Naar hoofdinhoud
Joinly by KoppelHet

NIS2 en de Cyberbeveiligingswet

Toegangsbeheer dat je aan de toezichthouder kunt laten zien

De Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, vraagt beleid voor toegangsbeveiliging, MFA en aantoonbare controle, en het bestuur is ervoor verantwoordelijk. Joinly maakt je toegangsbeheer automatisch en gelogd, zodat het bewijs er ligt als iemand erom vraagt.

Geen creditcard, geen installatie. Praat met een IAM-specialist

  • ISO 27001-gecertificeerd
  • Gecertificeerd door AFAS
  • Data in Amsterdam
De toegangsevaluatie in Joinly: feitelijke naast bedoelde toegang

“Dat regelt IT wel”

Onder de Cyberbeveiligingswet is dat geen houdbare positie meer. Het bestuur keurt de maatregelen goed, ziet toe op de uitvoering en kan persoonlijk aansprakelijk worden gesteld als de zorgplicht aantoonbaar wordt verwaarloosd.

En de wet werkt door in de keten. Ook als je organisatie zelf niet onder de wet valt, stellen klanten die er wel onder vallen eisen aan je toegangsbeheer, het tijdig afsluiten van accounts en de logging.

De zorgplicht

Wat de wet vraagt van je toegangsbeheer

De zorgplicht verplicht tot passende en evenredige maatregelen in tien gebieden. Vijf daarvan raken direct aan toegangsbeheer.

  1. 1Beleid voor toegangsbeveiligingVastgelegd wie op welke grond toegang krijgt, en een proces dat dat beleid uitvoert.
  2. 2Sterke authenticatieMultifactor- of continue authenticatie is een expliciet genoemd maatregelgebied. Onder NIS2 is het een verplichting.
  3. 3Least privilege en levenscyclusToegang beperkt tot wat de functie vraagt, meebewegend met indiensttreding, functiewijziging en vertrek.
  4. 4Logging en incidentenBinnen 24 uur waarschuwen en binnen 72 uur melden. Dat kan alleen als je kunt reconstrueren wie wanneer toegang had.
  5. 5De toeleveringsketenToegang van leveranciers en externen even beheerst als die van eigen medewerkers, en tijdig dicht na het contract.

Zo werkt het

Vier vragen die de toezichthouder stelt, en waar het antwoord staat

  1. Stap 1

    Waarom heeft deze persoon toegang?

    Toegang moet herleidbaar zijn tot een rol of functie, en niet tot een los ticket van drie jaar geleden. In Joinly volgt toegang uit rollen op afdeling, functie en locatie uit HR, en zie je per toewijzing welke regel hem gaf.

    Voorwaardelijke rollen in Joinly die de functie van een medewerker volgen

  2. Stap 2

    Zijn vertrokken medewerkers en externen op tijd afgesloten?

    Op de uitdienstdatum gaat het account uit, worden sessies ingetrokken en komen licenties vrij. Externen en gasten lopen in dezelfde levenscyclus mee, met een verplichte einddatum.

    Een workflow in Joinly met triggers, condities en acties

  3. Stap 3

    Waar staat wanneer iemand toegang kreeg of verloor?

    Elke toekenning, wijziging en intrekking staat in het auditlog: wie, wat, wanneer en op welke grond, met de oude en de nieuwe waarde. Logs zijn achteraf niet te wijzigen.

    Het auditlog in Joinly: elke toewijzing en intrekking met bron en oude en nieuwe waarde

  4. Stap 4

    Klopt de feitelijke toegang met de bedoelde?

    De toegangsevaluatie legt naast elkaar wat er is en wat er hoort te zijn. Correcties pas je per persoon of in bulk toe, en ook die staan in het auditlog.

    Bij een incident blokkeer je een account direct: sessies ingetrokken, MFA gereset, en gelogd.

    Afwijkingen in Joinly: toegang die bijna niemand in dezelfde groep heeft, met bron, datum en wie het toekende

Wat het oplevert

  • Voor het bestuur

    Zicht op een maatregel waar je voor tekent

    Je laat zien hoe toegang geregeld is, met overzichten uit het auditlog in plaats van een geruststelling van IT.

