{"id":12777,"date":"2026-03-17T09:00:35","date_gmt":"2026-03-17T08:00:35","guid":{"rendered":"https:\/\/jimber.io\/blog\/apparaatpostuurcontroles-voor-nis2-de-complete-gids-voor-2026\/"},"modified":"2026-03-17T09:00:35","modified_gmt":"2026-03-17T08:00:35","slug":"apparaatpostuurcontroles-voor-nis2-de-complete-gids-voor-2026","status":"publish","type":"post","link":"https:\/\/jimber.io\/nl\/blog\/apparaatpostuurcontroles-voor-nis2-de-complete-gids-voor-2026\/","title":{"rendered":"Apparaatpostuurcontroles voor NIS2: de complete gids voor 2026"},"content":{"rendered":"

Apparaatstatuscontroles controleren de beveiligingsstatus van elk eindpunt voordat toegang wordt verleend tot applicaties en gegevens. Voor organisaties die onder NIS2 vallen, leveren ze gedocumenteerd bewijs dat bij toegangsbeslissingen rekening wordt gehouden met de gezondheid van apparaten en niet alleen met de identiteit van gebruikers. Nu de Belgische verificatiedeadline voor CyberFundamentals is vastgesteld op april 2026, is het correct configureren van posture checks niet langer optioneel voor IT-managers die zich voorbereiden op hun eerste audit. <\/p>\n

Deze handleiding beschrijft wat apparaatposture checks zijn, welke signalen moeten worden ge\u00ebvalueerd, hoe ze stap voor stap moeten worden geconfigureerd en hoe ze overeenkomen met specifieke NIS2- en CyberFundamentals-controles. De nadruk ligt op de praktijk: u zult eindigen met een werkende configuratie en het bewijsspoor dat uw auditor verwacht. <\/p>\n

Hoe apparaatposturecontroles voor NIS2 te configureren<\/h2>\n
    \n
  1. Definieer een baseline met drie verplichte signalen: OS-valuta, schijfversleuteling en apparaatregistratiestatus.<\/li>\n
  2. Verbind je identity provider en synchroniseer gebruikersgroepen met rolgebaseerd toegangsbeleid.<\/li>\n
  3. Maak houdingsprofielen in uw ZTNA platform, waarbij elk signaal wordt gekoppeld aan een goed- of afkeurconditie.<\/li>\n
  4. Pas houdingsprofielen toe op het toegangsbeleid voor applicaties, zodat apparaten die niet aan de eisen voldoen worden geblokkeerd of beperkte toegang krijgen.<\/li>\n
  5. Logboekregistratie inschakelen voor elke posture-evaluatie, inclusief de gecontroleerde signalen, het resultaat en de toegangsbeslissing.<\/li>\n
  6. Exporteer rapporten over naleving van de houding en koppel ze aan uw CyberFundamentals-bewijsmateriaalpakket.<\/li>\n<\/ol>\n

    Waarom apparaatstatus belangrijker is dan identiteit alleen<\/h2>\n

    Het verifi\u00ebren van een gebruikersnaam en wachtwoord, zelfs met multi-factor authenticatie, beantwoordt slechts \u00e9\u00e9n vraag: is dit de juiste persoon? Het zegt niets over de vraag of de laptop van die persoon een verouderd besturingssysteem heeft, geen schijfversleuteling heeft of de firewall heeft uitgeschakeld. <\/p>\n

    Volgens het Verizon Data Breach Investigations Report was uitbuiting van kwetsbaarheden verantwoordelijk voor ongeveer 20 procent van de bevestigde inbreuken in recente analyses, met een opmerkelijke stijging van jaar tot jaar. Los daarvan suggereert industrieel onderzoek dat meer dan de helft van de ransomware-incidenten in 2025 en 2026 terug te voeren is op ongepatchte of slecht onderhouden systemen. Dit zijn geen abstracte risico’s. Een werknemer met geldige referenties die verbinding maakt vanaf een gecompromitteerd apparaat, geeft een aanvaller een geverifieerd, vertrouwd toegangspunt tot je omgeving. <\/p>\n

