installatietechniek

Valt een installatiebedrijf onder NIS2?

De meeste installatiebedrijven vallen niet rechtstreeks onder de Cyberbeveiligingswet: daarvoor moet u in een aangewezen sector zitten én minstens vijftig medewerkers hebben. Wie boven die grens uitkomt en werkt voor energie, drinkwater of zorg, kan er wel degelijk zelf onder vallen.

Algemene uitleg, geen juridisch advies. Twijfelt u over uw eigen situatie, laat die dan toetsen door een jurist.

Kort antwoord

Meestal niet rechtstreeks. Wel via uw opdrachtgevers.

Belangrijker is waar u staat in de keten van anderen. U werkt voor ziekenhuizen, waterschappen, datacenters, netbeheerders en grote vastgoedeigenaren -- organisaties die er wél onder vallen en die verplicht zijn naar de beveiliging van hun leveranciers te kijken. Die eisen komen bij u binnen als bijlage bij een aanbesteding of contractverlenging, niet als brief van een toezichthouder.

Lees de algemene uitleg over NIS2 voor de drempels, de meldtermijnen en de vraag of er een certificaat bestaat.

Waar het in installatietechniek misgaat

Drie dingen die in deze branche vaker voorkomen dan elders, en die in een leveranciersvragenlijst of na een incident als eerste naar boven komen.

U heeft toegang tot de systemen van uw klant

Gebouwbeheersystemen, klimaatinstallaties, toegangscontrole: u komt er op afstand bij om storingen op te lossen. Dat maakt uw eigen netwerk een route naar dat van uw opdrachtgever. Een aanvaller die bij u binnenkomt, staat daarmee ook een stap dichter bij hun installatie.

Accounts die na oplevering blijven staan

De VPN-verbinding of het serviceaccount dat voor één project werd aangemaakt, blijft na de oplevering vaak jaren actief -- soms met een wachtwoord dat het hele serviceteam kent. Dit is het punt waarop opdrachtgevers tegenwoordig als eerste doorvragen.

Wat er op de laptops van de buitendienst staat

Netwerktekeningen, inlogcodes, plattegronden en configuraties van klantinstallaties. Een gestolen of onversleutelde laptop is dan geen hardwareschade maar een datalek bij uw opdrachtgever.

Waar de scan voor u naar kijkt

De zelfscan loopt alle 10 onderwerpen uit NIS2 langs. Voor installatietechniek wegen deze drie meestal het zwaarst.

  • Ketenbeveiliging en leveranciers Art. 21 lid 2 sub d Wat u met en van uw opdrachtgevers regelt, en zij van u vragen.
  • Toegangsbeheer en meervoudige verificatie Art. 21 lid 2 sub i en j Wie er bij welke klantomgeving kan, en of dat met meer dan een wachtwoord gaat.
  • Beheer van apparatuur en gegevens Art. 21 lid 2 sub i Welke laptops en telefoons rondlopen, en wat erop staat.

Wat u eruit krijgt

Een rapport met uw score per onderwerp en een lijst verbeterpunten, op volgorde van wat het meeste oplevert per uur werk. Bij elk punt staat een concrete eerste stap.

Bekijk een volledig voorbeeldrapport — dat gaat over een fictief installatiebedrijf, maar laat zien wat u krijgt.

Zit u bij Techniek Nederland? Die informeert leden actief over dit onderwerp. Deze scan staat daar los van en is geen keurmerk van welke brancheorganisatie dan ook.

Weten waar u staat, in een kwartier

50 vragen over hoe het bij u geregeld is. Daarna het rapport, met per verbeterpunt een eerste stap.