Een gap analyse klinkt zwaarder dan het is. Je vergelijkt twee dingen: wat de Cyberbeveiligingswet van je vraagt, en wat je vandaag daadwerkelijk hebt. Het verschil is je gat.
Het nut zit niet in de constatering maar in wat erna komt. Een NIS2 Gap analyse die eindigt in een rapport met rode vakjes heeft niemand verder geholpen.
Wat je toetst
De zorgplicht onder de wet is risicogebaseerd, dus er bestaat geen afvinklijst die voor iedereen geldt. Er zijn wel vaste categorieën waar je in elk geval langs moet.
Scope en registratie. Val je onder de wet, en op welke grond? Is dat besluit vastgelegd? Ben je geregistreerd bij het NCSC? Dit is het eerste blok en het wordt het vaakst overgeslagen, terwijl het de makkelijkst controleerbare verplichting is.
Risicobeheer. Is er een actuele risicoanalyse, met eigenaren per risico en een besluit over de aanvaardbaarheid ervan?
Incidentbehandeling. Is er een proces dat binnen vierentwintig uur tot een vroegtijdige waarschuwing kan leiden? Weet je wie beslist of iets significant is? Is dat proces ooit geoefend?
Continuïteit. Zijn er herstelprocedures, en zijn die getest? Een back-up waarvan de restore nooit is geprobeerd is een aanname.
Ketenbeveiliging. Ken je je kritieke leveranciers, staan er beveiligingseisen in de contracten, en zijn er incidentafspraken? Zie leveranciersbeoordeling.
Toegangsbeheer. Multifactorauthenticatie, minimale rechten, en een werkend offboardingproces.
Bewustwording. Krijgen medewerkers training, en is er bewijs dat ze die hebben gevolgd?
Governance. Is het bestuur aantoonbaar betrokken? Onder deze wet is dat geen formaliteit maar een aansprakelijkheidsvraag.
Hoe je scoort
Gebruik drie niveaus, niet vijf. Meer nuance leidt tot discussie zonder dat het de uitkomst verandert.
Aanwezig en aantoonbaar. Aanwezig maar niet aantoonbaar. Afwezig.
De middelste categorie is in de praktijk de grootste en de meest onderschatte. Veel organisaties dóen de juiste dingen, maar kunnen het niet laten zien. Onder deze wet telt alleen wat bewijsbaar is, dus die categorie is net zo goed een gat.
Van analyse naar plan
Dit is waar de meeste trajecten stranden. Drie regels die het verschil maken.
Prioriteer op risico, niet op moeite. De verleiding is om te beginnen met wat makkelijk is. Begin met wat het grootste risico afdekt, ook als dat lastiger is. Uitzondering: registratie doe je eerst, omdat het weinig kost en de eerste is waar een toezichthouder naar kijkt.
Zet een naam bij elk gat. Niet een afdeling. Een persoon. Gaten zonder eigenaar blijven open.
Zet een datum bij elk gat. Een plan zonder data is een wenslijst. Een toezichthouder die ziet dat je een tekortkoming kent, hebt belegd en hebt ingepland, beoordeelt dat anders dan een organisatie die niets heeft.
Dat laatste is belangrijker dan het lijkt. Je hoeft op dag één niet volledig te voldoen. Je moet wel kunnen laten zien dat je weet waar je staat en dat je eraan werkt.
Wanneer je opnieuw meet
Eens per jaar, en daarnaast bij elke wezenlijke wijziging: een nieuwe dienst, een overname, een verandering in je leverancierslandschap, of een incident.
Bewaar de vorige meting. De vergelijking tussen twee metingen is het beste bewijs van een werkend managementsysteem dat je kunt overleggen.
Waar begin je
Als je nog geen nulmeting hebt: doe de gratis NIS2 zelfevaluatie. Die geeft je binnen tien minuten een eerste beeld per categorie, waarna je gericht kunt verdiepen.
Voor de vervolgstappen: NIS2 stappenplan. Zoek je de generieke bedrijfskundige methodiek in plaats van de NIS2-toepassing, dan staat die beschreven in ons artikel over gap analyse bij strategische veranderingen.
Veelgestelde vragen
Wat is een NIS2 gap analyse? Een vergelijking tussen wat de Cyberbeveiligingswet van je organisatie vraagt en wat er vandaag aanwezig en aantoonbaar is, met per verschil een eigenaar en een termijn.
Hoe lang duurt een NIS2 gap analyse? Voor een overzichtelijke organisatie doorgaans enkele dagen doorlooptijd voor de meting zelf. Het opstellen van het plan en het beleggen van de acties kost meestal meer tijd dan de analyse.
Is een gap analyse verplicht? De wet schrijft geen gap analyse voor. Wel moet je kunnen aantonen dat je je risico’s kent en passende maatregelen hebt genomen, en een gap analyse is de gebruikelijke manier om dat te onderbouwen.
Wat als uit de analyse blijkt dat we op veel punten tekortschieten? Dat is een normale uitkomst bij een eerste meting. Een gedocumenteerd plan met eigenaren en data weegt zwaarder dan een hoge score zonder onderbouwing.
Kan ik dit zelf doen of heb ik een adviseur nodig? De meting kun je zelf uitvoeren met een gestructureerde vragenlijst. Bij een externe beoordeling koop je vooral onafhankelijkheid en ervaring met wat een toezichthouder verwacht.