    Apparaatposture checks dichten deze kloof. Ze evalueren de beveiligingsstatus van het eindpunt op het moment van verbinding en continu tijdens de sessie. Als het apparaat de controle niet doorstaat, wordt de toegang geweigerd of beperkt tot een lager vertrouwensbereik. Dit is het verschil tussen een Zero Trust model dat echt werkt en een model dat er alleen op papier goed uitziet. Onze Zero Trust architectuurgids<\/a> beschrijft hoe posture checks passen binnen de bredere architectuur. <\/p>\n

    Wat NIS2 en CyberFundamentals verwachten van toegangscontrole<\/h2>\n

    De Belgische NIS2-wet is actief sinds april 2024. Essenti\u00eble entiteiten moeten ten minste een basis of belangrijke CyberFundamentals (CyFun)-verificatie krijgen tegen 18 april 2026. Belangrijke entiteiten kunnen hetzelfde proces vrijwillig ondergaan om conformiteit aan te tonen. De CyFun 2025-editie is afgestemd op NIST CSF 2.0 en organiseert controles op basis van zes functies: Regeren, Identificeren, Beschermen, Detecteren, Reageren en Herstellen. <\/p>\n

    Controles van de apparaatstatus worden direct gekoppeld aan verschillende CyFun-besturingselementen onder de Protect-functie.<\/p>\n

    \n\n\n\n\n\n\n\n\n\n
    CyFun controlegebied<\/th>\nWat de auditor controleert<\/th>\nHoe apparaathouding helpt<\/th>\n<\/tr>\n<\/thead>\n
    Toegangscontrole<\/td>\nHandhaving van least-privilege, toegangsbeslissingen op basis van identiteit<\/td>\nPosture voegt apparaatcontext toe aan elke toegangsbeslissing, niet alleen identiteit<\/td>\n<\/tr>\n
    Beheer van bedrijfsmiddelen<\/td>\nInventaris van apparaten die toegang hebben tot het netwerk<\/td>\nPosture checks vereisen apparaatregistratie, waardoor een live inventarisatie ontstaat<\/td>\n<\/tr>\n
    Beveiliging van gegevens<\/td>\nEncryptie van gegevens in rust en tijdens doorvoer<\/td>\nSchijfversleuteling is een standaard houdingssignaal<\/td>\n<\/tr>\n
    Beschermende technologie<\/td>\nBeveiligingscontroles van eindpunten zijn actief en actueel<\/td>\nOS-versie, status van eindpuntbeveiliging en status van firewall zijn verifieerbare signalen<\/td>\n<\/tr>\n
    Configuratiebeheer<\/td>\nApparaten voldoen aan een gedefinieerde beveiligingsstandaard<\/td>\nPostuurprofielen coderen uw baseline en dwingen deze automatisch af<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

    Het belangrijkste punt voor auditors is aantoonbaarheid. Een houdingscontrole die automatisch wordt uitgevoerd, elk resultaat logt en apparaten blokkeert die niet aan de eisen voldoen, levert sterker bewijs dan een beleidsdocument dat beschrijft wat er zou moeten gebeuren. Onze checklist voor NIS2-compliance<\/a> omvat alle controles die je moet voorbereiden. <\/p>\n

    Welke houdingssignalen je moet controleren<\/h2>\n

    Niet elk houdingssignaal weegt even zwaar. Begin met de signalen die gemakkelijk te verifi\u00ebren en moeilijk te omzeilen zijn en die direct relevant zijn voor je risicoprofiel. Later kunt u uitbreiden. <\/p>\n

