NIS2 Compliance
NIS2 is de EU-richtlijn die essentiële en belangrijke organisaties in 18 sectoren verplicht om gestructureerde cybersecuritymaatregelen te implementeren, incidenten te melden binnen 72 uur en aan te tonen dat hun beveiliging in de praktijk werkt.
Navigeer de vernieuwde Europese cybersecurityrichtlijn met vertrouwen. We helpen u NIS2-compliant te worden en te blijven via praktische, risicogebaseerde beveiligingsmaatregelen.
Kernvereisten van NIS2
Risicobeheer
Implementeer duidelijke en gestructureerde maatregelen om cyberrisico's in uw organisatie te identificeren, beoordelen en beheersen.
Incidentmelding
Meld significante beveiligingsincidenten bij de bevoegde autoriteiten binnen de vereiste termijn van 24 tot 72 uur.
Supply chain beveiliging
Identificeer en beheers cybersecurityrisico's geïntroduceerd door leveranciers, dienstverleners en partners.
Continue monitoring
Bewaak continu systemen en omgevingen om dreigingen en verdachte activiteiten tijdig te detecteren.
Toegangscontrole
Dwing sterke authenticatie af en beheer gebruikersaccounts, rollen en toegangsrechten correct.
Documentatie
Onderhoud duidelijke beleidslijnen, procedures en bewijs om compliance aan te tonen en audits te ondersteunen.
Management is persoonlijk aansprakelijk onder NIS2
NIS2 Artikel 20 is een van de meest ingrijpende wijzigingen ten opzichte van zijn voorganger. Cybersecurity is niet langer volledig delegeerbaar aan IT.
Management moet goedkeuren en toezien
Artikel 20 van NIS2 (Richtlijn EU 2022/2555) verplicht management om cybersecurity maatregelen goed te keuren en actief toe te zien op de implementatie ervan. Cybersecurity volledig delegeren aan IT zonder betrokkenheid op bestuursniveau voldoet niet langer aan de richtlijn.
Persoonlijke aansprakelijkheid voor bestuurders
Management kan persoonlijk aansprakelijk worden gesteld voor niet-naleving van NIS2-verplichtingen. Nationale toezichthoudende autoriteiten hebben de bevoegdheid om personen tijdelijk te verbieden management functies uit te oefenen bij ernstige overtredingen. Dit geldt voor directeuren en bestuursleden rechtstreeks.
Beveiligingstraining voor management is verplicht
Artikel 20 vereist ook dat leden van het management voldoende training ontvangen in cybersecurityrisicobeheer. De bedoeling is dat besturen weloverwogen beslissingen nemen over beveiligingsinvesteringen en prioriteiten op basis van werkelijk begrip, niet alleen hoog-over briefings.
Boetes en handhaving: Artikel 34
NIS2 Artikel 34 introduceert een tweelaagse boetestructuur gekoppeld aan uw entiteitsclassificatie. Beide drempels liggen aanzienlijk hoger dan NIS1.
Essentiële entiteiten
Bestuurlijke boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welke het hoogst is. Essentiële entiteiten zijn onderworpen aan proactief toezicht waaronder regelmatige audits, beveiligingsbeoordelingen en inspecties ter plaatse. Niet-naleving kan handhaving uitlokken vóór een incident plaatsvindt.
Belangrijke entiteiten
Bestuurlijke boetes tot €7 miljoen of 1,4% van de wereldwijde jaaromzet, afhankelijk van welke het hoogst is. Belangrijke entiteiten zijn onderworpen aan reactief toezicht: handhaving wordt getriggerd na een klacht of bewijs van niet-naleving, niet proactief.
Incidentmelding: drie deadlines, niet één
NIS2 Artikel 23 introduceert een gestructureerd drietraps meldingsproces. Elke fase heeft een ander doel en een ander publiek.
Binnen 24 uur: vroege waarschuwing
Zodra u zich bewust wordt van een significant incident, stuurt u een vroege waarschuwing naar uw nationaal CSIRT of bevoegde autoriteit. U bevestigt dat het incident plaatsvond, noteert of een cyberaanval wordt vermoed en meldt eventuele grensoverschrijdende impact. Het doel is autoriteiten in staat te stellen te helpen of beschermende maatregelen te nemen.
Binnen 72 uur: incidentmelding
Binnen 72 uur na bewustwording dient u een volledigere incidentmelding in. Dit omvat een eerste beoordeling van ernst, getroffen systemen of diensten en een schatting van het aantal getroffen gebruikers. Als uw eerste melding dit al bevatte, werkt u die bij.
Binnen 1 maand: eindrapport
Binnen één maand na de incidentmelding is een volledig rapport vereist. Dit moet een beschrijving van het incident, de grondoorzaak, de genomen en geplande maatregelen, en een beoordeling van grensoverschrijdende impact bevatten. Dit rapport bepaalt het regulatoire vervolg.
Hoe wij helpen
Veelgestelde vragen
Begin uw NIS2-compliance traject
Krijg een gap-analyse en roadmap naar compliance.