NIS2 is de Europese richtlijn die eisen stelt aan de digitale weerbaarheid van organisaties. Nederland voert die in met de Cyberbeveiligingswet. Hieronder staat wie eronder valt, wat er dan van u wordt verwacht, en waarom het ook uw probleem kan zijn als u er zelf niet onder valt.
Algemene uitleg, geen juridisch advies. Twijfelt u over uw eigen situatie, laat die dan toetsen door een jurist.
NIS2 is de opvolger van de eerste NIS-richtlijn en verbreedt die op drie punten: er vallen veel meer sectoren onder, de eisen zijn concreter, en het toezicht heeft echte tanden. De richtlijn zelf verplicht geen enkel bedrijf direct; dat doet de nationale wet die hem invoert. In Nederland is dat de Cyberbeveiligingswet, vaak afgekort als Cbw.
Waar het op neerkomt zijn twee plichten: een zorgplicht — u neemt passende maatregelen en kunt aantonen dat u dat doet — en een meldplicht voor ernstige incidenten. Daarnaast moet u zich registreren en kunt u bezoek krijgen van een toezichthouder.
Twee vragen bepalen het samen: uw sector en uw grootte. Valt u in een van de aangewezen sectoren en haalt u de omvangsdrempel, dan valt u onder de wet.
De richtlijn kent twee categorieën. Essentiële entiteiten zijn grote organisaties in de sectoren met de hoogste kritikaliteit; zij krijgen actief toezicht. Belangrijke entiteiten zijn de middelgrote organisaties en de grote in de overige sectoren; daar grijpt de toezichthouder pas in na een signaal.
Het verschil zit in het toezicht en in de maximale boete, niet in de maatregelen die u moet nemen.
Vanaf 50 medewerkers, of meer dan 10 miljoen euro omzet én balanstotaal. Dit is meestal de grens waarop een MKB-bedrijf binnen bereik komt.
Vanaf 250 medewerkers, of meer dan 50 miljoen euro omzet en meer dan 43 miljoen euro balanstotaal.
Sommige organisaties vallen er ongeacht hun grootte onder: aanbieders van openbare elektronische communicatie, DNS-aanbieders, registers van topleveldomeinen en delen van de overheid.
Dan is uw sector meestal de doorslaggevende vraag. Hieronder staan ze allemaal.
NIS2 verplicht organisaties die er wél onder vallen om naar de beveiliging van hun leveranciers te kijken. Zij mogen die eisen dus doorleggen aan u.
Wat u daarvan gaat merken, komt zelden als een brief van een toezichthouder. Het komt als een vragenlijst bij een aanbesteding, een bijlage bij de contractverlenging, of een voorwaarde van de verzekeraar. Wie dan niet kan uitleggen hoe het geregeld is, verliest geen boete maar een opdracht.
Artikel 21 van de richtlijn noemt de maatregelen die elke organisatie in scope moet nemen. Ze zijn opzettelijk niet als technische voorschriften opgeschreven maar als onderwerpen, zodat ze passen bij een organisatie van tien mensen én bij een van duizend.
| Onderwerp | Waar het over gaat | NIS2 |
|---|---|---|
| Risicoanalyse en beleid | Weet u welke risico's uw bedrijf loopt, en is ergens vastgelegd wat u daaraan doet? Dit domein gaat niet over techniek maar over sturing. | Art. 21 lid 2 sub a en f |
| Incidentafhandeling | Als het vrijdagmiddag misgaat: weet iedereen dan wat te doen, en wie er gebeld moet worden? | Art. 21 lid 2 sub b |
| Bedrijfscontinuïteit en back-up | Back-ups zijn de goedkoopste verzekering die er is -- maar alleen als ze teruggezet kunnen worden en niet meeversleuteld raken. | Art. 21 lid 2 sub c |
| Ketenbeveiliging en leveranciers | Uw beveiliging is zo sterk als die van de partijen die op uw systemen mogen. NIS2 kijkt uitdrukkelijk ook naar uw toeleveranciers. | Art. 21 lid 2 sub d |
| Toegangsbeheer en meervoudige verificatie | Verreweg de meeste inbraken beginnen met een gestolen wachtwoord. Dit domein weegt daarom zwaar en levert meestal de snelste winst op. | Art. 21 lid 2 sub i en j |
| Kwetsbaarheden en updates | Aanvallers gebruiken bijna altijd een lek waarvoor de update allang beschikbaar was. Dit domein gaat over de snelheid waarmee u bijwerkt. | Art. 21 lid 2 sub e |
| Bewustwording en training | Techniek stopt veel, maar niet de e-mail die er precies uitziet als een factuur van een bekende leverancier. | Art. 21 lid 2 sub g |
| Versleuteling | Versleuteling zorgt dat een gestolen laptop of onderschepte verbinding geen leesbare gegevens oplevert. | Art. 21 lid 2 sub h |
| Beheer van apparatuur en gegevens | U kunt niet beveiligen wat u niet weet te hebben. Dit domein gaat over overzicht: welke apparaten, welke data, en waar staat het. | Art. 21 lid 2 sub i |
| Meldplicht en toezicht | NIS2 kent korte meldtermijnen: een eerste melding binnen 24 uur. Dat haalt u alleen als vooraf duidelijk is wie meldt en waar. | Art. 23 |
De zelfscan op deze site loopt precies deze 10 onderwerpen langs, met 50 vragen over hoe het bij u geregeld is. Bekijk een voorbeeldrapport om te zien wat dat oplevert.
Bij een incident met aanzienlijke gevolgen gaat een klok lopen. De termijnen uit artikel 23 zijn kort, en dat is precies waarom ze zo vaak gemist worden: ze zijn niet te halen als u tijdens het incident nog moet uitzoeken wie er mag melden en waar.
Duurt het incident langer, dan komt er een voortgangsverslag in plaats van een eindverslag.
Dit zijn de maxima uit de richtlijn. In de praktijk begint toezicht zelden bij een boete, maar bij een aanwijzing om iets te herstellen.
Belangrijker dan het bedrag is waar de verantwoordelijkheid ligt. NIS2 legt het goedkeuren van de maatregelen en het toezicht daarop uitdrukkelijk bij de bestuurders.
Cyberweerbaarheid is daarmee geen onderwerp dat u volledig aan uw IT-leverancier kunt overlaten. U mag het uitbesteden, maar niet de verantwoordelijkheid ervoor.
Nee.
Er is geen NIS2-keurmerk, -certificaat of -diploma dat u kunt halen, en er is geen instantie die u NIS2-gecertificeerd kan verklaren. Wie u dat verkoopt, verkoopt iets dat niet bestaat.
Om diezelfde reden is de zelfscan op deze site geen certificering en geen audit. Hij laat zien waar u staat en wat er te doen is, op basis van uw eigen antwoorden. Die antwoorden controleren we niet; dat staat ook zo in het rapport.
Certificeringen die gaan over hóé u informatiebeveiliging inricht, zoals ISO 27001. Die kunnen helpen om aan te tonen dat u uw zaken op orde hebt.
Maar ze zijn geen bewijs dat u aan de Cyberbeveiligingswet voldoet. Dat blijft uw eigen verantwoordelijkheid, en daar wordt u ook op beoordeeld.
50 vragen over hoe het bij u geregeld is. Daarna een rapport met uw score per onderwerp en verbeterpunten op volgorde van wat het meeste oplevert, met bij elk punt een eerste stap.