    Verplichte basislijn (begin hier)<\/h3>\n

    Versie van het besturingssysteem en patchniveau.<\/strong> Dit is het meest impactvolle signaal. Een endpoint met een OS-versie die geen beveiligingsupdates meer ontvangt, is een open doelwit. Bepaal een minimaal ondersteunde versie voor elk platform (Windows, macOS, Linux, iOS, Android) en werk de drempel elk kwartaal bij. <\/p>\n

    Schijfversleuteling.<\/strong> Volledige schijfversleuteling (BitLocker op Windows, FileVault op macOS) beschermt gegevens als een apparaat verloren raakt of gestolen wordt. Voor NIS2 laat dit zien dat bescherming van gegevens in rust zich uitstrekt tot de eindpuntlaag. <\/p>\n

    Registratie- of beheerstatus van het apparaat.<\/strong> Is het apparaat geregistreerd in uw endpoint management systeem of geregistreerd in uw ZTNA platform? Dit scheidt bekende van onbekende apparaten en geeft u een basis voor al het andere. <\/p>\n

    Aanbevolen toevoegingen (fase twee)<\/h3>\n

    Status van eindpuntbeveiliging.<\/strong> Controleer of het apparaat actieve endpointbeveiliging heeft met actuele definities. Hiervoor is geen specifiek product nodig, maar bewijs dat het apparaat wordt verdedigd. <\/p>\n

    Schermvergrendeling en time-out voor inactiviteit.<\/strong> Een apparaat dat niet vergrendeld is achtergelaten in een coffeeshop is een apparaat dat iedereen kan gebruiken. Vereis een schermvergrendeling met een maximale inactiviteitstijd. <\/p>\n

    Firewall status.<\/strong> De lokale firewall moet ingeschakeld zijn. Dit is een lichte controle die een veelvoorkomend gat dicht. <\/p>\n

    Beveiligd opstarten.<\/strong> Op ondersteunde hardware voorkomt beveiligd opstarten dat rootkits en malware op opstartniveau worden geladen voordat het besturingssysteem start.<\/p>\n

    Geavanceerde signalen (fase drie)<\/h3>\n

    Apparaatidentiteit op basis van certificaten.<\/strong> Geef apparaatcertificaten uit via uw endpoint management systeem. Dit bindt een specifiek apparaat aan een specifieke identiteit, waardoor het veel moeilijker wordt om de registratie van apparaten te vervalsen. <\/p>\n

    Jailbreak of rootdetectie.<\/strong> Controleer voor mobiele apparaten of het besturingssysteem is aangepast op manieren die de ingebouwde beveiligingscontroles omzeilen.<\/p>\n

    Browserversie.<\/strong> Verouderde browsers zijn een veel voorkomende aanvalsvector. Als je applicaties toegankelijk zijn via een webbrowser, is de browservaluta van belang. <\/p>\n

    Stapsgewijze configuratie<\/h2>\n

    Deze sectie doorloopt het configuratieproces. De stappen zijn platformonafhankelijk, maar komen overeen met hoe SASE-platformen<\/a> met ge\u00efntegreerde ZTNA omgaan met houding. <\/p>\n

    Stap 1: Inventariseer uw apparaten<\/h3>\n

    Voordat je een enkele posture regel schrijft, moet je op een rijtje zetten wat er met je omgeving verbonden is. Verdeel apparaten in drie categorie\u00ebn. <\/p>\n

    Beheerde endpoints<\/strong> zijn laptops en desktops die eigendom zijn van het bedrijf en geregistreerd zijn in uw endpoint management systeem. U hebt volledige controle over hun configuratie. <\/p>\n

    BYOD en persoonlijke apparaten<\/strong> zijn apparaten van werknemers die voor het werk worden gebruikt. Je kunt hun houding controleren, maar mogelijk kun je herstel niet direct afdwingen. <\/p>\n

