NIS2 op Azure
Azure NIS2-conformiteit, gekoppeld aan Artikel 21 met auditklaar bewijs
Microsoft toont u wat er verkeerd is geconfigureerd. NIS2 vraagt wat dat betekent voor Artikel 21, wie verantwoordelijk is en welk bewijs u aan een auditor kunt voorleggen. Cloudivence, voorheen Governator, is de laag tussen die twee.
Wat NIS2 daadwerkelijk eist van uw Azure-omgeving
De NIS2-richtlijn (EU 2022/2555) is in België in werking getreden op 18 oktober 2024. Voor organisaties die cloud-infrastructuur uitbaten is de concrete tekst Artikel 21, dat tien technische en organisatorische maatregelen opsomt die elke essentiële of belangrijke entiteit moet invoeren en documenteren. Er is geen bijlage met een afvinklijst. De maatregelen zijn geformuleerd als resultaten en de bewijslast ligt bij u.
Op Microsoft Azure zijn de onderliggende controls meestal wel ergens aanwezig: Defender for Cloud, Azure Policy, Conditional Access, Key Vault, Sentinel, Azure Backup. Wat standaard niet wordt geleverd, is de mappinglaag tussen die technische controls en de Artikel 21-maatregelen, het verantwoordelijkheidsspoor en het auditbewijspakket dat een toezichthouder in vijf minuten kan doorlezen.
Cloudivence is voor die kloof gebouwd. Het leest bevindingen en configuratie uit uw Azure-omgeving, relateert ze aan de Artikel 21-maatregelen, laat u per bevinding een eigenaar aanduiden en de oplossing opvolgen, en levert een Excel-bewijspakket wanneer u er een nodig hebt.
Hoe Cloudivence Azure relateert aan NIS2 Artikel 21
Elke Artikel 21-maatregel vraagt zijn eigen Azure-bewijs. De tabel toont wat een maatregel vraagt, en wat Cloudivence er vandaag voor leest telkens een beoordeling draait. Verschillende maatregelen hebben ook bewijs van buiten Azure nodig, dat geattesteerd wordt.
| Referentie | Maatregel | Welk Azure-bewijs de maatregel vraagt | Wat Cloudivence vandaag leest |
|---|---|---|---|
| Artikel 21(2)(a) | Risicoanalyse en beleid voor informatiebeveiliging | Azure Policy-toewijzingen, Defender for Cloud-dashboard regulatory compliance, exemption-register met zakelijke motivering. | Defender-aanbevelingen over beveiligingsbeleid en security posture, de secure score, en wie de rollen Security Admin en Security Reader heeft. |
| Artikel 21(2)(b) | Incidentafhandeling | Sentinel-incidenten, Defender alert-workflow, runbook-attestaties, post-incident-reviewbewijs. | Defender-aanbevelingen over logging en alerting, en roltoewijzingen voor monitoring. De incidentregistraties zelf worden niet gelezen. |
| Artikel 21(2)(c) | Bedrijfscontinuïteit en crisisbeheer | Azure Backup vault-policies, Azure Site Recovery-configuratie, geo-redundante storage, geteste DR-runbook-attestatie. | Defender-aanbevelingen over herstel, soft delete, purge protection en retentie van Key Vault, en de back-upbescherming per resource. |
| Artikel 21(2)(d) | Beveiliging van de toeleveringsketen | Service principal-inventaris, RBAC-toewijzingen aan derden, federated identity-audit, Lighthouse-delegatie-review. | Defender-aanbevelingen over externe accounts, externe principals met bevoorrechte rollen, en service principals met Owner of Contributor. |
| Artikel 21(2)(e) | Beveiliging bij verwerving, ontwikkeling en onderhoud | AVM-moduleversies, pipeline secret-scanning, Defender for DevOps-bevindingen, IaC-reviewbewijs. | Defender-aanbevelingen over veilige configuratie, en storage-instellingen zoals de minimale TLS-versie, enkel HTTPS en publieke toegang. |
| Artikel 21(2)(f) | Effectiviteit van risicobeheermaatregelen | Secure Score-trend, control-effectiviteitsmetrics, exemption-decay rate, MTTR per bevindingscategorie. | De secure score en de trend van de open bevindingen. Voor deze maatregel zijn er geen specifieke controles. |
| Artikel 21(2)(g) | Cyberhygiëne en training | Conditional Access-houding, MFA-dekking, Privileged Identity Management-activeringen, trainingsattestatie-register. | Accounts die in Entra ID uitgeschakeld zijn maar nog rollen hebben, en de naleving van tags. Training wordt door een persoon geattesteerd. |
