Cyberveiligheid is een belangrijk onderwerp geworden voor alle bedrijven, ongeacht hun omvang. Cyberdreigingen nemen toe en treffen zowel ziekenhuizen, KMO's, dienstverleners als digitale infrastructuren. Elk incident kan leiden tot aanzienlijke financiële verliezen, verstoring van de bedrijfsvoering of blijvende schade aan de reputatie.
Tegen deze achtergrond is de Europese NIS2-richtlijn (Network and Information Security Directive 2), ook bekend als de NIS2-wet, aangenomen. Deze nieuwe Europese richtlijn, die in oktober 2024 van kracht wordt, vervangt de NIS1-richtlijn uit 2016 en legt strengere eisen op voor cyberbeveiliging. Het doel is om een geharmoniseerd cyberbeveiligingsraamwerk op te zetten voor alle lidstaten, om de collectieve weerbaarheid tegen cyberbedreigingen te versterken.
In tegenstelling tot de eerste versie heeft NIS2 betrekking op een groot aantal organisaties. Hieronder vallen kritieke en grote entiteiten, maar ook netwerkproviders en aanbieders van digitale diensten. Dit betekent dat alle betrokken entiteiten bereid moeten zijn om te voldoen aan de verplichtingen die de richtlijn oplegt.
Wat is de NIS2-richtlijn?
Het doel van de NIS2-richtlijn, die is aangenomen krachtens Richtlijn (EU) 2022/2555, is het versterken van de cyberveiligheid van netwerken en informatiesystemen. De richtlijn bepaalt dat essentiële entiteiten en grote entiteiten alle noodzakelijke maatregelen moeten nemen om de beveiliging van hun systemen te garanderen.
Onder de cyberbeveiligingsvereisten die door de richtlijn worden opgelegd :
- Risicomanagement: bedrijven moeten managementpraktijken beoordelen en de risico's van hun informatiesystemen in kaart brengen.
- Detectie en reactie: entiteiten moeten de nodige technische maatregelen implementeren om te reageren op significante incidenten.
- Melding: elk ernstig incident moet binnen 24 uur worden gemeld aan de relevante autoriteiten.
- Governance: bestuursorganen moeten actief betrokken zijn bij het cyberbeveiligingsbeleid.
Voor welke bedrijven geldt dit?
In NIS2 worden de betreffende entiteiten nauwkeurig gedefinieerd. Dit zijn kritische entiteiten in de volgende categorieën:
- Essentiële entiteiten (energie, vervoer, gezondheid, digitale infrastructuur, water, overheidsdiensten, enz.).
- Grote entiteiten (kritieke productie-industrieën, digitale diensten, postdiensten, voedingssector, enz.).
Essentiële en belangrijke entiteiten moeten de vereiste cyberbeveiligingsmaatregelen implementeren, zelfs als het gaat om bedrijven met meer dan 50 werknemers of kleinere maar strategische bedrijven. België heeft bepaald dat deze entiteiten zich binnen 2 maanden na identificatie moeten registreren bij het Belgisch Centrum voor Cyberveiligheid (CCB).
Wat zijn de risico's van niet-naleving?
Het niet naleven van de verplichtingen van de wet zal leiden tot hogere boetes. Boetes kunnen oplopen tot 10 miljoen euro of 2 % van de wereldwijde omzet. Maar de gevolgen zijn niet alleen financieel. Ze kunnen omvatten :
- Verlies van vertrouwen bij de klant
- Breken met strategische partners
- Uitsluiting van bepaalde markten
NIS2 legt als wettelijk kader directe aansprakelijkheid op aan het management. Dit betekent dat bestuursorganen aansprakelijk kunnen worden gesteld in geval van niet-naleving. In België is cyberveiligheid van bedrijven een nationale kwestie en het CCB ziet toe op de naleving ervan.
Hoe bereid je je voor op NIS2?
Het is moeilijk voor essentiële en grote entiteiten om zich alleen aan te passen. Deskundige ondersteuning wordt sterk aanbevolen. Bedrijven moeten :
- De kwetsbaarheden van hun systemen beoordelen
- NIS2-vereisten implementeren in hun interne processen
- Bestaande cyberbeveiligingsmaatregelen versterken en risico's verminderen
- Procedures vastleggen in geval van een incident
- Medewerkers opleiden
Leveranciers en kritische entiteiten moeten er ook voor zorgen dat hun onderaannemers zich aan de normen van de richtlijn houden.
Waarom ondersteuning krijgen?
Volgens de NIS2-wet zijn de vereisten technisch, organisatorisch en juridisch. Europese bedrijven moeten ervoor zorgen dat ze voor 18 maart 2025 klaar zijn. Dit betekent :
- NIS2 nalevingscontrole
- Certificering of autorisatie voor informatiesystemen
- Voortdurende monitoring
Grote organisaties kunnen profiteren van gepersonaliseerde hulp om te voldoen aan alle maatregelen die de richtlijn vereist. In België wordt cyberbeveiliging zeer serieus genomen en bedrijven moeten deel uitmaken van een duurzaam proces.
Wat gebeurt er na 18 maart 2025?
Na 18 maart 2025 moeten alle essentiële en belangrijke entiteiten de vereisten van de NIS2-richtlijn volledig hebben geïmplementeerd. Dit houdt onder meer in dat ze belangrijke incidenten binnen de vereiste termijnen moeten kunnen melden en hun beveiligingsprocessen moeten kunnen documenteren. De richtlijn legt ook een plicht tot voortdurende controle op, met regelmatige audits om ervoor te zorgen dat het kader van de wet wordt nageleefd.
De richtlijn bepaalt dat bedrijven ook rekening moeten houden met aspecten die betrekking hebben op toeleveringsketens en leveranciers. Dienstverleners en postdiensten moeten aantonen dat ze de richtlijn actief naleven. Veel bedrijven zullen hun contracten en interne beleid moeten aanpassen aan de nieuwe eisen.
Tot slot bepaalt artikel 21 van de richtlijn dat bedrijven zich bij de bevoegde autoriteiten moeten registreren binnen een redelijke termijn nadat ze zijn geïdentificeerd als een essentiële of significante entiteit. Deze vereiste vormt een cruciaal controlemechanisme voor de uitvoering van het Europese cyberbeveiligingsbeleid.
Conclusie
De NIS2-richtlijn is niet simpelweg een bijwerking van de NIS1-richtlijn. Het betekent een paradigmaverschuiving op het gebied van cyberbeveiliging voor bedrijven. Kom meer te weten over de verplichtingen, implementeer best practices en beloof vandaag nog te voldoen aan de NIS2-richtlijn.
Essentiële en belangrijke entiteiten moeten uiterlijk op 18 maart 2025 aan de nieuwe regels voldoen. Door nu te handelen, kunnen ze ervoor zorgen dat ze concurrerend en geloofwaardig blijven in de ogen van hun klanten, partners en investeerders. Het negeren van de richtlijn stelt hen bloot aan boetes en verlies van bedrijfscontinuïteit.
Cyberbeveiliging heeft in België een andere dimensie gekregen: alle bedrijven en leveranciers moeten zich aanpassen. NIS2 verduidelijkt ook de verantwoordelijkheden van managementteams en maakt een einde aan een tijdperk waarin cyberbeveiliging zonder controle kon worden gedelegeerd. Compliance is een kans voor transformatie, geen beperking.
👉 Wilt u beoordelen in hoeverre u voldoet aan de NIS2-normen of wilt u ondersteuning bij het voldoen aan deze normen? Neem nu contact op met Iterates voor ondersteuning op maat.
