Gereedschap voor NIS2 zonder naleving te beloven.
De NIS2-richtlijn vereist dat essentiële en belangrijke entiteiten hun risico's beheersen, hun management erbij betrekken en hun incidenten melden. TechWatchAlert biedt handvatten voor het deel van deze verplichtingen dat gaat over kwetsbaarheden, inventarisatie, leveranciers en incidenten en levert het bewijsmateriaal waar een auditor om vraagt.
Wat NIS2 vereist
Richtlijn (EU) 2022/2555, bekend als NIS2, is van toepassing op essentiële en belangrijke entiteiten in achttien sectoren. ANSSI schat dat het in Frankrijk om ongeveer 15.000 entiteiten gaat. Drie artikelen dragen de meeste verplichtingen.
- Artikel 20, bestuur. Beheersorganen keuren de risicobeheersmaatregelen goed, houden toezicht op de uitvoering ervan en kunnen aansprakelijk worden gesteld voor overtredingen. Hun leden zijn verplicht een opleiding te volgen.
- Artikel 21, risicobeheer. Tien maatregelengebieden, waaronder de afhandeling van incidenten, beveiliging van de toeleveringsketen, de afhandeling en openbaarmaking van kwetsbaarheden, het beoordelen van de effectiviteit van maatregelen en het beheer van activa.
- Artikel 23, melding van significante incidenten. Een vroegtijdige waarschuwing binnen 24 uur na constatering, een incidentmelding binnen 72 uur en vervolgens uiterlijk een maand na de melding een eindrapportage.
Voor digitale dienstverleners (cloud computing, beheerde diensten en beheerde beveiligingsdiensten, datacentra, DNS, online marktplaatsen, zoekmachines, sociale netwerken, vertrouwensdiensten…) worden deze maatregelen punt voor punt gedetailleerd beschreven in Uitvoeringsverordening (EU) 2024/2690. Het vereist onder meer dat zij informatie over kwetsbaarheden verkrijgen via de juiste kanalen, waaronder CSIRT-aankondigingen (punt 6.10 van de bijlage).
Waar Frankrijk staat
De omzetting verloopt via het wetsvoorstel over de veerkracht van kritieke infrastructuur en de versterking van de cyberbeveiliging, bekend als het “Résilience”-wetsvoorstel. De Senaat heeft het in maart 2025 aangenomen; op 23 september 2026 is het nog niet definitief aangenomen. In juli 2026 heeft de Europese Commissie een procedure aangespannen tegen verschillende lidstaten die te laat waren met de omzetting van de richtlijn.
Zonder op de wet te wachten, publiceerde ANSSI op 17 maart 2026 zijn ReCyF-framework (Référentiel Cyber France): 20 veiligheidsdoelstellingen, 15 voor alle gereguleerde entiteiten en nog 5 voor essentiële entiteiten. Het is niet standaard verplicht, maar een entiteit die het toepast, kan er tijdens een inspectie wel op vertrouwen.
Op Europees niveau beheert ENISA sinds mei 2025 de Europese kwetsbaarhedendatabase (EUVD), voorzien in artikel 12 van de richtlijn.
Waar TechWatchAlert tools voor biedt
Elke module behandelt een specifieke verplichting en laat een gedateerd spoor achter. Registers worden nooit herschreven: een besluit wordt gesloten en er komt een ander voor in de plaats, waardoor de historie leesbaar blijft voor een auditor.
| Module | Wat het doet | Teksten |
|---|---|---|
| Monitoring, inclusief nationale CSIRT's | Negen kwetsbaarheidsfeeds, waaronder CERT-FR-adviezen en waarschuwingen en de EUVD-database van ENISA. Uitbuiting gerapporteerd door KEV, CERT-FR of de EUVD geldt als bevestigde uitbuiting, en de standaardprioriteit geeft deze op de eerste plaats. | Kunst. 21.2.e; Verordening 2024/2690, punt 6.10 |
| Register van geaccepteerde risico’s | Het uitstellen van een patch wordt een gerechtvaardigd verzoek: motivering, compenserende maatregelen, herzieningsdatum. Het management keurt het goed of af, nooit de aanvrager zelf als er een andere goedkeurder bestaat. Wanneer de datum daar is, wordt het risico opnieuw beoordeeld. | Kunst. 20; Verordening 2024/2690, punt 6.6 |
| Deadlines voor herstel en escalatie | Een saneringsbeleid op basis van ernst, aangescherpt wanneer uitbuiting wordt bevestigd en aangepast aan de kriticiteit van activa. Elke geopende CVE krijgt een deadline: een herinnering ervoor, een waarschuwing als deze wordt gemist, en vervolgens escalatie naar de CISO. | Verordening 2024/2690, punten 6.6 en 6.10 |
| Kritieke activa en inventarisbeoordelingen | Elk project en elk onderdeel heeft een kriticiteit (vitaal, belangrijk, standaard, laag). Het periodieke inventarisoverzicht wordt gedocumenteerd en gedateerd, en elke SBOM-import wordt als bewijs geregistreerd. | Kunst. 21.2.i; Verordening 2024/2690, punt 12 |
| Leveranciersregister | Gevoed door de leveranciers in uw stapel en vervolgens gekwalificeerd: kriticiteit, beveiligingscontact, contractclausules, gegevenslocatie, periodieke beoordelingen. Voor elke leverancier: open CVEs, geëxploiteerde CVEs, data van einde levensduur. | Kunst. 21.2.d en 21.3; Verordening 2024/2690, punt 5 |
| Incidenten | Incidentenregister, kwalificatie, berekende deadlines (24 uur en 72 uur na bekendmaking, één maand na de melding), herinneringen, vooraf ingevulde rapportsjablonen om te kopiëren en een logboek met tijdstempel. | Kunst. 23 |
| Rapportage voor het management | Indicatoren per verplichting en een PDF-rapportage voor het management: samenvatting, mapping naar de teksten, registerbijlagen. | Kunst. 20 en 21.2.f |
Binnen de organisatie zijn rollen verdeeld: management, CISO, incidentcontact. Standaard ligt het management bij de eigenaren van de organisatie, de CISO-rol bij het management en het incidentcontact bij de CISO.
