.png)
NIS2 (Network and Information Systems Directive 2) is het nieuwe regelgevingskader van de EU voor informatiebeveiliging in belangrijke sectoren.
Het legt een nieuwe lat voor informatiebeveiligingsnormen, breidt het toepassingsgebied uit ten opzichte van de oorspronkelijke NIS, introduceert strenge toezichthoudende activiteiten voor naleving en ook mogelijke sancties voor overtredingen. Het doel is om de Europese informatie-infrastructuur beter te beveiligen.
Het is vooral belangrijk op te merken dat NIS2 niet alleen de normen voor cyberbeveiliging van organisaties vaststelt, maar ook het topmanagement verantwoordelijk houdt voor het bereiken van deze normen. Nalatigheid of onvoldoende betrokkenheid bij deze regelgeving kan aanzienlijke juridische gevolgen hebben. Als u geen blijk geeft van gepaste zorgvuldigheid bij het implementeren van robuuste cyberbeveiligingsmaatregelen die voldoen aan de NIS2-standaarden, kan het topmanagement persoonlijk verantwoordelijk worden gehouden voor eventuele resulterende beveiligingsproblemen.
Het topmanagement van organisaties zou een strategische kans moeten zien om hun cyberdefensie en waakzaamheid op een hoger plan te brengen - niet alleen risico's en to-do's. In deze bijdrage wordt NIS2 in het algemeen besproken en waarom het omarmen ervan als een verplichting voor het topmanagement de weg kan zijn naar duurzaamheid en succes van uw bedrijf in het digitale tijdperk.
De NIS2-richtlijn, die de oorspronkelijke NIS-richtlijn opvolgt, maakt deel uit van de ambitieuze plannen van de Europese Unie om te zorgen voor een hoog gemeenschappelijk niveau van cyberbeveiliging in alle lidstaten. De NIS werd oorspronkelijk voorgesteld in 2013 en had als doel een uniforme aanpak van cyberbeveiliging. Maar toen cyberbedreigingen complexer en wijdverspreider werden, werd de behoefte aan een robuuster kader duidelijk, wat leidde tot de introductie van NIS2. Deze bijgewerkte richtlijn is gericht op een breder scala aan sectoren en legt zwaardere verantwoordelijkheden bij het topmanagement om te zorgen voor de implementatie van strengere cyberbeveiligingsnormen, wat het belang van cyberbeveiliging in het moderne digitale tijdperk weerspiegelt.
Ondanks het goedbedoelde begin had de oorspronkelijke richtlijn inzake netwerk- en informatiebeveiliging te kampen met verschillende tekortkomingen die de doeltreffendheid van een uniforme aanpak van cyberbeveiliging in de hele EU belemmerden. Deze tekortkomingen waren onder andere:
Al deze tekortkomingen zijn aangepakt en "verholpen" in de NIS2. Dit heeft er ook toe geleid dat veel zaken nu tot in detail zijn vastgelegd in de eigenlijke richtlijn en dat er minder gemanoeuvreerd hoeft te worden door de lidstaten in de nationale wetgeving.
De NIS2-richtlijn bevat geen gedetailleerde beveiligingseisen voor organisaties, maar wel 13 hoofdgebieden van informatiebeveiliging waarvoor organisaties gedocumenteerde procedures moeten hebben. Dit zijn de belangrijkste NIS2-onderwerpen voor reguliere organisaties. Deze procedures kunnen dan worden opgevraagd bij autoriteiten of worden onderzocht op implementatie, bijvoorbeeld in een beveiligingsaudit.
NIS2 vereist dat organisaties gedocumenteerde maatregelen hebben voor:
NIS2 biedt ook aanvullende maatregelen voor incidentbeheer en ketenbeheer.
Belangrijk is dat NIS2 erkent dat incidenten gebeuren en zullen blijven gebeuren. Het doel van de richtlijn is niet om schuldigen aan te wijzen, maar om transparantie te garanderen, vertrouwen te behouden en het delen van informatie en beste praktijken te bevorderen om de algehele veerkracht van de beveiliging te vergroten.
Organisaties zijn verplicht om alle significante beveiligingsincidenten die de werking of de gegevens in gevaar kunnen brengen 24 uur, 72 uur en 30 dagen na ontdekking van het incident te melden aan autoriteiten en servicegebruikers.
De eerste meldingen moeten basisinformatie bevatten, samen met een beoordeling van de omvang van de gevolgen. De laatste melding moet een gedetailleerde beschrijving bevatten van wat er is gebeurd, samen met een analyse van de hoofdoorzaak en de acties die naar aanleiding van het incident zijn ondernomen.
NIS2 verplicht u ervoor te zorgen dat uw toeleveringsketen niet de zwakste schakel is in de grotere cyberbeveiligingsmatrix. Het gaat niet langer alleen om uw directe activiteiten; uw wettelijke mandaat strekt zich ook uit tot uw externe leveranciers en dienstverleners.
