NIS2 en de Cyberbeveiligingswet: ook data op afgeschreven IT-apparatuur telt

Sinds 15 augustus 2026 is de Nederlandse Cyberbeveiligingswet (Cbw) van kracht. Deze wet geeft uitvoering aan de Europese NIS2-richtlijn en brengt voor duizenden organisaties nieuwe verplichtingen op het gebied van cyberbeveiliging met zich mee. NCSC

Een belangrijk onderdeel daarvan is de zorgplicht. Organisaties die onder de wet vallen, moeten hun risico’s in kaart brengen en passende en evenredige maatregelen nemen om hun netwerk- en informatiesystemen te beveiligen. Daarmee beschermen zij ook de continuïteit van hun dienstverlening en de informatie die zij verwerken.

Dat gaat niet alleen over firewalls, wachtwoorden, ransomware en cloudomgevingen. Ook bij het buiten gebruik stellen van een laptop, server, SSD of harde schijf verdient de beveiliging van de opgeslagen data aandacht.

Een afgeschreven laptop kan nog steeds bedrijfsinformatie bevatten

Een laptop die wordt vervangen, een server die uit een datacenter wordt gehaald of een SSD die een nieuwe bestemming krijgt, kan nog steeds vertrouwelijke informatie bevatten.

Denk aan:

• persoonsgegevens;
• financiële informatie;
• klantgegevens;
• bedrijfsdocumenten;
• intellectueel eigendom;
• inloggegevens;
• bedrijfsgeheimen.

Een bestand verwijderen of een schijf formatteren betekent niet automatisch dat de onderliggende data niet meer toegankelijk is.

Daarom is het veilig verwijderen van gegevens van opslagmedia, ook wel media sanitization genoemd, een belangrijk onderdeel van een zorgvuldig proces voor informatiebeveiliging en de afvoer van IT-apparatuur. Het doel is dat de gegevens met een vooraf bepaald niveau van inspanning niet meer kunnen worden achterhaald.

De Cyberbeveiligingswet schrijft geen specifieke wissoftware voor

De Cyberbeveiligingswet schrijft niet voor dat organisaties BitRaser moeten gebruiken of de richtlijnen van NIST SP 800-88 moeten volgen. De zorgplicht draait om passende en evenredige beveiligingsmaatregelen op basis van de risico’s. Welke maatregelen nodig zijn, hangt af van de organisatie, haar activiteiten en de toepasselijke eisen.

Bij het afvoeren of hergebruiken van opslagmedia leidt dat tot een praktische vraag:

Hoe stelt u vast dat gegevens op een afgeschreven of hergebruikt opslagmedium veilig zijn verwijderd? En hoe toont u dat achteraf aan?

Professionele software voor gegevenswissing kan helpen om de gekozen methode uit te voeren en de resultaten vast te leggen. Daarnaast zijn duidelijke procedures en verantwoordelijkheden nodig om te beoordelen of het resultaat voldoende is.

NIST SP 800-88 Rev. 2: van gegevens wissen naar aantoonbare beveiliging

NIST SP 800-88 Revision 2, gepubliceerd in september 2025, sluit hierbij aan. Deze richtlijn legt meer nadruk op een samenhangend programma voor het veilig verwijderen van gegevens van opslagmedia dan op afzonderlijke wistechnieken. Zo’n programma omvat ook beleid, verantwoordelijkheden en de beoordeling van resultaten. CSRC

NIST maakt daarbij onderscheid tussen verification en validation.

• Verificatie: controleren of de gekozen techniek succesvol is uitgevoerd, met aandacht voor de uitvoeringsstatus, fouten en afwijkingen.
• Validatie: beoordelen of het resultaat voldoende bescherming biedt voor de betreffende gegevens.

Een technisch geslaagde uitvoering is dus niet automatisch een aanvaardbaar resultaat. Bij afwijzing is een andere techniek of een sterkere methode nodig.

Dat onderscheid is bijvoorbeeld relevant bij SSD’s: alleen overschrijven kan gegevens achterlaten in opslaggebieden die niet via gewone schrijfopdrachten bereikbaar zijn.

‘Wissen voltooid’ betekent dus niet automatisch dat het risico op ongewenste toegang voldoende is beheerst.

Hoe helpt BitRaser bij veilige en aantoonbare gegevenswissing?

BitRaser helpt organisaties om gegevens van ondersteunde opslagmedia veilig te wissen, de uitvoering te controleren en de resultaten te documenteren. Daarmee kan de software een praktisch onderdeel vormen van het proces voor het buiten gebruik stellen en hergebruiken van IT-apparatuur.

1. Gegevens wissen op verschillende opslagmedia

BitRaser Drive Eraser ondersteunt het wissen van HDD’s en SSD’s in onder meer laptops, desktops en servers. Dit helpt organisaties om hun werkwijze voor verschillende apparaten te standaardiseren. Welke wismethode beschikbaar en geschikt is, hangt af van het opslagmedium, de aansluiting en de ondersteunde functies.

