Gids · Management: NIS2 en Microsoft 365: wat het betekent voor toegangsrechten

Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Valt je organisatie eronder, dan moet je aantoonbaar risico's beheersen, en de richtlijn noemt toegangsbeheer en meervoudige verificatie daarbij met name. Voor de meeste organisaties zit een groot deel van die toegang in Microsoft 365: wie bij welke SharePoint-site kan, welke gasten nog binnen zijn, wie beheerder is. Het bestuur moet die maatregelen goedkeuren en erop toezien. Dit artikel legt uit wat dat in de praktijk betekent.

Dit artikel is geen juridisch advies. Of je organisatie onder de wet valt, lees je bij het NCSC.

Wat NIS2 en de Cyberbeveiligingswet zijn

NIS2 is een Europese richtlijn die organisaties in belangrijke sectoren verplicht om hun digitale weerbaarheid op orde te hebben. Nederland heeft die uitgewerkt in de Cyberbeveiligingswet. Die is op 15 augustus 2026 in werking getreden en vervangt de Wet beveiliging netwerk- en informatiesystemen.

De wet onderscheidt essentiële en belangrijke entiteiten. Naar schatting gaat het om meer dan 8.000 organisaties in Nederland. Voor hen gelden onder meer:

• Een zorgplicht: passende maatregelen om risico's te beheersen.
• Een meldplicht: een significant incident meld je met een eerste waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur en een eindrapport binnen een maand.
• Een registratieplicht: registreren bij het NCSC, via mijn.ncsc.nl.

Waarom dit op de bestuurstafel hoort

De richtlijn is duidelijk over wie verantwoordelijk is. Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering, en kan aansprakelijk worden gesteld als het misgaat.

Dat verandert de vraag. Het is niet meer "heeft IT het geregeld?", maar "kan het bestuur laten zien dat het geregeld is?". En dat vraagt om overzicht dat je kunt uitleggen, niet alleen om instellingen die ergens aan staan.

Wat de richtlijn zegt over toegang

In de lijst met maatregelen staan twee punten die direct over toegang gaan:

1. Beveiliging rond personeel, beleid voor toegangsbeheer en beheer van bedrijfsmiddelen. Wie mag waarbij, hoe regel je dat bij in- en uitdiensttreding, en weet je welke systemen en gegevens je hebt?
2. Meervoudige verificatie of vergelijkbare oplossingen voor het inloggen, waar dat passend is.

De richtlijn schrijft geen tools voor. Je moet kunnen laten zien dat je maatregelen passend zijn voor je risico's. Voor toegang in Microsoft 365 komt dat neer op een handvol vragen die je onderbouwd moet kunnen beantwoorden.

Wat dat betekent in Microsoft 365

Wie heeft toegang tot welke gegevens?

Documenten staan in SharePoint, Teams en OneDrive. Toegang loopt via groepen, deellinks en gastaccounts. Het overzicht daarvan zit niet standaard in één scherm. Hoe je dat overzicht maakt, lees je in SharePoint in kaart brengen met AI.

Wat gebeurt er bij in- en uitdiensttreding?

Een medewerker die vertrekt, verliest het account. Maar de deellinks die diegene maakte, en de gasten die diegene uitnodigde, blijven vaak gewoon bestaan. Toegangsbeheer betekent ook dat je die achtergebleven toegang opruimt.

Is meervoudige verificatie overal afgedwongen?

Microsoft biedt twee routes:

• Standaardbeveiliging (security defaults) is voor alle klanten beschikbaar en dwingt onder meer meervoudige verificatie af.
• Voorwaardelijke toegang (Conditional Access) maakt fijnmazige regels mogelijk, zoals verificatie voor beheerders en blokkeren van verouderde inlogmethoden. Dit vraagt een Microsoft Entra ID P1-licentie. Organisaties met Microsoft 365 Business Premium kunnen het ook gebruiken.

Wie is beheerder, en blijft dat zo?

Beheerdersrechten zijn de sleutels van de hele omgeving. Hoe minder mensen ze permanent hebben, hoe kleiner het risico. Met Privileged Identity Management kan een beheerder een rol tijdelijk activeren, met meervoudige verificatie en een reden, en kun je periodiek controleren of iemand de rol nog nodig heeft. Dat vraagt een aparte licentie.

Weet je wat er staat?

Beheer van bedrijfsmiddelen betekent ook: weten welke sites en teams er zijn, wat erin staat en wie de eigenaar is. Sites zonder eigenaar zijn sites waar niemand op let.

Vijf vragen voor de directietafel

Deze vragen helpen om het gesprek met IT concreet te maken:

1. Kunnen we laten zien wie toegang heeft tot onze gevoeligste gegevens? Niet alleen in theorie, maar met een actueel overzicht.
2. Is meervoudige verificatie verplicht voor iedereen, en zeker voor beheerders?
3. Wat gebeurt er met toegang als iemand vertrekt? Ook met de deellinks en gasten die diegene aanmaakte of uitnodigde.
4. Hoeveel mensen zijn permanent beheerder, en waarom?
5. Hoe vaak controleren we dit, en wie is daarvoor verantwoordelijk?

Kun je een vraag niet beantwoorden, dan weet je waar je moet beginnen.

Veelgemaakte misverstanden

• "We hebben meervoudige verificatie aangezet, dus we zijn klaar." Het is een belangrijke stap, maar het zegt niets over wie waarbij kan nadat iemand is ingelogd.
• "Dit is iets voor IT." De uitvoering ligt bij IT, maar de verantwoordelijkheid en het toezicht liggen bij het bestuur.
• "Eenmalig opruimen is genoeg." Toegang groeit elke dag. Zonder vaste controle ben je over een jaar terug bij af.
• "Het staat in ons beleid." Beleid op papier zonder controle in de praktijk is precies het gat dat een toezichthouder of een aanvaller vindt.

Zo begin je

1. Stel vast of je organisatie onder de Cyberbeveiligingswet valt, via de informatie van het NCSC, en registreer je als dat nodig is.
2. Maak een actueel overzicht van toegang in Microsoft 365: sites, teams, gasten, deellinks en beheerders. De SharePoint Audit doet dat in één keer, met een rapport dat je aan het bestuur kunt laten zien.
3. Dwing meervoudige verificatie af, en begin bij de beheerders.
4. Ruim op wat niet meer nodig is, met de eigenaren van de sites. Bereid je je ook voor op Copilot, lees dan Copilot en oversharing.
5. Spreek af wie het bijhoudt en hoe vaak. Dat kan intern, of uitbesteed via SharePoint-beheer.