Wat TechWatchAlert niet doet
- Geen certificering. Geen enkele tool is voldoende om een organisatie in lijn te brengen met NIS2. TechWatchAlert levert bewijs; uw organisatie, en waar relevant ANSSI, de conclusies trekken.
- Geen automatische rapportage. De tool stelt de incidentmelding op en houdt deze bij; jij bent degene die het via zijn kanalen indient bij ANSSI.
- Geen juridisch advies. Of uw organisatie een essentiële of belangrijke entiteit is, en wat de Franse wet daarvan zal eisen, is een zaak van ANSSI en uw adviseurs.
- Niet alles van artikel 21. Business-continuïteit en back-ups, cryptografie, personeelsbeveiliging, toegangscontrole tot uw eigen systemen, training: deze gebieden worden elders afgehandeld.
Betrokken plannen
De complianceruimte is opgenomen in de Pro- en Business-plannen; het is niet beschikbaar op de Free- en Team-abonnementen. CERT-FR-adviezen en -waarschuwingen en EUVD-inzendingen zijn daarentegen zichtbaar op elk plan: het zijn kwetsbaarheidsgegevens zoals alle andere. Vergelijk de plannen.
En TechWatchAlert als leverancier?
Als NIS2 op u van toepassing is, maken wij deel uit van uw toeleveringsketen (artikel 21.2.d). Onze Beveiligingspagina brengt samen waar een leveranciersbeoordeling doorgaans om vraagt: hosting, subverwerkers en overdrachtwaarborgen, getroffen maatregelen, openbaarmakingscontact.
Veelgestelde vragen
Maakt TechWatchAlert mijn organisatie NIS2-compatibel?
Nee, en geen enkel hulpmiddel kan dat. TechWatchAlert levert tooling voor een deel van de verplichtingen (monitoring, patching, inventarisatie, leveranciers, incidenten) en levert gedateerd bewijsmateriaal. De naleving wordt op al uw maatregelen beoordeeld door uw organisatie en, indien relevant, door ANSSI.
Moeten we wachten op de Franse wet voordat we beginnen?
Die keuze is aan jou. De richtlijn bepaalt al het raamwerk en het ReCyF-framework van ANSSI is beschikbaar sinds maart 2026. Als u vanaf nu uw registers bijhoudt, beschikt u over een geschiedenis die u kunt laten zien op de dag dat de verplichtingen van toepassing zijn.
Verzendt TechWatchAlert het incidentrapport naar ANSSI?
Nee. De tool berekent de deadlines (24 uur en 72 uur nadat u hiervan op de hoogte bent, één maand na de melding), herinnert u eraan, bereidt vooraf ingevulde sjablonen voor en registreert elke stap. Het indienen blijft uw verantwoordelijkheid, via de kanalen van ANSSI.
Verbiedt NIS2 Amerikaanse providers zoals Cloudflare?
Nee. NIS2 vraagt u om de risico's verbonden aan uw leveranciers te beoordelen, en niet om een nationaliteit uit te sluiten. In Frankrijk is het de SREN-wet (artikel 31) die aanbiedingen van het type SecNumCloud vereist voor bepaalde overheidsdiensten die gevoelige gegevens verwerken. TechWatchAlert is niet SecNumCloud-gekwalificeerd en publiceert de lijst met zijn subverwerkers op zijn Beveiligingspagina.
Welke plannen omvatten de complianceruimte?
Pro en Business. De Free- en Team-abonnementen geven er geen toegang toe, maar tonen net als de andere de CERT-FR-adviezen en EUVD-vermeldingen die aan uw CVEs zijn gekoppeld.
Pro- en Business-abonnementen
Uw NIS2-bewijs, waar uw monitoring al leeft.
Registreer geaccepteerde risico's, saneringsdeadlines, voorraadreviews, leveranciers, incidenten en een rapportage voor het management, in de tool die uw kwetsbaarheden al in kaart brengt. Begin met het Free-abonnement; de complianceruimte wordt geopend met het Pro-abonnement.
- Subverwerkers gepubliceerd
- Gebouwd en gehost in Frankrijk
- Exporteer uw gegevens op elk gewenst moment