2. De uitvoering controleren

Na het wissen moet duidelijk zijn of de gekozen techniek succesvol is uitgevoerd. BitRaser biedt verificatiefuncties waarmee organisaties de wisresultaten kunnen controleren en documenteren.

Die controle ondersteunt de beoordeling van het resultaat. De organisatie moet daarnaast vaststellen of de gekozen methode en de uitkomst passen bij de gevoeligheid van de gegevens en het beoogde hergebruik of de afvoer van het opslagmedium.

3. Resultaten vastleggen in rapporten en certificaten

Om naleving van eisen te onderbouwen en controles mogelijk te maken, moet worden vastgelegd wat er met een specifiek opslagmedium is gebeurd.

BitRaser kan per gewiste schijf een rapport en een wiscertificaat genereren. Daarin worden onder meer gegevens over het opslagmedium, de gebruikte wismethode en het resultaat vastgelegd.

Gecombineerd met de beoordeling door de organisatie ontstaat zo een controleerbare registratie van:

opslagmedium → gegevenswissing → verificatie → validatie → vastgelegd resultaat.

Een wiscertificaat ondersteunt die registratie. Het bewijst op zichzelf niet dat een organisatie aan alle eisen van de Cyberbeveiligingswet voldoet.

4. Een beheerst proces ondersteunen

NIS2 gaat over het beheersen van cyberrisico’s binnen de organisatie. Daarvoor zijn zowel technische als organisatorische maatregelen nodig.

BitRaser kan onderdeel zijn van dat bredere proces: vanaf het moment dat IT-apparatuur buiten gebruik wordt gesteld tot aan hergebruik, recycling of verdere verwerking.

Daarbij horen ook afspraken over wie de apparatuur beheert, wie de wisresultaten beoordeelt en wat er gebeurt als een opslagmedium niet met de gekozen methode kan worden gewist.

Organisaties die dit proces willen uitbesteden, kunnen gebruikmaken van Stellar Data Erasure Services powered by BitRaser, met verwerking in het data-erasurecentrum of op locatie.

Het afvoeren van IT-apparatuur is ook een beveiligingsvraagstuk

Dat laatste punt wordt gemakkelijk onderschat.

De afvoer van IT-apparatuur, vaak aangeduid als IT asset disposition (ITAD), wordt nog regelmatig als een logistiek proces benaderd:

oude laptop → ITAD-partner → gegevens wissen → hergebruik of recycling.

Vanuit het oogpunt van informatiebeveiliging is alleen vaststellen dat het apparaat is afgevoerd echter onvoldoende. De vraag is ook:

Zijn de gegevens op het apparaat aantoonbaar en met een passende methode veilig verwijderd?

Het moment waarop dat gebeurt, vraagt eveneens aandacht. Als een externe partij de gegevens wist, moeten ook de opslag, het transport en de overdracht van de apparatuur zorgvuldig zijn geregeld.

Voor organisaties die onder de Cyberbeveiligingswet vallen, is dit een relevant aandachtspunt binnen hun bredere risicobeheersing.

NIS2, NIST en BitRaser: verschillende rollen

NIS2, NIST en BitRaser hebben ieder een eigen rol.

NIS2 en de Cyberbeveiligingswet vormen het wettelijke kader voor cyberweerbaarheid en risicobeheersing.

NIST SP 800-88 Rev. 2 biedt richtlijnen voor een georganiseerd proces voor het veilig verwijderen van gegevens van opslagmedia.

BitRaser biedt software om gegevens van ondersteunde opslagmedia te wissen, de uitvoering te controleren en de resultaten te documenteren.

Het gebruik van BitRaser betekent dus niet automatisch dat een organisatie aan NIS2 of de Cyberbeveiligingswet voldoet.

De software kan wel helpen om het risico van achtergebleven gegevens op buiten gebruik gestelde IT-apparatuur te beheersen en de genomen maatregelen aantoonbaar te maken.

Cyberbeveiliging stopt niet wanneer een laptop wordt uitgezet

Cyberbeveiliging eindigt niet bij het uitschakelen van een laptop of server. Ook daarna kunnen opgeslagen gegevens nog bescherming nodig hebben.

Een zorgvuldig beveiligingsbeleid houdt daarom rekening met de volledige levenscyclus van gegevens en IT-apparatuur, inclusief vervanging, veilig hergebruik en afvoeCSRCr van IT-apparatuur.

Het veilig verwijderen van gegevens is een beveiligingsmaatregel die een vaste plaats verdient in dat beleid.

Met BitRaser kunnen organisaties de technische uitvoering, verificatie en verslaglegging ondersteunen. In combinatie met passende procedures en een zorgvuldige beoordeling van de resultaten draagt dat bij aan een aantoonbaar beheerst proces.