    Agentless apparaten<\/strong> zijn printers, IoT-sensoren, vergaderruimtesystemen en industri\u00eble apparatuur. Deze kunnen geen posture agent uitvoeren. Ze hebben een andere aanpak nodig, met name inline isolatie door middel van hardware zoals NIAC appliances die hun communicatie beperken tot goedgekeurde flows. In onze gids over microsegmentatie<\/a> wordt uitgelegd hoe je met deze apparaten omgaat binnen een Zero Trust-model. <\/p>\n

    Stap 2: Definieer je houdingprofielen<\/h3>\n

    Maak minstens twee profielen aan.<\/p>\n

    Standaardprofiel<\/strong> (voor beheerde apparaten die toegang hebben tot bedrijfstoepassingen): OS-versie is actueel en wordt ondersteund. Schijfcodering is ingeschakeld. Apparaat is geregistreerd. Endpointbeveiliging is actief. Firewall is ingeschakeld. <\/p>\n

    Beperkt profiel<\/strong> (voor BYOD of apparaten die de standaardcontrole niet doorstaan): Alleen toegang via browser. Beperkt toepassingsgebied. Geen toegang tot gevoelige gegevensopslag. TLS-inspectie kan van toepassing zijn. <\/p>\n

    Maak voor administratieve toegang tot netwerkinfrastructuur of gevoelige systemen een derde verhoogd profiel<\/strong> aan dat veilige opstartverificatie, op certificaten gebaseerde apparaatidentiteit en een maximale sessieduur toevoegt.<\/p>\n

    Stap 3: Verbind uw identiteitsprovider<\/h3>\n

    Apparaatstatuscontroles zijn het meest effectief in combinatie met identiteitscontext. Verbind uw identity provider (Microsoft Entra ID, Okta, Google Workspace of een andere SAML\/OIDC-compatibele IdP) met uw ZTNA-platform. Synchroniseer gebruikersgroepen zodat het toegangsbeleid kan combineren wie de gebruiker is, tot welke groep hij behoort en in welke staat zijn apparaat zich bevindt. Onze gids voor integratie van identity providers<\/a> behandelt de technische stappen. <\/p>\n

    Stap 4: toegangsbeleid opstellen dat verwijst naar houding<\/h3>\n

    Dit is waar houding handhaving wordt, niet alleen zichtbaarheid. Definieer voor elke applicatie een toegangsbeleid dat drie voorwaarden bevat: gebruikersidentiteit (groepslidmaatschap), authenticatiesterkte (MFA-methode) en apparaathouding (aan welk profiel het apparaat moet voldoen). <\/p>\n

    Een praktisch voorbeeld voor een financi\u00eble toepassing:<\/p>\n

    \n\n\n\n\n\n\n\n\n\n
    Voorwaarde<\/th>\nVereiste<\/th>\n<\/tr>\n<\/thead>\n
    Gebruikersgroep<\/td>\nFinancieel team<\/td>\n<\/tr>\n
    Authenticatie<\/td>\nPhishing-bestendige MFA<\/td>\n<\/tr>\n
    Apparaat<\/td>\nStandaardprofiel (beheerd, versleuteld, huidig OS, endpointbeveiliging actief)<\/td>\n<\/tr>\n
    Toegangsbereik<\/td>\nAlleen financi\u00eble applicatie en vereiste API’s<\/td>\n<\/tr>\n
    Sessie logging<\/td>\nVolledig controlespoor<\/td>\n<\/tr>\n<\/tbody>\n<\/table>\n<\/div>\n

    Als het apparaat niet slaagt voor de posture check, wordt de toegang geweigerd. De gebruiker ontvangt een herstelbericht waarin wordt uitgelegd wat er moet veranderen: het besturingssysteem bijwerken, codering inschakelen of het apparaat registreren. <\/p>\n

    Stap 5: Implementeer eerst in monitormodus<\/h3>\n

    Laat je posture-beleid \u00e9\u00e9n tot twee weken in de monitormodus draaien. Dit betekent dat het beleid de houding evalueert en het resultaat logt, maar de toegang niet blokkeert. Bekijk de logboeken om te identificeren: <\/p>\n