NIS2 Check

De NIS2 (Network and Information Security Directive 2) is een Europese richtlijn die cybersecurity eisen stelt aan organisaties in kritieke en belangrijke sectoren. Het is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016 en heeft een aanzienlijk breder toepassingsgebied. NIS2 verplicht organisaties om passende beveiligingsmaatregelen te nemen en incidenten te melden.

De NIS2 richtlijn moest uiterlijk 17 oktober 2024 in Nederlandse wetgeving zijn omgezet via de Cyberbeveiligingswet. Hoewel de implementatie vertraging heeft opgelopen, wordt verwacht dat de wet in 2025 van kracht wordt. Organisaties doen er verstandig aan nu al te beginnen met voorbereidingen, aangezien veel maatregelen tijd kosten om te implementeren.

Essentiële entiteiten zijn organisaties in de meest kritieke sectoren (energie, transport, bankwezen, gezondheidszorg, drinkwater, digitale infrastructuur, overheid). Zij vallen onder proactief toezicht en kunnen boetes krijgen tot €10 miljoen of 2% van de wereldwijde omzet. Belangrijke entiteiten (post, afvalbeheer, chemie, voeding, industrie, digitale diensten) vallen onder reactief toezicht met lagere boetes tot €7 miljoen of 1.4% omzet.

Voor essentiële entiteiten kunnen boetes oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten zijn de maximale boetes €7 miljoen of 1.4% van de omzet. Daarnaast kunnen bestuurders persoonlijk aansprakelijk worden gesteld, wat een belangrijke verscherping is ten opzichte van de oude NIS-richtlijn.

NIS2 is primair gericht op middelgrote en grote organisaties (50+ medewerkers of €10M+ omzet) in de aangewezen sectoren. Kleine bedrijven zijn meestal uitgezonderd, maar er zijn uitzonderingen: als u een unieke of kritieke dienst levert, als u in de supply chain zit van NIS2-plichtige organisaties, of als u als micro/klein bedrijf door de overheid wordt aangewezen vanwege uw kritieke rol.

De belangrijkste verplichtingen zijn: 1) Implementeren van passende beveiligingsmaatregelen (risicobeheer, incident handling, business continuity), 2) Melden van significante incidenten binnen 24 uur (eerste melding) en 72 uur (gedetailleerd rapport), 3) Zorgen voor beveiliging in de supply chain, 4) Bestuurders moeten aantoonbaar betrokken zijn bij cybersecurity, en 5) Regelmatige risicoanalyses en audits uitvoeren.

JamaSec biedt complete NIS2 begeleiding: van een gap-analyse om te bepalen waar u staat, tot het implementeren van alle vereiste maatregelen. We helpen met het opzetten van een Information Security Management System (ISMS), voeren penetration tests uit om uw beveiliging te valideren, en ondersteunen bij het opstellen van incident response procedures. Ook bieden we trainingen voor bestuurders en medewerkers aan.