Wat is NIS2?
NIS2 staat voor de Network and Information Security Directive 2. Het is een Europese richtlijn die eisen stelt aan de digitale beveiliging van bedrijven en organisaties. De oorspronkelijke NIS-richtlijn richtte zich vooral op grote bedrijven in vitale sectoren. NIS2 gaat een stuk verder en raakt nu ook middelgrote en kleinere organisaties in veel meer sectoren.
Waarom is dit relevant voor het MKB?
De richtlijn geldt niet alleen voor grote corporates. Bedrijven die diensten leveren aan vitale sectoren, of die in de toeleveringsketen van zulke organisaties zitten, vallen daar ook onder. Denk aan IT-dienstverleners, leveranciers in de zorg, productie- en transportbedrijven. In de praktijk betekent dit dat ook veel MKB-bedrijven te maken krijgen met de verplichtingen uit NIS2.
Wat verandert er concreet?
NIS2 stelt onder andere de volgende eisen:
Risicoanalyse en beleid
Organisaties moeten een actueel overzicht hebben van hun digitale risico's en daar beleid op voeren.
Incidentmelding
Beveiligingsincidenten moeten binnen 24 uur worden gemeld bij de toezichthouder. Binnen 72 uur volgt een uitgebreidere melding.
Toeleveringsketenbeveiliging
U bent niet alleen verantwoordelijk voor uw eigen beveiliging, maar ook voor de digitale veiligheid binnen uw keten van leveranciers.
Bestuurlijke verantwoordelijkheid
De directie wordt persoonlijk verantwoordelijk voor de naleving van cybersecurity-maatregelen. Het is niet langer alleen een IT-kwestie.
Backup en herstelplannen
Er moeten aantoonbare procedures zijn voor backup, disaster recovery en bedrijfscontinuiteit.
Wat zijn de gevolgen van niet-naleving?
De toezichthouder krijgt bevoegdheden om boetes op te leggen. Voor essentiele organisaties kunnen die oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet. Voor belangrijke organisaties tot 7 miljoen euro of 1,4% van de jaaromzet. Los van de boetes: een beveiligingsincident zonder adequate maatregelen kan reputatieschade opleveren die veel verder gaat dan de financiele sanctie.
Wat kunt u nu al doen?
U hoeft niet te wachten tot de wet van kracht wordt. Een aantal stappen die u nu al kunt nemen:
Breng uw huidige beveiliging in kaart
Weet u welke systemen u heeft, hoe ze beveiligd zijn en waar de kwetsbaarheden zitten?
Stap over van traditionele antivirus naar EDR
Passieve antivirus voldoet niet meer aan de eisen. Endpoint Detection and Response biedt actieve bescherming en detectie.
Controleer uw backup-strategie
Zijn uw backups versleuteld, redundant en regelmatig getest? Weet u hoe snel u kunt herstellen na een incident?
Overweeg SOC-monitoring
Een Security Operations Center biedt 24/7 bewaking van uw omgeving. Voor organisaties die onder NIS2 vallen kan dit een belangrijke aanvulling zijn.
Hoe kan Draads u helpen?
Draads is ISO 27001 en NEN 7510 gecertificeerd. Wij helpen organisaties met het opzetten van een beveiligingsstrategie die voldoet aan de eisen van NIS2. Van EDR en SOC-monitoring tot backup-oplossingen en risicoanalyses. Neem vrijblijvend contact met ons op om te bespreken wat NIS2 voor uw organisatie betekent.