Is jouw organisatie klaar voor NIS2?

Enkele van de belangrijkste doelstellingen zijn:

• Verbetering van de cybersecurity
  NIS2 heeft tot doel de cybersecuritypraktijken binnen EU-lidstaten te verbeteren door middel van consistente maatregelen en richtlijnen.
• Versterking van de weerbaarheid tegen cyberdreigingen
  De richtlijn streeft naar het vergroten van de weerbaarheid van kritieke infrastructuur en digitale dienstverleners tegen cyberaanvallen en -storingen.
• Bescherming van zeer kritieke sectoren
  NIS2 beoogt de bescherming van zeer kritieke sectoren zoals energie, transport, gezondheidszorg en digitale infrastructuur te waarborgen.
• Bescherming van andere kritieke sectoren
  NIS2 beoogt de bescherming van andere kritieke sectoren zoals afvalstoffenbeheer, levensmiddelen, fabrikanten en digitale aanbieders te waarborgen.
• Beter beheer van cybersecurityincidenten
  De richtlijn stelt vereisten vast voor het melden en beheren van cybersecurityincidenten, waardoor snelle reactie en herstel mogelijk wordt.
• Bevordering van samenwerking tussen lidstaten
  NIS2 beoogt de samenwerking en uitwisseling van informatie tussen EU-lidstaten te versterken om gezamenlijk cyberdreigingen aan te pakken en veerkracht op te bouwen.
• Beter bewustzijn en betrokkenheid van belanghebbenden
  De richtlijn moedigt bewustwording en betrokkenheid van zowel publieke als private belanghebbenden aan bij het verbeteren van cybersecurity en het versterken van digitale veerkracht.

NIS2 richt zich op organisaties in specifieke sectoren, met ‘essentiële’ of ‘belangrijke’ status.

Essentiële entiteiten

• Zeer kritieke sectoren in bijlage I van de NIS2-richtlijn, met minstens 250 werknemers of een jaaromzet van meer dan 50 miljoen euro en een balanstotaal van meer dan 43 miljoen euro.

Belangrijke entiteiten

• Zeer kritieke organisaties in bijlage I en andere kritieke sectoren in bijlage II van de NIS2-richtlijn, met minstens 50 werknemers of een jaaromzet en balanstotaal van meer dan 10 miljoen euro.

Hoewel micro- en kleinbedrijven meestal niet onder NIS2 vallen, kunnen ze door de minister toch aangewezen worden na een risicobeoordeling, vooral als hun diensten cruciaal zijn voor de Nederlandse economie of samenleving. Micro- en kleinbedrijven die actief zijn in specifieke diensten, zoals vertrouwensdiensten, vallen wel direct onder de NIS2-richtlijn.

De NIS2-richtlijn legt verschillende verplichtingen op:

• Zorgplicht
  Organisaties moeten zelf een risicobeoordeling uitvoeren en passende maatregelen nemen om hun diensten en netwerk- en informatiesystemen te beschermen.
• Meldplicht
  Incidenten die een aanzienlijke impact hebben op de levering van de diensten van een organisatiemoeten binnen 24 uur worden gemeld bij de toezichthouder en bij het Computer Security Incident Response Team (CSIRT). Daarna moeten vervolgmeldingen plaatsvinden. De meldplicht bestaat uit 4 fases.
• Registratieplicht
  Organisaties onder de NIS2-richtlijn moeten zich registreren om een Europees overzicht te waarborgen. Momenteel wordt gewerkt aan een centraal registratiepunt.
• Toezicht
  Organisaties worden gecontroleerd op naleving van de richtlijn, met aandacht voor de zorg- en meldplicht. De toewijzing van sectoren aan verschillende toezichthouders is gaande, waarbij essentiële entiteiten onder proactief toezicht vallen en belangrijke entiteiten onder reactief toezicht. Ook verschillen de hoogte van de boetes.

De Rijksoverheid werkt sinds januari 2023 aan de omzetting van de NIS2-richtlijn naar nationale wetgeving (Wet Beveiliging Netwerk – en Informatiesystemen, “Wbni”), een complex proces met grote impact op Nederlandse organisaties. Halverwege 2024 vindt de internetconsultatie plaats, waarin sectoren en organisaties kunnen reageren op de concept wetteksten. Na deze fase worden ontvangen reacties verwerkt en zal de NIS2 uiteindelijk geïmplementeerd worden in de Wbni. Het streven is dat dit najaar het wetsvoorstel wordt ingediend en dat NIS2 eind 2024 wordt geïmplementeerd in de Nederlandse wet.

