NIS2-vereisten: Gids voor naleving & checklist voor gereedheid

NIS2-vereisten bestrijken 18 kritieke sectoren in de hele EU en verplichten risicobeheersmaatregelen, gefaseerde incidentrapportage en persoonlijke aansprakelijkheid van bestuursleden bij niet-naleving.

Wat is NIS2?

De NIS2-richtlijn is de basiswetgeving van de Europese Unie op het gebied van cyberbeveiliging voor organisaties in kritieke en belangrijke sectoren. Als u actief bent in of diensten verleent aan de EU, is NIS2 nu uw beveiligingsbasislijn, en zelfs als uw lidstaat nog bezig is met de inhaalslag, zou u nu al moeten werken volgens de basislijn van de richtlijn.

Die urgentie is niet theoretisch. In 2021 werd Colonial Pipeline gedwongen de activiteiten stil te leggen na een ransomware-aanval, waarbij uit een DOJ-publicatie bleek dat het bedrijf ongeveer $4.4 million aan losgeld betaalde. NIS2 is ontworpen voor dit soort verstoringen: het formaliseert verwachtingen rond risicobeheer, dwingt snelle rapportage af en maakt tekortkomingen in governance tot een probleem op bestuursniveau.

NIS2 trad in oktober 2024 in werking en verving de oorspronkelijke NIS-richtlijn (2016/1148), waarbij de NIS2-pagina van de Europese Commissie deze beschrijft als het verhogen van "het gemeenschappelijke ambitieniveau van de EU op het gebied van cyberbeveiliging, door een bredere reikwijdte, duidelijkere regels en sterkere toezichtsinstrumenten." In de praktijk breidt NIS2 de gedekte sectoren uit, introduceert het verplichte termijnen voor incidentrapportage en creëert het persoonlijke verantwoordelijkheid voor het senior management.

Om te begrijpen waarom die veranderingen belangrijk zijn voor uw beveiligingsprogramma, helpt het om te kijken naar wat NIS2 specifiek vereist.

Wat zijn de NIS2-vereisten?

NIS2-vereisten zijn de verplichte cyberbeveiligingsverplichtingen die zijn vastgesteld onder de NIS2-richtlijn (Richtlijn 2022/2555) voor organisaties die actief zijn in kritieke en belangrijke sectoren in de hele EU. 

Ze omvatten risicobeheersmaatregelen onder artikel 21, verplichtingen voor incidentrapportage onder artikel 23 en governance-verantwoordelijkheid onder artikel 20. Samen creëren deze vereisten een bindende beveiligingsbasislijn die van toepassing is op duizenden entiteiten in achttien sectoren.

Waarom zijn NIS2-vereisten belangrijk voor cyberbeveiliging?

IT-incidenten worden sneller bedrijfscrises dan de meeste balansen kunnen opvangen. NotPetya bewees dat in 2017. Merck maakte later ongeveer $870 million aan gerelateerde kosten bekend in een Merck SEC filing. NIS2 bestaat om te voorkomen dat dit uw verhaal wordt.  U moet governance, paraatheid voor respons en effectiviteit van beheersmaatregelen kunnen aantonen, en auditors zullen zoeken naar gedocumenteerd bewijs, niet naar screenshots van configuraties.

NIS2 is geen afvinkoefening. Het schrijft specifieke maatregelen voor cybersecurity risk-management voor, vereist gestructureerde incidentrapportage binnen strakke deadlines en houdt uw bestuur persoonlijk verantwoordelijk voor tekortkomingen in het toezicht.

De richtlijn introduceert ook een classificatie met twee niveaus. Essentiële entiteiten krijgen te maken met proactief (ex-ante) toezicht met audits en inspecties. Belangrijke entiteiten krijgen te maken met reactief (ex-post) toezicht dat wordt geactiveerd door bewijs van niet-naleving. Beide niveaus krijgen te maken met aanzienlijke financiële sancties en aansprakelijkheid van het management.

Wat is er veranderd van NIS1 naar NIS2?

Als uw organisatie onder de oorspronkelijke NIS-richtlijn viel, is de kloof tussen de twee kaders aanzienlijk. NIS2 is geen kleine herziening. Het herstructureert verplichtingen op het gebied van reikwijdte, handhaving, governance en rapportage.

