Compliance op papier overleeft AI niet: je NIS2-bewijs moet nu gaan lopen

Het NIS2-dossier waar half ondernemend Nederland deze zomer aan werkt, schrijf je in een middag. Beleid, rolverdeling, een risicoanalyse, een lijst met leveranciers: met een sjabloon en een lege agenda ligt het er voor het avondeten. Dat is geen cynische opmerking over papierwerk. Het is precies de reden dat 15 augustus je op het verkeerde been zet.

De Cyberbeveiligingswet, de Nederlandse invulling van NIS2, treedt op 15 augustus 2026 in werking. De verplichtingen gaan meteen in, registreren bij het NCSC is per die datum verplicht. Maar de zorgplicht vraagt niet om een map. Hij vraagt om een antwoord, op een moment dat je niet zelf kiest, over een periode die dan al voorbij is. De toezichthouder zegt het zelf zo droog mogelijk: tijdens een inspectie vraagt de RDI hoe je dit hebt gedaan en kan zij bewijs opvragen.

Mijn stelling: AI vergroot niet in de eerste plaats het aantal risico's in je bedrijf. AI vergroot de afstand tussen wat je hebt vastgelegd en wat je op een willekeurige dag kunt aantonen. Dat is de kloof die telt, en je kunt hem alleen vooruit in de tijd dichten. Nooit met terugwerkende kracht.

Aantoonbaar is iets anders dan aanwezig

Aantoonbaar compliant betekent niet dat je de juiste documenten hebt liggen. Het betekent dat je op verzoek kunt laten zien dat je maatregelen ook echt werkten, in de periode waar de vraag over gaat. Beleid is een momentopname. Bewijs is een reeks: logboeken, goedgekeurde wijzigingen, gedateerde beoordelingen, sporen van wie wat wanneer mocht. Het eerste maak je. Het tweede verzamel je.

Dat onderscheid is niet nieuw en niet AI-specifiek. De wet noemt AI met geen woord. Hij vraagt om passende en evenredige maatregelen en laat in het midden hoe jouw omgeving eruitziet. Of je een essentiële of belangrijke entiteit bent, volgt uit een scope-check op sector, omvang en omzet. Juist die techniek-neutrale tekst legt het gewicht bij het bewijs: de vraag bij een inspectie of een incident gaat altijd over jouw concrete situatie op een concrete dag.

En daar begint AI te knellen. Niet omdat AI gevaarlijker is dan andere software, maar omdat het verandert hoe snel je omgeving verandert.

Je inventaris scheurt het eerst

De eerste maatregel in elk risicokader is ook de saaiste: weet wat je hebt. Bij software werkte dat decennialang, want software kwam binnen via inkoop. AI komt binnen via een browsertabblad, een gratis proefaccount en een functie die je bestaande leverancier aanzet zonder dat jij iets installeert.

Wat dat met je dossier doet, is gemeten. Uit IBM's Cost of a Data Breach-onderzoek van 30 juli 2025 blijkt dat één op de vijf gehackte organisaties een datalek had waarbij ongesanctioneerde AI een rol speelde. Van de organisaties die een AI-gerelateerd datalek meldden, had 97 procent geen toegangscontroles op die AI staan. Het cijfer dat mij het meest zegt, staat wat verstopt: 63 procent van de gehackte organisaties had geen AI-governancebeleid of was er nog mee bezig, en van de organisaties die wél beleid hadden, controleert 34 procent regelmatig of er buiten dat beleid om AI wordt gebruikt.

Lees die twee cijfers als één zin en je hebt de kloof te pakken. Beleid hebben is het makkelijke deel. Beleid dat je periodiek toetst aan de werkelijkheid, en waarvan je die toets kunt laten zien, is het werk.

Ook de blinde vlek zelf is geteld: 83 procent van de Nederlandse IT-leiders zegt dat er AI-tools worden gebruikt, tegen 56 procent van de zakelijke leiders. Dat gat van bijna dertig procentpunt is geen meningsverschil over risico. Het is één inventaris met twee waarnemers die het niet eens zijn over wat erin staat.

AI-agents zijn accounts die niemand heeft aangevraagd

Daar komt iets bovenop dat taaier is dan schaduw-AI: software die zelf handelt. Een agent die je mailbox leest, in je CRM schrijft en een externe API aanroept, is voor je systemen geen tool maar een gebruiker. Alleen dan een gebruiker zonder personeelsnummer, zonder leidinggevende en zonder uitdienstprocedure.

De Cloud Security Alliance rekende dat in mei 2026 door voor niet-menselijke identiteiten: dienstaccounts, API-sleutels, tokens en de inloggegevens waarmee agents werken. Die zijn menselijke accounts allang voorbij, gemiddeld met een verhouding van 45 op 1. Ondertussen heeft 51 procent van de organisaties geen duidelijk eigenaarschap over AI-identiteiten en beschikt 22 procent over vastgelegd beleid voor het aanmaken en intrekken ervan.

Eigenaarschap en toegangsbeheer zijn geen randvoorwaarden van de zorgplicht, ze zijn de kern ervan. Kun je na een incident niet zeggen wie de sleutel beheerde waarmee iets gebeurde, dan heb je geen documentatieprobleem. Dan heb je een verantwoordingsprobleem.

