Onder de NIS2-richtlijn is het gebruik van multi-factor authenticatie (MFA) een verplichte beveiligingsmaatregel voor alle organisaties die onder de wet vallen. MFA wordt expliciet genoemd als minimumvereiste binnen de zorgplicht, naast andere technische maatregelen zoals cryptografie en toegangsbeheer. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 MFA-eisen, welke methoden volstaan en hoe je een NIS2-conforme implementatie aanpakt.
Voor welke organisaties is MFA verplicht onder NIS2?
Multi-factor authenticatie is verplicht voor alle organisaties die onder de NIS2-richtlijn vallen, zowel essentiële als belangrijke entiteiten. In Nederland gaat het om ruim 10.000 organisaties die direct onder de wet vallen, waaronder gemeenten, provincies, waterschappen, ministeries en een groot deel van de kritieke sectoren zoals energie, transport, gezondheidszorg en digitale infrastructuur.
De Nederlandse omzetting van NIS2 loopt via de Cyberbeveiligingswet (Cbw), waarvan de inwerkingtreding wordt verwacht in Q2 2026. Maar ook organisaties die niet rechtstreeks onder de wet vallen, kunnen indirect te maken krijgen met de MFA-verplichting. Leveranciers en ketenpartners van NIS2-plichtige organisaties worden namelijk steeds vaker gecontroleerd op hun beveiligingsniveau, omdat de NIS2-zorgplicht ook supply chain security omvat.
Overheidsorganisaties worden automatisch als essentiële entiteit aangemerkt. Voor zelfstandige bestuursorganen (ZBO’s) en gemeenschappelijke regelingen geldt een individuele beoordeling aan de hand van vier wettelijke criteria. Organisaties zijn zelf verantwoordelijk voor het bepalen of zij onder de wet vallen. Hulpmiddelen daarvoor zijn de NIS2-zelfevaluatie en de Flowchart Registratieplicht van het NCSC.
Wat schrijft de NIS2-richtlijn precies voor over MFA?
De NIS2-richtlijn schrijft voor dat organisaties multi-factor authenticatie of continue authenticatie moeten toepassen als onderdeel van hun zorgplicht. Dit is geen vrijblijvend advies, maar een minimummaatregel die expliciet in de richtlijn (Richtlijn 2022/2555) is opgenomen naast andere verplichte beveiligingsmaatregelen.
De richtlijn formuleert de MFA-verplichting als onderdeel van een bredere set beveiligingsmaatregelen die organisaties passend en evenredig moeten implementeren op basis van een risicobeoordeling. Andere minimummaatregelen zijn onder meer:
- Beleid voor risicoanalyse en beveiliging van informatiesystemen
- Maatregelen voor bedrijfscontinuïteit en crisisbeheer
- Beveiliging van de toeleveringsketen
- Beleid en procedures voor gebruik van cryptografie en encryptie
- Beveiligingsmaatregelen voor personeel en toegangsbeheer
De formulering “multi-factor authenticatie of continue authenticatie” geeft organisaties enige ruimte in de keuze van methode, maar de kern is duidelijk: wachtwoorden alleen zijn niet langer voldoende. De Nederlandse Cyberbeveiligingswet werkt deze verplichting verder uit via het Cyberbeveiligingsbesluit (Cbb) en sectorspecifieke ministeriële regelingen. Voor de overheid geldt de Baseline Informatiebeveiliging Overheid 2 (BIO2) als normatief kader, dat de NIS2-zorgplicht concreet invult.
Welke MFA-methoden voldoen aan de NIS2-eisen?
De NIS2-richtlijn schrijft geen specifieke technische methode voor, maar vereist dat de gekozen authenticatiemethode daadwerkelijk een extra beveiligingslaag toevoegt bovenop een wachtwoord. De methode moet passen bij het risicoprofiel van de organisatie en de gevoeligheid van de systemen die worden beveiligd.
In de praktijk worden de volgende MFA-methoden als NIS2-conform beschouwd:
- Authenticator-apps zoals Microsoft Authenticator of Google Authenticator, die tijdgebonden eenmalige codes (TOTP) genereren
- Hardware tokens zoals YubiKeys of smartcards, die een fysiek object vereisen naast een wachtwoord
- Biometrische verificatie in combinatie met een andere factor, zoals vingerafdruk plus pincode
- Pushnotificaties via een beveiligde authenticatie-app op een geregistreerd apparaat
- Continue authenticatie, waarbij het systeem voortdurend het gedrag van de gebruiker monitort en bij afwijkingen aanvullende verificatie vereist
SMS-gebaseerde verificatie wordt in beveiligingskringen steeds vaker als onvoldoende beschouwd vanwege kwetsbaarheden zoals SIM-swapping. Hoewel de NIS2-richtlijn SMS niet expliciet verbiedt, is het raadzaam om te kiezen voor robuustere methoden, zeker voor toegang tot gevoelige systemen of beheerdersaccounts. De keuze moet altijd worden onderbouwd vanuit een risicoanalyse.
Wat zijn de gevolgen als een organisatie geen MFA implementeert?
Organisaties die geen MFA implementeren terwijl zij onder de NIS2-richtlijn vallen, riskeren aanzienlijke boetes en toezichtmaatregelen. Essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten riskeren boetes tot 7 miljoen euro of 1,4% van de jaaromzet.
