NIS2 in gewone taal: voor welke bedrijven de Cyberbeveiligingswet geldt, wat toeleveranciers merken en welke basismaatregelen je nu al neemt.
NIS2 is een Europese richtlijn die organisaties in belangrijke sectoren verplicht hun digitale beveiliging op orde te hebben en grote incidenten te melden. In Nederland wordt NIS2 ingevoerd met de Cyberbeveiligingswet (Cbw). Of de wet voor jouw bedrijf geldt, hangt af van je sector en je omvang. Veel kleine bedrijven vallen er niet direct onder, maar merken hem wel via hun klanten.
Grote afnemers die zelf onder NIS2 vallen, moeten ook kijken naar de veiligheid van hun leveranciers. Lever je software, IT-beheer, onderdelen of diensten aan zo'n organisatie, dan krijg je vragenlijsten en eisen in contracten. Met de stappen hieronder zoek je uit waar je staat en regel je de basis, of de wet nu op je van toepassing is of niet. Dit is praktische uitleg, geen juridisch advies. Twijfel je over jouw situatie, kijk dan bij de officiële bron of vraag een jurist.
Menunamen kunnen per versie of toestel iets anders heten. Loop de stappen op volgorde af en stop zodra het werkt.
NIS2 noemt sectoren als energie, vervoer, zorg, drinkwater, digitale infrastructuur, ICT-dienstverlening aan bedrijven, post- en koeriersdiensten, afvalbeheer, chemie, voedingsmiddelen, maakindustrie en digitale aanbieders zoals online marktplaatsen. Zoek je activiteiten op in de lijst van het Digital Trust Center. Staat je sector er niet in, dan geldt de wet in principe niet direct voor jou.
Binnen die sectoren geldt de wet vooral voor middelgrote en grote organisaties: vanaf 50 medewerkers, of een jaaromzet en balanstotaal boven de 10 miljoen euro. Er zijn uitzonderingen: sommige aanbieders vallen er altijd onder, ongeacht hun grootte, zoals bepaalde aanbieders van DNS en vertrouwensdiensten. Tel je mee als onderdeel van een groter concern, dan telt de groep mee.
Val je zelf niet onder de wet, maar wel een belangrijke klant, vraag dan welke eisen ze aan leveranciers stellen. Denk aan tweestapsverificatie, back-ups, een contactpersoon voor incidenten en snel melden als er iets misgaat. Leg vast wat je al doet; dan beantwoord je vragenlijsten sneller.
Deze maatregelen zijn verstandig voor elk bedrijf: tweestapsverificatie op mail en beheeraccounts, automatische updates, een wachtwoordmanager, een back-up die los van je netwerk staat, beheerrechten alleen voor wie ze nodig heeft, en een overzicht van al je systemen en accounts.
Schrijf op wie je belt bij een hack of storing, waar de back-ups staan, hoe je systemen loskoppelt en wie meldt aan klanten, bank of toezichthouder. Organisaties die onder de wet vallen, moeten een groot incident snel melden: een eerste waarschuwing binnen 24 uur en een melding binnen 72 uur.
Onder NIS2 is het bestuur zelf verantwoordelijk voor de beveiliging en moet het er ook kennis van hebben. Plan dus een vast moment per kwartaal waarop je de risico's en maatregelen bespreekt, ook als je niet onder de wet valt.
De precieze datum van inwerkingtreding en de registratieplicht legt de overheid vast. Kijk voor de actuele stand op de sites van het Digital Trust Center en het NCSC. Valt je organisatie onder de wet, dan moet je je registreren bij de toezichthouder van je sector.
Let op: Laat je niet bang maken door aanbieders die een ‘NIS2-certificaat’ verkopen. De wet vraagt passende maatregelen en melden, geen los certificaat.
Wil je zelf nagaan of je onder de wet valt, of de actuele planning lezen? Gebruik deze bronnen.
We beginnen met een gesprek over je sector, je klanten en je systemen. Daarna kijken we mee in je omgeving.
Kom je er met deze stappen niet uit, of wil je het liever niet zelf doen? We kijken online mee of komen langs. Hulp op afstand kost €20 per uur; komen we langs, dan is de prijs op aanvraag. Je weet vooraf waar je aan toe bent.
Schrijf kort wat er misgaat en wat je al hebt geprobeerd. Kies of we bellen, online meekijken of langskomen.
Meestal niet direct. De wet richt zich vooral op middelgrote en grote organisaties in de genoemde sectoren. Wel kunnen klanten die eronder vallen eisen aan je stellen als leverancier.
NIS2 is de Europese richtlijn. De Cyberbeveiligingswet is de Nederlandse wet die de richtlijn invoert. In Nederland gelden dus de regels uit de Cbw.
Organisaties die onder de wet vallen, melden een significant incident: een vroege waarschuwing binnen 24 uur, een melding binnen 72 uur en later een eindrapport. Waar je meldt, hangt af van je sector.
Dat hangt af van wat er al staat. Veel maatregelen, zoals tweestapsverificatie, updates en back-ups, kosten vooral tijd om in te richten. Begin met een nulmeting, dan zie je wat er echt nog moet.
Ja. We lopen je accounts, apparaten, back-ups en mailbeveiliging na en zetten de punten op een rij, in volgorde van belang.
Hulp nodig van een mens? IT-beveiliging in jouw plaats · IT-consultancy · Microsoft 365-hulp · Alle oplossingen
Website: IT Live