Per 17 oktober is de nieuwe Europese cybersecuritywetgeving NIS2 ingegaan, voor Nederland is het ingangsmoment uitgesteld tot het derde kwartaal van 2025. Deze nieuwe wetgeving raakt mogelijk ook jouw netwerk. Hoe zit dat precies, wat kan je zelf doen en wat doet Wentzo? Dat ontdek je in deze blog.
Wat is de NIS2?
NIS staat voor Network and Information Security Directive. Het is een Europese richtlijn die ervoor moet zorgen dat organisaties en bedrijven hun netwerk- en informatiesystemen beter beveiligen. Dat is nodig omdat het aantal cyberaanvallen snel stijgt en de impact daarvan steeds groter wordt. In 2016 ging de eerste versie in: de NIS1. Nu is er dus een opvolger: de NIS2. Die nieuwe richtlijn gaat verder, is concreter en geldt voor meer bedrijven en organisaties.
Voor wie geldt de NIS2?
De NIS2 geldt voor bedrijven en organisaties die van vitaal belang zijn voor de maatschappij. Het gaat bijvoorbeeld om zorgorganisaties, banken, energiebedrijven, drinkwaterbedrijven, logistiek dienstverleners, levensmiddelenproducenten, telecombedrijven, maakbedrijven en dienstverleners in de ICT en digitale infrastructuur. Best breed dus. In principe hoeven alleen middelgrote en grote bedrijven compliant te zijn. Dat is het geval als je minimaal 50 medewerkers in dienst hebt, een jaaromzet van meer dan 10 miljoen euro óf een balanstotaal van meer dan 10 miljoen euro hebt. Je kunt online controleren of jouw bedrijf of organisatie onder de NIS2 valt.
Vanaf wanneer moet ik voldoen aan de NIS2?
De NIS2 is sinds oktober 2024 van kracht in de Europese Unie. Officieel moesten Europese landen de richtlijn voor die tijd vertaald hebben in nationale wetgeving. Nederland heeft die deadline niet gehaald. De wetgeving daarvoor – de Cyberbeveiligingswet (Cbw) – moet namelijk nog vastgesteld worden. Waarschijnlijk gebeurt dat in het derde kwartaal van 2025. Tot de wetten in werking zijn getreden hoeven bedrijven en organisaties zich officieel nog niet aan de verplichtingen uit de richtlijn te houden. Maar het is natuurlijk slim om dat al wel te doen, want cyberdreigingen wachten niet op wettelijke deadlines. En afhankelijk van waar je nu als organisatie staat, kan het best veel tijd en energie kosten om helemaal NIS2-compliant te worden.
Welke verplichtingen brengt de NIS2 met zich mee?
- Zorgplicht: Je moet een risicobeoordeling uitvoeren voor jouw netwerk- en informatiesysteem. Op basis van die risicobeoordeling moet je passende beveiligingsmaatregelen nemen en toezicht houden op de uitvoering van die maatregelen.
- Registratieplicht: Als je onder de NIS2 valt moet je jezelf digitaal registreren. Zo krijgt de overheid een goed beeld van vitale bedrijven en organisaties. De registratie doe je bij het Nationaal Cybersecurity Centrum (NCSC).
- Meldplicht: Bij cybersecurityincidenten (zoals een hack) die je dienstverlening aanzienlijk (kunnen) verstoren, moet je verplicht een melding doen bij de landelijke toezichthouder én het Computer Security Incident Response Team (CSIRT).
Wat betekent NIS2 voor je netwerk?
Dat hangt af van hoe volwassen je netwerkbeveiliging nu al is en hoe je beveiligingsbeleid eruitziet. Heb je bijvoorbeeld nog geen netwerksegmentatie, dan is er sowieso werk aan de winkel. Werk je al met een Security Operations Center (SOC) en Security Information & Event Management (SIEM)? Dan zul je waarschijnlijk vooral puntjes op de ‘i’ moeten zetten. Met onze oplossing Security Insight krijg je inzicht in waar je nu staat en welke stappen je kunt zetten. Security Insight bevat onder meer een scanner die controleert in welke mate jouw netwerkbeveiliging voldoet aan de NIS2-eisen.
Wat als mijn netwerk nog niet compliant is?
Wentzo helpt je natuurlijk graag om jouw netwerk- en informatiebeveiliging naar een hoger niveau te tillen. We maken dan samen een plan van aanpak, met de benodigde (technische) aanpassingen. Het is goed om je ervan bewust te zijn dat de NIS2 verder gaat dan alleen de technische kant van netwerk- en informatiebeveiliging. Ook beleid en protocollen voor medewerkers moeten bijvoorbeeld op orde zijn. Er zijn andere organisaties die je daarbij kunnen helpen.
Wat betekent het voor de netwerken die Wentzo realiseert?
Wanneer we een netwerk voor jou realiseren, zijn we als managed service provider (mede-)verantwoordelijk voor jouw netwerk- en informatiebeveiliging. Daarom passen we security by design toe. We houden ons daarbij altijd aan de (minimale) geldende normeringen voor jouw branche. Denk hierbij aan de NEN 7510 voor zorgorganisaties, de BIO voor overheden, het IPB FO voor onderwijsinstellingen of straks dus de NIS2 voor vitale organisaties en bedrijven.
En wat als jullie een bestaand netwerk overnemen?
Dan brengen we het securityniveau van het netwerk met een scan in kaart. We laten je zien in welke mate je voldoet aan de wettelijke eisen en/of branchenormen die voor jou gelden. Vervolgens stellen we samen een plan van aanpak op, waarbij we integraal zoeken naar een balans tussen o.a. veiligheid en gebruiksgemak.
Hoe bereidt Wentzo zich voor op de NIS2?
Wentzo valt als netwerkspecialist ook onder de NIS2. We hebben ervoor gekozen om niet te wachten tot de Nederlandse Cbw ingaat: we zijn als organisatie nu al NIS2-compliant. We werken volgens hoge standaarden voor netwerk- en informatiebeveiliging en we hebben oplossingen waarmee we 24/7 (volautomatisch) kunnen reageren op potentiële dreigingen bij de netwerken die we as-a-service beheren. Wil jij dat ook? Laten we dan een keer sparren over hoe we jouw netwerk kunnen laten voldoen aan de NIS2-richtlijn!
