NIS2 in 2026: welke netwerkmaatregelen moet je nu al aantoonbaar op orde hebben?

We merken het de laatste maanden in gesprekken met CIO’s en zaakvoerders: zodra het over NIS2 gaat, verschuift de aandacht van “we moeten ooit iets doen” naar “wat kunnen we vandaag bewijzen dat we al doen?”. En net daar wringt het vaak. Niet omdat organisaties niets hebben, maar omdat netwerkbeveiliging doorheen de jaren organisch groeit: een firewall hier, een extra VLAN daar, wat logging “voor later”. In 2026, zeker in België, volstaat dat niet meer. Je moet kunnen aantonen dat je netwerkmaatregelen doordacht zijn, getest worden en aansluiten op je risico’s, ook in omgevingen waar IT en OT elkaar raken.

Onderstaande gids vertaalt NIS2 naar concrete ingrepen op netwerkniveau die je nu al kan prioriteren, inclusief wat auditors en klanten doorgaans wél en níét overtuigend vinden.

Waarom 2026 het jaar is van bewijs, niet van beloftes

De NIS2-context in 2026 in België voelt voor veel organisaties anders dan eerdere “securitygolven”. De lat ligt niet enkel bij techniek, maar bij aantoonbaarheid: je beleid, je configuraties, je meetpunten en je procedures moeten samen één verhaal vormen.

Dat betekent concreet:

• je kan uitleggen hoe je netwerk is opgebouwd en waarom
• je kan tonen welke assets waar hangen en wie erbij kan
• je kan incidenten detecteren, onderzoeken en afhandelen met netwerkinformatie
• je kan aantonen dat je dit regelmatig test, bijstuurt en documenteert

Wie vandaag al met NIS2-auditvoorbereiding bezig is, merkt dat de netwerklaag vaak het snelste “bewijs” kan leveren, op voorwaarde dat je het slim aanpakt.

Begin bij de kaart: asset-inventaris op netwerkniveau

Veel compliance-trajecten stranden niet op ontbrekende technologie, maar op een onvolledige inventaris. Een asset inventory voor het netwerk is meer dan een lijstje toestellen. Het is een actueel overzicht van wat verbonden is, waar het staat, welke rol het heeft en hoe kritisch het is.

Praktisch wil je minimaal dit kunnen opleveren:

• overzicht van switches, gateways, firewalls, wifi-controllers en core links
• lijst van subnetten, VLAN’s en routing-relaties
• mapping van kritische services naar IP’s, segmenten en locaties
• overzicht van OT-assets (PLC’s, HMI’s, industriële camera’s) en hun verbindingen
• eigenaarschap: wie is verantwoordelijk voor elk onderdeel en wie keurt wijzigingen goed

In OT security in België zien we vaak dat leveranciersopstellingen “ooit” zijn geplaatst en daarna vooral werden ontzien. NIS2 duwt je richting controleerbaarheid. Een up-to-date netwerkassetinventaris is dan je basis voor alles wat volgt: segmentatie, monitoring, toegangscontrole en incidentrespons.

IT/OT scheiden zonder de productie te breken

In veel bedrijven is IT OT-segmentatie geen theoretische oefening, maar een evenwicht tussen veiligheid en continuïteit. Je wil niet dat een besmette laptop in kantoor automatisch een lijncomponent kan bereiken, en je wil ook niet dat een te strikte wijziging de productie stillegt.

Een werkbare aanpak bestaat meestal uit lagen:

1. Zonering: kantoor, serverzone, DMZ, OT-zone, externe toegang
2. Conduits: gecontroleerde verbindingen tussen zones, met expliciete regels
3. Beperking van beheerkanalen: beheer alleen via jump host, VPN met strikte policies, aparte admin-segmenten

Netwerksegmentatie best practices draaien vaak rond “minst mogelijke connectiviteit”: enkel wat functioneel nodig is, en dan nog liefst op basis van protocollen, poorten en bron-doelcombinaties. In 2026 is het bovendien belangrijk dat je die keuzes kan onderbouwen: waarom mag dit systeem met dat systeem praten, en hoe wordt dat opgevolgd?

Segmentatie die auditors graag zien (en aanvallers niet)

Als je NIS2-netwerkmaatregelen wilt kunnen aantonen, helpt het om segmentatie meetbaar te maken. Denk aan:

• een gedocumenteerd zonemodel met duidelijke grenzen
• firewallregels die gelinkt zijn aan change tickets of goedkeuringen
• periodieke review van rulesets (met bewijs van opschoning)
• testresultaten van segmentatietesten, bijvoorbeeld “can this host reach that OT subnet?”

Connectivity Solutions wordt in de praktijk vaak ingeschakeld wanneer segmentatieplannen botsen met performantieproblemen of historische knelpunten. Net daar zit winst: segmentatie die goed ontworpen is, kan tegelijk de veiligheid verhogen en het netwerk voorspelbaarder maken.

Voor bouwstenen zoals switching, routing en gateways is het nuttig om je fundament te toetsen aan je doelarchitectuur.

Toegangscontrole: van “wie kent het wachtwoord?” naar NAC en beleid

In veel organisaties is netwerktoegang nog te vaak impliciet: een poort werkt, dus je bent binnen. NIS2 stuurt je richting gecontroleerde toegang, zeker waar meerdere types toestellen op hetzelfde netwerk komen (laptops, scanners, camera’s, IoT, OT).

Network access control, vaak als NAC uitgewerkt, helpt om toegang afhankelijk te maken van identiteit en context:

• welk toestel is het, en is het gekend?
• wie meldt zich aan, en met welke rechten?
• waar bevindt het toestel zich (kantoor, productie, gast)?
• voldoet het toestel aan minimale eisen (bijvoorbeeld up-to-date, geen jailbreak)?