  • Voor de security officer

    Het toegangsdeel van de zorgplicht aantoonbaar

    Rollen, levenscyclus, evaluatie en logging in één proces. De vier vragen van de toezichthouder beantwoord je in minuten.

  • Voor IT

    Bewijs als bijproduct

    Wat Joinly automatisch doet, legt hij zelf vast. Geen spreadsheets en screenshots voor een audit.

Klantverhaal · Publieke sectorToegang die de functie volgt, in een organisatie die zich verantwoordtEen publieke uitvoeringsorganisatie met medewerkers door het hele land laat toegang automatisch volgen uit functie en afdeling. Rechten horen bij een functie, en niet bij een persoon.Lees het verhaal

Tool · 2 minuten

Weten waar je staat?

Doe de NIS2-check en zie binnen twee minuten of je onder de wet valt en welke stappen voor jouw organisatie het meest urgent zijn.

NIS2-check

Beantwoord 8 ja/nee-vragen en zie binnen twee minuten of je onder de wet valt en welke stappen het meest urgent zijn.

Vraag 1 van 80%

Valt je organisatie in een aangewezen sector (energie, transport, zorg, drinkwater, digitale infra, overheid, afval, levensmiddelen, chemie, post/koerier, digitale aanbieders …)?

Beantwoord: 0/8

Vraag maar raak

Veelgestelde vragen over NIS2

  • Valt mijn organisatie onder de Cyberbeveiligingswet?

    De wet geldt voor essentiële en belangrijke entiteiten in aangewezen sectoren, meestal vanaf 50 medewerkers of 10 miljoen euro omzet. Voor de overheid geldt geen omvangscriterium: alle gemeenten, provincies en waterschappen vallen eronder. Ook als je zelf buiten de wet valt, kun je via de ketenverplichting eisen van klanten krijgen.

  • Is Microsoft Entra ID genoeg voor NIS2?

    Entra ID regelt authenticatie en identiteiten. NIS2 vraagt daarnaast dat je aantoont waarom iemand toegang heeft, dat toegang meebeweegt met personeelswijzigingen en dat elke wijziging herleidbaar is. Joinly voegt die laag toe bovenop Entra ID en on-premise Active Directory.

  • Welk deel van NIS2 regelt Joinly?

    Het toegangsbeheer en het bewijs ervan: een levenscyclus vanuit HR, least privilege via rollen, periodieke toegangsevaluatie en een onwijzigbaar auditlog. Dat onderdeel is bij toezicht het meest zichtbaar en het best te controleren.

  • Is MFA verplicht onder NIS2?

    Sterke authenticatie, waaronder MFA, is een expliciet genoemd maatregelgebied. In de praktijk betekent dat MFA op kritieke toegang. Het beleid stel je in Entra ID in; Joinly regelt het beheer eromheen, zoals een MFA-reset en een Temporary Access Pass, en legt vast wie die acties uitvoerde.

  • Geldt NIS2 ook voor leveranciers?

    Via de ketenverplichting wel. Organisaties die onder de wet vallen, moeten risico's in hun toeleveringsketen beheersen en stellen daarom eisen aan leveranciers: aantoonbaar toegangsbeheer, tijdige intrekking van accounts en logging.

  • Waar begin ik?

    Bij de feitelijke situatie. Zet je bestaande Entra- en AD-toegang naast je HR-systeem: accounts zonder HR-koppeling en vertrokken medewerkers met actieve toegang zijn meteen je eerste risicolijst. Dat verschil zichtbaar maken kun je al aan een toezichthouder laten zien.

Meer van het product

Zie hoe het bewijs ontstaat

In je gratis proefomgeving zie je met demodata hoe rollen, levenscyclus en auditlog samen vastleggen wat de toezichthouder vraagt.

Geen creditcard, geen installatie.

Liever eerst een gesprek? Praat met een IAM-specialist