Wat is de NIS2-richtlijn en hoe belangrijk wordt dit voor uw bedrijf?

Van NIS1 naar NIS2

De NIS2-richtlijn breidt de cybersecurity-eisen binnen de Europese Unie flink uit. In 2016 stelde de EU NIS1 in om de cybersecurity van aanbieders van essentiële diensten te versterken. Sinds 14 december 2022 verbreedt NIS2 deze eisen naar ook "belangrijke" dienstverleners, naast de partijen die als kritieke infrastructuur gelden.

Wat houdt de NIS2-richtlijn in?

NIS2 fungeert als een toetsingskader voor essentiële en belangrijke dienstverleners op het gebied van cybersecurity — denk aan risicobeheer, penetratietesten, incidentrespons en herstel na schade. De richtlijn is sinds december 2022 van kracht; naleving is verplicht vanaf september 2024. Bij niet-naleving dreigen boetes tot €10 miljoen of 2% van de wereldwijde omzet — het hoogste van de twee bedragen.

Voor wie geldt de richtlijn?

Essentiële dienstverleners (energiebedrijven, openbaar vervoer, zorg) vielen al onder NIS1. Belangrijke dienstverleners — denk aan ICT, zoekmachines, cloud computing, online marktplaatsen, postdiensten en social media — moeten nu ook aan NIS2 voldoen. Via de website van de Rijksoverheid kunt u met een online tool nagaan of dit voor uw organisatie geldt.

De belangrijkste eisen

• Zorgplicht — risicoanalyses, crisisbeheer, ketenbeveiliging, cryptografie en medewerking aan toezicht.
• Monitoring — reactieve monitoring (na een incident) voor belangrijke organisaties; continue, proactieve monitoring voor essentiële organisaties.
• Meldplicht — incidenten moeten in twee fasen binnen 24 uur worden gemeld bij de Rijksinspectie Digitale Infrastructuur.

Hoe bereidt u zich voor?

U kunt uw ICT-beheer uitbesteden aan een specialist die ervaring heeft met het implementeren van NIS2-protocollen, monitoringsystemen en crisismanagement-procedures.