Wat is de NIS2-richtlijn?
De Network and Information Security (NIS2)-richtlijn Opens in a new tab van de Europese Unie vervangt de NIS-richtlijn 2016 en heeft tot doel een "hoog gemeenschappelijk niveau van cyberbeveiliging in alle EU-lidstaten" te waarborgen door de vereisten voor cyberbeveiliging verder te versterken in cruciale infrastructuur en in die bedrijfstakken en organisaties die onmisbaar zijn voor het functioneren van de economie.
NIS2 is op 16 januari 2023 goedgekeurd en alle EU-lidstaten moesten de nodige maatregelen treffen en publiceren om uiterlijk op 17 oktober 2024 aan de richtlijnen te voldoen. Deze maatregelen zouden dan op 18 oktober 2024 van kracht worden. De meeste EU-landen hebben echter uitstel aangevraagd, waaronder dus ook Nederland. Bedrijven die binnen de EU actief zijn, zullen moeten voldoen aan NIS2 om ervoor te zorgen dat ze een hoger niveau van cyberbeveiliging kunnen aantonen.
Wat zijn de belangrijkste wijzigingen?
De belangrijkste wijzigingen onder NIS2 zijn:
Uitbreiding van industriële sectoren en entiteiten die onder de reikwijdte van NIS2 vallen.
De oorspronkelijke NIS omvatte zogenaamde exploitanten van essentiële diensten zoals watervoorziening, gezondheidszorg, transport en sommige digitale dienstverleners. NIS2 is uitgebreid met sectoren zoals post- en koeriersdiensten, voedsel, ruimtevaart en afvalwaterverwerking, evenals tal van middelgrote bedrijven met minimaal 50 werknemers en een omzet van meer dan € 10 miljoen.
Bestuurdersaansprakelijkheid.
Het management is verantwoordelijk voor het goedkeuren van de maatregelen voor het beheer van cyberbeveiligingsrisico's die door hun bedrijf zijn genomen, voor het toezicht op de uitvoering ervan, en kan aansprakelijk worden gesteld voor overtreding van de regels. Managementleden moeten een training volgen zodat ze voldoende kennis en vaardigheden opdoen om risico's te identificeren en risicobeheerpraktijken op het gebied van cyberbeveiliging en de impact ervan op hun diensten te beoordelen.
Aangescherpte maatregelen voor risicobeheer op het gebied van cyberbeveiliging
Bedrijven dienen passende en evenredige technische, operationele en organisatorische maatregelen te nemen om hun cyberrisico's te beheersen en de impact van incidenten op ontvangers van hun diensten te voorkomen of tot een minimum te beperken.
Voor bedrijven die nu onder NIS2 vallen gelden minimumvereisten die zij moeten implementeren. Deze vereisten variëren van het gebruik van meervoudige authenticatie tot het afhandelen van incidenten en beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico's te beoordelen.
Door het bedrijf genomen maatregelen voor risicobeheer op het gebied van cyberbeveiliging moeten worden gedocumenteerd en er moet bewijs van de implementatie van het cyberbeveiligingsbeleid beschikbaar zijn. Zo moet incidentenafhandeling duidelijk omschreven zijn en moet elk bedrijf over rampherstelplannen beschikken.
Bij een cyberincident moeten organisaties binnen een kort tijdsbestek drie specifieke stappen doorlopen:
- Binnen 24 uur na een cyberaanval moet een eerste waarschuwing worden gestuurd naar de verantwoordelijke autoriteit in het land waarin de aanval heeft plaatsgevonden.
- Binnen 72 uur moet nadere informatie over het incident worden verstrekt.
- Binnen een maand moet een definitief detailrapport over het incident beschikbaar zijn.
Beveiliging van de toeleveringsketen valt ook binnen het toepassingsgebied
Cybersecurity risicomanagement wordt uitgebreid met supply chain security. Bedrijven die onder NIS2 vallen, moeten rekening houden met de kwetsbaarheden die specifiek zijn voor elk van hun directe leveranciers en dienstverleners om de impact van incidenten in de toeleveringsketen op ontvangers van hun diensten en op andere diensten te voorkomen of te minimaliseren.
Hogere boetes
"Essentiële" bedrijven die NIS2 niet naleven, krijgen te maken met administratieve boetes van maximaal € 10 miljoen of maximaal 2 procent van hun totale wereldwijde jaaromzet (welke van beide het hoogst is), terwijl "belangrijke" bedrijven boetes krijgen van maximaal € 7 miljoen of 1,4 procent (welke van beide het hoogst is).