Niet voldoen aan de NIS2-richtlijn kan ernstige gevolgen hebben voor organisaties, zowel op juridisch als strategisch vlak:

Juridische gevolgen

• Boetes
  Niet naleven van de NIS2-richtlijn kan leiden tot aanzienlijke boetes.
  • 10 miljoen euro of 2% van de jaaromzet.
  • 7 miljoen Euro of 1,4% van de totale wereldwijde omzet bij belangrijke organisaties.
  • o Andere sancties van de toezichthoudende autoriteiten, zoals inspecties, audits, schorsing van bestuursleden en publieke openbaarmakingen.
• Wettelijke aansprakelijkheid
  Organisaties kunnen juridisch aansprakelijk worden gesteld voor schade als een beveiligingsincident voorkomen had kunnen worden door de vereiste maatregelen te treffen.
• Overige juridische gevolgen
  Andere sancties van de toezichthoudende autoriteiten, zoals inspecties, audits, schorsing van bestuursleden en publieke openbaarmakingen.

Strategische gevolgen

• Reputatieschade
  Niet naleven van de NIS2-richtlijn kan leiden tot reputatieschade en het vertrouwen van klanten, partners en investeerders schaden, vooral na een cyberaanval.

De NIS2-richtlijn is de opvolger van de oorspronkelijke NIS-richtlijn en kent enkele belangrijke verschillen:

• Uitgebreidere reikwijdte
  NIS2 omvat meer sectoren dan de eerste richtlijn. Naast energie, drinkwater en banken vallen nu ook overheidsdiensten, levensmiddelen en managed service providers onder NIS2.
• Strengere beveiligingsnormen en meldingsvereisten
  NIS2 legt strengere beveiligingsnormen op aan organisaties en vereist dat zij risicobeoordelingen uitvoeren. Incidenten die de netwerk- en informatiesystemen bedreigen, moeten worden gemeld, wat zorgt voor een hoger niveau van cybersecurity bij organisaties.

Kortom, NIS2 heeft een bredere toepassing en stelt strengere eisen aan digitale veiligheid dan de oorspronkelijke NIS-richtlijn.

De belangrijkste uitdagingen bij het implementeren van NIS2 zijn:

• Opleidingsverplichtingen
  Leidinggevenden zijn verantwoordelijk voor het cyber management en moeten trainingen volgen. Organisaties moeten ook hun personeel informeren over de nieuwe eisen en procedures onder NIS2. Dit vereist training en educatie om ervoor te zorgen dat iedereen goed geïnformeerd is.
• Proactieve maatregelen voor informatie- en cyberbeveiliging
  Het implementeren van cybersecuritymaatregelen om te voldoen aan de NIS2-richtlijn vergt tijd en middelen. Dit omvat het ontwikkelen van beleid, het uitvoeren van risicoanalyses, contractenbeheer op orde hebben, de juiste verzekeringen afsluiten en het implementeren van technische oplossingen.
• Incidentmeldingen
  Organisaties moeten cyberincidenten rapporteren aan de juiste autoriteiten. Dit vereist een gestroomlijnd proces en bewustzijn binnen de organisatie.
• Omgaan met toezicht
  NIS2 betekent proactief en reactief toezicht door autoriteiten. Organisaties moeten zich voorbereiden op dit toezicht en ervoor zorgen dat ze aan de vereisten voldoen.

Fellowmind en Louise de Gier van BOLT advocaten werken samen om organisaties te ondersteunen bij de invoering van NIS2. Gezamenlijk bieden we een brede ondersteuning op het gebied van cybersecurity en wetgeving.

• Uitleg en advisering met betrekking tot technische maatregelen
• Cybersecurity IT assessment van jouw organisatie zodat je weet waar de zwakke plekken zitten en wat daaraan gedaan kan worden
• Diverse andere security packages
• Advisering over de toepasselijkheid van de NIS2
• Opstellen of ondersteuning van beleidsprotocollen zoals een incident response protocol
• Ondersteuning bij het melden van incidenten en vertegenwoordiging bij de toezichthouder
• Advies over contractuele verplichtingen en aansprakelijkheid van organisatie en bestuur
• Beoordeling van verzekeringspolissen