Europese cyberwetten: de NIS 2 komt eraan

Waarom is een nieuwe versie van de NIS 2 nodig?

Door de versnelde digitale transformatie is er een sterke stijging in het aantal phishing pogingen, malware en ransomware aanvallen.

Lees ook: negen cyber security cijfers die je organisatie niet kan negeren.

De dreiging is daarmee sterk toegenomen en dat brengt nieuwe uitdagingen met zich mee. Dit vereist een aangepast beleid voor nieuwe cyber dreigingen. Elke onderbreking, zelfs als die zich in eerste instantie beperkt tot een enkele sector, kan een sneeuwbaleffect veroorzaken wat kan resulteren in verstrekkende en langdurige negatieve gevolgen voor de levering van diensten op de hele markt. Daarom heeft de Europese commissie het voorstel geaccepteerd voor moderne “Directive Security of Network and Information Systems” (NIS 2).

Belangrijkste onderdelen van de NIS 2

Het nieuwe voorstel adresseert de tekortkomingen van NIS 1 en past zich aan naar de huidige behoeftes en toekomstige wensen.

1. Er vallen meer sectoren onder NIS 2 gebaseerd op het belang voor de economie en de samenleving. Middelgrote en grote bedrijven in geselecteerde sectoren worden opgenomen in het voorstel. Tegelijkertijd biedt het de lidstaten enige flexibiliteit om kleinere bedrijven met een hoog veiligheidsrisico profiel te identificeren.
2. Het verscherpt de security eisen voor bedrijven door het opleggen van een aanpak voor risicobeheersing, met een lijst van minimale basisbeveiliging elementen die toegepast moeten worden.
3. Er wordt geen onderscheid meer gemaakt tussen exploitanten van essentiële diensten en aanbieders van digitale diensten. Organisaties worden geclassificeerd op basis van hun belang en onderverdeeld in essentiële en belangrijke categorieën, met als gevolg dat ze aan verschillende toezichtregimes worden onderworpen.
4. Van individuele bedrijven wordt vereist dat zij security risico’s in toeleveringsketens en leveranciersrelaties aanpakken.
5. Er komen strengere toezichtmaatregelen voor nationale autoriteiten, strengere handhaving vereisten en harmonisatie van sanctieregelingen en rapportageverplichtingen in de lidstaten.

Wanneer gaat de NIS2 richtlijn gelden in Nederland?

De Europese commissie streeft ernaar dat er in het eerste kwartaal van 2022 een akkoord ligt in Brussel en dat de Europese richtlijnen definitief zijn. Dan is het aan de verschillende Europese landen om de richtlijn binnen 18 maanden uit te voeren. De verwachting is dat Nederlandse organisaties hier in 2022 of 2023 mee te maken krijgen.

Ben jij een essentieel bedrijf of lever je essentiële diensten?

Bedrijven met minder dan 50 medewerkers en minder dan 10 miljoen euro omzet hoeven zich niet druk te maken om de wet. Maar er zijn uitzonderingen. Lever jij essentiële diensten aan consumenten? Dan val je onder het nieuwe voorstel. Dit telt ook voor kleine dienstverleners. Het is op dit moment nog niet helemaal duidelijk wat er precies onder essentieel wordt verstaan. De verwachting is dat internet service providers, kleine fabrieken en bedrijven die te maken hebben met water of energie als essentieel worden gezien.

Wat kan je nu doen om cybercrime te voorkomen?

Met de NIS 2 is het doel vooral om cybercrime te voorkomen. Maar wat kan je nu al doen om jezelf en jouw organisatie te beschermen? Drie tips waar je mee kan beginnen.

1. Security by Design: Denk vanaf het begin al na over de veiligheid. Neem pogingen tot misbruik als vanzelfsprekend en zorg ervoor dat gevolgen minimaal zijn als er kwetsbaarheden zijn. Lees meer over Security by Design in de praktijk.
2. Beperk de toegang met IAM: Met Identity & Access Management (IAM) stel je de identiteit van gebruikers vast en zorg je dat je veilig toegang en rechten verleent. Lees verder: Implementatie van Identity & Access Management.
3. Verklein je attack surface: Hoe kleiner je attack surface, hoe veiliger je in de regel bent. Door te begrijpen en beheren van je attack surface kan je het risico op een aanval verlagen. Zo kan je jouw attack surface verkleinen.

Verbeter jouw cyberdefense met Cyso

Heb je behoefte aan een persoonlijk gesprek over jouw security vraagstuk en wat wij voor je kunnen betekenen? Of je nu op zoek bent naar onafhankelijk advies of implementatie van security maatregelen, wij helpen je. Neem contact met ons op!