NIS2-audit

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de omzetting van de Europese NIS2-richtlijn. Ongeveer achtduizend organisaties vallen er rechtstreeks onder. Werk je als zelfstandige of in een klein bedrijf, dan is dat vrijwel zeker niet zo. Toch gaat het je raken, want die achtduizend organisaties moeten volgens artikel 21(2) ook hun leveranciers doorlichten. Wie voor hen werkt, krijgt vroeg of laat de vraag: hoe heb jij je beveiliging geregeld?

Deze skill beantwoordt die vraag. Hij loopt de tien risicomaatregelen van NIS2 langs op je Digitale Brein en de computer eronder: back-up, incidentplan, geheimen in bestanden, firewall, schijfversleuteling, toegangsrechten, tweestapsverificatie. Per maatregel krijg je een stoplicht en een bevinding in gewone taal. Niet "socketfilterfw geeft State = 0", maar "de firewall staat uit, en op een laptop die meegaat naar klantlocaties is dat een risico".

Je krijgt drie dingen terug. Een rapport in je eigen huisstijl, met bovenaan de kerncijfers en daaronder de tien maatregelen. Een actielijst op volgorde van urgentie, met per actie een tijdsinschatting, zodat je ziet wat één minuut kost en wat een half uur. En een scanlog die bijhoudt wanneer je laatst hebt gekeken, zodat de volgende audit laat zien wat je sindsdien hebt opgelost.

De eerste audit kost ongeveer twintig minuten, waarvan het meeste wachten op de scan. Daarna is een kwartaalcheck een kwestie van minuten, want dan vergelijkt hij alleen nog met de vorige keer.

Wat de skill niet doet: zeggen dat je voldoet aan de wet. Dat is een juridisch oordeel en dat hoort bij een jurist. NIS2 is hier het raamwerk, niet de meetlat. De skill zegt dat ook in het rapport zelf, zodat niemand het verkeerd leest.

De opzet rust op drie bronnen: de Cyberbeveiligingswet-pagina's van het NCSC voor de Nederlandse regels en de meldtermijnen, een GRC-skill onder MIT-licentie voor de volgorde van de toets, en een NIS2-toolkit voor het MKB onder CC BY 4.0 voor de vertaling naar een klein bedrijf. Beide GitHub-bronnen zijn nagekeken op scripts en externe aanroepen voordat er iets uit is overgenomen. Er wordt niets geïnstalleerd.

Je hebt een omgeving nodig waarin je terminalcommando's kunt draaien, want de systeemcontroles kijken naar je firewall en je schijfversleuteling. Verder niets.