Europese NIS2 richtlijn cybersecurity

NIS2 gaat uit van een risicogestuurde aanpak van informatiebeveiliging van een organisatie. De beoogde informatiebeveiliging die in de NIS2 directive wordt beschreven, is echter breder dan alleen de maatregelen die in de NIS2 genoemd worden. NIS2 stelt een niveau van informatiebeveiliging die gehaald moet worden, zonder volledige invulling te geven aan de maatregelen die daarmee gepaard gaan.

’De lidstaten zorgen ervoor dat essentiële en belangrijke entiteiten passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van de netwerk- en informatiesystemen die deze entiteiten voor hun werkzaamheden of voor het verlenen van hun diensten gebruiken, te beheren en om incidenten te voorkomen of de gevolgen van incidenten voor de afnemers van hun diensten en voor andere diensten te beperken.’

NIS2 doelstellingen:

• Het verhogen van de cyberweerbaarheid;
• Het verbeteren van het bewustzijnsniveau;
• Het mitigeren van cyberaanvallen.

1. Essentiële entiteiten: 

• Grote organisaties die actief zijn in een sector uit bijlage 1 van de NIS2-richtlijn (zie onderstaande tabel)
• Een organisatie is ‘groot’ op basis van de volgende criteria:
  1. Meer dan 250 werknemers; of
  2. Een netto-omzet van meer dan € 50 miljoen en een balanstotaal van meer dan € 43 miljoen.

2. Belangrijke entiteiten

• Middelgrote organisaties die actief zijn in een sector uit bijlage 1 en organisaties die actief zijn in een sector uit bijlage 2.
• Een organisatie is ‘middelgroot’ op basis van de volgende criteria:
  1. Minimaal 50 werknemers; of
  2. Een jaaromzet of balanstotaal van meer dan 10 miljoen euro.

De NIS2-richtlijn brengt een aantal belangrijke wijzigingen met zich mee op het gebied van cybersecurity. Zo worden de eisen omtrent de handhaving van regels aangescherpt en zullen sancties in de hele EU gelden. Ook is het toepassingsgebied uitgebreid naar nieuwe sectoren. Bedrijven en organisaties waarop de richtlijn van toepassing is, moeten maatregelen nemen op het gebied van cyberrisicobeheer, penetratietesten, incident response en herstel. Als de organisatie niet voldoet aan de NIS2 directive loopt de organisatie het risico een financiële sanctie te krijgen, gebaseerd op de wereldwijde omzet.

Organisaties die goed voorbereid willen zijn op de komst van de NIS2-richtlijn doen er verstandig aan om niet af te wachten tot de wet- en regelgeving volledig duidelijk is. De risico’s die organisaties en systemen lopen, zijn er immers nu ook al. Organisaties die nu al in actie komen, beveiligen zich niet alleen tegen deze bestaande risico’s, maar zijn straks ook beter voorbereid op de komst van de nieuwe wetgeving. Maak een goede start met de volgende stappen:

1. Breng de fysieke en digitale risico’s die de continuïteit van uw organisatie kunnen verstoren in kaart;
2. Tref maatregelen om deze risico’s te mitigeren;
3. Stel procedures vast die uw organisatie in staat stellen om incidenten die bedrijfsprocessen (kunnen) verstoren te detecteren, monitoren, op te lossen en te melden.

Op 16 januari 2023 trad de NIS2 in werking. Het is nog niet duidelijk wanneer de wetgeving daadwerkelijk geïmplementeerd wordt. De verwachting is dat de Cyberbeveiligingswet in het derde kwartaal van 2025 in werking treedt.