• De reikwijdte is drastisch uitgebreid. De oorspronkelijke richtlijn omvatte zeven sectoren: energie, vervoer, bankwezen, infrastructuur van de financiële markt, gezondheidszorg, drinkwater en digitale infrastructuur. NIS2 breidt dit uit naar achttien sectoren, met toevoeging van afvalwater, ruimtevaart, beheer van ICT-diensten, openbaar bestuur, postdiensten, afvalbeheer, chemicaliën, voedselproductie, productie en onderzoek. De Europese Commissie schat dat NIS2 nu tienduizenden entiteiten in de hele EU omvat, vergeleken met enkele honderden onder NIS1.
• Incidentrapportage is nu geharmoniseerd. Onder NIS1 stelden lidstaten hun eigen rapportagedeadlines en criteria vast, wat leidde tot inconsistentie over de grenzen heen. NIS2 standaardiseert het proces in drie fasen: Early Warning binnen 24 uur, Incident Notification binnen 72 uur en Final Report binnen één maand, uniform toegepast in de hele EU.
• Verantwoordelijkheid van het management is nieuw. NIS1 legde beveiligingsverplichtingen op aan organisaties. NIS2 voegt persoonlijke aansprakelijkheid voor senior management toe onder artikel 20, inclusief de mogelijkheid voor autoriteiten om bestuurders tijdelijk te verbieden leidinggevende functies uit te oefenen na een ernstige inbreuk.
• Verplichtingen rond de toeleveringsketen zijn nieuw. NIS1 kende geen gestructureerde vereisten voor beveiliging van de toeleveringsketen. Artikel 21 vereist nu dat u de security posture van uw leveranciers beoordeelt, hun eigen afhankelijkheden en hen contractueel bindt aan uw NIS2-vereisten.
• Sancties zijn aanzienlijk verhoogd. NIS1 liet de hoogte van sancties over aan nationale discretie, wat leidde tot grote variatie. NIS2 stelt EU-brede minimumplafonds vast: tot €10 miljoen of 2% van de wereldwijde omzet voor belangrijke entiteiten, en tot €7 miljoen of 1.4% van de wereldwijde omzet voor essentiële entiteiten, afhankelijk van welk bedrag in beide gevallen hoger is. Zie voor de volledige uitsplitsing van sancties de NIS2-FAQ van de Commissie.

De eerste vraag is dus niet hoe u moet voldoen. Het is of u überhaupt binnen de reikwijdte valt.

Op wie is NIS2 van toepassing?

De reikwijdte van NIS2 hangt af van sector, omvang en dienstverleningsrol. De richtlijn gebruikt twee bijlagen om entiteiten te classificeren, en omvangsdrempels om te bepalen of zij standaard binnen de reikwijdte vallen.

• Essentiële entiteiten (Bijlage I) zijn actief in zeer kritieke sectoren: energie (elektriciteit, olie, gas, waterstof, stadsverwarming), vervoer (lucht, spoor, water, weg), bankwezen en infrastructuur van de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur (DNS-providers, TLD-registers, cloudproviders, datacenters, CDNs, vertrouwensdienstverleners, elektronische communicatienetwerken), beheer van ICT-diensten (managed service providers en managed security service providers), openbaar bestuur en ruimtevaart.
• Belangrijke entiteiten (Bijlage II) zijn actief in andere kritieke sectoren: post- en koeriersdiensten, afvalbeheer, productie en distributie van chemicaliën, voedselproductie en -distributie, productie van medische hulpmiddelen, computers, elektronica, machines, motorvoertuigen en andere transportmiddelen, digitale aanbieders (online marktplaatsen, online zoekmachines, sociale netwerken) en onderzoeksorganisaties.
• Omvangsdrempels zijn in de meeste gevallen van toepassing. Organisaties met 50 of meer werknemers of €10 miljoen of meer jaaromzet die actief zijn in een gedekte sector vallen standaard binnen de reikwijdte. Middelgrote en grote ondernemingen hebben over het algemeen geen automatische vrijstelling. Kleinere organisaties kunnen echter nog steeds als essentieel of belangrijk worden aangewezen als zij de enige aanbieder zijn van een kritieke dienst in hun lidstaat, als hun verstoring een aanzienlijke grensoverschrijdende impact zou hebben, of als een nationale autoriteit vaststelt dat zij een systeemrisico vormen. Zie de NCSC Ireland NIS2 FAQ voor een praktische uitleg van de omvangscriteria.
• Niet-EU-organisaties zijn niet automatisch vrijgesteld. Als u diensten levert binnen de reikwijdte in de EU, zelfs als uw hoofdkantoor daarbuiten is gevestigd, moet u mogelijk een vertegenwoordiger aanwijzen in een lidstaat en voldoen aan de nationale omzettingswet van die staat voor NIS2. Bevestig uw positie bij uw relevante nationale bevoegde autoriteit.

Wanneer reikwijdte en classificatie zijn vastgesteld, begint het echte werk. Dit is wat NIS2 van u vereist.

