NIS2
Maak NIS2-compliance beheersbaar en aantoonbaar
NIS2 vraagt organisaties om cyberrisico’s structureel te beheersen, incidenten op te volgen en verantwoordelijkheden duidelijk vast te leggen. Phronesys brengt deze processen samen in één centraal managementplatform — van risicoanalyse en acties tot incidenten, leveranciers, opleiding en bewijsvoering.
Wat is NIS2?
NIS2 is de Europese richtlijn die het niveau van cyberbeveiliging binnen de Europese Unie moet verhogen. Ze breidt het toepassingsgebied van de eerdere NIS-richtlijn aanzienlijk uit en legt strengere eisen op aan organisaties in een groot aantal kritieke en belangrijke sectoren.
Organisaties die onder NIS2 vallen, moeten passende technische, operationele en organisatorische maatregelen nemen om cyberrisico’s te beheersen en de gevolgen van incidenten te voorkomen of te beperken. Daarbij gaat het niet alleen over IT-beveiliging, maar ook over onder meer risicobeheer, incidentbeheer, bedrijfscontinuïteit, leveranciers, opleiding en de evaluatie van genomen maatregelen.
NIS2 maakt cybersecurity daarmee ook een managementvraagstuk. Het management moet de maatregelen voor cyberrisicobeheer goedkeuren, toezicht houden op de uitvoering en voldoende kennis opbouwen om de risico’s en maatregelen te kunnen beoordelen.
Risico’s identificeren, beoordelen en passende maatregelen bepalen en opvolgen.
Cyberincidenten beheersen en voorbereid zijn om kritieke activiteiten voort te zetten.
Verantwoordelijkheden vastleggen en ook risico’s bij leveranciers en dienstverleners beheersen.
Van cyberrisico naar aantoonbare beheersing
NIS2 vraagt niet alleen dat organisaties cyberrisico’s kennen, maar vooral dat ze deze risico’s systematisch vertalen naar concrete maatregelen, verantwoordelijkheden en opvolging.
Met Phronesys maak je die aanpak beheersbaar en traceerbaar: van de eerste risicoanalyse tot de evaluatie van maatregelen en continue verbetering.
Breng cyberrisico’s gestructureerd in kaart en beoordeel hun impact en waarschijnlijkheid.
Koppel passende beheersmaatregelen aan geïdentificeerde risico’s en leg vast welke acties nodig zijn.
Wijs verantwoordelijkheden toe, plan acties en bewaak deadlines en voortgang.
Evalueer maatregelen, volg afwijkingen op en stuur bij waar risico’s of omstandigheden veranderen.
Wat vraagt NIS2 concreet van een organisatie?
NIS2 verplicht organisaties binnen het toepassingsgebied om passende en proportionele technische, operationele en organisatorische maatregelen te nemen. De richtlijn kijkt daarbij niet alleen naar technologie, maar naar de manier waarop cyberrisico’s binnen de volledige organisatie worden beheerd.
Beleid en processen om cyberrisico’s systematisch te identificeren, beoordelen en behandelen.
Cyberincidenten tijdig detecteren, registreren, behandelen en waar nodig melden aan de bevoegde autoriteiten.
Voorbereid zijn op verstoringen via onder meer back-ups, herstelplannen, crisisbeheer en continuïteitsmaatregelen.
Cyberrisico’s bij leveranciers en dienstverleners beoordelen en passende afspraken en maatregelen vastleggen.
Zorgen dat management en medewerkers voldoende kennis hebben om cyberrisico’s te herkennen en correct te handelen.
Regelmatig beoordelen of de genomen maatregelen effectief zijn en waar nodig bijsturen.
NIS2 vraagt dus geen eenmalige checklist, maar een aantoonbaar en continu proces van risicobeheersing, opvolging en verbetering.
Hoe ondersteunt Phronesys NIS2-compliance?
NIS2-compliance vraagt om meer dan beleid en technische beveiliging. Organisaties moeten risico’s, maatregelen, incidenten, verantwoordelijkheden en opvolging ook structureel beheren en aantoonbaar vastleggen.
Phronesys ondersteunt deze managementgerichte aanpak door verschillende NIS2-processen in één centrale omgeving samen te brengen.
Identificeer en beoordeel cyberrisico’s, bepaal beheersmaatregelen en volg resterende risico’s systematisch op.
Vertaal risico’s, afwijkingen en incidenten naar concrete acties met verantwoordelijken, deadlines en opvolging.
Registreer incidenten centraal, onderzoek oorzaken en behoud een volledige historiek van maatregelen en opvolging.
Beoordeel leveranciers en dienstverleners, leg vereisten vast en volg tekortkomingen of verbeteracties op.
Beheer beleid, procedures en andere gedocumenteerde informatie met versiebeheer, goedkeuring en traceerbaarheid.
Leg rollen, competenties en opleidingen vast en toon aan wie waarvoor verantwoordelijk is.
Voor welke organisaties geldt NIS2?
NIS2 richt zich op organisaties die actief zijn in sectoren die essentieel of belangrijk zijn voor de economie en samenleving. De richtlijn breidt het toepassingsgebied sterk uit ten opzichte van de oorspronkelijke NIS-richtlijn en maakt daarbij in veel gevallen gebruik van een sector- én groottecriterium. Middelgrote en grote organisaties binnen de aangeduide sectoren vallen in principe binnen het toepassingsgebied, al gelden er uitzonderingen en kunnen lidstaten bijkomende organisaties aanwijzen.
