NIS2 in de praktijk: wat moet je organisatie concreet regelen?
NIS2 wordt nog vaak benaderd als een IT- of cybersecurityproject. Dat is uiteraard te beperkt.
De Belgische NIS2-wet vraagt van organisaties dat ze cyberrisico’s structureel beheersen, verantwoordelijkheden vastleggen, incidenten snel kunnen behandelen en melden, continuïteit organiseren en ook rekening houden met risico’s bij leveranciers en dienstverleners. Dat raakt dus niet alleen IT, maar ook management, HR, aankoop, leveranciersbeheer, incidentmanagement en bedrijfscontinuïteit.
NIS2 draait niet om één extra procedure. Je moet kunnen aantonen dat cyberrisico’s worden beheerst en dat afgesproken maatregelen in de praktijk ook werken.
Wat verandert er door NIS2?
Met NIS2 wordt cybersecurity veel nadrukkelijker een onderdeel van het managementsysteem van een organisatie.
De wet vraagt passende en proportionele technische, operationele én organisatorische maatregelen. Daarbij moet rekening worden gehouden met de risico’s, de omvang van de organisatie, de waarschijnlijkheid van incidenten en de mogelijke impact ervan.
Dat laatste is belangrijk.
Een firewall, back-upoplossing of multifactor-authenticatie kan noodzakelijk zijn, maar NIS2 stopt daar niet. Je moet ook bepalen wie verantwoordelijk is, hoe incidenten worden behandeld, hoe continuïteit wordt verzekerd, hoe medewerkers worden opgeleid, hoe leveranciers worden beoordeeld en hoe je controleert of de genomen maatregelen nog doeltreffend zijn.
De Belgische NIS2-wet is voor de meeste verplichtingen sinds 18 oktober 2024 van toepassing. Organisaties die binnen het toepassingsgebied vallen, moeten die maatregelen dus vandaag niet meer voorbereiden voor een toekomstige verplichting: ze moeten ze effectief toepassen.
Voor welke organisaties geldt NIS2?
Niet iedere organisatie valt automatisch onder NIS2.
De eerste vraag is welke diensten de organisatie levert. De Belgische wet omvat onder meer organisaties uit energie, transport, financiële dienstverlening, gezondheidszorg, drink- en afvalwater, digitale infrastructuur, ICT-diensten, overheid, chemie, voeding, afvalverwerking, bepaalde productieactiviteiten, digitale diensten en onderzoek.
Daarna speelt in veel gevallen ook de omvang van de organisatie een rol. De hoofdregel is dat vooral middelgrote en grote organisaties binnen de opgenomen sectoren onder NIS2 vallen. Er bestaan daarnaast categorieën waarvoor de omvang niet of anders meespeelt.
Ook de structuur van een ondernemingsgroep kan belangrijk zijn. Bij verbonden en partnerondernemingen kunnen personeels- en financiële gegevens geheel of gedeeltelijk meegeteld worden om de omvang te bepalen.
Je bepaalt de scope dus beter niet alleen op basis van je NACE-code of het aantal werknemers.
De juiste vraag is: welke diensten leveren we, hoe groot zijn we volgens de toepasselijke regels en vallen we daardoor als essentiële of belangrijke entiteit onder de wet?
Voor Belgische organisaties biedt het Centre for Cybersecurity Belgium hiervoor uitgebreide scope guidance. CCB – officiële NIS2-informatie
Welke maatregelen moet je concreet organiseren?
NIS2 schrijft niet alleen voor dat organisaties zich tegen cyberaanvallen moeten beschermen. De wet verwacht een gestructureerde aanpak van cyberbeveiligingsrisico’s.
Daar horen onder meer risicoanalyse, incidentbeheer, business continuity, back-up en recovery, crisismanagement, beveiliging van de supply chain, vulnerability management, cyber awareness, toegangsbeheer, asset management, cryptografie en waar nodig multifactor-authenticatie bij.
Maar ook dat is nog maar een deel van het verhaal.
Voor iedere belangrijke maatregel moet duidelijk zijn waarom ze nodig is, wie verantwoordelijk is, hoe ze wordt uitgevoerd en hoe je controleert of ze werkt.
Neem bijvoorbeeld toegangsbeheer. Een procedure waarin staat dat toegangsrechten periodiek worden beoordeeld is niet voldoende. Je moet ook kunnen aantonen dat die reviews daadwerkelijk plaatsvinden, dat afwijkingen worden opgevolgd en dat toegangsrechten worden aangepast wanneer medewerkers van functie veranderen of de organisatie verlaten.
Hetzelfde geldt voor back-ups. Dat er dagelijks een back-up wordt gemaakt, zegt nog niet dat je systemen en gegevens binnen een aanvaardbare termijn kunt herstellen.