Je hoeft niet overal meteen “zero trust” in één stap te forceren. Een pragmatische route is:

• start met zichtbaarheid (profiling en detectie van onbekende devices)
• voer daarna beleid in per zone (gast, kantoor, OT, beheernetwerk)
• leg uitzonderingen vast en review ze periodiek

Belangrijk is dat je het aantoonbaar maakt: beleid, logs en uitzonderingen die terug te vinden zijn.

Logging en monitoring: maak van je netwerk een sensor

Security logging en monitoring wordt in NIS2-context vaak genoemd, maar op netwerkniveau is het extra waardevol: je ziet er laterale beweging, misbruik van accounts, vreemde datastromen en scan-gedrag vaak sneller dan op endpointniveau.

Wat je minimaal wil regelen:

• centrale logcollectie voor firewalls, core switches, VPN, wifi-authenticatie, DNS en proxy
• tijdssynchronisatie via NTP, zodat events correleerbaar zijn
• bewaartermijnen en integriteitsmaatregelen (zodat logs bruikbaar blijven)
• detectieregels of alerting voor afwijkingen (bijvoorbeeld nieuwe admin login buiten uren, onverwachte OT-protocollen)

Let op: “we loggen alles” klinkt goed, maar zonder selectie en use-cases verdrink je in ruis. Begin met incidentgedreven vragen:

• hoe detecteren we brute force of credential stuffing op VPN?
• hoe zien we dat een toestel plots data exfiltreert?
• hoe merken we dat een OT-zone wordt gescand vanuit IT?

Als je NIS2-compliance aantoonbaar wil maken, is het krachtig wanneer je kan tonen dat monitoring gekoppeld is aan processen: wie krijgt alerts, hoe snel wordt er gekeken, en wat gebeurt er met false positives?

Incidentrespons op netwerkniveau: wat doe je als het misgaat?

Een incident response plan blijft vaak te abstract tot de eerste echte aanval. Door op netwerklaag concrete draaiboeken te maken, wordt het plan uitvoerbaar, ook buiten de security-afdeling.

Denk aan scenario’s met duidelijke acties:

• verdachte laptop in kantoor: isoleren via switchpoort, NAC-quarantaine of VLAN-wijziging
• ransomware-indicatoren: blokkeren van C2-communicatie op firewall, segmenten tijdelijk dichtzetten
• OT-incident: gecontroleerde “containment” zonder productiechaos, via vooraf gedefinieerde regels en noodroutes
• verlies van internet of core component: failoverprocedures en herstelvolgorde

Maak hierbij expliciet:

• wie mag isoleren en volgens welke criteria
• welke logs en captures je verzamelt (en hoe je ze bewaart)
• hoe je communicatie regelt (intern, leveranciers, eventueel klanten)

In 2026 verwachten veel organisaties dat hun leveranciers en partners minstens hetzelfde maturity-niveau halen. Een aantoonbaar incident response-traject op netwerklaag wordt dan ook een commerciële troef, niet enkel een compliance-item.

Testen, documenteren en (pre-)certificeren: het verschil tussen “hebben” en “kunnen tonen”

De meest onderschatte stap in NIS2-auditvoorbereiding is het verzamelen van bewijsstukken die coherent zijn: netwerkschema’s, configuratieprincipes, testresultaten, changehistoriek, monitoringuse-cases en incidentprocedures.

Een praktische set deliverables die vaak goed werkt:

• actueel high-level netwerkdiagram, plus detail voor kritische zones
• segmentatiebeleid en uitzonderingsregister
• loggingmatrix: welke bronnen loggen wat, waar komt het toe, hoe lang bewaren we het
• testverslagen (segmentatie-test, failover-test, restore-test van config backups)
• incident playbooks met rollen en stappen

Connectivity Solutions helpt bedrijven al sinds 1996 met het ontwerpen, installeren en ondersteunen van professionele netwerken. Die ervaring wordt vandaag extra relevant: naast implementatie gaat het ook om documentatie, testen en begeleiding richting certificering, zodat je niet alleen technisch goed zit, maar het ook hard kan maken wanneer een auditor of klant vragen stelt. Een overzicht van wat mogelijk is, vind je op de pagina Aanbod. 

Prioriteitenlijst voor NIS2

Als je snel vooruitgang wil boeken richting NIS2-netwerkmaturity, werken deze stappen vaak het best in volgorde:

• breng je netwerkassets en zones in kaart, inclusief OT en externe toegang
• kies een segmentatiemodel en voer de meest risicovolle scheidingen eerst door
• centraliseer logging van je belangrijkste netwerkbronnen, met NTP en retentie
• maak toegang expliciet via policies, begin met NAC-visibility en gefaseerde handhaving
• oefen minstens één incident scenario en leg vast wat je leerde

Belangrijk: forceer geen “big bang” in productieomgevingen. Een gefaseerde aanpak met meetbare verbeteringen is makkelijker te verdedigen, technisch én richting compliance.

Afsluiten met een realiteitstest: wat kan je morgen bewijzen?

De hamvraag voor NIS2 in 2026 is simpel: als iemand morgen vraagt hoe jouw netwerk risico’s beperkt, detecteert en herstelt, kan je het dan tonen met schema’s, logs en testen, of alleen uitleggen met goede intenties?

Wil je die realiteitstest samen doen, met focus op segmentatie, performantieknelpunten, logging, documentatie en gerichte testen? Leg je situatie voor.

Connectivity Solutions denkt graag mee vanuit de praktijk, zodat je netwerk niet alleen draait, maar ook standhoudt wanneer NIS2 in België echt begint door te wegen.