NIS2: wie valt eronder en waar begint u?
De Europese NIS2-richtlijn breidt het aantal organisaties met cyberbeveiligingsverplichtingen sterk uit. Hier vindt u houvast om te weten of u eronder valt en hoe u zich voorbereidt, zonder de analyse van een professional te vervangen.
Redactieteam van Kayzen Security4 min leestijd
Wat de richtlijn bepaalt
De NIS2-richtlijn, aangenomen op 14 december 2022, vervangt de NIS-richtlijn van 2016. Ze verplicht de betrokken entiteiten maatregelen te nemen voor het beheer van cyberbeveiligingsrisico's (artikel 21) en significante incidenten te melden (artikel 23), en ze legt verantwoordelijkheid bij de bestuursorganen, die deze maatregelen moeten goedkeuren en een opleiding moeten volgen (artikel 20).
In Frankrijk verloopt de omzetting via een wet en uitvoeringsteksten. Hun stand van zaken en de data van inwerkingtreding moet u op de website van de ANSSI controleren op het moment dat u deze gids leest.
Val ik eronder? De drie criteria
- De sector: de richtlijn somt 11 sectoren met een ‘hoge kriticiteit’ op (bijlage I: energie, vervoer, bankwezen, gezondheidszorg, water, digitale infrastructuur, overheid, ruimtevaart…) en 7 ‘andere kritieke sectoren’ (bijlage II: postdiensten, afvalbeheer, chemie, levensmiddelen, vervaardiging van bepaalde producten, digitale aanbieders, onderzoek). Voor de financiële sector heeft de DORA-verordening (UE) 2022/2554 voorrang voor risicobeheer en incidentmelding.
- De omvang: in de regel de middelgrote ondernemingen (minstens 50 werknemers, of een omzet en een balanstotaal van meer dan 10 miljoen euro) en de grote ondernemingen uit deze sectoren; de personeelsaantallen en bedragen van verbonden of partnerondernemingen moeten mogelijk worden opgeteld.
- De uitzonderingen op de omvang: sommige entiteiten vallen eronder ongeacht hun omvang, met name aanbieders van openbare elektronische-communicatienetwerken of -diensten, verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en aanbieders van DNS-diensten, alsook, volgens de nationale aanwijzing, een entiteit die als enige een essentiële dienst in het land levert.
- Lokale en andere overheden kunnen eronder vallen, afhankelijk van de nationale omzetting.
Essentiële en belangrijke entiteiten
Beide categorieën moeten dezelfde soorten maatregelen toepassen, maar het toezicht verschilt: controles vooraf mogelijk voor essentiële entiteiten, achteraf voor belangrijke entiteiten. De richtlijn legt ook hogere maxima voor administratieve sancties vast voor essentiële entiteiten. De bedragen die in Frankrijk gelden, hangen af van de omzettingswet.
De maatregelen van artikel 21, samengevat
- Risicoanalyse en beveiligingsbeleid.
- Incidentbeheer.
- Bedrijfscontinuïteit, back-ups en crisisbeheer.
- Beveiliging van de toeleveringsketen.
- Beveiliging bij de aanschaf, ontwikkeling en het onderhoud van systemen, inclusief kwetsbaarheidsbeheer.
- Beoordeling van de doeltreffendheid van de maatregelen.
- Basispraktijken voor cyberhygiëne en opleiding.
- Cryptografie en versleuteling.
- Beveiliging van personeel, toegangscontrole en beheer van activa.
- Meervoudige authenticatie en beveiligde communicatie.
Significante incidenten melden
De richtlijn voorziet in een vroegtijdige waarschuwing binnen 24 uur na kennisname van een significant incident, een incidentmelding binnen 72 uur en daarna een eindverslag uiterlijk één maand na die melding. Deze meldingen worden gericht aan het CSIRT of de bevoegde autoriteit. Dat veronderstelt dat u een incident kunt detecteren en kwalificeren en dat u vooraf de juiste contactpersoon kent.
Waar begint u
- Uw situatie nagaan met de onlinedienst van de ANSSI en de analyse laten bevestigen door een professional.
- Een inventaris maken van uw systemen, uw gegevens en uw dienstverleners.
- De basismaatregelen voor hygiëne invoeren: updates, tweestapsverificatie, offline back-ups, beheerdersaccounts onder controle.
- Een procedure schrijven voor het beheer en de melding van incidenten.
- De directie betrekken, die de maatregelen moet goedkeuren en een opleiding moet volgen.
Deze gids vat de directive (UE) 2022/2555 ter informatie samen. Hij vormt geen juridisch advies: of u eronder valt en wat uw verplichtingen zijn, moet door een professional worden bevestigd, op basis van de geldende omzettingstekst en de informatie van de ANSSI. Een hulpmiddel als Kayzen kan bijdragen aan de maatregelen van artikel 21, het maakt een organisatie niet conform.
Officiële bronnen
- ANSSI (nieuw tabblad) — Espace NIS 2 : test d'éligibilité et informations sur la transposition
- EUR-Lex (nieuw tabblad) — Directive (UE) 2022/2555 (NIS 2), Journal officiel de l'Union européenne
- ANSSI (nieuw tabblad) — Agence nationale de la sécurité des systèmes d'information — guides et publications
De genoemde bronnen worden door hun auteurs in hun oorspronkelijke taal gepubliceerd. Kayzen is niet verbonden aan een van deze organisaties.
Deze gids is informatief en algemeen. Hij vervangt geen juridisch advies en geen tussenkomst van een professional in IT-beveiliging.