| Artikel 21(2)(h) | Cryptografie | Key Vault-inventaris, TLS-minimumversie policy, customer-managed keys (CMK)-dekking, certificaatverloop-monitoring. | Defender-aanbevelingen over encryptie, de TLS- en HTTPS-instellingen van storage, en het toegangsmodel van Key Vault. |
| Artikel 21(2)(i) | Personeel, toegangscontrole, asset management | RBAC-rolassigning, joiner-mover-leaver-procesbewijs, service principal-lifecycle, just-in-time access-logs. | Defender-aanbevelingen over toegang, het aantal eigenaars per subscription, en roltoewijzingen via groepen tegenover rechtstreekse toewijzingen. |
| Artikel 21(2)(j) | Multifactorauthenticatie en beveiligde communicatie | Entra Conditional Access-rapporten, MFA-registratiedekking, Private Link & private endpoint-inventaris, public exposure-analyse. | Gebruikers die rechtstreeks een bevoorrechte rol hebben, en de instellingen voor het beveiligingscontact en de alertmeldingen in Defender. MFA zelf wordt niet gelezen, omdat Conditional Access niet verzameld wordt. |
De Belgische NIS2-tijdlijn
België implementeerde NIS2 via de wet van 26 april 2024, met het CCB (Centre for Cybersecurity Belgium) als toezichthoudende autoriteit. Het CCB heeft NIS2-handhaving afgestemd op het CyberFundamentals-framework: organisaties tonen Artikel 21-conformiteit aan door het juiste CyFun-assurance-niveau te bereiken (Basic, Important of Essential).
- Registratiedeadline: 18 maart 2025 (verstreken). Alle in scope zijnde entiteiten moeten geregistreerd zijn bij het CCB.
- CyFun-zelfevaluatie te leveren tegen: 18 april 2026 (verstreken). De meeste "important" entiteiten werken naar CyFun Important toe; "essential" entiteiten hebben CyFun Essential nodig.
- Herclassificatie: kritieke entiteiten worden essentiële entiteiten op 17 juli 2026.
- Voortgangsrapport te leveren tegen: 18 april 2027.
Als u op Azure draait en uw CyFun-zelfevaluatie op de kalender staat, is het koppelen van Defender-bevindingen, policy-compliance en roltoewijzingen aan de CyFun-controlset wat Cloudivence doet. Zie de aparte pagina CyFun op Azure voor de koppeling per assurance-niveau.
Wat Microsoft wel en niet biedt
Wat Microsoft wel biedt
- ✓Defender for Cloud regulatory compliance-dashboard met NIS2-initiatief
- ✓Secure Score en de aanbevelingsmotor
- ✓Compliance-status van Azure Policy per toewijzing
- ✓Sentinel voor het loggen van incidenten en de detectie
- ✓Activity Log met 90 dagen retentie per resource
Wat Microsoft niet biedt
- ✓Een koppeling per bevinding aan de Artikel 21-maatregelen (a)–(j)
- ✓Een eigenaar en een streefdatum per bevinding, en de leeftijd ervan tegenover een doel per ernst
- ✓Attestaties, uitzonderingen op controls met een vervaldatum, en bewijslinks per control
- ✓Een export per CyFun-assurance-niveau met control-bewijsmatrix
- ✓Een assurance-overzicht van wat de readiness blokkeert en van de deadlines
De NIS2-weergave van Defender laat zien welke Azure-controls technisch geconfigureerd zijn. Wat ze niet zegt: wat een tekortkoming betekent voor uw Artikel 21-verplichting, wie de remediatie moet uitvoeren of wat uw auditor als bewijs zal aanvaarden. Dat is de laag die Cloudivence biedt.
Waar begint u?
De meeste organisaties starten met een NIS2-readiness assessment: een eenmalige opdracht waarin GenioCT met Cloudivence een momentopname maakt, met expertinterpretatie, de meest risicovolle tekortkomingen in kaart brengt en de roadmap afbakent. Met het assessment achter de rug kunnen organisaties verdergaan met Cloudivence in een begeleide pilot op hun eigen Azure-subscriptions.
Begin met een Azure Health Check
Niet zeker waar te beginnen? Een snelle architectuurreview geeft u een helder beeld. Vrijblijvend.
- ✓ Risicoscorecard voor identiteit, netwerk, governance en beveiliging
- ✓ Top 10 problemen gerangschikt op impact en inspanning
- ✓ 30-60-90 dagen roadmap met quick wins