Organisaties moeten een goed inzicht hebben in hun eigen toeleveringsketens, met name als het gaat om vragen als wie zijn de cruciale spelers bij het leveren van onze diensten, wat voor soort zekerheid hebben we over hun beveiligingsniveau en hoe bewaken we hun beveiliging en verplichten we hen tot bepaalde acties?
Dit effect zal ook het effect van NIS2 verbreden, niet alleen naar bedrijven die direct onder het toepassingsgebied van NIS2 vallen, maar ook naar hun belangrijkste leveranciers.
De oorspronkelijke NOS vertoonde duidelijke tekortkomingen op het gebied van toezicht. NIS2 probeert dit te voorkomen door duidelijke minimummethoden voor toezicht op richtlijnniveau te definiëren en alleen de mogelijkheid open te laten om meer toe te voegen aan de nationale wetten.
In de nationale wetgeving voor de implementatie van NIS2 wordt natuurlijk vastgelegd wie de autoriteiten zijn die toezicht houden op de implementatie van NIS2 in het volgende land, en wordt het toezicht bijvoorbeeld per sector onderverdeeld in verschillende autoriteiten.
In de richtlijn worden minimale methoden voor het uitvoeren van het toezicht gedefinieerd:
Als niet-naleving wordt waargenomen, worden bijvoorbeeld de volgende methoden gebruikt:
NIS2 zegt heel duidelijk dat het topmanagement van een organisatie verantwoordelijk kan worden gehouden voor het niet voldoen aan de beveiligingseisen van artikel 21. Volgens NIS2 is de rol van het topmanagement bij informatiebeveiliging dus ten minste Dus volgens NIS2 is de rol van het topmanagement bij informatiebeveiliging ten minste om:
Daarnaast neemt het topmanagement gewoonlijk deel aan goede informatiebeveiliging door op zijn minst middelen toe te wijzen, beveiligingsdoelstellingen vast te stellen en betrokkenheid bij informatiebeveiliging in het algemeen te tonen.
Dit alles betekent dat de rol van het topmanagement zowel een wettelijke als een ethische verantwoordelijkheid met zich meebrengt. NIS2 beschouwt de actieve betrokkenheid en inzet van het topmanagement als cruciaal voor het bereiken van de doelen.
Een manier om NIS2 te benaderen is door de meest gangbare best practice-standaarden te benchmarken (bijv. ISO 27001 of NIST CSF) en op basis daarvan te zoeken naar meer gedetailleerde controles voor het implementeren van de 13 beveiligingsgebieden.
Je kunt het benaderen vanuit het perspectief van "wat hebben we al gedaan", althans gedeeltelijk, om snel op snelheid te komen.
Het duidelijke nadeel van deze aanpak is vaak dat het niet leidt tot een duurzame ontwikkeling van je informatiebeveiliging op de lange termijn en dat het uiteindelijk een documentatieoefening wordt.
Een ISMS (Information Security Management System) zorgt voor een systematische aanpak van informatiebeveiliging door informatiebeveiligingsgerelateerde zaken op één plek te verzamelen, inzicht te geven in je huidige beveiligingsniveau en een grondige controle van beveiligingsacties mogelijk te maken.
Op deze manier kunt u op de lange termijn compliance behouden en cyberbeveiligingsrisico's verminderen door uw beveiligingsacties voortdurend te verbeteren.
Het certificeren van uw ISMS (bijv. tegen ISO 27001) betekent dat een externe, geaccrediteerde auditor uw ISMS heeft doorgenomen en ervoor heeft gezorgd dat het voldoet aan de vereisten en controles van het geselecteerde raamwerk.
Deze aanpak biedt voordelen zoals onweerlegbaar bewijs van een goed beveiligingsniveau, dat je niet alleen kunt gebruiken voor NIS2-toezicht, maar ook voor elke vorm van verkoop of samenwerking waarbij informatiebeveiligingsperspectieven een rol spelen.
Tot slot is het goed om te begrijpen dat de NIS2-richtlijn deel uitmaakt van de grotere digitale transformatiegroei in de Europese Unie. Het vereist duidelijkheid van organisaties - documenteren hoe ze verschillende aspecten van informatiebeveiliging hebben geïmplementeerd en achter die keuzes staan. Het verplicht het topmanagement ook tot informatiebeveiliging op een geheel nieuw niveau.
De brede beveiligingsmaatregelen en meldingsvereisten voor incidenten in de richtlijn onderstrepen een prioritaire verschuiving naar verbeterde transparantie, verantwoording en algehele weerbaarheid tegen cyberdreigingen. Hoewel de implementatie van NIS2 ongetwijfeld een aanzienlijke inzet vergt, wegen de voordelen ruimschoots op tegen de kosten.
Het opzetten van een Information Security Management System (ISMS), of u dit nu baseert op andere best practices of streeft naar ISO 27001 certificering, is een beproefde manier voor succes. Onthoud echter dat het een reis is, geen race. Het aannemen van een gefaseerde strategie die past bij de context, capaciteit en mogelijkheden van uw organisatie zal duurzame resultaten opleveren en bijdragen aan uw digitale integriteit op de lange termijn.
