Een praktische NIS2 gids voor netwerkmanagers en IT-directeuren

De invoering van de NIS2-richtlijn markeert geen fundamentele technologische breuk, maar wel een duidelijke verschuiving in verantwoordelijkheden en verwachtingen. Voor netwerkmanagers en IT-directeuren verandert NIS2 weinig aan wat technisch noodzakelijk is, maar des te meer aan wat aantoonbaar moet zijn. In België wordt deze verschuiving zichtbaar zodra de richtlijn is omgezet in nationale wetgeving en toezicht concreet vorm krijgt.

NIS2 dwingt organisaties niet tot perfecte netwerken, maar tot expliciet, proportioneel en structureel risicobeheer. Juist in grote organisaties, waar netwerken historisch zijn gegroeid en onvermijdelijk heterogeen zijn, wordt dat een praktische uitdaging. Legacy is daarbij geen uitzondering, maar het uitgangspunt.

NIS2: versterking van zorgplicht, niet van techniek

De kern van NIS2 is bekend: risicomanagement, incidentdetectie, continuïteit en governance. De verzwaring zit in de expliciete zorgplicht, strengere meldvereisten en de persoonlijke aansprakelijkheid van bestuurders. Die aansprakelijkheid wordt soms technisch geïnterpreteerd, maar dat is een misvatting.

Bestuurders worden niet verantwoordelijk voor individuele configuratiekeuzes, maar voor het feit dat zij aantoonbaar passende maatregelen hebben laten treffen, risico’s hebben afgewogen en daarover zijn geïnformeerd. De kwaliteit van die informatiepositie bepaalt in hoge mate de mate waarin aan de zorgplicht kan worden voldaan.

De rol van de netwerkmanager en IT-directeur

Voor netwerkmanagers en IT-directeuren betekent NIS2 een verschuiving van impliciete naar expliciete verantwoordelijkheid. Zij blijven verantwoordelijk voor beschikbaarheid en stabiliteit, maar worden daarnaast de primaire bron voor bestuurlijk inzicht in technische risico’s.

Hun rol is niet om risico’s te elimineren, maar om ze inzichtelijk te maken, te prioriteren en te duiden. Dat vraagt om:

• inzicht in welke netwerkonderdelen kritisch zijn,
• begrip van configuratie- en ontwerpkeuzes,
• en het expliciet maken van risico’s die voortkomen uit legacy of operationele beperkingen.

Zonder deze vertaalslag ontstaat een bestuurlijk vacuüm waarin aansprakelijkheid moeilijk te managen is.

Inventarisatie en beheersbaarheid van het netwerk

Een structureel knelpunt in veel organisaties is het ontbreken van een actueel en centraal overzicht van het netwerklandschap. Apparatuur, softwareversies en configuratiestatussen zijn verspreid over teams, tools en documentatie die zelden volledig is.

NIS2 maakt dit expliciet relevant. Risicogestuurd beheer veronderstelt inzicht. Geautomatiseerde inventarisatie en configuratiebeheer zijn daarom geen optimalisatie, maar een basisvoorwaarde. Managed netwerkdiensten die dit structureel ondersteunen, maken het mogelijk om bestaande, heterogene omgevingen beheersbaar te houden zonder ingrijpende herbouw.

Configuratiebeheer en aantoonbaarheid

Waar netwerken traditioneel sterk leunen op ervaring en handmatige processen, vraagt NIS2 om aantoonbaarheid. Wie wijzigingen doorvoert, moet kunnen uitleggen waarom, wat de impact is en hoe afwijkingen worden beheerst.

Dit betekent dat configuratiebeheer, change-logging en periodieke controle op afwijkingen onderdeel worden van het compliance-verhaal. Niet om audits tevreden te stellen, maar om bestuurlijk verdedigbaar te maken dat het netwerk onder controle is — ook wanneer het complex of historisch gegroeid is.

Beschikbaarheid en weerbaarheid als securityverantwoordelijkheid

NIS2 benoemt beschikbaarheid expliciet als onderdeel van cybersecurity. Dat maakt netwerkontwerp, redundantie en herstelprocedures direct relevant voor compliance. In de praktijk zijn veel netwerken technisch redundant, maar operationeel kwetsbaar: failover werkt op papier, maar niet onder druk.

Het structureel analyseren van blootstelling — niet alleen aan kwetsbaarheden, maar ook aan ontwerp- en configuratierisico’s — helpt om deze kwetsbaarheid concreet te maken. Exposure management richt zich hierbij op samenhang en impact, in plaats van losse technische bevindingen.

Legacy: expliciet accepteren en beheersen

Een belangrijk en vaak verkeerd begrepen aspect van NIS2 is de omgang met legacy. De richtlijn verplicht niet tot modernisering om de modernisering zelf, maar tot risicobeheersing. Legacy-componenten zijn toegestaan, zolang hun risico’s bekend zijn en passende maatregelen zijn getroffen.

Voor netwerkmanagers betekent dit dat legacy niet verborgen, maar benoemd moet worden. Compenserende maatregelen zoals strengere monitoring, segmentatie, aanvullende configuratiecontroles of beperkte toegang zijn vaak effectiever dan onrealistische vervangingsplannen. Gerichte assessments en inhoudelijke security-consulting helpen om dit verdedigbaar vast te leggen.

Bestuur, aansprakelijkheid en informatiepositie

De hoofdelijke aansprakelijkheid van bestuurders verandert vooral de relatie tussen bestuur en IT. Bestuurders moeten aantoonbaar geïnformeerd zijn over risico’s en genomen maatregelen. Die informatie kan alleen afkomstig zijn van een volwassen IT- en netwerkorganisatie.

Hier ligt een duidelijke verantwoordelijkheid voor IT-directeuren en netwerkmanagers: het leveren van consistente, begrijpelijke en realistische risico-informatie. Niet vereenvoudigd, maar wel vertaald naar impact, waarschijnlijkheid en beheersbaarheid. Onafhankelijke audits en assessments spelen hierbij een belangrijke rol als objectieve schakel tussen techniek en governance.

Vooruitblik: van project naar permanent beheer

Met de invoering van NIS2 in België verschuift compliance van een projectmatige aanpak naar structureel beheer. Toezicht zal zich richten op continuïteit, aantoonbaarheid en volwassenheid van processen, niet op eenmalige inspanningen.

Voor netwerkmanagers en IT-directeuren betekent dit dat NIS2 geen eindpunt is, maar een blijvende verandering in hoe netwerken worden ontworpen, beheerd en verantwoord. In complexe, heterogene omgevingen is dat geen eenvoudige opgave — maar wel een die met realistisch risicobeheer en pragmatische ondersteuning beheersbaar blijft.