Een maatregel is pas bruikbaar wanneer hij niet alleen bestaat, maar ook aantoonbaar wordt uitgevoerd en opgevolgd.
NIS2 is ook een verantwoordelijkheid van het management
Dit is een van de belangrijkste verschillen met de manier waarop cybersecurity vroeger in veel organisaties werd benaderd.
Het management kan NIS2 niet simpelweg delegeren aan IT.
De bestuursorganen van essentiële en belangrijke entiteiten moeten de maatregelen voor het beheer van cyberbeveiligingsrisico’s goedkeuren en toezien op de uitvoering ervan. Leden van het bestuursorgaan moeten bovendien voldoende opleiding volgen om cyberrisico’s en de manier waarop die worden beheerst te kunnen beoordelen.
Dat betekent niet dat een CEO zelf firewalls moet configureren of vulnerabilities moet onderzoeken.
Het management moet wel kunnen beoordelen of de organisatie haar belangrijkste cyberrisico’s kent, of passende maatregelen zijn genomen, of ernstige tekortkomingen worden opgevolgd en of voldoende middelen beschikbaar zijn om het vereiste beveiligingsniveau te behouden.
Cybersecurity wordt daarmee een normaal onderdeel van governance.
Het management hoeft niet ieder technisch detail te kennen. Het moet wel weten welke belangrijke risico’s er zijn en of die voldoende worden beheerst.
Incidentmelding: 24 uur, 72 uur en één maand
Een incidentprocedure die alleen beschrijft wie de IT-helpdesk moet bellen, is voor NIS2 niet voldoende.
Wanneer een organisatie zich bewust wordt van een significant incident, gelden duidelijke meldverplichtingen.
Binnen 24 uur moet zonder onnodige vertraging een eerste waarschuwing worden verstuurd. Binnen 72 uur volgt de incidentmelding met een eerste beoordeling van onder meer ernst en impact. Uiterlijk één maand na die incidentmelding moet een eindrapport worden ingediend. Voor trusted service providers gelden op bepaalde punten kortere termijnen. Wanneer het incident na een maand nog loopt, wordt eerst een voortgangsrapport verwacht en volgt het definitieve rapport nadat het incident is afgehandeld.
Belangrijk is dat die termijnen maxima zijn. De CCB benadrukt dat een organisatie niet tot het einde van de 24 of 72 uur moet wachten wanneer ze eerder kan melden.
Dat vraagt voorbereiding.
Tijdens een ernstig cyberincident wil je niet eerst beginnen uitzoeken wie beslist of het incident significant is, wie het CCB contacteert, waar de noodzakelijke gegevens staan en wie verantwoordelijk is voor de verdere analyse.
Incidentmanagement moet daarom vooraf georganiseerd zijn.
En ook na de melding stopt het proces niet. De oorzaken moeten worden onderzocht, corrigerende maatregelen moeten worden uitgevoerd en de organisatie moet beoordelen welke lessen uit het incident kunnen worden getrokken.
Een snelle melding is belangrijk. Een goed georganiseerd incidentproces is nog belangrijker.
Je leveranciers maken deel uit van je cyberrisico
NIS2 kijkt ook expliciet naar de beveiliging van de supply chain.
Organisaties moeten rekening houden met cybersecurityrisico’s in de relatie met directe leveranciers en dienstverleners. Denk aan cloudproviders, softwareleveranciers, IT-partners, hostingbedrijven of andere partijen die toegang hebben tot systemen of kritieke informatie.
Dat betekent niet dat iedere leverancier automatisch zelf onder NIS2 valt. Het betekent wel dat een NIS2-entiteit haar eigen leveranciersrisico’s moet beheersen. De CCB bevestigt uitdrukkelijk dat een organisatie in de supply chain niet automatisch registratieplichtig wordt alleen omdat ze leverancier is van een NIS2-entiteit.
Een leveranciersbeoordeling die uitsluitend kijkt naar prijs, kwaliteit en levertermijn is daarom niet meer voldoende wanneer die leverancier toegang heeft tot kritieke systemen of diensten.
Je wilt ook weten welke beveiligingsmaatregelen aanwezig zijn, hoe incidenten worden gemeld, hoe toegang wordt beheerd, hoe gegevens worden beschermd en wat er gebeurt wanneer de dienstverlening uitvalt.
En vooral: wat doe je wanneer uit die beoordeling een belangrijk risico naar voren komt?
Een leveranciersbeoordeling heeft weinig waarde wanneer vastgestelde risico’s daarna nergens worden opgevolgd.
ISO 27001 en NIS2 sluiten sterk op elkaar aan
Voor organisaties die al volgens ISO/IEC 27001 werken, zal veel van de NIS2-logica herkenbaar zijn.