Belangrijkste NIS2-beveiligingsvereisten

NIS2-vereisten vallen uiteen in drie kernpijlers: verplichte beveiligingsmaatregelen, incidentrapportage en handhaving. Elk daarvan heeft direct invloed op hoe u uw beveiligingsprogramma structureert.

Verplichte beveiligingsmaatregelen (Artikel 21)

Elke entiteit die onder de richtlijn valt, moet cyberbeveiligingsmaatregelen voor risicobeheer implementeren die evenredig zijn aan haar risicoblootstelling, omvang en maatschappelijke impact. De vereisten van artikel 21 groeperen zich in enkele operationele thema’s:

• Governance en assurance: Risicoanalyse, beveiligingsbeleid en voortdurende beoordeling van de effectiviteit zodat u kunt aantonen dat beheersmaatregelen werken, met bewijs dat toezichthouders kunnen beoordelen.
• Operationele weerbaarheid: Incidentafhandeling en bedrijfscontinuïteit, inclusief back-up en disaster recovery, afgestemd op uw incident response-proces.
• Veilige engineering en communicatie: Beveiliging bij systeemverwerving, ontwikkeling en onderhoud, plus beleid voor cryptografie en encryptie en veilige communicatie.
• Mensen, toegang en derden: Basishygiëne op cybergebied en training (inclusief management), toegangsbeheer en assetmanagement, leveranciersbeveiliging (inclusief blootstelling aan supply chain attacks) en sterke authenticatie zoals multi-factor authentication.

Deze maatregelen zijn bewust breed geformuleerd. NIS2 schrijft geen specifieke technologieën voor, alleen evenredige uitkomsten, maar wie verantwoordelijk is voor het behalen daarvan wordt niet aan interpretatie overgelaten.

Verantwoordelijkheid van het management (Artikel 20)

Uw bestuursorgaan moet cyberbeveiligingsmaatregelen goedkeuren, toezicht houden op de implementatie ervan en cybersecurity training volgen. Deze taken kunnen niet worden gedelegeerd. Volgens de NIS2-analyse van DLA Piper kan senior management "persoonlijk aansprakelijk worden gehouden voor schendingen van zijn verplichtingen onder de richtlijn."

Dat is het “wat”. De volgende secties behandelen het “hoe”: incidentrapportage, governance, verplichtingen rond de toeleveringsketen en handhaving.

Vereisten voor incidentrapportage onder NIS2

Artikel 23 stelt een verplicht rapportageproces in drie fasen vast, waarbij de klok begint te lopen wanneer u zich bewust wordt van een incident, niet wanneer het incident plaatsvond.

• Fase 1: Early Warning. Binnen één dag dient u een initiële classificatie in, geeft u aan of het incident lijkt voort te komen uit onrechtmatige of kwaadwillige handelingen, beoordeelt u de mogelijke grensoverschrijdende impact en verstrekt u contactgegevens voor coördinatie.
• Fase 2: Incident Notification. Binnen drie dagen verstrekt u een bijgewerkte analyse van ernst en impact, indicators of compromise (IoCs) waar beschikbaar, getroffen systemen en diensten, en de identificatiemethode en tijdstempel.
• Fase 3: Final Report. Binnen één maand levert u een analyse van de hoofdoorzaak, een beschrijving van toegepaste en lopende responsmaatregelen en een beoordeling van de grensoverschrijdende impact.

Een "significant incident" onder artikel 23(3) is een incident dat ernstige operationele verstoring, financieel verlies of materiële of immateriële verliezen voor andere personen heeft veroorzaakt of kan veroorzaken. De drempel "kan veroorzaken" betekent dat u potentiële impact moet beoordelen, niet alleen bevestigde schade. Het missen van een fase in deze rapportageketen stelt u bloot aan toezichtmaatregelen.

Rapportageverplichtingen bepalen wat u na een incident moet communiceren. De governance-vereisten hieronder definiëren wie verantwoordelijk is voor het in de eerste plaats voorkomen van die incidenten.

Governance- en verantwoordingsvereisten

Artikel 20 legt cyberbeveiligingsgovernance rechtstreeks bij uw bestuursorgaan. Bestuursleden en senior executives moeten de cyberbeveiligingsmaatregelen voor risicobeheer van uw organisatie goedkeuren en actief toezicht houden op de implementatie ervan. Deze verantwoordelijkheden zijn persoonlijk en kunnen niet worden gedelegeerd.

