NIS 2
Ontdek meer over de NIS-richtlijn en hoe samenwerken met Resillion uw cyberresilentie kan verbeteren.
Wat is NIS2?
NIS2 is een EU-brede reeks regels die erop gericht is de cyberveiligheid van belangrijke sectoren te versterken. De richtlijn stelt minimale cyberbeveiligingsnormen, vereist snellere melding van incidenten en stelt leidinggevenden rechtstreeks verantwoordelijk voor het beheren van cyberrisico’s.
Voor wie het van toepassing is
NIS2 is van toepassing op middelgrote en grote organisaties in kritische sectoren zoals: Energie, Transport, Gezondheidszorg, Drinkwater en rioolwater, Bankieren en financiële infrastructuur, Publieke sector, Digitale infrastructuur en ICT-diensten, Industrie, Voedingsmiddelen, Chemische producten, Postdiensten, Digitale diensten, Onderzoek en meer.
Het verdeelt organisaties in twee categorieën:
-
Essentiële entiteiten – krijgt strengere toezicht
-
Belangrijke entiteiten – nog steeds gereguleerd, maar met een lichtere controle
Wie is niet gedekt?
NIS2 is over het algemeen niet van toepassing op organisaties met minder dan 50 werknemers en een jaarlijkse omzet of balanstotaal van minder dan €10 miljoen.
Maar er zijn uitzonderingen: sommige kleinere maar strategisch belangrijke spelers – zoals bepaalde trust-serviceproviders of communicatiediensten – kunnen nog steeds worden betrokken.
Als uw organisatie behoort tot een van deze sectoren en aan de groottecriteria voldoet, heeft u nu echte wettelijke verplichtingen. Deze omvatten:
- Het cyberrisico op een rigoureuze manier beheren.
- Het melden van grote cybersecurityincidenten binnen een korte termijn.
- De verantwoordelijkheid van het hogere management afdwingen – onder NIS2 kan het leiderschap persoonlijk aansprakelijk worden gesteld voor niet-naleving
Voor april 2025 moeten de EU-lidstaten officiële lijsten opstellen van alle essentiële en belangrijke entiteiten, alsook van organisaties die domeinnaamregistratiediensten aanbieden.
Om op deze lijsten te worden opgenomen, moeten organisaties hun nationale autoriteiten ten minste de volgende informatie verstrekken:
-
De naam van de organisatie
-
Het adres en de actuele contactgegevens, inclusief e-mailadressen, IP-adressen en telefoonnummers
Als een van deze gegevens verandert, moet de organisatie de update binnen twee weken melden.
ENISA, het agentschap van de EU voor cybersecurity, is verantwoordelijk voor het opstellen en onderhouden van een centrale register voor organisaties die grensoverschrijdende diensten aanbieden – waaronder DNS-aanbieders, TLD-registraties, domeinnaamregistratiebedrijven, cloudproviders en datacenterbeheerders.
Deze organisaties moesten hun informatie indienen. voor 18 januari 2025, wat betekent dat de termijn is verstreken en alle entiteiten die onder de richtlijn vallen, al geregistreerd moeten zijn.
Bestuursorganen van essentiële en belangrijke entiteiten moeten ook goedkeuring en toezicht op de cyberbeveiligingsrisicobeheersingsmaatregelen van de organisatie. Ze kunnen worden gehouden persoonlijk aansprakelijk als de organisatie niet voldoet aan de NIS2-vereisten.
Organisaties moeten maatregelen treffen Geschikte beveiligingsmaatregelen Om hun netwerk en informatiesystemen te beschermen — inclusief hun fysieke omgeving. ‘Geschikt’ betekent dat de maatregelen moeten overeenkomen met het risiconiveau waarmee de organisatie wordt geconfronteerd.
De richtlijn vereist dat organisaties minimaal beschikken over:
-
Risicoanalyse en een beveiligingsbeleid voor hun informatiesystemen
-
Effectieve incidentbeheersingsprocessen
-
Plans voor bedrijfscontinuïteit, inclusief back-ups, noodplannen en procedures voor crisisbeheersing
-
Beveiligingsmaatregelen en controles voor de volledige levenscyclus van hun systemen, inclusief hoe zij kwetsbaarheden behandelen en bekendmaken
-
Richtlijnen en procedures om te beoordelen of hun beveiligingsmaatregelen daadwerkelijk werken
-
Basisprincipes van cyberhygiëne en regelmatige cybersecuritytraining
NIS2 verwijst naar erkende Europese en internationale normen bij het opstellen van deze maatregelen, waarbij speciaal naar de volgende punten wordt verwezen: ISO 27000-serie. Aanvullende praktische richtlijnen over cyberbeveiliging en cyberhygiëne zijn te vinden op nationale en overheidswebsites, zoals het Centre for Cyber Security Belgium, het National Cyber Security Centre en de Rijksinspectie Digitale Infrastructuur in Nederland.
Entiteiten die onder NIS2 vallen moeten onmiddellijk een eerste melding sturen voor elke ernstige incidenten of gebeurtenissen, en vervolgens binnen 72 uur een volledige melding indienen bij hun nationale CSIRT of de bevoegde autoriteit.
Ze moeten ook melding maken van eventuele wijzigingen in de informatie die wordt vastgelegd – zowel in de lijsten die door ENISA worden bijgehouden als in de lijsten die door individuele lidstaten worden beheerd.
De lidstaten zijn verantwoordelijk voor het toezicht op de naleving van NIS2. Belangrijke entiteiten zullen actief en voortdurend worden gecontroleerd. Belangrijke entiteiten zullen op een passieve manier worden gecontroleerd, wat betekent dat de autoriteiten alleen ingrijpen wanneer er een reden hiervoor is, zoals na een incident.
Toezichthoudende autoriteiten zullen de bevoegdheid hebben om ter plaatse inspecties uit te voeren, externe controles uit te voeren, audits uit te voeren, veiligheidscontroles uit te voeren en documentatie of informatie te vragen wanneer dit nodig is.
Essentiële entiteiten kunnen administratieve boetes krijgen van maximaal €10 miljoen of 2% van hun jaarlijkse omzet. Belangrijke entiteiten kunnen een boete krijgen van maximaal €7 miljoen of 1,4% van hun jaarlijkse omzet.
NIS2 en de GDPR overlappen elkaar gedeeltelijk: beide vereisen sterke beveiligingsmaatregelen en verplichte melding van incidenten aan de relevante autoriteiten.
Waar sectorspecifieke wetten strengere cyberbeveiligingsregels opleggen, hebben deze vereisten voorrang. Bijvoorbeeld, stelt de Digital Operational Resilience Act (DORA) strengere regels voor de financiële sector.
NIS2 creëert een gecoördineerd cyberbeveiligingskader in de hele EU, dat nationale strategieën, crisisbeheersing en grensoverschrijdende samenwerking omvat.
Elke lidstaat moet één of meerdere CSIRT's oprichten. Deze teams monitoren nationale cyberbedreigingen, behandelen incidenten, geven vroege waarschuwingen uit en ondersteunen essentiële en belangrijke organisaties tijdens cyberbeveiligingsincidenten.
De EU heeft ook EU-CyCLONe opgericht om te helpen bij het coördineren van de reactie op grote, grensoverschrijdende cyberincidenten.
Om naleving te bewijzen, kunnen de lidstaten organisaties verplichten gebruik te maken van ICT-producten, -diensten of -processen die zijn gecertificeerd volgens EU-programma's voor cyberbeveiliging. Ze worden ook aangemoedigd om gekwalificeerde vertrouwensdiensten te gebruiken.
