Weet of NIS2 op je van toepassing is en wat je moet regelen

Een klant stuurt je een vragenlijst over NIS2 en vraagt binnen twee weken om antwoord. Of je leest in de vakpers dat de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, ook over jouw sector gaat, en niemand in je organisatie weet of dat klopt. De teksten zelf helpen je niet verder: ze gaan over essentiële en belangrijke entiteiten, over passende maatregelen en over meldtermijnen, maar niet over jouw netwerk, jouw leveranciers en jouw mensen. Wij vertalen die wet naar een lijst met dingen die je deze maand kunt regelen.

Valt je organisatie onder NIS2

Dit is de eerste vraag en vaak meteen de moeilijkste. Of je onder de Cyberbeveiligingswet valt, de Nederlandse uitwerking van NIS2, hangt af van je sector, van het aantal medewerkers en de omzet, en soms van de vraag of je een dienst levert die een andere organisatie nodig heeft om te draaien. Energie, drinkwater, transport, afvalbeheer, zorg, digitale infrastructuur en de productie van bepaalde goederen staan op de lijst. Een groothandel die uitsluitend aan een ziekenhuis levert, kijkt naar iets anders dan een softwarebedrijf dat beheer doet voor een netbeheerder.

We zoeken dat uit voordat we ook maar iets aanpassen aan je systemen. Je krijgt een korte onderbouwing waarin staat waarom je er wel of niet onder valt, en welke categorie dat dan is. Die onderbouwing is ook het antwoord dat je aan een klant of een verzekeraar kunt sturen. Valt je organisatie er niet onder, dan zeggen we dat gewoon, en dan houdt het op. Wat wel altijd de moeite waard blijft, is dat je weet waar je data staat en wie erbij kan.

De zorgplicht in de praktijk

De zorgplicht komt neer op een handvol maatregelen die je zelf moet kiezen en kunnen onderbouwen. Je analyseert de risico's van je belangrijkste processen. Je regelt back-ups en herstel, toegangsbeheer, versleuteling, en het afhandelen van kwetsbaarheden. Dat klinkt zwaar, maar in de meeste bedrijven waar wij binnenkomen ontbreken telkens dezelfde vier of vijf dingen, en die zijn allemaal binnen enkele weken te repareren.

We beginnen bij wat je al hebt draaien. Vaak staat er wel logging aan, maar leest niemand die terug. Er zijn back-ups, maar de laatste keer dat er iets is teruggezet weet niemand meer. Accounts van vertrokken medewerkers staan nog open. Wij zetten monitoring op met een afgesproken escalatie, testen een herstel op een echte server en ruimen de rechten op. Waar je wilt weten of een aanvaller er daadwerkelijk doorheen komt, is een Penetratietest de logische volgende stap.

Melden binnen 24 uur

Het deel van NIS2 dat organisaties het vaakst verrast is de meldplicht. Bij een significant incident geef je binnen vierentwintig uur een eerste signaal af, en binnen tweeënzeventig uur een uitgebreidere melding met wat je op dat moment weet. Dat is kort. Op een vrijdagavond, met een halve directie op vakantie, is dat te kort om dan pas te bedenken wie er belt en waarheen.

Daarom schrijven we die procedure vooraf, en houden we hem op één pagina. Wie stelt vast dat iets een incident is. Wie belt. Welk mailadres, welk portaal, welk telefoonnummer. Wat er in die eerste melding staat, als voorgeschreven tekst waarin alleen de details nog moeten worden ingevuld. Daarna oefenen we het een keer met je team, want een procedure die nog nooit is gebruikt weet je pas op het verkeerde moment te vinden. Onze monitoring meldt zich automatisch bij de contactpersoon die jij aanwijst.

Je leveranciers en je bestuur

NIS2 kijkt nadrukkelijk verder dan je eigen serverruimte. Je bent ook verantwoordelijk voor de beveiliging in je keten: je hostingpartij, je softwareleveranciers, het bedrijf dat op afstand je machines onderhoudt. Wij maken een overzicht van die partijen, van wat ze precies bij je kunnen, en van welke afspraken daarover ontbreken. Wij beheren zelf de keten achter onze beheerde omgevingen, dus we weten hoe die gesprekken lopen en wat je redelijkerwijs kunt vragen.

Het tweede verschil met eerdere regelgeving is dat het bestuur zelf aan zet is. De leiding moet de maatregelen goedkeuren en erop toezien, en kan daarop worden aangesproken. In de praktijk betekent dat vooral dat je twee keer per jaar een half uur agendeert waarin je de risico's en de open punten langsloopt. Wij leveren daarvoor het overzicht aan. Loopt de vraag over persoonsgegevens en verwerkers, dan sluit dit direct aan op Compliance & AVG.