1. Verplichte managementtraining. Elk lid van uw bestuursorgaan moet cyberbeveiligingstraining volgen. Artikel 20(2) bepaalt dat de training voldoende moet zijn om risico’s te identificeren, praktijken voor cyberbeveiligingsrisicobeheer te evalueren en hun impact op de diensten die uw organisatie levert te beoordelen. Dit is geen eenmalige onboardingvereiste. Training moet gelijke tred houden met uw veranderende risicoprofiel, en toezichthouders kunnen tijdens audits controleren of de voltooiingsregistraties aanwezig zijn.
2. Persoonlijke aansprakelijkheid voor tekortkomingen in toezicht. Als een cybersecurity incident terug te voeren is op onvoldoende governance, kunnen nationale autoriteiten individuele bestuurders verantwoordelijk houden. Sancties omvatten administratieve boetes, openbare bekendmaking van de inbreuk en, voor essentiële entiteiten, een tijdelijk verbod op het uitoefenen van leidinggevende functies. Hogan Lovells merkt op dat NIS2 "cyberweerbaarheid verheft tot een kwestie van corporate governance en persoonlijke verantwoordelijkheid op bestuursniveau."
3. Gedocumenteerd bewijs van toezicht. Een beveiligingsprogramma dat volledig binnen uw IT-afdeling draait, zonder zichtbaar governance-spoor op directie- of bestuursniveau, zal een auditor niet tevredenstellen. Toezichthouders verwachten het volgende te zien:

• Door het bestuur goedgekeurd beveiligingsbeleid met genoemde ondertekenaars en goedkeuringsdata
• Gedocumenteerde beslissingen over risicobehandeling die laten zien hoe restrisico’s zijn geaccepteerd of aangepakt
• Registraties van regelmatige beoordelingscycli die aantonen dat beleid wordt bijgewerkt en niet statisch is
• Beslissingen over toewijzing van middelen die budget en personeelsbezetting koppelen aan geïdentificeerde risico’s

Koppel elk van deze artefacten aan genoemde personen en data. Als u dit bewijs niet op verzoek kunt overleggen, zijn uw beheersmaatregelen in feite niet gedocumenteerd.

Governance-verantwoordelijkheid legt de interne verantwoordelijkheidsketen vast. NIS2 breidt die verantwoordelijkheid naar buiten uit via vereisten voor beveiliging van de toeleveringsketen.

NIS2-vereisten voor beveiliging van de toeleveringsketen

Artikel 21(2)(d) vereist dat u beveiligingsrisico’s in uw toeleveringsketen beoordeelt en beheert, inclusief uw directe leveranciers en dienstverleners. NIS2 behandelt risico van derden als uw risico: als een zwakte bij een leverancier een inbreuk in uw omgeving veroorzaakt, blijft de nalevingsverplichting bij u liggen.

Criteria voor leveranciersbeoordeling. Uw evaluatie moet verder gaan dan oppervlakkige vragenlijsten. NIS2 verwacht dat u rekening houdt met de specifieke kwetsbaarheden van elke leverancier, hun algehele productkwaliteit en cybersecurity practices, de rechtsgebieden waarin zij actief zijn en de eigen afhankelijkheden van de leverancier in de toeleveringsketen. 

Contractuele beveiligingsvereisten. Leveranciersovereenkomsten moeten beveiligingsclausules bevatten die zijn afgestemd op NIS2. Contracten moeten minimaal het volgende omvatten:

• Verplichtingen voor incidentmelding zodat u uw eigen rapportagedeadlines kunt halen
• Auditrechten waarmee u de beveiligingsmaatregelen van leveranciers kunt verifiëren
• Service level agreements gekoppeld aan beveiligingsprestaties
• Beëindigingsclausules voor aanhoudende niet-naleving

Deze clausules zetten uw nalevingsverwachtingen om in afdwingbare verplichtingen in plaats van informele afspraken.

Softwaretransparantie. Houd voor kritieke softwarecomponenten software bills of materials (SBOMs) bij die de componenten en afhankelijkheden documenteren binnen de software die uw leveranciers leveren. SBOMs geven u inzicht in kwetsbaarheden die na implementatie aan het licht komen en ondersteunen een snellere impactbeoordeling tijdens incidenten.

Diversificatie en continuïteit. NIS2 verwacht ook dat u concentratierisico beoordeelt. Als het falen van één leverancier een kritieke dienst kan uitschakelen, documenteer dan uw continuïteitsplan en identificeer waar haalbaar alternatieve aanbieders. Het doel is weerbaarheid, niet alleen naleving.

Verplichtingen rond de toeleveringsketen definiëren de externe perimeter van uw nalevingsprogramma. De handhavingsmechanismen hieronder bepalen wat er gebeurt wanneer enig onderdeel van dat programma tekortschiet.

NIS2-handhavings- en sanctievereisten

NIS2 draait niet op goede bedoelingen. Het dwingt naleving af via toezichtsbevoegdheden, financiële sancties en persoonlijke aansprakelijkheid.

