NIS wetgeving: meldplicht voor
cyberincidenten

In mei 2022 is de Europese Commissie akkoord gegaan met hernieuwde en fors aangescherpte wetgeving op het gebied van cybersecurity. Deze wetgeving wordt ook wel de NIS (Network and Informations Systems) directive genoemd. De eerste versie van de NIS-richtlijn is in Nederland in 2018 geïmplementeerd in de Wet beveiliging netwerk- en informatiesystemen (Wbni). Onlangs is dus de tweede versie goedgekeurd (NIS2 directive). Lees hier wat dit voor uw bedrijf mogelijk aan verplichtingen meebrengt.

NIS geldt voor meer sectoren

Met de huidige geldende NIS richtlijn is het ‘slechts’ voor grote ondernemingen in sectoren in de vitale infrastructuur verplicht om specifieke maatregelen te nemen en cyberincidenten te melden. Denk daarbij aan elektriciteitsbedrijven, drinkwatervoorzieningen, telecombedrijven, banken en sommige digitale bedrijven. Met de NIS2 Richtlijn wordt het aantal sectoren fors uitgebreid door de zogenaamde ‘belangrijke aanbieders’ toe te voegen. Dit zijn ondernemingen die actief zijn in bijvoorbeeld de voedselproductie en -distributie, post- en koerierdiensten maar ook overheidsdiensten en platforms voor sociale netwerken.

NIS niet meer enkel voor grote ondernemingen

Daarnaast gaat de wetgeving ook voor middelgrote ondernemingen gelden en voor kleine ondernemingen met een hoog veiligheidsrisicoprofiel. Daarbij komt dat in lijn met bijvoorbeeld de aankomende ESG regelgeving, de toeleveringsketen wordt bekeken. Heeft u dus een kleine onderneming die producten of diensten levert aan een onderneming die wel onder de NIS2 richtlijn valt? Dan geldt de nieuwe wetgeving ook voor u als kleine toeleverancier.

Zorgplicht voor veiligheidsmaatregelen

Bij de essentiële aanbieders (de vitale sectoren) gaat een proactieve toezichtstructuur gelden. Bij de belangrijke aanbieders vindt het toezicht achteraf plaats, als er aanwijzingen zijn dat sprake is van een incident. Maar naast de meldplicht moeten alle aanbieders die onder de herziene richtlijn gaan vallen ook de nodige veiligheidsmaatregelen nemen. Dit is de zogenaamde zorgplicht. Het doel van deze zorgplicht is de beveiliging van toeleveringsketen te verhogen en cyberincidenten op de juiste wijze af te handelen.

De zorgplicht kan onder andere worden vervuld door het implementeren van de volgende basismaatregelen zoals geadviseerd door het Nederlands Cyber Security Centrum (NCSN):

1. Installeer software-updates zodra ze worden aangeboden.
2. Laat elke applicatie en elk systeem voldoende loginformatie genereren.
3. Pas multifactorauthenticatie (2FA) toe.
4. Bepaal de toegang tot (bedrijfs)data en diensten op basis van functies en rollen (role based access control).
5. Segmenteer het bedrijfsnetwerk naar verschillende zones, zodat niet het gehele netwerk in het geheel kan worden ‘platgelegd’.
6. Als apparaten en diensten bereikbaar zijn via het internet, bescherm deze dan met minimaal een firewall, anti-malware oplossingen en een virusscanner.
7. Versleutel opslagmedia met (gevoelige) bedrijfsinformatie. Denk hierbij aan USBsticks, laptops, externe harde schijven of bedrijfstelefoons.
8. Maak regelmatig back-ups van data en systemen en test deze ook.

Voldoen aan diverse richtlijnen

Deze basishygiëne moet vanuit de NIS2 directive aanwezig zijn. Voor zorginstellingen kan hierdoor de plicht ontstaan om te gaan voldoen aan NEN7510. Maar ook voor de kleinere ICT-dienstverlener die voor grotere organisaties het netwerk beheren worden verplicht om bijvoorbeeld aantoonbaar aan ISO27001 te voldoen.

Diverse zaken zijn zeker niet vrijwillig. Met de hernieuwde richtlijn worden ook sancties geïntroduceerd vergelijkbaar met de GDPR regelgeving. Een boete van (maximaal) 2% van de wereldwijde omzet (gemaximeerd op € 10 miljoen).

We adviseren u niet te wachten totdat de regelgeving op 24 mei 2024 in de Nederlandse wet is geïntegreerd. Maar kom direct in actie om de nodige maatregelen te treffen voor zover u dit nog niet heeft gedaan. Uiteraard kunnen wij u hierbij ondersteunen.