Waar gaat het over?
NIS2 is een Europese richtlijn die eisen stelt aan de digitale weerbaarheid van organisaties in sectoren die als belangrijk of essentieel worden gezien. Denk aan energie, vervoer, water, gezondheidszorg, digitale infrastructuur, overheid, post, afvalbeheer en delen van de industrie en voedselvoorziening.
Nederland zet zo'n Europese richtlijn om in eigen wetgeving, in dit geval de Cyberbeveiligingswet. De kern is dat organisaties die eronder vallen passende maatregelen moeten nemen, incidenten moeten melden en dat het bestuur daar verantwoordelijk voor is.
Valt mijn bedrijf er rechtstreeks onder?
Voor de meeste MKB-bedrijven is het antwoord nee. Er gelden twee filters: uw sector en uw omvang. Valt uw sector niet in de aangewezen lijst, dan bent u er niet aan gebonden. En ook binnen die sectoren geldt in de regel een ondergrens qua aantal medewerkers en omzet, waardoor kleine bedrijven vaak buiten de directe verplichting vallen.
Er zijn uitzonderingen, bijvoorbeeld voor organisaties die als enige aanbieder van een bepaalde dienst gelden. Dat is precies waarom een eigen controle nodig blijft en u niet op dit artikel moet afgaan.
Waarom u er tóch mee te maken krijgt
Dit is het deel dat in de praktijk het meeste effect heeft, en waar het in de discussie vaak niet over gaat.
Organisaties die wél onder de regels vallen, moeten ook naar hun leveranciersketen kijken. Zij moeten kunnen aantonen dat de partijen waarvan zij afhankelijk zijn hun zaken op orde hebben. Dat vertalen ze door naar hun leveranciers, in de vorm van vragenlijsten, contractuele eisen en soms audits.
Levert u aan een ziekenhuis, een netbeheerder, een gemeente, een vervoerder of een grote industriële partij? Dan is de kans reëel dat u zo'n vragenlijst krijgt, ongeacht uw eigen omvang. Voor veel MKB-bedrijven is dat het moment waarop dit onderwerp urgent wordt: niet vanwege een boete, maar omdat een opdracht ervan afhangt.
Wat u nu praktisch kunt doen
Het goede nieuws is dat de maatregelen die in zulke vragenlijsten terugkomen, grotendeels samenvallen met wat u sowieso zou moeten regelen. Het is geen aparte lijst met dure maatregelen.
- Tweestapsverificatie voor alle medewerkers. Dit staat in vrijwel elke vragenlijst en is de belangrijkste maatregel.
- Toegangsbeheer op orde. Wie mag bij wat, en gaat toegang automatisch dicht bij uitdiensttreding?
- Een geteste back-up. Niet alleen ingesteld, maar aantoonbaar teruggezet. Zie het artikel over back-ups testen.
- Updates en kwetsbaarhedenbeheer. Worden systemen bijgewerkt, en houdt iemand dat in de gaten?
- Een incidentprocedure. Wie belt wie, wat doet u als eerste, en hoe informeert u klanten. Eén A4 volstaat voor de meeste bedrijven.
- Bewustwording bij medewerkers. Aantoonbaar, dus met een datum en een deelnemerslijst.
- Overzicht van uw eigen leveranciers. Wie levert wat, en wat gebeurt er als zij uitvallen?
- Vastleggen dat u het doet. Dit wordt onderschat. Maatregelen die niet zijn vastgelegd, kunt u niet aantonen, en aantoonbaarheid is waar het in zulke trajecten om draait.
Wat u níet hoeft te doen
Er is een markt ontstaan van partijen die met deze regelgeving angst verkopen. Een paar dingen om nuchter bij te blijven:
- U heeft geen certificering nodig om aan een vragenlijst te voldoen. ISO 27001 is voor de meeste MKB-bedrijven een zware en dure route die zelden wordt geëist.
- U hoeft geen duur beveiligingsplatform aan te schaffen. De genoemde maatregelen zitten grotendeels in software die u al betaalt.
- Laat u niet opjagen met boetebedragen. Die gelden voor organisaties die rechtstreeks onder de wet vallen. Als dat voor u niet geldt, is het argument niet van toepassing.
Als u een vragenlijst krijgt
Lees hem eerst rustig door en kijk wat er werkelijk gevraagd wordt. In mijn ervaring is tachtig procent van zo'n lijst met ja te beantwoorden zodra de basis op orde is, en gaat de resterende twintig procent over vastleggen in plaats van over techniek.
Antwoord eerlijk. "Nog niet, gepland voor het tweede kwartaal" is een beter antwoord dan een ja die bij navraag niet klopt. Opdrachtgevers accepteren een plan met een datum vrijwel altijd; wat ze niet accepteren is een verrassing achteraf.