Toezichtsbevoegdheden

Essentiële entiteiten krijgen te maken met proactief toezicht onder artikel 32. Autoriteiten kunnen inspecties ter plaatse, willekeurige en ad-hocaudits, beveiligingsscans en bewijsverzoeken uitvoeren. Zij kunnen ook bindende instructies geven, openbare bekendmaking van inbreuken bevelen en CEO’s of wettelijke vertegenwoordigers tijdelijk verbieden leidinggevende functies uit te oefenen.

Belangrijke entiteiten krijgen te maken met reactief toezicht onder artikel 33, geactiveerd door bewijs of aanwijzingen van niet-naleving. Zij vallen onder dezelfde sanctiestructuren maar worden niet blootgesteld aan proactieve willekeurige audits. In beide gevallen zijn de financiële gevolgen aanzienlijk.

Sanctiestructuren

NIS2-sancties worden berekend op basis van een vast maximum of een percentage van de wereldwijde omzet, afhankelijk van welk bedrag hoger is, met hogere plafonds voor essentiële entiteiten dan voor belangrijke entiteiten. Zie voor de volledige duiding van sancties door de Commissie de NIS2-FAQ van de Commissie.

Aansprakelijkheid van het management gaat verder dan boetes. Hogan Lovells merkt op dat NIS2 "cyberweerbaarheid verheft tot een kwestie van corporate governance en persoonlijke verantwoordelijkheid op bestuursniveau."

Nog geen enkele autoriteit heeft openbare NIS2-handhavingszaken gemeld, maar de tekst van de richtlijn maakt de verwachte norm en toezichtsinstrumenten duidelijk. Dat kader begrijpen is op zichzelf niet genoeg. De manieren waarop de meeste organisaties tekortschieten zijn voorspelbaar, en stuk voor stuk vermijdbaar.

Veelvoorkomende uitdagingen bij het voldoen aan NIS2-vereisten

De richtlijn leest duidelijk genoeg. De implementatie is waar organisaties struikelen. Dit zijn de misstappen die essentiële en belangrijke entiteiten het vaakst opbreken, en geen enkele daarvan is moeilijk te vermijden.

• NIS2 behandelen als een uitsluitend technische oefening. NIS2 vereist organisatorische verandering. Artikel 20 vereist goedkeuring door het bestuur, managementtraining en gedocumenteerde verantwoordelijkheid. Toezichthouders zullen zoeken naar governance-bewijs over al deze dimensies heen.
• Eenmalige risicobeoordelingen uitvoeren. Eén enkele risicobeoordeling is in strijd met de vereiste van voortdurende effectiviteitsbeoordeling onder artikel 21. U hebt doorlopende risicobeoordelingen nodig op uw governance-agenda met regelmatige tussenpozen, met gedocumenteerde updates van plannen voor risicobehandeling.
• Due diligence in de toeleveringsketen stoppen bij directe leveranciers. NIS2 vereist dat u de eigen afhankelijkheden van uw leveranciers in de toeleveringsketen evalueert, waardoor verplichtingen rond fourth-party risk ontstaan. Volgens de implementatierichtlijn van ENISA blijven "risico’s voor door derden geleverde netwerk- en informatiesystemen… de verantwoordelijkheid van de entiteit zelf."
• Onvoldoende documentatie bijhouden. Beheersmaatregelen die bestaan maar tijdens een audit niet kunnen worden aangetoond, zijn in feite niet-bestaand. Koppel elk item in het risicoregister aan beheersmaatregelen, toewijzingen en bewijs. Bereid een auditklare nalevingsnarratief voor voordat toezichthouders erom vragen.
• Het rapportagevenster van één dag onderschatten. De Early Warning vereist indiening voordat de volledige impactbeoordeling is afgerond. Als uw incidentresponsworkflows de significantie niet snel na bewustwording kunnen classificeren, mist u de deadline of dient u onjuiste informatie in, wat beide leidt tot blootstelling aan toezicht.

De meeste van deze fouten hebben dezelfde hoofdoorzaak: NIS2 behandelen als een project in plaats van als een programma. De checklist hieronder geeft u een gestructureerde manier om het als dat laatste op te bouwen.

Checklist voor implementatie van NIS2-vereisten

Deze checklist in acht fasen is afgeleid van de implementatierichtlijn van ENISA.

