortkomingen zitten en welke acties prioriteit hebben.

Een praktisch stappenplan voor de eerste NIS2-audit:

1. Bepaal of je organisatie onder NIS2 valt: controleer de sector en omvang aan de hand van de NIS2-drempelwaarden. Twijfel je? Een externe IT-partner kan dit snel verduidelijken
2. Voer een nulmeting uit: gebruik een gestructureerde assessment om de huidige stand van beveiliging te meten. TCA biedt een gratis securitycheck waarmee je binnen 48 uur een persoonlijk rapport ontvangt
3. Stel prioriteiten vast: niet alles hoeft tegelijk. Focus eerst op de maatregelen met het hoogste risico en de grootste afwijking van de NIS2-eisen
4. Implementeer de basismaatregelen: denk aan een securitybaseline, incidentresponsprocedures en een informatiebeveiligingsbeleid
5. Documenteer alles: compliance zonder bewijs telt niet. Leg maatregelen, besluiten en incidenten schriftelijk vast
6. Plan een formele audit in: laat een externe partij de situatie beoordelen en stel een auditcyclus in voor de toekomst

Het belangrijkste is om te beginnen. Organisaties die nu starten, hebben de tijd om stap voor stap compliant te worden. Wie wacht tot de Cyberbeveiligingswet volledig van kracht is, staat voor een veel grotere en duurdere inhaalslag. Bekijk de certificeringen van TCA om te zien welke kwaliteitsstandaarden als basis dienen voor de NIS2-aanpak.

Gerelateerde artikelen

• Wat is netwerksegmentatie en waarom is het belangrijk voor het mkb?
• Hoe effectief is cybersecurity awareness training voor medewerkers?
• Wat valt er onder informatiebeveiliging?
• Hoe bescherm ik mijn bedrijf tegen ransomware als mkb-ondernemer?
• Hoe registreer ik mijn bedrijf bij de toezichthouder voor NIS2?