Wat is NIS2?
De Europese NIS2-richtlijn en de Nederlandse Cyberbeveiligingswet, uitgelegd voor ondernemers.
NIS2 in het kort
NIS2 is een Europese richtlijn die de digitale weerbaarheid van organisaties in belangrijke sectoren moet vergroten. Nederland voert de richtlijn uit met de Cyberbeveiligingswet (Cbw). Organisaties die eronder vallen, moeten hun cyberrisico's beheersen, ernstige incidenten melden en kunnen worden gecontroleerd door een toezichthouder.
Hoe werkt NIS2?
NIS2 is de opvolger van de eerste NIS-richtlijn en geldt voor veel meer sectoren. Denk aan energie, vervoer, gezondheidszorg, drinkwater en afvalwater, digitale infrastructuur, overheid, post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, delen van de maakindustrie, digitale diensten en het beheer van ICT-diensten voor andere organisaties. In de regel gaat het om middelgrote en grote organisaties. Voor sommige organisaties geldt de wet ongeacht de omvang.
Organisaties die eronder vallen, krijgen een aantal kernplichten:
- Zorgplicht. Passende maatregelen nemen op basis van een risicoanalyse, zoals toegangsbeheer, MFA, back-ups, bedrijfscontinuïteit, afhandeling van incidenten en beveiliging van de keten.
- Meldplicht. Significante incidenten snel melden. De richtlijn noemt een eerste melding binnen 24 uur.
- Registratieplicht. Organisaties moeten zich registreren bij de overheid.
- Verantwoordelijkheid van het bestuur. De leiding keurt de maatregelen goed, houdt toezicht en volgt zelf scholing.
Per sector houdt een toezichthouder in de gaten of organisaties zich aan de regels houden. Kijk voor de actuele status en de ingangsdatum van de Cyberbeveiligingswet op de website van de overheid.
Waarom NIS2 ook voor het MKB belangrijk is
Ook als uw bedrijf zelf niet onder de wet valt, kunt u er mee te maken krijgen. Organisaties die wel onder NIS2 vallen, moeten de beveiliging van hun leveranciers beoordelen. Levert u aan een zorginstelling, een energiebedrijf, een gemeente of een grotere producent, dan kunt u vragenlijsten of nieuwe contracteisen verwachten.
Daarnaast zijn de maatregelen die NIS2 vraagt gewoon goede basishygiëne. Ze verkleinen de kans op ransomware, phishing en langdurige uitval, of u nu verplicht bent of niet.
Stappenplan: zo begint u
- Ga na of u eronder valt. Kijk naar uw sector en omvang en gebruik de informatie op de website van de overheid, bijvoorbeeld bij het NCSC. Twijfelt u, vraag dan juridisch advies.
- Breng uw ICT in kaart: systemen, gegevens, accounts, apparaten en leveranciers.
- Maak een risicoanalyse. Wat is het belangrijkst voor uw bedrijf, en wat gebeurt er als dat uitvalt of uitlekt?
- Regel de basis: MFA, updates, beveiligingssoftware, beperkte rechten en geteste back-ups.
- Maak een incidentplan. Wie doet wat bij een incident, en hoe en waar meldt u het?
- Kijk naar uw leveranciers. Welke partijen hebben toegang tot uw systemen of gegevens, en welke afspraken heeft u met hen?
- Betrek de directie en zorg dat de leiding de risico's en maatregelen kent.
- Leg alles vast. Onder de wet moet u kunnen laten zien wat u heeft gedaan.
Veelgemaakte fouten
- Afwachten. Maatregelen als MFA, back-ups en een incidentplan kosten tijd om goed in te richten. Wie nu begint, staat er later beter voor.
- Het zien als iets van de ICT-afdeling. NIS2 legt de verantwoordelijkheid bij de leiding.
- Beleid op papier zonder uitvoering. Een mooi document helpt niet als MFA niet aan staat of de back-up nooit is getest.
- Denken dat het niet voor u geldt. Via uw klanten kunt u alsnog eisen krijgen.
- Leveranciers vergeten. Een zwakke schakel in de keten is ook uw risico.
Hoe Netron ICT helpt
Wij brengen samen met u uw ICT in kaart met een ICT-audit en helpen bij de technische maatregelen: MFA en instellingen in Microsoft 365, cloud-back-up, beveiligingssoftware en e-mailbeveiliging. Wij zijn geen juridisch adviseur: of u formeel onder de wet valt, beoordeelt u aan de hand van de informatie van de overheid of met een jurist.
Meer over onze aanpak leest u op NIS2 voor het MKB en in ons artikel NIS2 en het MKB. Wilt u weten waar u staat? Vraag een gratis ICT-scan aan.
FAQ
Veelgestelde vragen over NIS2
Valt mijn bedrijf onder NIS2?
Wat is het verschil tussen NIS2 en de Cyberbeveiligingswet?
Wanneer gaat de Cyberbeveiligingswet in?
Mijn klant vraagt naar NIS2, maar ik val er zelf niet onder. Wat nu?
Wie is binnen mijn organisatie verantwoordelijk voor NIS2?
Meer in de kennisbank
Bijgewerkt op Door Steven Cremers, directeur van Netron ICT
De informatie op deze pagina is met zorg samengesteld. Aan genoemde prijzen, specificaties en diensten kunnen geen rechten worden ontleend. Prijzen en voorwaarden kunnen zonder vooraankondiging worden gewijzigd. De exacte invulling van een dienst is afhankelijk van de gebruikte software, licenties en uw specifieke omgeving. Lees onze volledige disclaimer voor meer informatie.
Vragen over NIS2 en uw ICT?
Wij kijken met u naar de technische maatregelen en maken een voorstel op maat. Bel ons of stuur een bericht.