- Energie
- Transport
- Bankwezen
- Financiële marktinfrastructuur
- Gezondheidszorg
- Drinkwater
- Afvalwater
- Digitale infrastructuur
- ICT-dienstverlening
- Overheidsdiensten
- Ruimtevaart
- Post- en koeriersdiensten
- Afvalbeheer
- Chemische industrie
- Voedingsmiddelen
- Bepaalde productiebedrijven
- Digitale dienstverleners
- Onderzoeksorganisaties
NIS2 maakt daarnaast onderscheid tussen essentiële und belangrijke entiteiten. Die indeling hangt onder meer af van de sector, het type dienstverlening, de omvang van de organisatie en de nationale toepassing van de richtlijn. Voor sommige organisaties gelden bovendien uitzonderingen op het gewone groottecriterium.
NIS2 en ISO 27001: sterke overlap, maar niet hetzelfde
ISO 27001 en NIS2 hebben een belangrijk gemeenschappelijk doel: informatie- en cyberrisico’s systematisch beheersen. Een goed ingericht Information Security Management System volgens ISO 27001 biedt daarom een sterke basis voor veel van de organisatorische vereisten van NIS2.
ISO 27001-certificering betekent echter niet automatisch dat een organisatie volledig aan NIS2 voldoet. NIS2 bevat eigen wettelijke verplichtingen rond onder meer governance, incidentmelding, supply chain security en toezicht.
- Risicobeoordeling en risicobehandeling
- Beleid en gedocumenteerde informatie
- Rollen en verantwoordelijkheden
- Interne audits en evaluatie
- Korrekturmaßnahmen
- Kontinuierliche Verbesserung
- Expliciete verantwoordelijkheid van het management
- Specifieke verplichtingen voor incidentmelding
- Supply chain- en leveranciersrisico’s
- Business continuity en crisisbeheer
- Toezicht door bevoegde autoriteiten
- Mogelijke sancties bij niet-naleving
Voor organisaties die ISO 27001 al toepassen, is veel van de managementstructuur dus aanwezig. De volgende stap is bepalen waar aanvullende NIS2-maatregelen en bewijsvoering nodig zijn.
Incidentmelding onder NIS2
Bij een significant incident gelden onder NIS2 duidelijke meldtermijnen. Organisaties moeten snel kunnen beoordelen wat er gebeurd is, welke impact het incident heeft en welke informatie aan de bevoegde autoriteit moet worden doorgegeven.
Vroege waarschuwing. Een eerste melding van het significante incident, met waar relevant informatie over een mogelijk kwaadwillig karakter of grensoverschrijdende impact.
Incidentmelding. Een uitgebreidere melding met een eerste beoordeling van de ernst en impact en, waar beschikbaar, relevante technische informatie.
Eindrapport. Een rapport met onder meer oorzaak, impact en genomen of lopende maatregelen. Als het incident nog loopt, volgt eerst een voortgangsrapport.
Een goed incidentproces moet daarom niet alleen registreren wat er gebeurt, maar ook snelheid, verantwoordelijkheden, bewijsvoering en opvolging ondersteunen.
Veelgestelde vragen
Wat is NIS2?
NIS2 is de Europese richtlijn die het niveau van cyberbeveiliging binnen de EU moet verhogen. Ze legt strengere eisen op rond onder meer cyberrisicobeheer, incidenten, bedrijfscontinuïteit, leveranciers, governance en rapportering.
Voor welke organisaties geldt NIS2?
NIS2 geldt voor organisaties in een brede groep sectoren met hoge kriticiteit en andere kritieke sectoren. Of een organisatie binnen het toepassingsgebied valt, hangt onder meer af van haar activiteiten, omvang en de nationale omzetting van de richtlijn. Er bestaan ook uitzonderingen op het gewone groottecriterium.
Wat is het verschil tussen NIS2 en ISO 27001?
ISO 27001 is een internationale norm voor informatiebeveiligingsmanagement. NIS2 is Europese wetgeving. Een goed ingericht ISO 27001-managementsysteem kan een sterke basis vormen voor veel organisatorische NIS2-vereisten, maar certificering volgens ISO 27001 betekent niet automatisch dat een organisatie volledig aan NIS2 voldoet.
Welke maatregelen vraagt NIS2?
NIS2 vraagt passende en proportionele technische, operationele en organisatorische maatregelen. Daarbij gaat het onder meer om risicobeheer, incidentbeheer, bedrijfscontinuïteit, supply chain security, toegangsbeheer, opleiding, cryptografie en het beoordelen van de effectiviteit van maatregelen.
Welke meldtermijnen gelden bij een significant incident?
In principe geldt een gefaseerde melding: een vroege waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport uiterlijk één maand na de incidentmelding. Als het incident dan nog loopt, wordt eerst een voortgangsrapport ingediend.
Hoe ondersteunt Phronesys NIS2-compliance?
Phronesys helpt organisaties om de managementgerichte kant van NIS2 centraal en aantoonbaar te beheren. Denk aan risicoanalyses, incidenten, acties en CAPA, leveranciersbeheer, documentbeheer, rollen, competenties en opleidingen.
Phronesys vervangt daarbij geen technische cybersecurityoplossingen, maar ondersteunt het managementsysteem waarmee NIS2-verplichtingen structureel worden beheerd en opgevolgd.
Maak NIS2-compliance beheersbaar
Breng risico’s, maatregelen, incidenten, leveranciers, verantwoordelijkheden en opvolging samen in één centrale omgeving. Zo bouw je stap voor stap aan een aantoonbare en beheersbare NIS2-aanpak.