Fase 1: Reikwijdte en gap-analyse

• Bepaal uw entiteitsclassificatie (essentieel of belangrijk) met behulp van Bijlagen I en II
• Bereken het aantal werknemers met Annual Work Units, niet met een eenvoudige personeelsstand
• Breng alle dochterondernemingen en bedrijfseenheden in kaart ten opzichte van de gedekte sectoren van NIS2
• Beoordeel uw huidige posture ten opzichte van de vereisten van artikel 21
• Documenteer de onderbouwing van uw scopebepaling

Fase 2: Governance- en beleidskader

• Wijs verantwoordelijkheid voor cyberbeveiliging op bestuursniveau toe met gedocumenteerde verantwoordelijkheid
• Stel regelmatige rapportagemechanismen aan senior management in
• Maak of actualiseer uw informatiebeveiligingsbeleid in lijn met artikel 21
• Ontwikkel incidentresponsprocedures die voldoen aan de termijnen van artikel 23
• Documenteer formele goedkeuring door het bestuur van cyberbeveiligingsmaatregelen voor risicobeheer

Fase 3: Implementatie van technische beheersmaatregelen

• Implementeer toegangscontroles volgens het least privilege-principe
• Implementeer multi-factor authentication (MFA) of continue authenticatie in kritieke systemen
• Implementeer encryptie voor gevoelige data in rust en tijdens transport
• Stel continue beveiligingsmonitoring in voor alle kritieke systemen
• Onderhoud audittrails die beveiligingsbeslissingen koppelen aan risicobeoordelingen

Fase 4: Beveiliging van de toeleveringsketen

• Maak een inventaris van alle directe leveranciers en dienstverleners
• Beoordeel leveranciers aan de hand van NIS2-evaluatiecriteria (jurisdictie, naleving, eigendom, continuïteit, diversificatie)
• Evalueer de eigen afhankelijkheden van leveranciers in de toeleveringsketen
• Werk contracten bij om NIS2-beveiligingsvereisten en SLA’s op te nemen
• Neem incidentmelding, auditrechten en beëindigingsclausules op in leveranciersovereenkomsten
• Onderhoud software bills of materials (SBOMs) voor kritieke softwarecomponenten

Fase 5: Training en bewustwording

• Bied NIS2-training aan bestuursleden over verplichtingen onder artikel 20 en persoonlijke aansprakelijkheid
• Rol op rollen gebaseerde bewustwordingsprogramma’s uit voor alle werknemers

Fase 6: Voorbereiding op incidentrespons

• Stel capaciteit in voor initiële melding binnen één dag
• Leg vooraf relaties vast met uw nationale Computer Security Incident Response Team (CSIRT)
• Bereid sjablonen voor voor alle drie meldingsfasen
• Test procedures regelmatig met tabletop-oefeningen

Fase 7: Continue monitoring en verbetering

• Voer periodieke interne audits uit met gekwalificeerd personeel
• Koppel elke regel in het risicoregister aan beheersmaatregelen, toewijzingen en bewijs
• Monitor threat intelligence-feeds en werk risicobeoordelingen dienovereenkomstig bij

Fase 8: Overwegingen voor OT-omgevingen (indien van toepassing)

• Definieer afzonderlijke cybergovernance voor OT-assets
• Implementeer netwerksegmentatie tussen IT- en OT-omgevingen
• Neem NIS2-nalevingsclausules op in contracten met OT-leveranciers

Door elke fase systematisch te doorlopen, bouwt u een conforme basis op. De onderstaande praktijken helpen u die in de loop van de tijd in stand te houden.

Best practices voor het voldoen aan NIS2-vereisten

• Stem eerst af op bestaande kaders. Als u al ISO 27001- of NIST CSF-beheersmaatregelen onderhoudt, koppel deze dan aan de vereisten van artikel 21 van NIS2. De overlap is aanzienlijk. Gap-analyse gaat sneller vanuit een bestaande basislijn dan vanaf een blanco pagina.
• Bouw uw workflow voor incidentrapportage voordat u die nodig hebt. Identificeer nu uw nationale bevoegde autoriteit en CSIRT. Stel vooraf sjablonen op voor alle drie rapportagefasen en voer tabletop-oefeningen uit om snelle classificatie en indiening te testen.
• Gebruik aansprakelijkheid van het management als strategische hefboom. De bepalingen over persoonlijke verantwoordelijkheid in artikel 20 creëren urgentie op bestuursniveau. Presenteer uw nalevingsroadmap in termen van risk exposure: kwantificeer wat niet-naleving kost versus wat uw beveiligingsprogramma vereist. Het bestuur kan de goedkeuring van cyberbeveiligingsmaatregelen onder artikel 20 niet delegeren. Dat ene wettelijke feit is vaak uw sterkste instrument om budget en prioriteit te verkrijgen.

