NIS2-software
voor compliance en risico­management

NIS2 is Richtlijn (EU) 2022/2555 betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie. Ze verplicht belangrijke en essentiële entiteiten tot risicobeheersmaatregelen, tot het melden van significante beveiligingsincidenten en tot registratie, en legt de verantwoordelijkheid bij de directie. In Duitsland is ze met de NIS2-omzettingswet omgezet in het BSI-Gesetz (BSIG), dat in de nieuwe versie sinds 6 december 2025 geldt.

NIS2-software brengt de verplichtingen van NIS2 in één datamodel onder — toepassingsgebied, assets, eisen, risico’s, maatregelen, beveiligingsincidenten en bewijzen — en verbindt ze met elkaar. In wezen is het ISMS-software die de eisencatalogus van NIS2 meebrengt: in plaats van spreadsheets met de hand consistent te houden, onderhoudt u elk object één keer, en rapporten en dashboards ontstaan uit de gegevens.

Software voor de NIS2-implementatie vervangt het werk niet, ze ordent het: de NIS2-eisen liggen als catalogus klaar, elke eis wordt beoordeeld, onderbouwd en met bewijzen gestaafd. Risico’s en maatregelen hangen aan de assets waarop ze betrekking hebben, deadlines en verantwoordelijken zijn vastgelegd. Zo kan de NIS2-compliance worden gedocumenteerd en de stand op elk moment worden gerapporteerd — zonder dat iemand spreadsheets samenvoegt.

Complaica ondersteunt de volledige NIS2-implementatie: de tien risicobeheersmaatregelen volgens § 30 BSIG, voor de betrokken soorten entiteiten de Uitvoeringsverordening (EU) 2024/2690 met art. 1–⁠14 en de 13 themagebieden van haar bijlage, het bijhouden van beveiligingsincidenten met de meldtermijnen volgens § 32 BSIG en het overzicht voor de directie volgens § 38 BSIG. De catalogi worden op uw assetboom beoordeeld.

§ 30 BSIG noemt tien gebieden die de maatregelen ten minste moeten omvatten: risicoanalyse en beveiligingsbeleid, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij het verwerven, ontwikkelen en onderhouden, beoordeling van de doeltreffendheid, opleidingen, cryptografie, beveiliging ten aanzien van personeel en toegangscontrole, en multifactor-authenticatie en beveiligde communicatie. De maatregelen moeten passend, evenredig en doeltreffend zijn, en de naleving ervan moet worden gedocumenteerd.

Ze werkt de NIS2-richtlijn uit. Art. 1 en 2 leggen met de bijlage de technische en methodologische eisen aan de risicobeheersmaatregelen vast; art. 3 en 4 bepalen wanneer een beveiligingsincident als significant geldt; art. 5 tot en met 14 doen dat voor afzonderlijke soorten entiteiten — van DNS-dienstverleners via cloudcomputing- en datacentrumdiensten tot verleners van vertrouwensdiensten. De verordening geldt rechtstreeks alleen voor deze soorten entiteiten.

De Uitvoeringsverordening (EU) 2024/2690 geldt rechtstreeks alleen voor de soorten entiteiten die ze zelf noemt: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputing- en datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud (CDN), aanbieders van beheerde diensten en van beheerde beveiligingsdiensten (managed service providers, managed security service providers), aanbieders van onlinemarktplaatsen, onlinezoekmachines en platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten. Voor alle andere belangrijke en essentiële entiteiten gelden de verplichtingen uit het BSIG; voor hen kan de verordening als oriëntatie dienen, bindend is ze voor hen niet.

Significante beveiligingsincidenten moeten volgens § 32 BSIG worden gemeld aan het gezamenlijke meldpunt van BSI en BBK: met een vroegtijdige waarschuwing, een incidentmelding en een eindverslag, op verzoek van het BSI aangevuld met tussentijdse verslagen. Complaica houdt beveiligingsincidenten bij met tijdstempels, verantwoordelijken en termijnen en legt elke stap met auteur en datum vast. De melding zelf dient u in bij het meldpunt.

Beide termijnen lopen vanaf het moment waarop de entiteit kennis krijgt van een significant beveiligingsincident. Binnen 24 uur moet de vroegtijdige waarschuwing worden gegeven, binnen 72 uur volgt de incidentmelding, die de eerste gegevens bevestigt of actualiseert. Uiterlijk één maand na die melding volgt het eindverslag; is het incident nog aan de gang, dan komt een voortgangsverslag ervoor in de plaats.