Gartner verwacht dat dat snel zichtbaar wordt: 40 procent van de bedrijven schaalt in 2027 autonome AI-agents terug of zet ze uit vanwege governance-gaten die pas na productie-incidenten aan het licht komen. Die laatste woorden zijn de hele diagnose. De gaten zijn er nu ook al. Ze worden alleen zichtbaar op het slechtst denkbare moment, als er iets is misgegaan en je moet uitleggen hoe het zat.

Bewijs loopt maar één kant op

De RDI heeft zelf een aardige thermometer. Organisaties uit de negen sectoren onder haar toezicht vulden de NIS2-quickscan tussen februari 2024 en september 2025 in totaal 3.389 keer in. In de vijf onderwerpen waarop die organisaties zeggen nog werk te hebben, staan het beoordelen van de effectiviteit van maatregelen en de beveiliging van de toeleveringsketen. In de vijf waarop ze zeggen op koers te liggen, staan incidentbehandeling en authenticatie.

Kijk naar wat die twee lijstjes onderscheidt. De onderwerpen die goed gaan, kun je aanzetten: multifactor-authenticatie staat aan of staat uit. De onderwerpen die blijven liggen, kun je niet aanzetten, want ze bestaan alleen als geschiedenis. Effectiviteit beoordelen betekent: over een periode terugkijken. Je keten beoordelen betekent: vastleggen wat je wanneer hebt gevraagd en gekregen.

Dat is de asymmetrie waar alles op draait. Beleid schrijf je vanavond en laat je morgen goedkeuren. Een logboek over juli leg je in oktober niet meer aan. Een leveranciersbeoordeling van vorig kwartaal ontstaat niet alsnog. Begin je op 14 augustus, dan begint je bewijs op 14 augustus, en elke vraag die verder terugkijkt dan die dag blijft onbeantwoord.

Voeg AI aan die vergelijking toe en de klok gaat sneller lopen. Elke maand komen er tools bij die niemand heeft aangevraagd en agents die met eigen sleutels werken. De periode waarover je straks iets moet kunnen laten zien, wordt daarmee niet alleen langer maar ook rommeliger. Niet omdat je slordig bent, maar omdat je omgeving sneller verandert dan het tempo waarin een compliance-dossier traditioneel wordt bijgewerkt: één keer per jaar, of vlak voor een audit.

Om eerlijk te zijn: de kans dat er iemand aanbelt is klein

Het sterkste tegenargument komt niet van een jurist maar van een nuchtere ondernemer, en het gaat zo. De RDI gaat toezicht houden op duizenden organisaties in negen sectoren. Voor essentiële entiteiten geldt proactief toezicht, maar voor belangrijke entiteiten gebeurt het vooral achteraf, naar aanleiding van een incident of een signaal. De wet vraagt om passende en evenredige maatregelen, niet om een certificeringsdossier. En met zestig man personeel is je grootste risico geen AI-identiteitsregister, maar iemand die op de verkeerde link klikt. Waarom zou je dan vandaag beginnen met bewijs verzamelen voor een vraag die misschien nooit komt?

Dat argument klopt grotendeels, en ik vind het eerlijker dan de angstverkoop waarmee deze wet vaak wordt omgeven. Alleen zit de denkfout in de trigger. Je verzamelt bewijs niet voor de inspecteur. Je verzamelt het voor het moment waarop er iets misgaat, en dan gaat elke vraag over de periode ervóór. Je verzekeraar wil weten of je maatregelen werkten. Je klant wil weten of zijn data geraakt is. Je bestuur wil weten of iemand had kunnen ingrijpen. Geen van die drie neemt genoegen met een beleidsstuk dat gisteren is opgesteld.

Er is ook een trigger die veel eerder aankomt dan de toezichthouder. Voor bedrijven die formeel buiten scope vallen, komt de eis binnen als een securityvragenlijst van een grote klant, met de eerstvolgende contractverlenging als echte deadline. Zo'n vragenlijst vraagt allang niet meer of je beleid hébt. Hij vraagt of je kunt laten zien dat je het uitvoert.

En "evenredig" werkt niet in je voordeel als je wacht. Wat evenredig is, wordt gewogen tegen wat op dát moment normaal was. Naarmate AI-agents standaard in bedrijfsapplicaties komen te zitten, schuift dat normaal op, en wel richting meer vastlegging, niet minder.

Een dossier was een document en wordt een tijdreeks

Wat ik hier eigenlijk beweer, is dat compliance van vorm verandert zonder dat er één wetsartikel voor is aangepast. Een dossier was een document: iets wat je maakt, laat goedkeuren en opbergt tot de volgende ronde. Het wordt een tijdreeks: iets wat meeloopt, omdat het onderwerp waar het over gaat, je eigen IT-omgeving, niet meer stilstaat tussen twee audits in.

Daarom is de middag waarin je je beleid schrijft niet het werk. Het is de dag waarop het werk kán beginnen. Het werk zijn de maanden erna, waarin je bijhoudt welke AI er draait, wie ervoor verantwoordelijk is, welke sleutels ze heeft en wat je hebt gedaan toen er iets veranderde.

Dat is de enige reden die je nodig hebt om niet tot half augustus te wachten. Niet omdat er dan iemand voor de deur staat. Maar omdat elke week die je nu voorbij laat gaan, later een week is die ontbreekt in het enige antwoord dat op zo'n moment telt: laat maar zien.