NIS2-startpunt
NIS2-richtlijn voor digitale en economische weerbaarheid
De Network and Information Security Directive (NIS2-richtlijn) is gericht op een versterking van de digitale en economische weerbaarheid van Europese lidstaten. Meer specifiek richt het zich op digitale (cyber)risico’s voor netwerk- en informatiesystemen, zoals het internet en het betalingsverkeer.
Extra weerbaarheid voor kritieke sectoren
Bedrijven en organisaties vallen automatisch onder de Cyberbeveiligingswet (NIS2) als ze actief zijn in een (zeer) kritieke sector én aan bepaalde voorwaarden voldoen. Lees voor wie de Cyberbeveiligingswet geldt. Check met de Zelfevaluatietool NIS2 of jouw bedrijf onder deze wet valt.
Wat schrijft de Cyberbeveiligingswet voor?
10 Zorgplichtmaatregelen
NIS2-bedrijven moeten maatregelen nemen om hun netwerk- en informatiesystemen tegen incidenten te beschermen. Hetzelfde geldt voor de fysieke omgeving waarin de systemen zich bevinden. Onder de zorgplicht vallen ten minste:
- Maatregel 1: Een risicoanalyse en beveiliging van informatiesystemen;
- Maatregel 2: Beveiligingsaspecten op het gebied van personeel, toegangsbeleid en beheer van assets;
- Maatregel 3: Maatregelen op het gebied van bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen;
- Maatregel 4: Incidentenbehandeling;
- Maatregel 5: Basis cyberhygiëne en trainingen op het gebied van cyberbeveiliging;
- Maatregel 6: Beveiliging bij het verwerken, ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden;
- Maatregel 7: Beveiliging van de toeleveranciersketen;
- Maatregel 8: Beleid en procedures over het gebruik van cryptografie en encryptie;
- Maatregel 9: Het gebruik van multifactorauthenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen;
- Maatregel 10: Beleid en procedures om de effectiviteit van beheersmaatregelen van cyberbeveiligingsrisico’s te beoordelen.
Graag geven we meer uitleg en adviezen voor elk van deze 10 maatregelen zodat je je organisatie bijtijds kunt voorbereiden op de Cyberbeveiligingswet. Omdat deze maatregelen nog niet zijn uitgewerkt in de regelgeving baseren we de suggesties, tips en handreikingen op wat er gangbaar is in de cybersecuritypraktijk.
Start bij Maatregel 1.
-
Registratieplicht
Wie onder de Cyberbeveiligingswet valt, moet zich registreren bij het Nationaal Cyber Security Centrum (NCSC).
-
Meldplicht
Incidenten die de verlening van de essentiële dienst aanzienlijk (kunnen) verstoren, moeten gemeld worden bij de toezichthouder. Betreft het een cyberincident? Dan moet dit ook gemeld worden bij het Computer Security Incident Response Team (CSIRT) dat vervolgens hulp- en bijstand levert. Factoren die een incident 'meldingswaardig' maken, zijn bijvoorbeeld het aantal personen dat door de verstoring is geraakt, de tijdsduur van een verstoring en de mogelijke financiële verliezen.
-
Toezicht
NIS2-bedrijven komen onder toezicht te staan van een nader te bepalen toezichthouder. Deze kijkt naar de naleving van de verplichtingen uit de Cyberbeveiligingswet zoals zorg- en meldplicht.
1. Maak een beleidsplan risicoanalyse
NIS2-organisaties moeten een beleid inzake risicoanalyse en beveiliging van informatiesystemen hebben. Een risicoanalyse is een essentiële eerste stap voor het verkrijgen van de nodige inzichten. Je bepaalt ermee welke risico's het zwaarst drukken en waar beveiligingsmaatregelen het hardst nodig zijn.
2. Personeel, toegangsbeleid en beheer assets
NIS2-organisaties hebben beleid en procedures om de toegang en rechten voor assets zoals apparaten, servers etc. te beschermen. Daarvoor is nodig dat het personeel bewust is van de veilige omgang met de assets. Ook vraagt het beleid op het verstrekken van toegang tot de assets.
Informatiebrochure NIS2-richtlijn
Voor wie geldt Cyberbeveiligingswet straks? De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) heeft de reikwijdte van de aankomende NIS2-wetgeving in een brochure vervat. Ook over de meldplicht en het toezicht vind je hier meer informatie en toelichting.
De NIS2-Quickscan
De NIS2-Quickscan is een tool voor organisaties die willen weten hoe zij zich kunnen voorbereiden op de Cyberbeveiligingswet. Deze scan is met name bedoeld voor IT- en cybersecurity-specialisten en -verantwoordelijken binnen bedrijven. De scan biedt ook handelingsperspectief: per thema worden technische of organisatorische maatregelen voorgesteld die kunnen bijdragen aan de digitale weerbaarheid van organisaties en aan de voorbereiding op de Cyberbeveiligingswet.
Stel je vragen over NIS2 aan de DTC Community
Het DTC biedt ondernemers en securityprofessionals de mogelijkheid om vragen over NIS2 of Cyberbeveiligingswet te stellen aan de DTC Community in de NIS2-samenwerkruimte. Meld je aan, stel je vraag of deel je kennis met andere professionals die zich ook met de NIS2-voorbereidingen bezighouden.