Schrijver: Bart Kouwenhoven, Adviseur Informatiebeveiliging

Versterking van Cyberweerbaarheid: Een Gids voor de NIS2-Richtlijn
De Network and Information Security (NIS2)-richtlijn, opgesteld door de Europese Unie, heeft tot doel de cyberbeveiliging en weerbaarheid van essentiële diensten in EU-lidstaten te verbeteren. In dit artikel bespreken we wat de NIS2-richtlijn inhoudt, wie eraan moet voldoen, en welke stappen organisaties nu al kunnen nemen om voorbereid te zijn.

Wat is de NIS2?
De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn. Het belangrijkste verschil met de huidige richtlijn:

Uitbreiding van sectoren. De huidige NIS-regelgeving benoemt een aantal kritische sectoren die onder deze regelgeving vallen. De NIS2 heeft het aantal sectoren dat hieronder gaat vallen uitgebreid.
Verplichtingen volgens de NIS2-richtlijn. Vanuit de NIS2 worden er nu ook strengere eisen gesteld aan bedrijven:
- Zorgplicht: Organisaties moeten een risicobeoordeling uitvoeren om kwetsbaarheden te identificeren. Na het identificeren hiervan moeten ook passende maatregelen genomen worden om de risico’s tot een acceptabel niveau terug te dringen. Belangrijk hierbij is dat zowel de informatiebeveiliging van de eigen organisatie als die van de leveringsketen geborgd moet worden.
- Meldplicht: Bij significante incidenten moeten organisaties deze melden aan de bevoegde autoriteiten binnen 24 uur, een update moet binnen 72 uur gegeven worden en een definitief eindrapport binnen een maand. Daarnaast moeten klanten worden geïnformeerd over (potentiële) incidenten, de impact hiervan en de getroffen maatregelen.

Wie moet er aan voldoen?
De NIS2 maakt onderscheid tussen essentiële en belangrijke sectoren. De overheid heeft een zelfevaluatie tool ontwikkeld waarbij nagegaan kan worden onder welke sector je valt. De maatregelen die getroffen moeten worden voor beide type sectoren is hetzelfde, maar de werkwijze van de toezichthouder wijkt hier af. Toezicht op de essentiële sectoren zal proactief gaan gebeuren, waarbij het toezicht op de belangrijke sectoren achteraf zal gebeuren.

Wat betekent de NIS2 nu voor mijn organisatie?
NIS2-bedrijven moeten maatregelen nemen om hun netwerk- en informatiesystemen tegen incidenten te beschermen. Hetzelfde geldt voor de fysieke omgeving waarin de systemen zich bevinden. Onder de zorgplicht vallen ten minste:

Risicoanalyse en beveiliging
Incidenten
Bedrijfscontinuïteit
Beveiliging van de toeleveringsketen
Verwerving, ontwikkeling en het onderhoud
Doeltreffendheid van maatregelen
Basispraktijken m.b.t. cyberhygiëne en opleiding
Cryptografie
Personeelsbeveiliging, toegangscontrolebeleid en activabeheer
Meervoudige authenticatie- of continue authenticatieoplossingen

Voor elk van deze maatregelen heeft het Digital Trust Center van het Ministerie van Economische Zaken en Klimaat online een overzicht van de te nemen stappen en de hoe deze uitgevoerd kunnen worden.

Wat kan ik nu al doen?
Controleer of je onder de NIS2 gaat vallen. Maak hierbij gebruik van de zelfevaluatietool van de Rijksoverheid. Begin nu al met de implementatie van security management. De maatregelen gesteld in de ISO27001 komen grotendeels overeen met de eisen uit de NIS2. Borg security management binnen jouw organisatie.

Hoe kan Dignitas hierbij ondersteunen?
Dignitas heeft jaren ervaring met de implementatietrajecten op het gebied van security management. Onze consultants kunnen onder andere ondersteunen bij het vaststellen van het huidige niveau van informatiebeveiliging, opstellen van de benodigde documentatie, het borgen van informatiebeveiliging, het uitvoeren van risicoanalyses of het uitvoeren van interne audits. Daarnaast is het ook mogelijk om een ISO of CISO as-a-service af te nemen. Neem voor meer informatie contact op met Eberly Haalboom, Manager IT Security Consultants, ehaalboom@dignitas.nl, 06-52044763.

Deel dit artikel

Een Gids voor de NIS2-Richtlijn

Gerelateerde berichten