Waarom de NIS2-richtlijn belangrijk is

De NIS2-richtlijn is belangrijk omdat het een cruciale stap is in het versterken van de cybersecurity standaarden binnen Europa. Deze richtlijn is ontworpen om de digitale weerbaarheid van essentiële dienstverleners en digitale dienstverleners te verbeteren, waardoor zij beter beschermd zijn tegen cyberdreigingen. Met de toenemende afhankelijkheid van digitale systemen en de voortdurende evolutie van cyberdreigingen, is het essentieel dat organisaties zich voorbereiden op deze nieuwe wetgeving om zichzelf en hun diensten te beschermen tegen mogelijke aanvallen. Samenvattend zijn er drie grondslagen voor de NIS2-richtlijn:

1. Toenemende cyberdreigingen: In een tijdperk van toenemende cyberdreigingen en groeiende digitale complexiteit, is de NIS2-richtlijn cruciaal om de veerkracht van Europese lidstaten te vergroten.
2. Uitbreiding van sectoren: NIS2 breidt de sectoren die onder de wetgeving vallen uit, waaronder de Overheid, om een hoger niveau van cybersecurity te waarborgen.
3. Strengere beveiligingsnormen: De richtlijn legt strengere beveiligingsnormen en meldingsvereisten voor incidenten op, waardoor organisaties beter voorbereid zijn op cyberaanvallen.

Voor wie is de NIS2-richtlijn belangrijk?

De NIS2 richtlijn gaat gelden voor sectoren en organisaties die van vitaal belang zijn voor de maatschappij. Denk aan gezondheidszorg, transport en energieaanbieders. Maar ook overheidsdiensten, levensmiddelen, waterbeheerbedrijven en digitale aanbieders. De NIS2 introduceert uniforme regels voor middelgrote en grote organisaties. We onderscheiden:

• Essentiële Dienstverleners: Bedrijven in de voedings-, energie-, transport-, gezondheids- en financiële sector.
• Overheidsinstanties: Onderdelen van de centrale overheid en mogelijk lokale overheden.

Wil jij weten of jouw organisatie moet voldoen aan de NIS2-richtlijn? Doe onze snelle check en ontvang direct antwoord:

Welke verplichtingen brengt de nieuwe richtlijn met zich mee?

Zorgplicht:

Organisaties zijn verplicht om een risicobeoordeling uit te voeren en passende maatregelen te nemen om hun diensten en informatie te beschermen. Om te voldoen aan de zorgplicht van de NIS2-richtlijn, dienen organisaties verschillende maatregelen te treffen, waaronder:

1. Uitvoeren van een grondige risicoanalyse en implementeren van passende beveiligingsmaatregelen voor informatiesystemen.
2. Opstellen van beleid en procedures voor het behandelen van incidenten.
3. Implementeren van maatregelen voor bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen.
4. Beveiligen van de toeleveranciersketen om risico's van buitenaf te minimaliseren.
5. Beveiligen van netwerk- en informatiesystemen, inclusief het reageren op en bekendmaken van kwetsbaarheden.
6. Evaluatie van de effectiviteit van beheersmaatregelen voor cyberbeveiligingsrisico's via beleid en procedures.
7. Trainen van personeel in basis cyberhygiëne en cybersecurity.
8. Ontwikkelen van beleid en procedures met betrekking tot het gebruik van cryptografie en encryptie.
9. Implementeren van beveiligingsmaatregelen voor personeel, toegangsbeleid en beheer van activa.
10. Gebruik maken van multifactor-authenticatie, beveiligde communicatiekanalen en noodcommunicatiesystemen binnen de organisatie.

Het bestuur van de NIS2-entiteit draagt de eindverantwoordelijkheid voor het nakomen van de zorgplicht. Bij het niet naleven hiervan kunnen zij aansprakelijk worden gesteld. Het bestuur speelt een actieve rol door het goedkeuren van voorgestelde maatregelen, het toezicht houden op de implementatie, het vergroten van kennis door training en het aanbieden van opleidingen aan medewerkers.

Meldplicht:

Incidenten moeten conform de NIS2-richtlijn binnen 24 uur worden gemeld aan de toezichthouder, met name die incidenten die de verlening van essentiële diensten sterk kunnen verstoren. Een cyberincident dient ook te worden gemeld bij het Computer Security Incident Response Team (CSIRT). Zij staan klaar om direct hulp en ondersteuning te bieden. Belangrijke criteria voor het melden van een incident zijn onder andere het aantal getroffen personen, de duur van de verstoring en mogelijke financiële verliezen.

NIS2 stelt de volgende eisen aan een melding:

• De rapportage moet in alle gevallen zo snel mogelijk plaatsvinden.
• Heeft het incident de dienstverlening verstoord? Dan moet de organisatie het incident binnen 24 uur rapporteren.
• In alle andere gevallen moet de melding binnen 72 uur plaatsvinden.

Van alle incidenten moet de getroffen organisatie na een maand een eindverslag inleveren. Daarin staan onderzoeksresultaten, de gevolgen van de aanval en de genomen maatregelen om herhaling te voorkomen. Organisaties moeten de rapportage indienen bij de betreffende autoriteit. Op dit moment is dat het NCSC. 

Toezicht:

Er komt een onafhankelijk toezichthouder die naar de naleving van de verplichtingen uit de richtlijn kijkt. 

Impact van non-compliance

Financiële Boetes:

Organisaties die niet aan de vereisten van NIS2 voldoen, riskeren financiële boetes tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet.

