Kennisbank · NIS2 voor telecom
NIS2-checklist: de tien zorgplichtmaatregelen voor telecomaanbieders
De Cyberbeveiligingswet (Cbw) verplicht u om passende maatregelen te nemen tegen cyberrisico's. De wet noemt tien onderwerpen die u ten minste regelt. Deze checklist zet ze op een rij, met per punt wat de regels vragen en wat dat betekent voor een telecom-, VoIP- of internetaanbieder.
Waar komen de tien maatregelen vandaan?
De Europese NIS2-richtlijn noemt in artikel 21 een lijst met minimale maatregelen. Nederland heeft die lijst overgenomen in artikel 21, derde lid, onder a tot en met j, van de Cbw. Het Cyberbeveiligingsbesluit (Cbb) werkt de maatregelen uit in de artikelen 6 tot en met 18. Voor telecomaanbieders voegt de Regeling cyberbeveiliging EZK daar nog regels aan toe.
Voor sommige digitale diensten, zoals cloud, datacenters en beheerde diensten (MSP), gelden de Cbb-artikelen niet. Daarvoor geldt een Europese uitvoeringsverordening (artikel 4 Cbb). Openbare telecomnetwerken en -diensten staan niet in die uitzonderingslijst. Voor uw telecomdienst gelden dus de Nederlandse artikelen uit het Cbb en de EZK-regeling. Levert u daarnaast cloud- of MSP-diensten, kijk dan apart naar die regels.
Passend, niet maximaal
De wet vraagt maatregelen die passen bij uw risico's. U houdt rekening met de stand van de techniek, de kosten, uw omvang en de kans op en de ernst van incidenten (artikel 21, tweede lid, Cbw). Een aanbieder met tien medewerkers hoeft dus niet hetzelfde te doen als een landelijke operator. Maar u moet wel kunnen laten zien waarom uw keuzes passend zijn. Daarom staat in bijna elk Cbb-artikel dat u beleid "schriftelijk vastlegt" en "aantoonbaar toepast".
De checklist
| Cbw art. 21 lid 3 | Uitwerking | Wat het voor telecom betekent |
|---|---|---|
| a. Risicoanalyse en beveiligingsbeleid | Cbb art. 6 en 7; EZK art. 3 | Schriftelijk beleid, rollen en een managementsystematiek. Een risicomethode met criteria voor risicoacceptatie en een overzicht van risico's. Begin bij SBC's, core-routers, SIP-trunks, beheertoegang en 112-routering. |
| b. Incidentenbehandeling | Cbb art. 8 | Rollen en procedures voor detecteren, analyseren, herstellen, documenteren, rapporteren en leren. Monitoring van relevante gebeurtenissen en logbestanden die u een vaste periode bewaart en beschermt tegen wijziging. |
| c. Bedrijfscontinuïteit en crisisbeheer | Cbb art. 9; EZK art. 4 | Back-ups met hersteltijden, herstelpunten en bewaartermijnen. Een continuïteitsplan, herstelplan en crisisplan, die u periodiek test. Denk aan back-ups van routerconfiguraties en van de PBX- of SBC-inrichting. |
| d. Toeleveringsketen | Cbw art. 21 lid 4; Cbb art. 10 | Beleid voor afhankelijkheden van leveranciers. Periodiek toetsen of rechtstreekse leveranciers aan uw beveiligingseisen voldoen: carriers, hardwareleveranciers, hosting en uw beheerpartij. |
| e. Verwerven, ontwikkelen en onderhouden | Cbb art. 11 en 17; EZK art. 5 | Beveiligingseisen bij inkoop, configuratie- en wijzigingsbeheer, patchbeheer binnen een redelijke termijn, periodieke kwetsbaarheidsscans waar passend, en vastleggen waarom u een patch uitstelt. Beoordeel ontvangen beveiligingsadviezen en leg de uitkomst vast. |
| f. Effectiviteit beoordelen | Cbb art. 18; EZK art. 3 | Periodiek evalueren of de maatregelen werken en het resultaat vastleggen. Bepaal vooraf wat u meet, hoe, wanneer en door wie. |
| g. Cyberhygiëne en opleiding | Cbb art. 12; EZK art. 5 lid 4 | Bewustwording voor personeel en regelmatige opleiding voor wie beveiligingstaken heeft. Segmenteer uw netwerk in zones op basis van uw risicoanalyse, bijvoorbeeld een apart beheernetwerk. |
| h. Cryptografie | Cbb art. 13 | Beleid over wanneer u versleutelt, welke typen encryptie u gebruikt en wie verantwoordelijk is voor implementatie en sleutelbeheer. Denk aan SIP over TLS, SRTP en versleutelde beheertoegang. |
| i. Personeel, toegang en assets | Cbb art. 14, 15 en 16; EZK art. 6 | Aanwijzen wie beveiligingstaken heeft en betrouwbaarheidseisen waar passend. Toegangsbeleid met periodieke controle van accounts en rechten. Een volledige en actuele inventaris van uw assets. |
| j. Multifactorauthenticatie en beveiligde communicatie | Cbw art. 21 lid 3 j; Cbb art. 9 lid 5; EZK art. 6 | Wanneer gepast: MFA of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatie. Sterke authenticatie voor beheeraccounts, en beheerrechten alleen voor beheer gebruiken. |
Toelichting per maatregel
a. Risicoanalyse en beleid
Alles begint bij de risicoanalyse. Volgens artikel 7 Cbb heeft u een methode, criteria voor wanneer u een risico accepteert, en een overzicht van risico's. Op basis daarvan stelt u beveiligingseisen. Die eisen gebruikt u later ook voor leveranciers (artikel 10) en inkoop (artikel 11). Voor een telecomaanbieder horen bij de risico's in elk geval: uitval van de dienst, misbruik van SIP-accounts (toll fraud), DDoS-aanvallen, inbraak via beheertoegang en het niet bereikbaar zijn van 112. De wet schrijft geen vaste rekenmethode voor. Een eigen methode mag, zolang u die consequent en aantoonbaar toepast.
