NIS2-eisen: maatregelen, meldplichten, checklist

Wie onder NIS2 valt

NIS2 onderscheidt essentiële en belangrijke entiteiten in tal van sectoren, waaronder energie, vervoer, zorg, digitale infrastructuur, afvalwater, overheid, post, afvalbeheer, chemie, levensmiddelen en maakindustrie. Bepalend zijn doorgaans omvang (vanaf 50 medewerkers of meer dan 10 mln. euro jaaromzet en balanstotaal) en sector; voor sommige entiteiten geldt NIS2 ongeacht de omvang. In Duitsland moeten betrokken organisaties zich registreren bij het BSI (het federale bureau voor informatiebeveiliging).

Risicobeheersmaatregelen volgens art. 21

Art. 21 NIS2 eist passende technische, operationele en organisatorische maatregelen, onder meer:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen
• Incidentenbehandeling
• Bedrijfscontinuïteit, back-upbeheer en crisisbeheer
• Beveiliging van de toeleveringsketen
• Beveiliging bij aanschaf, ontwikkeling en onderhoud, inclusief omgang met kwetsbaarheden
• Beoordeling van de effectiviteit van de maatregelen
• Cyberhygiëne en training, cryptografie, toegangsbeheer, multifactorauthenticatie

Meldplichten: 24 uur, 72 uur, één maand

Significante incidenten moeten gefaseerd worden gemeld: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur met een eerste beoordeling en een eindverslag binnen één maand. Dat lukt alleen als incidenten snel worden gedetecteerd en zorgvuldig worden gedocumenteerd – de taak van XMfortress Detect.

Verantwoordelijkheid van het bestuur

Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en regelmatig trainingen volgen. Bij plichtsverzuim kan het aansprakelijk worden gesteld. Bij overtredingen dreigen boetes tot 10 mln. euro of 2 % van de wereldwijde jaaromzet (essentiële entiteiten), respectievelijk 7 mln. euro of 1,4 % (belangrijke entiteiten).

NIS2-checklist: de eerste stappen

• Nagaan of u eronder valt en u registreren bij de bevoegde autoriteit
• Verantwoordelijken aanwijzen, bestuur trainen
• Asset-inventaris opbouwen en actueel houden
• Risicoanalyse uitvoeren, kwetsbaarhedenproces met termijnen vastleggen
• Detectie en meldroutes voor incidenten inrichten en oefenen
• Effectiviteit van de maatregelen regelmatig toetsen en documenteren
• Leveranciers en dienstverleners in de beoordeling meenemen

XMfortress ondersteunt de technische uitvoering en levert bewijs. De verantwoordelijkheid voor naleving blijft bij de organisatie; het platform vervangt geen juridische toetsing.