Dienstverleners en leveranciers worden als assets bijgehouden en gekoppeld aan de bedrijfsprocessen en diensten die ervan afhangen. Per dienstverlener kunnen eisen worden beoordeeld, leveranciersrisico’s geïdentificeerd en behandeld en bewijzen opgeslagen. Afhankelijkheidsgraaf en -matrix tonen welke dienst van welke aanbieder afhangt.

Volgens § 38 BSIG moet de directie de risicobeheersmaatregelen implementeren, toezien op de uitvoering ervan en regelmatig opleidingen volgen. Dashboards en rapporten in Complaica zijn daarom op het perspectief van de directie afgestemd: de nalevingsgraad, de grootste risico’s en de openstaande maatregelen op één pagina.

Elke eis krijgt een implementatiestatus. Complaica cumuleert die bottom-up — van de eis via het themagebied tot de organisatie — en toont hem in dashboards: als totaalwaarde, per themagebied, per locatie en vergeleken met de vorige maand. De nalevingsgraad is een berekening van Complaica op basis van uw eigen beoordelingen, geen door de autoriteiten vastgesteld kengetal.

De toepasselijkheid volgt uit sector, omvang en activiteit. Het gaat om entiteiten in de sectoren van de bijlagen 1 en 2 van het BSIG — bijvoorbeeld energie, vervoer, gezondheidszorg, digitale infrastructuur, ICT-diensten of de maakindustrie — in de regel vanaf 50 medewerkers of meer dan 10 miljoen euro jaaromzet en jaarbalanstotaal; sommige entiteiten vallen er ongeacht hun omvang onder. Of uw bedrijf eronder valt, toetsen we graag samen met u.

NIS2 is wetgeving, ISO 27001 een norm voor het ISMS — inhoudelijk overlappen beide elkaar in veel thema’s, van risicomanagement tot toegangscontrole. In Complaica worden NIS2 en ISO 27001 op hetzelfde scopemodel beoordeeld en gebruiken ze dezelfde assets, risico’s, maatregelen en bewijzen. Dat geldt evenzeer voor TISAX, BSI IT-Grundschutz, DORA, AVG en ISO 22301: wat al is gedocumenteerd, kan — voor zover het inhoudelijk past — worden gebruikt voor elk kader waarop het betrekking heeft.

Ze dekt een aanzienlijk deel van de eisen uit § 30 BSIG af, maar vervangt registratie noch meld- en bewijsplichten. In Complaica gebruiken beide kaders dezelfde assets, risico’s, maatregelen en bewijzen; het verschil verschijnt als lijst met openstaande eisen.

Nee. NIS2 is wetgeving, geen certificeringsnorm: er bestaat geen NIS2-certificaat voor entiteiten en evenmin een voor software. De entiteit moet de maatregelen implementeren en dat op verzoek van de toezichthouder kunnen aantonen; of aan de verplichting is voldaan, beoordeelt de bevoegde autoriteit. Complaica houdt de bewijzen daarvoor gereed bij het object dat ze staven.

Ja. Complaica is als SaaS en on-premises beschikbaar: de SaaS-variant wordt in Duitsland gehost; on-premises draait u de NIS2-compliancesoftware in uw eigen infrastructuur. De licentie kost in beide gevallen hetzelfde.

Ja. Complaica importeert en exporteert gegevens van en naar Excel, via de REST API en uit andere ISMS-tools; de migratie van uw gegevens is gratis en wordt door onze specialisten begeleid. Zo beoordeelt u de tool op uw eigen dataset in plaats van op demogegevens.

Via de REST API assetmanagement- en CMDB-systemen zoals i-doit, GLPI, FNT Command en andere, evenals Jira, SAP en Microsoft Azure. Applicatiegegevens zijn via data marts beschikbaar voor externe analyse- en rapportagesystemen, en via MCP kan een AI-assistent worden gekoppeld.

Voor een afgebakende scope zijn de eerste betrouwbare statusrapporten doorgaans na enkele weken beschikbaar — afhankelijk van bestaande documentatie en beschikbare capaciteit. Met voorbereide inhoud en advies zitten kleinere organisaties aan de onderkant.