Cyberveiligheid: NIS2-richtlijn

De EU zet een nieuwe stap in cyberveiligheid met ‘De Network and Information Security directive’ (NIS2-richtlijn). Dit is de opvolger van de NIS-richtlijn die al van kracht is. NIS2 breidt de reikwijdte uit naar middelgrote en kleine organisaties terwijl NIS1 alleen voor grote organisaties gold. De NIS2-richtlijn moet nog geïmplementeerd worden in Nederland en volgens de EU richtlijn moet dit eind oktober 2024 plaatsvinden.

Ben jij een bedrijf met meer dan 50 werknemers of een jaaromzet van meer dan 10 miljoen euro jaaromzet? Dan kan jouw bedrijf onder deze nieuwe richtlijn vallen wanneer je met je bedrijf in een ‘essentiële’ of ‘belangrijke’ sector valt. Controleer met de online zelfevaluatietool of je onder de nieuwe regelgeving valt. De richtlijn heeft als doel om de cyberveiligheid te vergroten en weerbaarder te zijn tegen digitale dreigingen.

Verplichtingen voor bedrijven

De NIS2-richtlijn legt de volgende verplichtingen op:

1. Risicobeoordeling: bedrijven moeten een grondige risicobeoordeling uitvoeren om kwetsbaarheden in hun systemen te identificeren. Dit omvat het evalueren van de impact van mogelijke incidenten op hun bedrijfsvoering.
2. Incidentenmelding: Bij een beveiligingsincident moeten bedrijven dit melden aan de relevante autoriteiten. Dit omvat ook het informeren van klanten en leveranciers als hun gegevens zijn aangetast.
3. Beveiligingsmaatregelen: bedrijven moeten passende technische en organisatorische maatregelen nemen om hun systemen te beschermen. Dit omvat het regelmatig bijwerken van software, het implementeren van toegangscontroles en het monitoren van netwerkverkeer.
4. Leveranciersbeoordeling: bedrijven moeten de beveiligingspraktijken van hun leveranciers evalueren, vooral als ze afhankelijk zijn van externe dienstverleners.

Het niet voldoen aan de verplichtingen zal boetes en mogelijke persoonlijke strafrechtelijke aansprakelijkheid voor personen op directieniveau tot gevolg kunnen hebben.

Voorbereiding

Om je bedrijf voor te bereiden op de wetgeving die voortkomt uit de NIS2-richtlijn, kun je nu al enkele voorbereidingen treffen.

1. Maak een risicoanalyse van digitale dreigingen:
   • Identificeer de specifieke risico’s waarmee je organisatie te maken kan krijgen op het gebied van cybersecurity. Denk aan dreigingen zoals phishing, ransomware en malware.
   • Beoordeel welke systemen, processen en gegevens het meest kwetsbaar zijn voor aanvallen.
   • Neem maatregelen die je organisatie (beter) beschermen tegen deze risico’s.
2. Implementeer beveiligingsmaatregelen zoals:
   • Back-ups: Regelmatige back-ups van belangrijke gegevens om verlies te minimaliseren bij een incident.
   • Encryptie: Versleutel gevoelige gegevens om ongeautoriseerde toegang te voorkomen.
   • Toegangscontroles: Beperk de toegang tot systemen en gegevens tot geautoriseerde gebruikers.
   • Detectie van kwetsbaarheden: Gebruik tools om kwetsbaarheden in systemen op te sporen en te verhelpen.
3. Zorg voor procedures die helpen bij detecteren, monitoren, oplossen en melden van incidenten:
   • Ontwikkel interne processen en protocollen voor het omgaan met beveiligingsincidenten.
   • Zorg ervoor dat medewerkers weten hoe ze verdachte activiteiten moeten herkennen en melden.

Tot slot

Als je onder de NIS2-richtlijn valt zorg dat je dan nu in actie komt. Ga aan de slag met cyberveiligheid.

Val je niet direct onder de richtlijn, maar werk je wel samen met partners die wél onder de NIS2-richtlijn vallen? Dan is het sterk aan te bevelen om aan de slag te gaan met cyberveiligheid en vast te stellen dat je voldoende cyberveilig bent. Dit om je meer weerbaar te maken tegen cyberaanvallen die een potentieel continuïteitsrisico voor jouw bedrijf zijn. Jouw partner die wel moet voldoen aan de NIS2-richtlijn kan je ook vragen om aan te tonen hoe je omgaat met cyberveiligheid. 

Laat een cyberincident jou dus niet overkomen en laat je deskundig adviseren door een betrouwbare ICT leverancier. Kom in actie! 

Meer weten?

aaff is graag overal van betekenis. Door kennis te delen, advies te geven en voor inzicht te zorgen. Wil je meer informatie over IT-recht en meer specifiek de NIS2-richtlijn? Onze bedrijfsadviseurs hebben uitgebreide kennis en ervaring op dit gebied en kunnen je bijstaan bij allerhande vraagstukken op dit gebied.