De NIS2 in afwachting van de Cyberbeveiligingswet

De NIS2-richtlijn maakt deel uit van het EU Digital Decade-programma, dat Europa digitaal sterker wil maken en de weerbaarheid wil vergroten. Naast de NIS2-richtlijn heeft de EU ook de Critical Entities Resilience Directive (CER-richtlijn) aangenomen. Deze richt zich op de bescherming van kritieke fysieke infrastructuur. Organisaties die onder de CER-richtlijn vallen, worden automatisch ook als ‘essentieel’ beschouwd onder de NIS2-richtlijn, waardoor ze aan aanvullende informatiebeveiligingseisen moeten voldoen.

Daarnaast stelt de NIS2-richtlijn minimumeisen voor informatiebeveiliging, die terugkomen in de Baseline Informatiebeveiliging Overheid (BIO 2.0). De BIO 2.0 biedt een standaard voor informatiebeveiliging bij overheidsorganisaties en helpt hen te voldoen aan de eisen van de NIS2. Wanneer NIS2 in Nederland wordt omgezet in de Cbw, wordt de BIO 2.0 hierin opgenomen. Dit zorgt ervoor dat alle overheidsorganisaties één basisniveau voor informatiebeveiliging hanteren, wat consistentie en een hoger beveiligingsniveau binnen de gehele publieke sector bevordert. Als gemeente kun je je nu al voorbereiden op NIS2 door de BIO 2.0 te volgen.

Wil je meer weten? Lees ook mijn eerdere blogs ‘BIO 2.0 – NIS2, Cbw, 27001, BSM, OT en 27005’ en ‘Het huwelijk tussen de BIO en NIS2’.

Welke organisaties vallen onder NIS2?

De NIS2-richtlijn richt zich op sectoren en organisaties die essentieel zijn voor de samenleving. Deze worden in de richtlijn onderverdeeld in drie hoofdgroepen:

1. Essentiële diensten: Organisaties die cruciale diensten leveren voor de samenleving, zoals gezondheidszorg, transport, energiebedrijven en lokale overheden. Uitval van deze diensten kan grote gevolgen hebben voor de samenleving.
2. Belangrijke entiteiten: Grotere organisaties in sectoren zoals digitale infrastructuur, chemische industrie, voedselproductie en financiële instellingen. Zij spelen een belangrijke rol in de economie en infrastructuur.
3. Digitale dienstverleners: Aanbieders van online marktplaatsen, zoekmachines en cloud computing. Hun diensten zijn vaak essentieel voor andere organisaties en de bredere digitale economie.

Door deze entiteiten onder NIS2 te plaatsen, wil de EU samenwerking tussen verschillende sectoren stimuleren en een hoger beveiligingsniveau realiseren.

Hoe zit NIS2 in elkaar?

De NIS2-richtlijn is opgebouwd uit verschillende hoofdstukken die elk een specifiek aspect van cyberbeveiliging behandelen:

1. Hoofdstuk 1 – Algemene bepalingen: Dit hoofdstuk bevat de doelstellingen, toepassingsgebied en definities die relevant zijn voor de verordening.
2. Hoofdstuk 2 – Beveiligingseisen: Dit hoofdstuk beschrijft de verplichtingen en beveiligingseisen voor essentiële en belangrijke entiteiten, waaronder risicobeheer en incidentenbeheer.
3. Hoofdstuk 3 – Meldingsplicht voor beveiligingsincidenten: Hierin worden de vereisten voor het melden van beveiligingsincidenten en de verantwoordelijkheden van de betrokken entiteiten uiteengezet.
4. Hoofdstuk 4 – Toezicht en handhaving: Dit hoofdstuk behandelt de toezichthoudende autoriteiten, hun bevoegdheden en hoe de naleving van de verordening wordt gewaarborgd.
5. Hoofdstuk 5 – Samenwerking en informatie-uitwisseling: Dit gedeelte richt zich op de samenwerking tussen lidstaten en de uitwisseling van informatie om de cyberveiligheid te verbeteren.
6. Hoofdstuk 6 – Slotbepalingen: Dit hoofdstuk bevat diverse administratieve en juridische bepalingen, zoals de implementatie en inwerkingtreding van de verordening.

Deze structuur zorgt ervoor dat de NIS2-richtlijn een breed scala aan onderwerpen binnen cyberbeveiliging dekt en de implementatie ervan in de lidstaten ondersteunt.

Cybersecurityrisico’s binnen NIS2

De NIS2-richtlijn gebruikt verschillende termen om cybersecurityrisico’s te beschrijven, waaronder:

1. Dreigingen (Threats): Mogelijke gevaren, zoals hackers, malware of zelfs natuurrampen, die de veiligheid van systemen bedreigen. Het identificeren van dreigingen is cruciaal voor het ontwikkelen van effectieve beveiligingsstrategieën.
2. Kwetsbaarheden (Vulnerability): Zwakke punten in systemen die kunnen worden misbruikt, zoals verouderde software of een onveilige configuratie. Het is belangrijk voor organisaties om kwetsbaarheden regelmatig te evalueren en aan te pakken om hun beveiliging te versterken.
3. Gebeurtenissen (Events): Incidenten die invloed hebben op de werking van een organisatie, zonder direct schade te veroorzaken. Het monitoren van gebeurtenissen helpt bij het identificeren van mogelijke dreigingen en kwetsbaarheden.
4. Bijna-ongeluk (Near-misses): Situaties waarin een probleem bijna ontstond, maar werd voorkomen. Het analyseren van deze gevallen biedt waardevolle inzichten in potentiële risico’s en kan organisaties helpen om toekomstige incidenten te voorkomen.
5. Incidenten (Incidents): Gebeurtenissen die schade of verstoring veroorzaken, zoals een datalek of ransomware-aanval. Organisaties moeten hierop voorbereid zijn en moeten procedures hebben voor het melden en reageren op incidenten, zoals beschreven in de NIS2.
6. Crisis (Crises): Ernstige situaties met grote impact, die voortkomen uit incidenten. Het managen van crises vereist een gecoördineerde aanpak, vaak met betrokkenheid van hogere managementlagen en externe instanties.