b. Incidenten
Incidentbehandeling is meer dan melden. U regelt wie incidenten ziet, beoordeelt en oplost. Logging van beveiligingsrelevante gebeurtenissen is verplicht, met een vooraf bepaalde bewaartermijn. Koppel deze procedure aan de meldtermijnen van 24 uur, 72 uur en één maand. Lees meer in de meldplicht bij een incident.
c. Continuïteit
Het Cbb vraagt drie plannen: een bedrijfscontinuïteitsplan, een herstelplan en een plan voor crisisbeheer. U test ze periodiek. Het crisisplan beschrijft ook de communicatiemiddelen tijdens een crisis. Voor een VoIP-aanbieder is dat een echte vraag: hoe belt u elkaar als uw eigen telefonie uitvalt?
d. Leveranciers
Uw dienst draait op die van anderen: upstream-carriers, transit, datacenters, leveranciers van routers en SBC's. U bepaalt hoe u met die afhankelijkheden omgaat en controleert periodiek of rechtstreekse leveranciers aan uw eisen voldoen. Volgens de RDI geldt dat ook voor leveranciers buiten de EU. Meer in ketenbeveiliging onder NIS2.
e. Onderhoud en kwetsbaarheden
De EZK-regeling is hier concreet. Patches komen uit betrouwbare bronnen, worden waar passend getest en worden binnen een redelijke termijn geplaatst. Stelt u een patch uit, dan legt u uit waarom. Kwetsbaarheden die een risico vormen, verhelpt u onverwijld of u motiveert het uitstel. Voor netwerkapparatuur met een publiek bereikbare beheerinterface is dit een van de belangrijkste punten.
f. Evaluatie
U evalueert periodiek of uw maatregelen werken en legt dat vast. De wet noemt geen vaste frequentie. Een jaarlijkse evaluatie en een evaluatie na elk groot incident is een werkbare eigen afspraak.
g. Hygiëne, opleiding en segmentatie
Medewerkers moeten de risico's kennen en basismaatregelen toepassen. Wie beveiligingstaken heeft, krijgt regelmatig opleiding. Opvallend is dat de EZK-regeling netwerksegmentatie onder dit punt regelt. Scheid daarom beheer, klantverkeer en kantoornetwerk waar uw risicoanalyse dat vraagt.
h. Cryptografie
U legt vast waar u versleuteling gebruikt en wie de sleutels beheert. Dat hoeft geen lang document te zijn, maar het moet wel kloppen met de praktijk.
i. Personeel, toegang en assets
Wijs aan wie welke beveiligingsrol heeft en controleer dat periodiek. Controleer ook regelmatig of accounts en rechten nog nodig en juist zijn. Denk aan oud-medewerkers die nog een account hebben op routers of in het klantportaal. Houd een volledige inventaris bij van uw systemen. Zonder die lijst kunt u de andere punten niet goed uitvoeren.
j. MFA en beveiligde communicatie
De wet zegt "wanneer gepast". Voor beheeraccounts is de EZK-regeling strenger: daar zijn sterke identificatie en authenticatie verplicht, en beheerrechten worden zoveel mogelijk per persoon en beperkt toegekend. De RDI noemt op haar website bij dit punt het gebruik van passkeys. Gedeelde beheeraccounts zoals "admin" passen hier slecht bij.
Vergeet het bestuur niet
De maatregelen hebben de goedkeuring van het bestuur nodig (artikel 24 Cbw). Ieder bestuurslid moet bovendien voldoende kennis hebben om risico's en maatregelen te beoordelen, en een certificaat van een training bezitten. Lees meer in NIS2 en de rol van bestuurders of bekijk onze e-learning met bestuurdersspoor.
Deze checklist volgt de regels zoals die op 5 november 2026 gepubliceerd zijn. Controleer de actuele stand, want ministeriële regelingen kunnen worden aangepast.
Volgende stap
Wilt u weten hoe u er nu voor staat? De gratis zelfscan geeft een eerste gap-analyse per onderwerp. In het NIS2-portaal werkt u daarna de punten uit deze checklist af, met documentsjablonen, overzichten van risico's en leveranciers en een bestuursrapportage. U kunt het 30 dagen gratis proberen.
Bronnen
- Cyberbeveiligingswet, Staatsblad 2026, 187 (artikel 21 en 24)
- Cyberbeveiligingsbesluit, Staatsblad 2026, 189 (artikelen 4 tot en met 18)
- Regeling cyberbeveiliging EZK, Staatscourant 2026, 25627 (artikelen 2 tot en met 6)
- RDI: Zorgplicht Cyberbeveiligingswet
- RDI: Veelgestelde vragen Cyberbeveiligingswet
Geraadpleegd op 5 november 2026. Deze site, de kennisbank en de zelfscan geven algemene informatie en zijn geen juridisch advies. Stand van de wetgeving: november 2026.
Weet in 15 minuten waar u staat
Doe de gratis zelfscan voor telecom-, VoIP- en internetaanbieders. U krijgt direct een rapport met actiepunten. Daarna kunt u 30 dagen gratis verder in het portaal.