Deze praktijken schalen alleen met tooling die gelijke tred houdt met de eisen van NIS2 voor continue monitoring. Daar verdient het juiste platform zijn plaats, met ingebouwde audittrails in plaats van achteraf toegevoegde.

Hoe SentinelOne NIS2-vereisten ondersteunt

NIS2 vraagt drie dingen van u, zonder onderbreking: continu monitoren, incidenten snel classificeren en aantonen dat uw beheersmaatregelen daadwerkelijk werken. Handmatige inspanning verspreid over tientallen niet-gekoppelde tools kan dat tempo niet bijhouden. SentinelOne’s SingularityTM Platform consolideert endpoint-, identiteits- en cloudbeveiliging in één console en biedt u realtime zichtbaarheid en autonome responsmogelijkheden die direct aansluiten op uw NIS2-verplichtingen.

• Continue monitoring en effectiviteitsbeoordeling (Artikel 21). Het Singularity Platform draait altijd actieve Behavioral AI op elke agent. Het detecteert dreigingen op basis van gedrag, nog voordat er een signature bestaat. 
• Incidentafhandeling en rapportage (Artikelen 21 en 23). Storyline-technologie voegt telemetrie van endpoints, cloudworkloads en identiteit samen tot één aanvalstijdlijn. Wanneer zich een significant incident voordoet, beschikt u al over de forensische context, IoCs en impactbewijzen die uw Early Warning nodig heeft. Geen gehaast meer over een dozijn dashboards.
• Snellere onderzoeken (Artikel 21). Purple AI zet vragen in gewone taal om in antwoorden uit uw telemetrie en stelt het onderzoeksnarratief voor u op. Vroege gebruikers melden tot 80% snellere dreigingsonderzoeken, wat belangrijk is wanneer u snel moet gaan van "we hebben iets gezien" naar een onderbouwde classificatie voor toezichthouders.
• Toezicht op identiteit (Artikel 21). Singularity Identity stopt identiteitsgestuurde aanvallen voordat ze uitgroeien tot de storing die de krantenkoppen haalt. Het dekt toegangsbeheer, account hygiene en incidentbeperking.
• Bedrijfscontinuïteit en herstel (Artikel 21). De 1-Click rollback van SentinelOne draait ransomware-encryptie terug en herstelt endpoints naar een toestand van vóór infectie, ter ondersteuning van hersteldoelstellingen zonder uitsluitend te vertrouwen op workflows voor back-upherstel.

Boek een SentinelOne-demo om te zien hoe elke mogelijkheid aansluit op uw NIS2-programma, beheersmaatregel voor beheersmaatregel.

Belangrijkste punten

NIS2 is nu van kracht, ongeacht in welk stadium de omzetting door uw lidstaat zich bevindt. Het stelt gedefinieerde beveiligingsmaatregelen vast onder artikel 21, dwingt snelle, gefaseerde incidentrapportage af en legt persoonlijke verantwoordelijkheid bij senior management. 

Essentiële entiteiten dragen het extra gewicht van proactief toezicht, inclusief audits en inspecties. Niets hiervan laat zich afdoen met een eenmalig certificaat. Naleving is continu: monitoring, beoordeling van de toeleveringsketen en gedocumenteerde governance, actueel gehouden. Richt het in als een programma, en het wordt een voordeel.

Veelgestelde vragen

Wat is NIS2?

NIS2 (Richtlijn netwerk- en informatiebeveiliging 2) is een EU-verordening die cyberbeveiligingsvereisten vaststelt voor organisaties die actief zijn in kritieke sectoren zoals energie, vervoer, gezondheidszorg en digitale infrastructuur. 

Deze verving de oorspronkelijke NIS-richtlijn in oktober 2024, breidde de reikwijdte van de betrokken entiteiten uit, introduceerde verplichte termijnen voor incidentmelding en creëerde persoonlijke aansprakelijkheid voor het senior management. Organisaties moeten gedefinieerde risicobeheersmaatregelen implementeren op grond van artikel 21 en significante incidenten binnen 24 uur nadat zij daarvan op de hoogte zijn geraakt melden.

Wanneer zijn NIS2-vereisten van toepassing?

De NIS2-vereisten werden van toepassing op 17 oktober 2024, toen de omzettingstermijn van de richtlijn voor alle EU-lidstaten verstreek. Zelfs waar nationale omzettingswetgeving nog wordt afgerond, is de basislijn van de richtlijn vastgesteld en verwachten toezichthouders dat onder de richtlijn vallende entiteiten hun beveiligingsprogramma's dienovereenkomstig afstemmen. 

Organisaties die binnen de reikwijdte vallen, zouden Artikel 21 risicobeheer maatregelen al moeten implementeren, rapportagecapaciteiten voor Artikel 23 moeten opbouwen en governancebeslissingen onder Artikel 20 moeten documenteren.

