Wordt de doeltreffendheid van de beveiligingsmaatregelen periodiek getoetst?

Toetsing is onderdeel van de maatregel zelf, geen apart vakje

Ja, in de meeste gevallen wel — maar niet als losstaande vraag, want artikel 21 lid 2 NIS2 formuleert het als kenmerk van beleid en procedures, niet als los toetsingsvereiste. Bij punt (a), het beleid voor risicoanalyse en de beveiliging van informatiesystemen, en bij punt (b), incidentbehandeling, hoort periodieke evaluatie tot wat "adequaat" beleid normaal gesproken inhoudt. Wie kan laten zien dat maatregelen regelmatig worden herzien — na een incident, na een pentest, na een auditbevinding — voldoet aan wat de klant met deze vraag eigenlijk wil zien: een werkend beheersysteem, niet een momentopname uit één inrichtingsdocument.

Als de onderneming ISO 27001-gecertificeerd is, is dit meestal het makkelijkste bewijsstuk: de norm eist zelf interne audits en een management review, en die stukken tonen direct dat toetsing plaatsvindt. Zonder certificaat kan hetzelfde onderbouwd worden met een pentestrapport, een verslag van een interne evaluatie, of notulen waarin beveiligingsmaatregelen zijn besproken en bijgesteld. Ontbreekt al dat bewijs, dan is "nee" of "in ontwikkeling" een eerlijker antwoord dan een ja zonder stuk erachter — vooral omdat deze vraag vaak samen wordt gesteld met die over beleid voor risicoanalyse, en inconsistentie tussen de twee antwoorden opvalt bij een klant die beide leest.

Waar dat in de richtlijn staat: artikel 21 lid 2

Artikel 21 lid 2 NIS2 noemt tien categorieën maatregelen die "passend en evenredig" moeten zijn, en de toelichting bij de richtlijn koppelt evenredigheid aan een doorlopend proces van risicobeoordeling — niet aan een eenmalige inrichting. Een expliciete losse verplichting tot "periodieke toetsing van doeltreffendheid" als apart artikellid staat er niet; het volgt uit de combinatie van punt (a) risicoanalysebeleid en punt (b) incidentbehandeling, waarbij lessen uit incidenten en periodieke risicobeoordeling logischerwijs tot herziening van maatregelen leiden. Voor de precieze tekst is de authentieke richtlijn de vindplaats om op terug te vallen.