Je test of je Exchange-omgeving klaar is voor NIS2 door vier gebieden systematisch te controleren: toegangsbeveiliging, logboekregistratie, versleuteling en patchbeheer. Organisaties die onder de NIS2-richtlijn vallen, zijn verplicht om aantoonbaar grip te hebben op hun e-mailinfrastructuur, en Exchange biedt daarvoor de nodige tools, maar alleen als je ze ook actief inzet. Hieronder vind je per vraag een concrete checklist om te bepalen waar je nu staat en wat er nog moet gebeuren.
Welke beveiligingseisen stelt NIS2 aan e-mailinfrastructuur?
NIS2 vereist dat organisaties passende technische en organisatorische maatregelen nemen om de beveiliging van hun netwerk- en informatiesystemen te waarborgen. Voor e-mailinfrastructuur betekent dit concreet: bescherming tegen ongeautoriseerde toegang, aantoonbare monitoring van incidenten, versleuteling van gevoelige communicatie en een gedocumenteerd beleid voor risicobeheer.
De NIS2-richtlijn maakt geen onderscheid tussen cloud en on-premise. Of je Exchange On-Premises draait of Exchange Online gebruikt via Microsoft 365, de beveiligingseisen gelden voor beide scenario’s. De richtlijn richt zich op de uitkomst, niet op de technische keuze. Dat betekent dat je als organisatie moet kunnen aantonen dat je omgeving aan de eisen voldoet, en niet alleen dat je een bepaald product gebruikt.
Voor Exchange zijn de meest relevante NIS2-vereisten:
- Toegangsbeveiliging: alleen geautoriseerde gebruikers mogen toegang krijgen tot mailboxen en beheerfuncties
- Logboekregistratie en monitoring: alle relevante activiteiten moeten worden vastgelegd en bewaard
- Versleuteling: gevoelige e-mailcommunicatie moet versleuteld worden verzonden en opgeslagen
- Patchbeheer: kwetsbaarheden moeten tijdig worden verholpen
- Incidentrespons: je moet incidenten kunnen detecteren, rapporteren en afhandelen
Organisaties in sectoren zoals zorg, overheid, energie en financiën vallen doorgaans direct onder NIS2. Maar ook toeleveranciers van deze sectoren doen er goed aan hun Exchange-omgeving voor e-mailservices tegen deze eisen te toetsen, omdat opdrachtgevers dat steeds vaker als voorwaarde stellen.
Hoe controleer je de toegangsbeveiliging van je Exchange-omgeving?
Je controleert de toegangsbeveiliging van je Exchange-omgeving door te toetsen of multifactorauthenticatie actief is, of rolgebaseerde toegang correct is ingesteld en of er geen onnodige beheeraccounts of verouderde toegangsrechten bestaan. Dit zijn de drie pijlers waarop NIS2-compliance voor toegang staat of valt.
Begin met een inventarisatie van alle accounts die toegang hebben tot Exchange, inclusief serviceaccounts en beheeraccounts. Stel jezelf de volgende vragen:
- Is multifactorauthenticatie (MFA) verplicht gesteld voor alle gebruikers, inclusief beheerders?
- Zijn beheerdersrechten beperkt tot de medewerkers die ze daadwerkelijk nodig hebben?
- Zijn er nog actieve accounts van vertrokken medewerkers of ongebruikte serviceaccounts?
- Worden privileged accounts apart beheerd, bijvoorbeeld via Privileged Identity Management (PIM)?
- Is moderne authenticatie ingeschakeld en is basisauthenticatie uitgeschakeld?
In Exchange Online beheer je dit via het Microsoft 365 Admin Center en de Entra ID-portal. In een on-premise omgeving controleer je dit via Active Directory en de Exchange Admin Console. Let specifiek op legacy-protocollen zoals POP3, IMAP en SMTP, want die ondersteunen geen MFA en vormen een veelvoorkomend beveiligingslek. Schakel ze uit tenzij er een aantoonbare bedrijfsbehoefte voor is.
Documenteer je bevindingen. NIS2 vereist niet alleen dat je de juiste maatregelen treft, maar ook dat je kunt aantonen dat je ze hebt gecontroleerd en geborgd.
Wat zijn de NIS2-vereisten voor logboekregistratie en monitoring in Exchange?
NIS2 vereist dat organisaties relevante activiteiten in hun systemen registreren en die logs bewaren voor een periode die aansluit bij hun risicoprofiel. Voor Exchange betekent dit dat audit-logging actief moet zijn, dat de logs centraal worden opgeslagen en dat je in staat bent om afwijkend gedrag tijdig te signaleren.
In Exchange Online is unified audit logging beschikbaar via de Microsoft Purview Compliance Portal. Controleer of deze functie is ingeschakeld voor je tenant. Standaard worden logs 90 dagen bewaard, maar voor NIS2-compliance is het verstandig om dit uit te breiden naar minimaal 12 maanden. Dit doe je via een aangepast auditbeleid of door logs te exporteren naar een externe SIEM-oplossing.
Relevante activiteiten om te loggen in Exchange zijn onder meer:
- Inlogpogingen, inclusief mislukte pogingen
- Wijzigingen in mailboxrechten en delegaties
- Aanmaken, wijzigen of verwijderen van transportregels
- Toegang tot mailboxen door beheerders (mailbox audit logging)
- Verzenden van e-mail namens een andere gebruiker
- Wijzigingen in beveiligingsinstellingen en beleid
Naast het bijhouden van logs is actieve monitoring een vereiste. Logs die je niet bekijkt, bieden geen bescherming. Koppel je Exchange-omgeving aan een SIEM-tool of gebruik Microsoft Sentinel om alerts in te stellen op verdachte activiteiten, zoals massale e-maildoorschakeling of ongebruikelijke inlogpatronen buiten kantooruren.
Hoe test je of versleuteling in je Exchange-omgeving NIS2-proof is?
Je test de versleuteling in je Exchange-omgeving door te controleren of e-mail in transit versleuteld wordt verstuurd via TLS, of gevoelige berichten worden beveiligd met berichtversleuteling, en of data-at-rest is beschermd. Ontbreekt een van deze lagen, dan voldoet je omgeving niet aan de NIS2-eisen voor gegevensbeveiliging.
Versleuteling in transit
Exchange Online gebruikt standaard opportunistic TLS voor e-mail tussen mailservers. Dit betekent dat berichten worden versleuteld als de ontvangende server TLS ondersteunt. Voor gevoelige communicatie met specifieke partners is het verstandig om forced TLS in te stellen, zodat berichten alleen worden afgeleverd als de verbinding versleuteld is. Controleer dit via de connectoren in het Exchange Admin Center.
Berichtversleuteling en data-at-rest
Voor berichten met gevoelige inhoud biedt Microsoft Purview Message Encryption de mogelijkheid om e-mail te versleutelen ongeacht de ontvanger. Controleer of je organisatie gebruikmaakt van Information Protection-labels en of sensitivity labels zijn gekoppeld aan versleutelingsbeleid. Voor data-at-rest in Exchange Online zorgt Microsoft voor versleuteling op serviceniveau, maar je kunt dit versterken met Customer Key als je zelf de versleutelingssleutels wilt beheren.
Test je versleutelingsinstellingen actief door een testbericht te sturen naar een externe ontvanger en de berichtheaders te analyseren op TLS-gebruik. Tools zoals MXToolbox of de Microsoft Remote Connectivity Analyzer helpen je om de TLS-configuratie van je Exchange-omgeving te controleren zonder dat je daarvoor diepgaande technische kennis nodig hebt.
Wat moet je doen als je Exchange-omgeving niet voldoet aan NIS2?
Als je Exchange-omgeving niet voldoet aan NIS2, stel dan een prioriteitenlijst op op basis van risico en pak de hoogste risico’s als eerste aan. Denk aan het inschakelen van MFA, het activeren van audit-logging en het uitschakelen van onveilige protocollen. Vervolgens bouw je een structureel complianceprogramma op met documentatie, monitoring en periodieke audits.
Werk in fasen:
- Breng de huidige situatie in kaart: voer een gap-analyse uit op basis van de vier gebieden die hierboven zijn beschreven
- Los directe risico’s op: schakel MFA in, deactiveer verouderde accounts en zet audit-logging aan
- Stel beleid op: documenteer je toegangsbeleid, retentiebeleid voor logs en versleutelingsbeleid
- Implementeer monitoring: richt alerts in voor afwijkende activiteiten in je Exchange-omgeving
- Plan periodieke controles: voer minimaal jaarlijks een technische audit uit op je Exchange-configuratie
Vergeet ook de organisatorische kant niet. NIS2 vraagt niet alleen om technische maatregelen, maar ook om bewustwording bij medewerkers, een duidelijke incidentresponsprocedure en een aanspreekpunt voor beveiliging. Combineer technische aanpassingen in Exchange altijd met beleid en training.
Hoe wij je helpen met Exchange NIS2-compliance
Een Exchange-omgeving die voldoet aan NIS2 vraagt om meer dan een eenmalige controle. Het vraagt om een goed ingerichte omgeving, actieve monitoring en de kennis om snel bij te sturen als er iets verandert. Dat is precies waar wij bij kunnen helpen.
Onze aanpak voor Microsoft Exchange is praktisch en gericht op jouw situatie:
- We analyseren je huidige Exchange-omgeving op NIS2-relevante kwetsbaarheden
- We helpen je toegangsbeveiliging, logboekregistratie en versleuteling correct in te richten
- Via onze Kwaliteit Service Overeenkomst (KSO) bewaken we je omgeving continu en voeren we updates en beleidscontroles uit
- We ondersteunen je bij migraties naar Exchange Online als je omgeving aan vervanging toe is
- We leveren documentatie die je kunt gebruiken bij een NIS2-audit of interne verantwoording
Met meer dan 15 jaar ervaring, ISO 27001-certificering en de hoogste Microsoft-partnerstatus weten we wat er nodig is om je Exchange-omgeving aantoonbaar veilig en compliant te maken. Neem contact met ons op voor een vrijblijvend gesprek over jouw situatie.