Juridische Gevolgen:

Individuen met relevante autoriteit op het gebied van cybersecurity kunnen persoonlijk aansprakelijk worden gesteld voor het niet naleven van de richtlijn.

Samenwerken onder NIS2

Door samen te werken en informatie uit te wisselen kunnen organisaties zich gezamenlijk beter beschermen tegen cyberdreigingen en de impact van cyberaanvallen verminderen. Hieronder twee voorbeelden hoe organisaties dat zouden kunnen doen.

Samenwerking tussen sectoren:

NIS2 moedigt samenwerking aan tussen verschillende sectoren, zoals de publieke en private sector, om informatie te delen over cyberdreigingen en best practices voor cybersecurity. Door samen te werken kunnen organisaties profiteren van elkaars expertise en ervaringen, waardoor ze collectief sterker staan tegen cyberaanvallen.

Informatie-uitwisseling:

Een cruciaal onderdeel van effectieve cybersecurity is het delen van informatie over cyberdreigingen en incidenten. Door informatie uit te wisselen kunnen organisaties snel op nieuwe dreigingen reageren en preventieve maatregelen nemen om zichzelf te beschermen. NIS2 legt de basis voor gestructureerde informatie-uitwisseling tussen lidstaten en organisaties, wat de algehele digitale weerbaarheid versterkt.

Zo bereid je jouw organisatie voor op de NIS2-richtlijn

Om je organisatie voor te bereiden op de nationale wetgeving die voortkomt uit de NIS2-richtlijn, is het essentieel om nu actie te ondernemen. Door tijdig te starten met de volgende maatregelen, kun je de cybersecurity van je organisatie versterken en voldoen aan de vereisten van NIS2.

Stap 1: Maak een Risicoanalyse

Digitale dreigingen kunnen aanzienlijke risico's met zich meebrengen voor je dienstverlening.

• Begin met een grondige risicoanalyse: Gebruik tools als de NIS2 Quickscan om te bepalen of ze aan de nieuwe regels moeten voldoen en om tijdig passende maatregelen te treffen.
• Identificeer de te beschermen belangen, zoals klantgegevens, productiemethoden en financiële gegevens.
• Breng de dreigingen tegen de beschikbaarheid, integriteit en vertrouwelijkheid van deze belangen in kaart.
• Beoordeel de huidige weerbaarheid van je organisatie ten opzichte van deze dreigingen.

Stap 2: Neem passende maatregelen

Op basis van je risicoanalyse kun je passende maatregelen nemen om de cybersecurity van je organisatie te versterken. Enkele voorbeelden van maatregelen zijn:

• Stel eigenaarschap van informatie en bijbehorende risico's vast.
• Bevorder veilig gedrag binnen je organisatie door bewustwording en training.
• Veranker risicomanagement in je organisatie door het juist beleggen van verantwoordelijkheden.

Stap 3: Zorg voor incident procedures

Naast het nemen van preventieve maatregelen is het ook cruciaal om procedures te ontwikkelen voor het detecteren, monitoren, oplossen en melden van incidenten. Zorg ervoor dat je organisatie snel en adequaat kan reageren wanneer zich een incident voordoet. Organisaties die onder de NIS2-richtlijn vallen, zijn verplicht om incidenten te melden bij de relevante autoriteiten. Zorg ervoor dat deze meldplicht geïntegreerd wordt in je bedrijfsprocessen en stel een incident response plan op om effectief te kunnen reageren op cyberincidenten.

Geef invulling aan jouw NIS2-stappenplan met onze diensten

Als IRIS one begrijpen we het belang van naleving van richtlijnen zoals NIS2 om de cybersecurity van organisaties te versterken en hen te beschermen tegen toenemende cyberdreigingen. Daarom bieden wij een uitgebreid scala aan diensten aan die organisaties in 3 stappen helpen om de Zorg- en Meldplicht van de NIS2-richtlijn af te dekken. Hieronder een greep uit de diensten die wij kunnen leveren:

Stap 1: Risico-analyse

Stap 2: Maatregelen

Stap 3: Incident procedures

Goed dat je jezelf inleest. Nu is het tijd voor actie!

Het belang van NIS2 ligt in zijn vermogen om organisaties te beschermen tegen toenemende cyberdreigingen, terwijl het tegelijkertijd zorgt voor betere samenwerking tussen sectoren en een gestructureerde informatie-uitwisseling mogelijk maakt. Door tijdig te voldoen aan de verplichtingen van NIS2-richtlijn kun je financiële boetes en juridische gevolgen voorkomen, en je cyberweerbaarheid vergroten. Met een combinatie van risicoanalyse, passende maatregelen en incidentprocedures kun jij je tijdig voorbereiden op de implementatie van NIS2. Tijd voor actie dus! Benieuwd hoe IRIS one jouw organisatie kan helpen om NIS2-compliant te worden? Neem vrijblijvend contact met ons op voor meer informatie en advies op maat.

Sparren over de NIS2-richtlijn?
Neem contact met ons op!

Wil je zien hoe IRIS one jouw organisatie kan helpen voldoen aan de vereisten van de NIS2-richtlijn? Neem dan vandaag nog contact op om een vrijblijvende afspraak in te plannen.

Check of je moet voldoen    

Gijs Graat

Accountmanager

Email: g.graat@iris-one.nl

Telefoon: 06 55 22 06 16