NIS2-richtlijn uitgelegd: wat betekent dit voor jouw organisatie?

Door de toename van complexe cyberaanvallen op kritieke infrastructuren en IT-dienstverleners heeft de Europese Unie de wetgeving op het gebied van informatiebeveiliging aangescherpt. De opvolger van de oorspronkelijke NIB-richtlijn stelt strengere eisen aan beveiliging en toezicht binnen een veel bredere groep organisaties.

In dit artikel leggen we precies uit wat de NIS2-richtlijn inhoudt, op welke sectoren deze wetgeving van toepassing is en welke concrete stappen jouw organisatie moet zetten om aan de vereisten te voldoen.

Wat is de NIS2-richtlijn?

De NIS2-richtlijn (Network and Information Security Directive 2) is de Europese richtlijn voor de beveiliging van netwerk- en informatiesystemen. Het doel van de wetgeving is om de digitale weerbaarheid van lidstaten te harmoniseren en het algemene cybersecurityniveau binnen de EU naar een hoger niveau te tillen.

In vergelijking met de eerdere wetgeving zijn de regels strenger geworden en is het toepassingsgebied aanzienlijk uitgebreid. Bedrijven moeten aantoonbaar maatregelen nemen om cyberrisico’s te beheersen en de continuïteit van hun dienstverlening te waarborgen.

Voor wie geldt de NIS2-richtlijn?

De wetgeving verdeelt organisaties in twee categorieën: essentiële entiteiten en belangrijke entiteiten. Het onderscheid bepaalt het type toezicht en de hoogte van eventuele sancties.

De richtlijn is van toepassing op middelgrote en grote bedrijven in onder meer de volgende sectoren:

• Essentieel: Energie, vervoer, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur.
• Belangrijk: Post- en koeriersdiensten, afvalwater, chemie, levensmiddelen, fabricage en digitale aanbieders (zoals marktplaatsen en zoekmachines).

Daarnaast kunnen ook kleinere leveranciers onder de wetgeving vallen als zij een cruciale rol spelen in de toeleveringsketen van een essentiële of belangrijke organisatie.

De belangrijkste verplichtingen onder NIS2

Organisaties die onder de wet vallen, moeten voldoen aan drie fundamentele pijlers:

1. Zorgplicht (Risicobeheer)

Bedrijven zijn verplicht om passende technische en organisatorische maatregelen te nemen. Denk hierbij aan het uitvoeren van risicoanalyses, het toepassen van encryptie, het beveiligen van de toeleveringsketen en het instellen van meervoudige authenticatie.

2. Meldplicht bij incidenten

Wanneer zich een ernstig beveiligingsincident voordoet dat de dienstverlening verstoort, geldt er een strakke meldplicht. Een eerste waarschuwing moet binnen 24 uur worden gemeld bij de toezichthouder, gevolgd door een uitgebreid incidentenrapport binnen 72 uur.

3. Beveiliging van de toeleveringsketen (Supply Chain Security)

Organisaties moeten niet alleen hun eigen IT-infrastructuur beveiligen, maar ook de risico’s beoordelen die voortvloeien uit de relaties met externe leveranciers en IT-dienstverleners.

Bestuurlijke aansprakelijkheid en handhaving

Een ingrijpende verandering binnen de NIS2-richtlijn is de rol van het bestuur. Leden van het bestuursorgaan zijn verplicht om trainingen op het gebied van cybersecurity te volgen en moeten actief toezicht houden op het risicobeheer.

Bij het niet naleven van de richtlijn riskeren bestuurders persoonlijke aansprakelijkheid. Daarnaast kunnen toezichthouders hoge boetes opleggen die kunnen oplopen tot maximaal 10 miljoen euro of 2% van de totale wereldwijde jaaromzet.

Stappenplan om te voldoen aan de NIS2-richtlijn

Het tijdig op orde brengen van de cyberweerbaarheid vraagt om een gestructureerde aanpak binnen de organisatie:

1. Voer een NIS2-gap-analyse uit: Breng in kaart welke maatregelen al getroffen zijn en op welke punten de huidige beveiliging nog tekortschiet.
2. Koppel beveiliging aan standaarden: Maak gebruik van bestaande kaders zoals ISO 27001 of de NCSC-richtlijnen om procesmatig te werken.
3. Stel een Incident Response-plan op: Zorg dat exact helder is wie welke acties onderneemt bij een datalek of cyberaanval, inclusief de verplichte meldprocedure.
4. Beordeel toeleveranciers: Maak afspraken met IT-partners en leveranciers over beveiligingsnormen en audits.
5. Train het management en de medewerkers: Zorg dat het bestuur getraind is in cyberrisico’s en verhoog de alertheid op de werkvloer.

Veelgestelde vragen over de NIS2-richtlijn

Het voorbereiden op nieuwe Europese cybersecurity-wetgeving brengt veel vragen met zich mee over de exacte reikwijdte en gevolgen voor de bedrijfsvoering. Hieronder vind je antwoorden op de meest gestelde vragen.

Wat is het verschil tussen de NIS1 en NIS2-richtlijn?

NIS2 omvat aanzienlijk meer sectoren en bedrijven dan de oorspronkelijke richtlijn. Bovendien zijn de eisen rondom risicobeheer, meldplicht en ketenbeveiliging aangescherpt en zijn de boetes en bestuurlijke aansprakelijkheid verhoogd.

Is een ISO 27001-certificering voldoende voor NIS2?

Hoewel ISO 27001 een uitstekend fundament biedt voor het op orde brengen van informatiebeveiliging, dekt de certificering niet automatisch alle wettelijke vereisten af. Aanvullende afspraken rondom specifieke incidentenmeldplichten en specifieke ketenanalyses blijven noodzakelijk.

Geldt de NIS2-richtlijn ook voor kleine IT-leveranciers?

Kleine IT-bedrijven vallen op basis van hun omvang vaak niet direct onder de wet. Echter, wanneer zij diensten leveren aan grotere organisaties die wel NIS2-plichtig zijn, zullen deze klanten eisen dat de IT-leverancier aan dezelfde strenge beveiligingseisen voldoet.

Conclusie

De NIS2-richtlijn markeert een nieuwe fase in de benadering van digitale veiligheid in Europa. Cybersecurity is niet langer een vrijblijvend IT-onderwerp, maar een strategische verantwoordelijkheid op bestuursniveau. Door tijdig risico’s te analyseren, de meldplicht in te richten en de toeleveringsketen te beveiligen, bouwt een organisatie aan een duurzame en conforme digitale infrastructuur.