Is het toegangsbeleid vastgelegd, inclusief het beheer van bedrijfsmiddelen?

Toegangsbeleid en assetbeheer zijn twee losse maatregelen

Deze vraag vouwt vaak twee dingen in elkaar: toegangsbeleid (wie mag bij welk systeem en welke data) en beheer van bedrijfsmiddelen, ook wel asset management genoemd (weten welke apparaten, systemen en informatiedragers je hebt, en wie daar verantwoordelijk voor is). In artikel 21 lid 2 van de NIS2-richtlijn staan dit twee van de tien verplichte maatregelen naast elkaar, maar het zijn geen synoniemen. Een klant die dit als één vraag stelt, wil meestal weten of je beide op orde hebt, niet of ze hetzelfde zijn.

Voor toegangsbeleid is relevant of er een procedure is voor het toekennen en intrekken van rechten, of dat gekoppeld is aan functies, en of meerfactorauthenticatie wordt gebruikt voor kritieke systemen. Voor assetbeheer gaat het om een actueel overzicht van hardware, software en informatiedragers, inclusief wie eigenaar is van elk middel en wat er gebeurt bij uitdiensttreding of vervanging van apparatuur. Heb je geen formeel vastgelegd beleid maar wel een werkende praktijk — bijvoorbeeld een sluitende gebruikerslijst in een IAM-systeem, zonder dat er een beleidsdocument aan hangt — dan is "nee" op deze vraag vaak feitelijk juister dan een voorbarig "ja". Het ontbreken van een document is iets anders dan het ontbreken van de maatregel zelf, en dat onderscheid is precies waarom dit antwoord meestal op "nog te bepalen" blijft staan totdat je weet welk bewijsstuk de klant verwacht: een beleidsdocument, een screenshot van de rechtenstructuur, of een verklaring.

Waar dit staat: artikel 21 lid 2 NIS2

Artikel 21 lid 2 van Richtlijn (EU) 2022/2555 noemt toegangscontrolebeleid en assetbeheer als afzonderlijke onderdelen binnen de tien verplichte maatregelen, naast onder meer risicoanalyse en encryptiebeleid. De richtlijn zelf schrijft geen vast format voor: hoe een onderneming dit vastlegt en aantoont, is aan de onderneming en aan wat de vragende klant in zijn eigen portaal als bewijs accepteert.