Wat zijn de belangrijkste vereisten van NIS2?

NIS2 verplicht drie categorieën van verplichtingen voor onder de richtlijn vallende entiteiten:

1. Evenredige maatregelen voor cybersecurity-risicobeheer die risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, toegangscontrole, encryptie en voortdurende beoordeling van de effectiviteit omvatten (Artikel 21). 
2. Gefaseerde incidentmelding: een Vroegtijdige Waarschuwing binnen 24 uur, een Incidentmelding binnen 72 uur en een Eindrapport binnen één maand (Artikel 23).
3. Bestuursorganen moeten cybersecuritymaatregelen goedkeuren, erop toezien en hiervoor worden opgeleid, met persoonlijke aansprakelijkheid bij tekortkomingen in het toezicht (Artikel 20).

Is NIS2 van toepassing op organisaties buiten de EU?

Ja, als u diensten verleent in de EU, kunt u binnen de reikwijdte vallen, zelfs als uw hoofdkantoor elders is gevestigd. Van belang is of u opereert of onder de regeling vallende diensten levert in een lidstaat en voldoet aan de sector- en omvangscriteria, inclusief bepaalde leveranciersrollen. 

Als u het niet zeker weet, documenteer dan uw aannames over de afbakening en bevestig de verwachtingen met de nationale bevoegde autoriteit waar u de dienst levert.

Hoe verschilt NIS2 van de AVG bij incidentrapportage?

NIS2 gebruikt een gefaseerd kader dat is gericht op operationele verstoring en impact op diensten. GDPR vereist melding van inbreuken op persoonsgegevens aan uw Gegevensbeschermingsautoriteit binnen een afzonderlijke termijn. 

Als een incident zowel verstoring van diensten als blootstelling van persoonsgegevens omvat, moet u beide meldingsstromen coördineren, uw feiten consistent houden en bewijsmateriaal bewaren zodat u uw incidentclassificatie onder elk regime kunt rechtvaardigen.

Wat gebeurt er als mijn lidstaat NIS2 nog niet heeft omgezet?

U moet niet wachten. De basislijn van de richtlijn is al bekend en toezichthouders verwachten dat onder de regeling vallende entiteiten zich voorbereiden terwijl nationale wetgeving en richtsnoeren worden afgerond. Volg conceptwetgeving in uw lidstaat, stem uw beheersmaatregelen af op de tekst van de richtlijn en houd een wijzigingslogboek bij van wat u hebt geïmplementeerd en waarom. 

Met die documentatie kunt u aantonen dat u te goeder trouw governance hebt gevoerd als vereisten tijdens de omzetting enigszins veranderen.

Kunnen kleine bedrijven onder NIS2-vereisten vallen?

Over het algemeen vallen kleinere organisaties buiten de standaarddrempels voor omvang. Nationale autoriteiten kunnen echter kleinere entiteiten opnemen als zij de enige aanbieders van een essentiële dienst zijn of als hun verstoring aanzienlijke grensoverschrijdende impact zou veroorzaken. 

Organisaties onder de drempels die entiteiten binnen de reikwijdte beleveren, kunnen ook indirecte nalevingsdruk ondervinden via contractuele verplichtingen en leveranciersbeoordelingen.

Hoe verhoudt NIS2 zich tot de DORA-verordening voor financiële entiteiten?

DORA is van toepassing als sectorspecifieke wetgeving voor veel financiële entiteiten en omvat eigen vereisten voor incidentclassificatie en rapportage. 

Als u onder beide regimes valt, bouw dan één geïntegreerde workflow die de rapportagetriggers, deadlines en gegevensvelden van elk kader in kaart brengt. In de praktijk werkt u doorgaans volgens de striktste tijdlijn en stemt u de inhoud van elke indiening af op de ontvangende autoriteit.

Wat is het verschil tussen NIS2-vereisten en NIS1?

NIS2 breidt de oorspronkelijke NIS-richtlijn aanzienlijk uit op het gebied van reikwijdte, handhaving, governance en rapportage. NIS1 omvatte zeven sectoren; NIS2 omvat er achttien. NIS1 stond lidstaten toe hun eigen rapportagetermijnen vast te stellen; NIS2 harmoniseert een proces in drie fasen in de hele EU. 

NIS2 introduceert ook persoonlijke aansprakelijkheid van het management op grond van artikel 20, verplichte beveiligingsbeoordelingen van de toeleveringsketen en EU-brede minimale boetemaxima tot €10 miljoen of 2% van de wereldwijde omzet. NIS1 kende geen van deze bepalingen.