ISOPlanner™ is Trusted By 600+ companies
Supporting 50+ Standards
Risicobeoordeling en maatregelen vastgelegd op één plek, met eigenaar en status.
Incidentregistratie met de termijnen erin verwerkt, zodat de klok niet handmatig bewaakt wordt.
Rapportage die aan de directie te tonen is, zonder dat iemand die eerst moet samenstellen.
Bewijsvoering verzameld op het moment dat het werk gebeurt, niet achteraf.
Dezelfde beheersmaatregelen hergebruikt richting ISO 27001.
Wat de wet vraagt
U beoordeelt de risico's voor uw netwerk- en informatiesystemen en neemt passende maatregelen. De maatregelenlijst in de wet is een minimum, geen volledige opsomming: wat passend is, hangt af van uw risicoprofiel.
Wat ISOPlanner™ doet
De risicobeoordeling en de maatregelen staan op één plek, elk met een eigenaar en een status. Omdat "passend" van uw eigen risicoprofiel afhangt, legt u per maatregel vast waarom u die keuze maakt en waarom een andere maatregel niet nodig is. Die onderbouwing is precies wat een toezichthouder opvraagt, en die staat er dan al. Alles in uw eigen Microsoft 365-omgeving, onder uw eigen toegangsbeheer.
Wat de wet vraagt
Organisaties die onder de wet vallen, registreren zich bij de overheid. Dat loopt via mijn.ncsc.nl.
Wat ISOPlanner™ doet
Registreren doet u zelf bij het NCSC. Dat neemt ISOPlanner™ niet over, en dat hoort ook niet. Wat de software wel doet, is de onderbouwing vasthouden: op welke sectorlijst u uitkomt, aan welke drempel u toetst, wie dat heeft vastgesteld en op welke datum. Verandert er iets in uw organisatie waardoor de registratie moet worden bijgewerkt, dan staat die verplichting als taak met een termijn in hetzelfde systeem, in plaats van in iemands hoofd.
Wat de wet vraagt
Een significant incident meldt u binnen 24 uur als eerste melding, gevolgd door een uitgebreidere melding binnen 72 uur en een eindrapport daarna.
Wat ISOPlanner™ doet
De termijnen zitten in de incidentregistratie verwerkt. Vanaf het moment dat u een incident vastlegt, loopt de klok zichtbaar mee en ziet u welke melding wanneer moet volgen. Wie de melding heeft gedaan en wat er is gemeld, staat bij het incident zelf. Het eindrapport schrijft u daarmee uit wat er tijdens het incident is bijgehouden, in plaats van het achteraf te reconstrueren uit mailboxen en chatberichten.
Wat de wet vraagt
Dit is het onderdeel dat het vaakst wordt onderschat. De RDI stelt het zo: "Het bestuur is eindverantwoordelijk voor governance en risicobeheersing." De wet maakt het mogelijk om bestuurders persoonlijk te beboeten of een last onder dwangsom op te leggen. Compliance is daarmee geen onderwerp dat uitsluitend bij IT belegd kan worden.
Wat ISOPlanner™ doet
Een bestuur kan alleen verantwoordelijkheid nemen voor wat het kan zien. De rapportage is opgezet om aan de directie te tonen zonder dat iemand die eerst in elkaar zet: welke risico's er open staan, welke maatregelen achterlopen, wie eigenaar is en wat er sinds de vorige rapportage is veranderd. En omdat het bewijs wordt vastgelegd op het moment dat het werk gebeurt, is die rapportage een weergave van hoe het er werkelijk voor staat en geen momentopname die voor de vergadering is gemaakt.
01.
What is the difference between essential and important entities under NIS2?
NIS2 Article 3 divides in-scope organisations into two categories. Essential entities operate in critical sectors such as energy, transport, banking, health, and digital infrastructure. Important entities cover a broader set including postal services, waste management, food production, and digital providers. Essential entities face stricter supervision and higher maximum fines (up to €10M or 2% of global turnover). Important entities are subject to reactive supervision and lower maximum fines (€7M or 1.4%). ISOPlanner™ helps document the classification and governance obligations for either category.
02.
What security measures does NIS2 Article 21 require?
Article 21 requires appropriate and proportionate technical, operational, and organisational measures to manage cybersecurity risks. These include policies on risk analysis, incident handling, business continuity, supply chain security, secure development practices, cybersecurity training, and multi-factor authentication. ISOPlanner™ maps each Article 21 requirement to your risk register and control framework so every measure is tracked and evidenced.
03.
What are the NIS2 incident reporting timelines?
NIS2 Article 23 introduces a three-stage reporting timeline. An early warning must reach the national CSIRT or competent authority within 24 hours of detecting a significant incident. A full incident notification with initial assessment follows within 72 hours. A final report with root cause analysis, impact, and applied mitigations is due within one month. ISOPlanner™ includes an incident response workflow that tracks each stage and generates the required notification records.
04.
How does NIS2 address supply chain security?
Article 21 explicitly requires organisations to assess and manage cybersecurity risks from their supply chain and supplier relationships. This includes evaluating the security practices of direct suppliers and service providers, and considering how vulnerabilities in third-party products or services could affect your own security posture. ISOPlanner™ provides a supplier register and assessment template to document and monitor third-party security obligations under NIS2.
05.
What are the penalties for NIS2 non-compliance?
NIS2 imposes significant administrative fines. Essential entities can be fined up to €10 million or 2% of total global annual turnover, whichever is higher. Important entities face maximum fines of €7 million or 1.4% of global turnover. Beyond financial penalties, NIS2 also introduces personal liability for senior management who fail to implement required security measures. ISOPlanner™ helps document governance accountability to reduce management exposure.
06.
How does NIS2 relate to ISO 27001?
ISO 27001 and NIS2 are highly complementary. The security measures required by NIS2 Article 21 closely mirror the technical and organisational controls in ISO 27001 Annex A. Organisations with a certified ISO 27001 management system are well-positioned to meet NIS2 obligations, since ISO 27001 audit evidence can directly support NIS2 compliance demonstrations. ISOPlanner™ cross-maps NIS2 Article 21 requirements to ISO 27001 Annex A controls so a single evidence base serves both frameworks.
07.
Which sectors fall within NIS2 scope?
NIS2 covers a much broader set of sectors than its predecessor. Highly critical sectors include energy, transport, banking, financial market infrastructure, health, drinking water, wastewater, digital infrastructure (cloud, data centres, DNS, trust services), public administration, and space. Additional critical sectors include postal services, waste management, chemicals, food production, medical device manufacturing, and digital providers such as online marketplaces, search engines, and social networks.
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial