Nx Witness-eisenmatrix: wat wel, deels en niet
Schrijf je in op een aanbesteding voor cameratoezicht, dan moet je per eis zeggen of het videomanagementsysteem eraan voldoet. Hieronder staat dat voor Nx Witness, eis voor eis: ja, deels of nee, met de reden en een bron bij Network Optix. De nee's staan er ook in. Anders kom je ze pas tegen in de nota van inlichtingen. Moet je de eisen zelf nog opstellen? Stel eerst je eigen programma van eisen op met de eisenwijzer.
Kort antwoord
Voldoet Nx Witness aan de eisen in een aanbesteding?
Aan een groot deel wel. Nx Witness is sterk op open platform, rollen en rechten, Active Directory, logboek, failover, licentiemodel en volledig on-premise draaien. Het is zwak op Entra ID-SSO, MFA voor lokale en LDAP-accounts, export naar een SIEM, privacymaskering en federatie met andere VMS-platformen.
Die zwakke punten staan juist in de nieuwere bestekken. We lazen de openbare stukken van 36 Nederlandse aanbestedingen voor cameratoezicht uit 2023 tot en met 2026. Zeven vroegen om Entra ID of SSO, dertien om MFA. Weet je dat vooraf, dan kies je bewust: inschrijven met een eerlijk "deels", of dit perceel laten lopen.
De matrix geldt voor Nx Witness 6.1, stand oktober 2026. Verandert een nieuwe versie iets aan een rij, dan werken we hem bij en zetten we de datum erbij.
Zo lees je de kolom Nx Witness. Ja: het zit in het product. Deels: het kan, met een grens die in de toelichting staat. Nee: het zit er niet in. Niet bevestigd: we vinden het niet in de bronnen van Network Optix, dus we beloven het niet. Per bestek: dit toetsen we bij elke inschrijving opnieuw.
De matrix
Welke eisen haalt Nx Witness, en welke niet?
31 eisen die steeds terugkomen in bestekken voor cameratoezicht, in zes groepen. Per eis het antwoord, de grens en de bron.
Platform en camera's
| Eis | Nx Witness | Toelichting en bron |
|---|---|---|
| Open platform, camera's van elk merk, geen vendor lock-in | Ja | Eigen koppelingen met onder meer Axis, Hanwha, Hikvision, Dahua en Milesight. Andere merken lopen via ONVIF. De licentie is per kanaal, niet per merk. Bron: Camera integration and brand support. |
| ONVIF Profile S, T en M | Ja | Nx Witness ondersteunt alle drie. Let op: de certificering voor Profile S stopt op 31 maart 2027. Een eis "Profile S-gecertificeerd" veroudert dus. Meer op onze pagina over ONVIF. Bron: Camera integration and brand support. |
| ONVIF Profile G (opname van de camera terughalen) | Niet bevestigd | Profile G staat niet in de documentatie die we lazen. We beloven het dus niet. Vraagt een bestek erom, dan toetsen we het eerst op een testopstelling met de camera uit dat bestek. |
| Native driver vereist, geen integratie via ONVIF | Deels | Alleen voor de merken met een eigen koppeling. Alle andere merken gaan via ONVIF of een losse RTSP-stream. Bron: Camera integration and brand support. |
| Bestaande camera's en recorders hergebruiken | Deels | Camera's met een eigen koppeling, ONVIF of een RTSP- of HTTP-stream zijn op te nemen. Kanalen van een bestaande recorder of encoder zijn toe te voegen. Een recorderdatabase importeren kan niet. Wat er van het oude archief meekomt, toetsen we per recorder. Zie ook migratie naar Nx Witness. Bron: Supported IP video devices. |
| Licentiemodel dat in het prijsblad past | Ja | Pro rekent per kanaal, zonder serverlicentie en zonder maandkosten. Een Pro-licentie hangt aan de hardware-ID van de server en is maximaal drie keer te verplaatsen. Eeuwig is hij niet. Sinds 6.1 heeft elk kanaal een licentie nodig, ook om alleen live te kijken. Enterprise is een abonnement. Meer bij Nx Witness-licenties. Bronnen: Professional licenses, Types of Services. |
Toegang en identiteit
| Eis | Nx Witness | Toelichting en bron |
|---|---|---|
| Rollen en rechten, least privilege, per camera | Ja | Rechten per gebruiker en per groep, per camera: live, archief, export, bookmarks, PTZ en instellingen. Een gebruiker kan in meerdere groepen zitten. Rechten zijn alleen toe te kennen, niet apart te blokkeren. Bron: Foundational changes in Gen 6. |
| Koppeling met Active Directory of LDAP | Ja | Microsoft AD, OpenLDAP en JumpCloud, ook via LDAPS (poort 636). De synchronisatie loopt standaard elke 10 minuten, inclusief groepen. Wie uit AD verdwijnt, verliest de toegang. Inloggen gaat met de sAMAccountName, niet met UPN of e-mailadres. Bronnen: LDAP-koppeling, Default Port Assignments. |
| Entra ID, SSO, SAML of OpenID Connect | Nee | Niet beschikbaar in 6.1. Network Optix heeft SSO aangekondigd voor Enterprise, zonder datum. Wij bieden LDAP(S) naar de on-premise Active Directory aan. Een organisatie met alleen Entra ID, zonder lokale AD, heeft geen directe koppeling. Bron: forum Network Optix over SSO. |
| MFA of tweestapsverificatie | Deels | Alleen voor Nx Cloud-accounts, met een authenticator-app, en door de beheerder verplicht te stellen. Lokale en LDAP-accounts hebben geen MFA. Eist het bestek MFA op elke toegang tot beelden, dan voldoe je alleen met cloudaccounts. Bron: Two-factor authentication. |
Logging en bewijs
| Eis | Nx Witness | Toelichting en bron |
|---|---|---|
| Logboek: wie bekeek of exporteerde welke beelden | Ja | De audit trail legt sessies vast met gebruiker en IP-adres, live kijken en terugkijken met camera en tijdvak, exports en wijzigingen. Standaard 183 dagen, per server bewaard en niet gesynchroniseerd tussen servers. Het eventlog houdt 30 dagen of 100.000 gebeurtenissen. Bronnen: bewaartermijn logbestanden, audit trail per server. |
| Logging naar SIEM of syslog | Nee | Het product heeft geen syslog-, CEF- of SIEM-export. Een regel kan bij een gebeurtenis wel een HTTP-verzoek sturen, bijvoorbeeld naar een webhook van je SIEM. Het audit trail periodiek uitlezen en doorsturen is maatwerk; dat onderzoeken we op aanvraag. Bronnen: logbestanden, Integration Capabilities. |
| Bewaking van servers en schijven, SNMP | Deels | Geen SNMP. Wel een metrics-API met waarschuwings- en foutdrempels voor Site, server, camera, opslag en netwerk. Bij uitval van een camera, server of schijf volgt een melding per e-mail, push of HTTP. Bronnen: Monitor System health, forumverzoek SNMP. |
| Bewaartermijn per camera, bijvoorbeeld 28 dagen | Ja | De archieflengte is per camera in te stellen. Let op: raakt de schijf vol, dan ruimt Nx Witness ook opnames met een vaste termijn op. Dat de maximale termijn hard wordt gehaald, controleren we bij oplevering. Bron: How does Nx Witness manage storage. |
| Export als bewijs, met echtheidscontrole | Ja | Een export krijgt een intern watermerk. De Desktop Client meldt of het bestand is aangepast. Het archief zelf heeft een integriteitscontrole die je niet kunt uitzetten. Dit is detectie, geen juridisch gecertificeerde digitale handtekening. Bookmarks zijn niet te beschermen tegen verwijderen. Bronnen: Cybersecurity and Nx Witness, How to preserve bookmarks. |
Beveiliging en herkomst
| Eis | Nx Witness | Toelichting en bron |
|---|---|---|
| Versleuteling volgens TLS-richtlijnen, hardening | Ja | TLS 1.3, een eigen certificaat met controle in de client, versleuteling van videoverkeer in te schakelen, optionele archiefversleuteling en een beveiligingsprofiel "High" bij de installatie. Videoversleuteling zetten we bij oplevering zelf aan, want de documentatie is niet eenduidig over de standaardstand. Bronnen: TLS-versie, How secure is Nx Witness. |
| Geen product met een kritieke kwetsbaarheid (CVSS-grens) | Per bestek | Network Optix publiceert zijn eigen kwetsbaarheden met advisories. De ons bekende Nx-kwetsbaarheden uit 2026 scoren 7,5 en 8,0 en zijn opgelost in 6.1.2 en 6.1.3. Of je onder de grens van een bestek blijft, toetsen we bij elke inschrijving tegen de actuele lijst. Bronnen: advisory 6.1.3, Vulnerability Disclosure Program. |
| BIO, ISO 27001 of NIS2 | Deels | Het product levert de bouwstenen: persoonlijke accounts, rechten, logboek en versleuteling. Network Optix meldt een ISO 27001:2022-certificering; de scope is niet gepubliceerd. Aantoonbaar voldoen is het werk van de organisatie en de beheerpartij. Een NIS2-certificaat voor een camerasysteem bestaat niet. Zie ook NIS2 en je camerasysteem. Bron: ISO 27001 bij Network Optix. |
| NDAA, herkomst, uitsluiting van bepaalde fabrikanten | Deels | Network Optix verklaarde in 2022 dat het geen apparatuur gebruikt van de bedrijven uit sectie 889 van de NDAA. Dat is een verklaring, geen certificering. Het hoofdkantoor staat in de VS, met vestigingen in onder meer Servië, Taiwan en Nederland. Of het geheel aan een herkomsteis voldoet, bepalen vooral de camera's. Meer op Nx Witness en NDAA. Bronnen: verklaring sectie 889, About Network Optix. |
| Privacymaskering, personen vervagen | Nee | Automatisch vervagen van personen staat sinds 2020 als gepland op het forum van Network Optix en zit er nog niet in. Vaste maskering in het VMS is niet bevestigd. Die stellen we in op de camera zelf, als die het kan. Bron: forumverzoek vervagen. |
| Geen gezichtsherkenning | Ja | Analyse buiten bewegingsdetectie komt via plug-ins. Zonder plug-in is er geen gezichtsherkenning, en in projecten leveren wij het niet. Bron: The Server Plugin SDK. |
Architectuur en continuïteit
| Eis | Nx Witness | Toelichting en bron |
|---|---|---|
| Meerdere locaties, centraal beheer | Ja | Per locatie een Site, samen te brengen via Nx Cloud of, in Enterprise, een Organization. Grens: ongeveer 10 servers per Site en 256 apparaten per server als aanbeveling. Valt de verbinding tussen locaties weg, dan blijft elke locatie opnemen. Meer bij centraal beheer. Bronnen: Gen 6-architectuur, cameras per server. |
| Redundantie en failover | Ja | Valt een server uit, dan neemt een andere de camera's in ongeveer een minuut over, met prioriteit per camera. Gaat een schijf stuk, dan schrijft de server door op de gezonde schijven. Een failoverserver vraagt geen eigen serverlicentie. Bronnen: Automatic Camera Failover, storage. |
| On-premise, zonder internet | Ja (Pro) | Pro draait volledig offline, ook het activeren van licenties en het updaten. Enterprise vraagt een cloudkoppeling en past dus niet bij een eis dat het systeem zonder internet draait. Offline vervallen pushmeldingen en MFA voor cloudaccounts. Bronnen: internetverkeer, upgrade naar Enterprise. |
| Cloud of SaaS | Deels | Nx Cloud geeft toegang op afstand zonder inkomende poort. Via de app kan de relay het beeld niet ontsleutelen; in de browser eindigt de versleuteling wel op de relay. Een volledig gehoste SaaS-dienst leveren wij niet. Systemen op 5.1 of ouder houden na 1 januari 2027 geen gegarandeerde cloudkoppeling. Bronnen: How Secure is Nx Cloud, upgrade naar Gen 6. |
| Uitkijkruimte, videowall, meerdere werkplekken | Ja | Videowall-licentie, layouts met veel camera's, showreel, PTZ en meldingen die een operator met een bookmark moet bevestigen. Grens: ongeveer 2.000 verbindingen per server. Bronnen: Nx Witness, clients per server. |
Koppelingen
| Eis | Nx Witness | Toelichting en bron |
|---|---|---|
| Open API of koppelvlak | Ja | Een REST-API met OpenAPI-schema waarmee vrijwel alle functies te bedienen zijn. Daarnaast inkomende Generic Events en uitgaande HTTP-acties. Bronnen: REST API, Generic Events. |
| Videoanalyse en AI | Ja (plug-ins) | Bewegingsanalyse zit erin. Meer komt via plug-ins en via Nx AI Manager in Enterprise. Plug-ins van derden kosten apart, en het aanbod is kleiner dan bij de grootste enterprise-platformen. Bronnen: Server Plugin SDK, Types of Services. |
| Kentekenherkenning (ANPR) | Deels | Via plug-ins van derden of de analyse in de camera, als doorzoekbare gegevens op de tijdlijn. Of een plug-in Gen 6 ondersteunt, toetsen we per leverancier. Een handhavingssysteem met een eigen keten vervangt het niet. Bronnen: brand support, Plate Recognizer. |
| Koppeling met toegang, intercom en alarm | Deels | Er zijn bestaande koppelingen, onder meer met Suprema BioStar 2. Verder loopt het via Generic Events, HTTP-acties en I/O-modules, die een eigen licentie hebben. Elke koppeling toetsen we per merk en per versie. Bronnen: I/O-module, Suprema. |
| Federatie met een ander VMS, bijvoorbeeld van politie of toezichtcentrale | Nee | Een federatieve koppeling met een ander VMS-platform staat nergens in de documentatie van Network Optix. Schrijft het bestek een bestaand Genetec-platform of federatie daarmee voor, dan is Nx Witness niet de juiste keuze. |
Een paar eisen uit bestekken hangen niet aan het VMS. De DPIA en de verwerkersovereenkomst zijn van de opdrachtgever en de beheerpartij. NEN-EN-IEC 62676-4 is een ontwerpnorm voor de keuze en plaats van camera's. Beheer en onderhoud met hersteltijden is een afspraak met de installateur. Het VMS helpt daarbij met rechten, logboek en bewaartermijn, maar beantwoordt die eisen niet zelf.
Stand oktober 2026, Nx Witness 6.1. Bronnen gelezen op 2 en 10 oktober 2026 bij support.networkoptix.com en networkoptix.com. Tellingen uit onze eigen lezing van de openbare stukken van 36 Nederlandse aanbestedingen voor cameratoezicht, 2023 tot en met 2026. Nx Witness is een product van Network Optix; wij zijn partner. We werken de matrix bij als een nieuwe versie iets verandert.
Voor integrators
Wat leveren we integrators die inschrijven?
We vullen deze matrix in op jouw bestek, leveren een licentieprijsblad per kanaal en staan na gunning achter je als tweede lijn. Het werk aan het bestek blijft van jou; wij zorgen dat het VMS-deel klopt.
De matrix op jouw bestek
Koen legt de eisen uit jouw programma van eisen naast deze matrix. Je krijgt per eis ja, deels of nee, met de bron. Hij schrijft er ook bij welke eisen een vraag voor de nota van inlichtingen waard zijn.
Een licentieprijsblad per kanaal
Een licentie kost € 137,49 excl. btw per kanaal. We zetten het aantal kanalen, videowalls en I/O-modules uit het bestek op een rij. Wat we voor de looptijd van het contract kunnen vastleggen, spreken we per inschrijving af.
Een demo- of testopstelling
Op aanvraag. Vraagt het bestek een demonstratie, of wil je zelf zien hoe de LDAP-koppeling of de failover werkt, dan zetten we een opstelling klaar.
De 889-verklaring van de maker
De verklaring van Network Optix over sectie 889 van de NDAA, met de uitleg wat die wel en niet zegt. Geen certificaat, wel een stuk dat je bij je inschrijving kunt voegen.
Tweedelijns support na gunning
Technische support van Network Optix loopt via de erkende reseller. Dat zijn wij. Loop je bij de oplevering of in het beheer vast, dan bel je ons en lossen wij het op.
Licenties waar je ook inschrijft
We verkopen licenties wereldwijd, behalve in sanctielanden. EU-bedrijven met een geldig btw-nummer krijgen de btw verlegd. Installeren doen we zelf in Nederland en de grensregio; elders op afstand of samen met jouw monteurs.
Achter nxwitness.nl staat CameraInstallatie.nl, sinds 1999 actief in beveiliging. Koen verkoopt je geen inschrijving. Hij vertelt je welke eisen je haalt en welke niet. Meer over ons op over ons.
Eerlijk
Wanneer is Nx Witness niet de juiste keuze?
Als het bestek een eis stelt die in de kolom Nee staat en daar een knock-out van maakt. Dan win je niet met een toelichting, en zeggen we dat liever vooraf.
Er ligt al een Genetec- of Milestone-platform
Schrijft het bestek een bestaand platform, een versie of federatie met politie of toezichtcentrale voor, dan is dat perceel niet voor Nx Witness.
Entra ID-SSO is een harde eis
Zonder lokale Active Directory is er geen koppeling. Met een hybride omgeving bieden we LDAP(S) aan, maar dat is geen SSO.
MFA op elk account, ook lokaal
Werken alle gebruikers met een Nx Cloud-account, dan kan het. Moeten lokale of LDAP-accounts MFA hebben, dan niet.
Een SIEM-koppeling of privacymaskering uit het product zelf
Mag het een maatwerkkoppeling zijn of maskering in de camera, dan praten we verder. Moet het in het VMS zitten, dan niet.
Volledig offline en toch Enterprise
Wie Enterprise-functies wil, zoals een Organization over veel locaties, heeft een cloudkoppeling nodig. Moet alles offline, dan wordt het Pro, met de grenzen van Pro.
Vragen over de eisenmatrix
Mag ik deze matrix overnemen in mijn inschrijving?
Ja, als vertrekpunt. Toets elke rij wel tegen de versie die je aanbiedt, want de matrix geldt voor 6.1 in oktober 2026. Neem de bronlinks mee: een beoordelaar die zelf kan nalezen, vertrouwt het antwoord eerder. Een "deels" met een eerlijke toelichting scoort in de praktijk beter dan een "ja" dat in de nota van inlichtingen onderuit gaat.
Is Nx Witness NIS2-compliant of BIO-gecertificeerd?
Nee, en dat kan ook geen ander VMS zijn. NIS2 en de BIO stellen eisen aan een organisatie, niet aan een softwareproduct. Nx Witness levert de bouwstenen: persoonlijke accounts, rechten per camera, een logboek en versleuteling. Network Optix meldt zelf een ISO 27001:2022-certificering, maar de scope daarvan is niet gepubliceerd. Aantonen dat je voldoet doe je met je eigen beleid en de inrichting door je beheerpartij.
Komt SSO met Microsoft Entra ID nog naar Nx Witness?
Network Optix heeft het aangekondigd voor Enterprise. In maart 2026 meldde een medewerker op het forum dat het in 6.1 nog niet beschikbaar is. Een datum is er niet, dus we schrijven er niet op in. Wat nu werkt: een koppeling via LDAP of LDAPS met een on-premise Active Directory. Wie daar wordt uitgeschakeld, raakt binnen ongeveer tien minuten ook de toegang tot de camera's kwijt.
Is Nx Witness NDAA-compliant?
Er is geen formele NDAA-certificering. Network Optix verklaarde in 2022 op zijn forum dat het geen apparatuur gebruikt van de bedrijven uit sectie 889. Die sectie gaat over hardware en telecom van bepaalde fabrikanten, niet over VMS-software. Of je hele systeem aan een herkomsteis voldoet, hangt vooral af van de camera's. Kies die dus op de eis uit het bestek, en controleer per merk of het op een Amerikaanse uitsluitingslijst staat.
Schrijf je in met Nx Witness?
Stuur ons het programma van eisen. Koen legt het naast deze matrix en vertelt je per eis wat je kunt toezeggen, en wat niet.
Even overleggen
Vragen over jouw situatie? Bel Koen.
Neemt de tijd, tekent het uit en stuurt niet op een bedrag. Ik verkoop niks, ik adviseer. Leg je situatie voor en je hoort meteen wat wij zouden doen — zonder dat je ergens aan vastzit.
Koen · Senior adviseur