Risicoanalyse, controls, incidentmanagement, business continuity, leveranciersbeheer, awareness, toegangsbeheer, monitoring en continue verbetering maken al deel uit van een goed werkend information security management system.
Dat betekent niet dat een willekeurig ISO 27001-certificaat automatisch gelijkstaat aan NIS2-compliance.
In België kan ISO/IEC 27001 onder bepaalde voorwaarden wel worden gebruikt binnen de NIS2-conformiteitsbeoordeling. Voor een vermoeden van conformiteit moet onder meer de scope van de certificatie overeenkomen met de scope van de NIS2-wet en moet de certificatie gebeuren door een daarvoor bevoegde conformity assessment body.
Voor organisaties die ISO 27001 al serieus toepassen, is dat een belangrijk voordeel. Ze hoeven geen volledig apart NIS2-managementsysteem naast hun bestaande ISMS te bouwen.
Gebruik wat al werkt. Vul aan wat ontbreekt en zorg vooral dat je kunt aantonen dat de maatregelen effectief worden toegepast.
Praktische NIS2-checklist
Om van NIS2 geen theoretisch project te maken, zou ik minstens deze punten controleren:
- Bepaal formeel of je organisatie binnen de scope van NIS2 valt en documenteer die beoordeling.
- Controleer of de noodzakelijke registratie bij het CCB correct is gebeurd.
- Breng de belangrijkste cyberrisico’s in kaart en bepaal welke maatregelen nodig zijn.
- Leg voor belangrijke maatregelen een duidelijke verantwoordelijke vast.
- Controleer of technische en organisatorische maatregelen daadwerkelijk worden uitgevoerd.
- Test business continuity, back-up en recovery in plaats van alleen procedures te documenteren.
- Werk een incidentproces uit waarmee 24- en 72-uursmeldingen haalbaar zijn.
- Beoordeel kritieke leveranciers en dienstverleners op cybersecurityrisico’s.
- Organiseer opleiding en awareness, ook voor het management.
- Koppel afwijkingen en tekortkomingen aan corrigerende maatregelen en opvolging.
- Controleer regelmatig de doeltreffendheid van de genomen maatregelen.
- Zorg dat bewijs beschikbaar is zonder het vlak voor een audit of controle opnieuw te moeten verzamelen.
Het belangrijkste is niet dat ieder punt ergens in een procedure voorkomt.
Je moet kunnen aantonen dat het proces werkt.
Van verplichting naar een werkbaar proces
Daar ligt ook de link met Phronesys.
NIS2 raakt verschillende onderdelen van een organisatie: risico’s, maatregelen, incidenten, leveranciers, opleidingen, documenten, audits en corrigerende maatregelen. Wanneer ieder onderdeel in een apart bestand of systeem wordt beheerd, wordt vooral de opvolging moeilijk.
Binnen Phronesys kunnen die processen met elkaar worden verbonden.
Een cyberrisico kan gekoppeld worden aan beheersmaatregelen. Een tekortkoming uit een audit kan leiden tot een corrigerende maatregel. Een security incident kan aanleiding geven tot een oorzakenanalyse en verdere acties. Een leveranciersrisico kan worden opgevolgd vanuit het leveranciersbeheer en vereiste opleidingen kunnen gekoppeld worden aan medewerkers en functies.
Zo ontstaat een logische lijn:
risico → maatregel → verantwoordelijke → uitvoering → bewijs → beoordeling → verbetering
Dat maakt NIS2 niet minder veeleisend.
Het maakt de opvolging wel veel beheersbaarder.
Conclusie
NIS2 is veel meer dan een technische cybersecurityverplichting.
Organisaties moeten weten welke cyberrisico’s belangrijk zijn, passende maatregelen nemen, verantwoordelijkheden vastleggen, incidenten kunnen behandelen, leveranciersrisico’s beheersen en kunnen aantonen dat die aanpak in de praktijk werkt.
Voor organisaties die al werken met ISO 27001 of een geïntegreerd managementsysteem hoeft dat niet te betekenen dat er opnieuw een volledig apart systeem moet worden opgebouwd.
Integendeel.
De sterkste aanpak is meestal om NIS2 te integreren in de processen die je vandaag al gebruikt voor risico’s, incidenten, leveranciers, audits, opleidingen en continue verbetering.
Maak NIS2 beheersbaar in de dagelijkse praktijk
Phronesys helpt organisaties om NIS2-gerelateerde risico’s, maatregelen, incidenten, leveranciers, opleidingen, audits en corrigerende maatregelen vanuit één geïntegreerd managementsysteem op te volgen.
Zo ontstaat niet alleen documentatie, maar ook aantoonbare uitvoering en opvolging.