NIS2-richtlijn

De NIS2-richtlijn (Richtlijn (EU) 2022/2555) is de bijgewerkte cyberbeveiligingswetgeving van de EU die uitgebreide beveiligings- en incidentrapportagevereisten vaststelt voor essentiële en belangrijke entiteiten in kritieke sectoren. Met ingang van 18 oktober 2024 breidt NIS2 de reikwijdte en handhaving van zijn voorganger (NIS1) aanzienlijk uit, door meer sectoren te omvatten en strengere verplichtingen op te leggen.

Wie moet voldoen aan NIS2?

NIS2 is van toepassing op organisaties die binnen de EU actief zijn in 18 kritieke sectoren, onderverdeeld in:

Essentiële entiteiten (hogere kriticiteit):

• Energie (elektriciteit, olie, gas, waterstof)
• Transport (luchtvaart, spoorwegen, scheepvaart, wegvervoer)
• Bankwezen en financiële marktinfrastructuren
• Gezondheidssector (zorgaanbieders, laboratoria, fabrikanten van medische apparatuur)
• Drinkwater en afvalwater
• Digitale infrastructuur (internetknooppunten, DNS-providers, clouddiensten, datacenters)
• Overheidsadministratie
• Ruimtevaart

Belangrijke entiteiten (matige kriticiteit):

• Post- en koeriersdiensten
• Afvalbeheer
• Productie en distributie van chemicaliën
• Productie en distributie van voedsel
• Productie (medische apparatuur, elektronica, machines, motorvoertuigen)
• Digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken)
• Onderzoeksorganisaties

De omvangdrempels verschillen per lidstaat, maar zijn over het algemeen van toepassing op middelgrote en grote organisaties (50+ werknemers of €10 miljoen+ jaaromzet). Kleine en micro-entiteiten kunnen worden opgenomen als zij kritieke diensten leveren.

Kernvereisten voor beveiliging

NIS2 schrijft een uitgebreide reeks cyberbeveiligingsmaatregelen voor in tien domeinen:

1. Risicobeheer: Identificeer en beoordeel cyberbeveiligingsrisico's voor netwerk- en informatiesystemen
2. Incidentafhandeling: Detecteer, reageer op en herstel van beveiligingsincidenten
3. Bedrijfscontinuïteit: Back-upbeheer, noodherstel en crisisbeheer
4. Toeleveringsketenbeveiliging: Beoordeel en beheer beveiligingsrisico's van leveranciers en dienstverleners
5. Beveiliging bij aanschaf: Integreer beveiliging in de inkoop van systemen en diensten
6. Beheer van kwetsbaarheden: Beoordeel kwetsbaarheden en implementeer patches en updates
7. Beleid en procedures: Documenteer beveiligingsbeleid voor toegangsbeheer, assetbeheer en authenticatie
8. Cryptografie en encryptie: Bescherm de vertrouwelijkheid en integriteit van gegevens
9. Beveiliging van personeel: Toegangsbeleid, training en bewustwordingsprogramma's
10. Multi-factor authenticatie en veilige communicatie: Implementeer sterke authenticatie en versleutelde noodcommunicatiesystemen

Verplichtingen voor incidentrapportage

NIS2 introduceert strikte termijnen voor incidentrapportage:

• Vroegtijdige waarschuwing (24 uur): Meld de nationale CSIRT of bevoegde autoriteit binnen 24 uur na bekendwording van een significant incident
• Incidentmelding (72 uur): Dien een eerste beoordeling in, inclusief ernst, indicatoren van compromittering en initiële impact
• Eindrapport (1 maand): Lever een gedetailleerd rapport met oorzaakanalyse, impactbeoordeling en herstelmaatregelen

Governance en verantwoordelijkheid

NIS2 benadrukt de verantwoordelijkheid van het management:

• Verantwoordelijkheid op bestuursniveau: Bestuursorganen moeten cyberbeveiligingsmaatregelen goedkeuren en toezicht houden op de implementatie
• Persoonlijke aansprakelijkheid: Het management kan persoonlijk aansprakelijk worden gesteld voor niet-naleving
• Trainingsvereisten: Het management moet deelnemen aan cyberbeveiligingstrainingen
• Toezichtsautoriteit: Nationale autoriteiten kunnen ter plaatse inspecties en audits uitvoeren

Sancties en handhaving

NIS2 introduceert geharmoniseerde sancties binnen de EU:

• Essentiële entiteiten: Tot €10 miljoen of 2% van de wereldwijde jaaromzet (het hoogste bedrag geldt)
• Belangrijke entiteiten: Tot €7 miljoen of 1,4% van de wereldwijde jaaromzet (het hoogste bedrag geldt)

Sancties kunnen worden opgelegd bij het niet implementeren van beveiligingsmaatregelen, schending van de incidentrapportage of het niet samenwerken met autoriteiten.

Hoe ISMS Copilot helpt

ISMS Copilot biedt uitgebreide ondersteuning voor NIS2-naleving:

• Richtlijnspecifieke begeleiding: Stel vragen over specifieke NIS2-artikelen, beveiligingsmaatregelen of rapportageverplichtingen
• Beleidsgeneratie: Creëer beleidsdocumenten die klaar zijn voor audit en alle tien cyberbeveiligingsdomeinen dekken
• Gap-analyse: Upload bestaande beveiligingsdocumentatie om hiaten ten opzichte van NIS2-vereisten te identificeren
• Risicobeoordelingen: Genereer risicobeoordelingen die zijn afgestemd op NIS2 voor systemen en toeleveringsketenrelaties
• Incidentresponsplanning: Ontwikkel incidentclassificatieschema's en rapportageworkflows die zijn afgestemd op de NIS2-termijnen
• Nalevingsroadmaps: Vraag om implementatierichtlijnen op basis van uw organisatietype en sector
• Werkruimteorganisatie: Beheer NIS2-projecten gescheiden van andere nalevingsinitiatieven

De AI heeft directe kennis van de structuur en vereisten van NIS2, zodat u specifieke artikelen of beveiligingsmaatregelen in uw prompts kunt vermelden.

Aan de slag

Om te beginnen met NIS2-naleving in ISMS Copilot:

1. Maak een speciale werkruimte voor NIS2-naleving
2. Vraag de AI of uw organisatie kwalificeert als een essentiële of belangrijke entiteit
3. Genereer basisbeleid voor de tien cyberbeveiligingsdomeinen
4. Upload bestaand cyberbeveiligingsbeleid voor gap-analyse
5. Ontwikkel een incidentresponsplan met NIS2-conforme rapportageworkflows
6. Creëer een proces voor toeleveringsketenbeveiligingsbeoordeling

Implementatie door lidstaten

Hoewel NIS2 minimumeisen stelt, kunnen individuele EU-lidstaten via nationale omzettingswetten aanvullende verplichtingen opleggen. Raadpleeg de richtlijnen van uw nationale cyberbeveiligingsautoriteit voor landenspecifieke vereisten.

Verwante bronnen

• Officiële tekst van de NIS2-richtlijn: EUR-Lex
• ENISA (Europese Unie Agentschap voor Cyberbeveiliging) richtlijnen en bronnen
• Contactgegevens van nationale CSIRT's en bevoegde autoriteiten