NIS2-compliance voor Bedrijven: Een Praktisch Stappenplan (Mr. Franklin)

Essentiële entiteiten

Essentiële entiteiten zijn grote organisaties die actief zijn in zeer kritieke sectoren zoals energie, transport, bankwezen, gezondheidszorg en drinkwater. Een organisatie wordt als groot beschouwd als ze minimaal 250 werknemers heeft of een jaaromzet van meer dan 50 miljoen euro en een balanstotaal van meer dan 43 miljoen euro. Ook vallen hieronder organisaties die volgens de CER-richtlijn zijn aangewezen als kritieke entiteit.

Belangrijke entiteiten zijn middelgrote organisaties in zeer kritieke sectoren en grote of middelgrote organisaties in andere kritieke sectoren zoals post- en koeriersdiensten, afvalstoffenbeheer en levensmiddelen. Een organisatie is middelgroot als ze minimaal 50 werknemers heeft of een jaaromzet en balanstotaal van meer dan 10 miljoen euro.

Uitzonderingen

Er zijn enkele uitzonderingen op de omvangscriteria. Bepaalde entiteiten vallen onder NIS2 ongeacht hun omvang, zoals aanbieders van openbare elektronische communicatienetwerken, vertrouwensdienstverleners en DNS service providers. Een gedetailleerd overzicht kan je via de website van het CBB terugvinden.

Belangrijkste verplichtingen onder NIS2

De NIS2-richtlijn legt essentiële en belangrijke entiteiten een aantal cruciale verplichtingen op om de cybersecurity te versterken. Deze maatregelen zijn gericht op het beheren van risico’s, het melden van incidenten en het waarborgen van de veiligheid in de toeleveringsketen.

Belangrijke aspecten zijn onder meer:

• Het opstellen van een beleid voor risicoanalyse en beveiliging van informatiesystemen
• Het ontwikkelen van procedures voor incidentenbehandeling
• Het waarborgen van bedrijfscontinuïteit en crisisbeheer
• Het implementeren van beveiligingsmaatregelen in de toeleveringsketen
• Het bieden van cybersecurity-opleidingen aan personeel.

Het behalen van een ISO27001 certificering wordt aanzien als een passend veiligheidsniveau maar is niet verplicht.

Incidentmeldingsplicht

Essentiële en belangrijke entiteiten zijn verplicht om significante incidenten te melden aan de bevoegde autoriteiten. Een incident wordt als significant beschouwd als het ernstige gevolgen heeft voor de dienstverlening, zoals een aanzienlijke verstoring van de bedrijfsvoering of financiële verliezen. De melding moet binnen 24 uur na kennisname plaatsvinden, gevolgd door een uitgebreider rapport binnen 72 uur.

Risicobeheer in de toeleveringsketen

NIS2 vereist dat organisaties de beveiliging van hun toeleveringsketen waarborgen. Dit betekent dat ze de cybersecurityrisico’s van hun leveranciers en dienstverleners moeten beoordelen en beheersen. Belangrijke aspecten hierbij zijn:

Om te voldoen aan de NIS2-richtlijn is een gestructureerde aanpak nodig. Aangeraden wordt om een ISMS te implementeren overeenkomstig ISO27001-norm maar dit is niet verplicht. Hier volgt een praktisch stappenplan om uw organisatie NIS2-compliant te maken.

Ondernemingen die onder de NIS2 verplichtingen vallen moeten zich aanmelden. Voor België kan dit gebeuren via de website van Safeonweb. Dit moet gebeuren uiterlijk tegen 18 maart 2025.

Gap-analyse uitvoeren

De eerste stap is het uitvoeren van een grondige gap-analyse. Hierbij vergelijkt u uw huidige cyberbeveiligingsmaatregelen met de vereisten van NIS2. Dit geeft u inzicht in de gebieden waar uw organisatie nog tekortschiet. Analyseer uw bestaande controls en stel vast welke hiaten er zijn ten opzichte van NIS2. Betrek hierbij zowel technische als organisatorische aspecten van uw cybersecurity.

Actieplan opstellen

Op basis van de resultaten van de gap-analyse kunt u een actieplan opstellen. Dit plan moet concrete maatregelen bevatten om de geïdentificeerde hiaten te dichten. Stel een roadmap op met duidelijke mijlpalen en deadlines. Houd hierbij rekening met de specifieke NIS2-eisen, zoals het implementeren van multifactorauthenticatie, het opstellen van incidentresponsprocedures en het waarborgen van de beveiliging in de toeleveringsketen.

Implementatie en monitoring

Na het opstellen van het actieplan volgt de implementatiefase. Voer de geplande maatregelen stapsgewijs door in uw organisatie. Dit kan het updaten van beveiligingsbeleid, het invoeren van nieuwe technologieën of het trainen van personeel omvatten. Zorg voor een systematische aanpak en documenteer alle genomen stappen zorgvuldig.

Monitoring is cruciaal om de effectiviteit van de geïmplementeerde maatregelen te waarborgen. Voer regelmatig interne audits uit om te controleren of uw organisatie voldoet aan de NIS2-vereisten. Wees voorbereid op externe audits door toezichthouders, die vanaf oktober 2024 kunnen plaatsvinden.

Blijf uw cybersecurity-maatregelen continu verbeteren en aanpassen aan nieuwe dreigingen en risico’s. NIS2 vereist een cyclisch risicomanagementproces, dus zorg ervoor dat u uw risicoanalyse regelmatig bijwerkt en uw beveiligingsmaatregelen daarop afstemt.

Conclusie

De invoering van NIS2 betekent een grote stap voorwaarts voor cybersecurity in de EU. Deze richtlijn heeft een grote invloed op essentiële en belangrijke entiteiten, die nu moeten voldoen aan strengere eisen voor risicobeheersing, incidentmelding en beveiliging van de toeleveringsketen. Door het volgen van een gestructureerde aanpak, zoals het uitvoeren van een gap-analyse en het opstellen van een actieplan, kunnen organisaties zich voorbereiden om aan deze nieuwe verplichtingen te voldoen.

Bron: Mr. Franklin