Naast financiële sancties zijn er ook operationele en bestuurlijke gevolgen. De NIS2-richtlijn legt de verantwoordelijkheid voor cyberweerbaarheid nadrukkelijk bij het bestuur van een organisatie. Bestuurders moeten aantoonbaar voldoende kennis hebben en weloverwogen beslissingen nemen over informatiebeveiliging. Bij ernstige overtredingen kan het senior management persoonlijk aansprakelijk worden gesteld, wat cybersecurity tot een echte boardroomkwestie maakt.
Daar komen de indirecte gevolgen nog bij. Een datalek of cyberincident dat mede mogelijk was door het ontbreken van MFA, leidt tot een meldplicht bij het NCSC binnen 24 uur. Organisaties zijn verplicht een vroegtijdige waarschuwing te geven, gevolgd door een aanvullende melding binnen 72 uur en een eindverslag binnen een maand. De reputatieschade en operationele verstoring die daarmee gepaard gaan, zijn voor veel organisaties minstens zo ingrijpend als de boete zelf.
Hoe implementeer je MFA op een manier die NIS2-compliant is?
Een NIS2-conforme MFA-implementatie begint met een risicoanalyse die bepaalt welke systemen, gebruikersgroepen en toegangspunten het hoogste risico vormen. Op basis daarvan kies je de meest passende authenticatiemethode per context. Een one-size-fits-all aanpak werkt zelden goed en voldoet ook zelden aan de eis van “passende en evenredige maatregelen”.
Een praktische aanpak voor NIS2-conforme MFA-implementatie ziet er als volgt uit:
- Breng toegangspunten in kaart — Inventariseer alle systemen, applicaties en netwerktoegang binnen uw organisatie, inclusief die van leveranciers en externe beheerders.
- Prioriteer op basis van risico — Begin met beheerdersaccounts, systemen met gevoelige data en externe toegang via VPN of cloudplatforms.
- Kies een geschikte MFA-methode — Weeg gebruiksgemak af tegen veiligheid. Authenticator-apps zijn voor de meeste organisaties een goede balans; hardware tokens zijn geschikt voor hoog-risico toegang.
- Leg de keuzes vast in beleid — Documenteer welke methoden zijn toegestaan, voor welke systemen MFA verplicht is en hoe uitzonderingen worden beheerd. Dit is essentieel voor aantoonbare NIS2-compliance.
- Train medewerkers en bestuurders — Technische implementatie zonder bewustwording werkt niet. NIS2 vereist expliciet dat bestuurders voldoende kennis hebben over cyberbeveiliging.
- Test en monitor continu — Voer regelmatig penetratietests uit om te controleren of de authenticatiemaatregelen ook in de praktijk standhouden.
Vergeet daarbij de toeleveringsketen niet. NIS2 vereist dat u inzicht heeft in de beveiligingsmaatregelen van uw leveranciers. Als een externe partij toegang heeft tot uw systemen, moet ook die toegang worden beveiligd met MFA. Een red team assessment kan helpen om zwakke plekken in de authenticatieketen bloot te leggen voordat een aanvaller dat doet.
Hoe Q-Cyber helpt met NIS2 MFA-compliance
NIS2-compliance rondom multi-factor authenticatie is meer dan een technische instelling. Het vraagt om beleid, risicoanalyse, aantoonbaarheid en bestuurlijke betrokkenheid. Wij begeleiden organisaties door dit hele traject, van de eerste gap-analyse tot een volledig gedocumenteerde en werkende implementatie.
Wat wij concreet voor uw organisatie kunnen doen:
- Een NIS2 gap-analyse uitvoeren om te bepalen waar uw organisatie nu staat ten opzichte van de MFA-verplichting en andere zorgplichtmaatregelen
- Beleid op maat schrijven dat voldoet aan de eisen van de Cyberbeveiligingswet en aansluit op uw specifieke risicoprofiel
- Technische tests uitvoeren via pentests en red teaming om te controleren of uw authenticatiebeveiliging ook in de praktijk werkt
- Trainingen verzorgen voor bestuurders en medewerkers, zodat de organisatie als geheel NIS2-bewust opereert
- Als virtuele CISO optreden via Continuous-Q, zodat u altijd een onafhankelijke expert aan uw zijde heeft
Wij werken volledig onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat ons advies altijd in uw belang is, niet in dat van een tool of platform. Wacht niet tot de Cyberbeveiligingswet in werking treedt: de risico’s zijn er nu al. Neem contact op en ontdek hoe wij uw organisatie NIS2-compliant maken.
Gerelateerde artikelen
- Wat is het verschil tussen een essentiële en belangrijke entiteit bij NIS2?
- Wat moet er in een privacyverklaring staan?
- Dark web monitoring: wat is het en heb je het nodig?
- Wat is een CISO en wat doet die precies?
- Wat verwacht een cyberverzekeraar van onze beveiliging?
- Hoe weet ik of er ongeautoriseerde toegang is geweest tot ons systeem?
- Hoe ontdek ik of er malware actief is op onze servers?
- Hoe toets ik of onze firewall en beveiliging echt werken?