Hieronder volgt een gedetailleerde checklist van de te nemen maatregelen en de randvoorwaarden uit Artikel 21, aangevuld met gerelateerde governance-eisen uit Artikel 24 en de NIS 2 context.

---

## Checklist Maatregelen Zorgplicht (Artikel 21 Cbw)

### A. Algemene Principes en Kaders (Art. 21, lid 1 & 2)


| Vereiste                                  | Omschrijving                                                                                                                                                                                        |
| :---------------------------------------- | :-------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **1. Passende en Evenredige Maatregelen** | Neem passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor netwerk- en informatiesystemen te beheersen.                                               |
| **2. Doelstelling**                       | De maatregelen moeten incidenten voorkomen of de gevolgen van incidenten voor afnemers van diensten en andere diensten beperken.                                                                    |
| **3. Risicogebaseerd Beveiligingsniveau** | Zorg voor een beveiligingsniveau van de systemen dat **is afgestemd op de geïdentificeerde risico’s**.                                                                                              |
| **4. Rekening Houden met Context**        | Houd bij het nemen van maatregelen rekening met: de **stand van de techniek**, de **uitvoeringskosten**, en, indien van toepassing, de relevante **Europese en internationale normen**.             |
| **5. Evenredigheidsbeoordeling**          | Houd rekening met de mate waarin de entiteit aan risico’s is blootgesteld, de omvang van de entiteit, de kans op incidenten en de ernst ervan (inclusief maatschappelijke en economische gevolgen). |
| **6. All-hazards Benadering**             | Baseer de maatregelen op een **benadering die alle gevaren omvat**.                                                                                                                                 |
| **7. Fysieke Beveiliging**                | De maatregelen moeten de netwerk- en informatiesystemen én de **fysieke omgeving** van die systemen tegen incidenten beschermen.                                                                    |
| **8. Continue Verbetering (PDCA)**        | Richten robuuste risicomanagement processen in, met nadruk op het **cyclische karakter** (Plan-Do-Check-Act cyclus).                                                                                |

---

### B. Minimaal Vereiste Maatregelen (Art. 21, lid 3, onder a t/m j)

De maatregelen, bedoeld in lid 1, omvatten ten minste het volgende:

|Maatregel|Omschrijving|Bronverwijzing|
|:--|:--|:--|
|**a. Risicoanalyse en Beveiligingsbeleid**|Beleid inzake **risicoanalyse** en **beveiliging van informatiesystemen**.|[86, a]|
|**b. Incidentenbehandeling**|Procedures en praktijken voor adequate **incidentenbehandeling**. (Dit omvat ook het opstellen van een incident respons plan (IRP) en procedures voor detectie, monitoring, en melden van incidenten).|[86, b]|
|**c. Bedrijfscontinuïteit**|Maatregelen voor **bedrijfscontinuïteit**, zoals **back-upbeheer**, **herstelplannen** en **crisisbeheer**.|[86, c]|
|**d. Beveiliging Toeleveringsketen**|De beveiliging van de **toeleveringsketen**, met inbegrip van beveiligingsgerelateerde aspecten met betrekking tot de relaties tussen de entiteit en haar **rechtstreekse leveranciers of dienstverleners**.|[87, d]|
|**e. Systeembeveiliging & Kwetsbaarheden**|Beveiliging bij het **verwerven, ontwikkelen en onderhouden** van netwerk- en informatiesystemen, met inbegrip van de **respons op en bekendmaking van kwetsbaarheden**.|[87, e]|
|**f. Effectiviteitsbeoordeling**|Beleid en procedures om de **effectiviteit van maatregelen** voor het beheersen van cyberbeveiligingsrisico’s te beoordelen.|[87, f]|
|**g. Cyberhygiëne en Opleiding**|**Basispraktijken op het gebied van cyberhygiëne** en **opleiding** op het gebied van cyberbeveiliging.|[87, g]|
|**h. Cryptografie en Encryptie**|Beleid en procedures inzake het gebruik van **cryptografie** en, in voorkomend geval, **encryptie**.|[88, h]|
|**i. Personeel, Toegang en Assets**|Beveiligingsaspecten ten aanzien van **personeel**, **toegangsbeleid** en **beheer van assets**.|[88, i]|
|**j. Authenticatie en Communicatie (indien gepast)**|Wanneer gepast, het gebruik van **multifactor-authenticatie-** of **continue-authenticatieoplossingen**, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit.|[88, j]|

---

### C. Specifieke Eisen Toeleveringsketen (Art. 21, lid 4)

Wanneer de entiteit passende maatregelen voor de beveiliging van de toeleveringsketen (punt d) overweegt, moet zij rekening houden met:

|Specifieke Factor|Bronverwijzing|
|:--|:--|
|**1. Kwetsbaarheden Leveranciers**|De **specifieke kwetsbaarheden** van elke rechtstreekse leverancier en dienstverlener [89, a].|
|**2. Kwaliteit Beveiligingspraktijken**|De **algemene kwaliteit** van de producten en de cyberbeveiligingspraktijken van haar leveranciers en dienstverleners, met inbegrip van hun **veilige ontwikkelingsprocedures** [89, b].|
|**3. Risicobeoordeling Kritieke Ketens**|De resultaten van de door de samenwerkingsgroep uitgevoerde **gecoördineerde beveiligingsrisicobeoordelingen** van kritieke toeleveringsketens [89, c].|
|**4. Contractuele Vastlegging**|Het **opnemen van risicomanagement-maatregelen** in de contracten met leveranciers en de leveranciers **contractueel verplichten** de veiligheid van hun leveranciers te waarborgen.|

---

### D. Governance en Bewustzijn (Verband met Art. 21 en Art. 24)

Deze elementen zijn cruciaal voor de implementatie en naleving van Artikel 21:

| Governance Vereiste                   | Omschrijving                                                                                                                                                                                                            |
| :------------------------------------ | :---------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------------- |
| **1. Bestuursgoedkeuring**            | De maatregelen (Art. 21) behoeven de **goedkeuring van het bestuur** van de entiteit.                                                                                                                                   |
| **2. Bevordering van Cultuur**        | Bevorder **veilig gedrag en een cultuur** waarin incidenten veilig gemeld en verwerkt kunnen worden.                                                                                                                    |
| **3. Training Werknemers**            | Het management moet zorgen voor **regelmatige training van de werknemers** op het gebied van informatiebeveiliging.                                                                                                     |
| **4. Bestuurskennis**                 | Ieder lid van het bestuur moet beschikken over actuele **kennis en vaardigheden** om risico’s te identificeren, risicobeheersmaatregelen te beoordelen en de gevolgen daarvan voor de geleverde diensten te beoordelen. |
| **5. Aantoonbaarheid Bestuurskennis** | Bestuursleden moeten deze kennis en vaardigheden aantoonbaar actueel houden en een **certificaat** bezitten waaruit de deelname blijkt aan een relevante training.                                                      |