Wat is de NIS2-richtlijn en wat moet je ermee voor je bedrijf?

Wat is de NIS2-richtlijn?

De NIS2-richtlijn is een Europese wet die in het leven is geroepen om de digitale beveiliging van bedrijven en organisaties in Europa te versterken. De richtlijn vervangt de NIS1-richtlijn, die in 2016 werd ingevoerd, en bevat strengere eisen voor de beveiliging van netwerk- en informatiesystemen. Vanaf 17 oktober 2024 treedt de NIS2-richtlijn officieel in werking.

De nieuwe richtlijn breidt niet alleen het toepassingsgebied uit, maar stelt ook strengere eisen aan bedrijven, vooral binnen kritieke sectoren zoals energie, gezondheidszorg en digitale infrastructuur. Ook bedrijven buiten deze sectoren die deel uitmaken van de toeleveringsketen worden verplicht om aan deze nieuwe eisen te voldoen.

Voor welke sectoren geldt de NIS2-richtlijn?

Net als de oorspronkelijke NIS1-richtlijn richt de NIS2-richtlijn zich op bedrijven in vitale sectoren. Deze sectoren zijn cruciaal voor de samenleving en economie en omvatten onder andere:

• Energie (elektriciteit, gas, olie)
• Waterbeheer
• Transport en logistiek
• Gezondheidszorg
• Financiële instellingen (banken, verzekeraars)
• Digitale infrastructuur (cloudproviders, datacenters)
• Overheidsdiensten

Naast deze vitale sectoren worden ook leveranciers aan deze sectoren verplicht om cybersecuritymaatregelen te implementeren. Dit betekent dat naast de 10.000 bedrijven die rechtstreeks onder de NIS2-richtlijn vallen ook ongeveer 50.000 bedrijven die leveren aan deze bedrijven moeten voldoen aan strengere eisen voor digitale veiligheid.

Wat zijn de belangrijkste verplichtingen?

De NIS2-richtlijn legt verschillende verplichtingen op aan bedrijven om ervoor te zorgen dat zij adequaat beschermd zijn tegen cyberdreigingen. Hier zijn de belangrijkste punten:

1. Strengere eisen aan beveiliging

Bedrijven die onder de NIS2-richtlijn vallen, moeten strengere beveiligingsmaatregelen treffen voor hun netwerk- en informatiesystemen. Dit betekent dat zij hun bestaande beveiligingsbeleid moeten herzien en waar nodig moeten verbeteren. Denk hierbij aan het updaten van software, het beveiligen van systemen tegen cyberaanvallen en het regelmatig uitvoeren van risicoanalyses.

2. Ketenzorgplicht

Een van de nieuwe verplichtingen onder NIS2 is de ketenzorgplicht. Dit betekent dat de bedrijven die direct onder de richtlijn vallen, verantwoordelijk zijn voor de cybersecurity binnen hun gehele toeleveringsketen. Ze moeten risicoanalyses uitvoeren en passende maatregelen opleggen aan hun leveranciers om ervoor te zorgen dat ook zij digitaal veilig werken.

3. Meldplicht voor incidenten

Bedrijven zijn verplicht om ernstige cyberincidenten, zoals datalekken of aanvallen, binnen 24 uur te melden aan de bevoegde autoriteiten, zoals het Nationaal Cyber Security Centrum (NCSC) in Nederland. Dit stelt de overheid in staat om sneller in te grijpen bij grootschalige incidenten.

4. Toezicht en handhaving

De NIS2-richtlijn introduceert striktere regels voor toezicht en handhaving. Nationale toezichthouders, zoals het NCSC, kunnen audits uitvoeren bij bedrijven om te controleren of ze voldoen aan de eisen van de richtlijn. Bedrijven die zich niet aan de regels houden, kunnen hoge boetes krijgen, oplopend tot 10 miljoen euro of 2% van hun jaarlijkse omzet.

Wat is er nu anders door deze wet?

De belangrijkste veranderingen ten opzichte van de NIS1-richtlijn zijn:

• Uitbreiding van de sectoren: de NIS2-richtlijn geldt voor een breder scala aan sectoren en bedrijven, waaronder niet alleen vitale infrastructuren, maar ook bedrijven die onderdeel zijn van hun toeleveringsketen.
• Strengere beveiligingseisen: alle bedrijven die onder de NIS2 vallen, moeten hun cybersecuritybeleid herzien en aanscherpen.
• Ketenzorgplicht: De verantwoordelijkheid voor cybersecurity strekt zich nu uit over de hele toeleveringsketen, waardoor bedrijven ook maatregelen moeten opleggen aan hun leveranciers.
• Verhoogde boetes en strengere handhaving: het niet naleven van de richtlijn kan leiden tot zware financiële sancties.

Wat betekent dit voor jouw bedrijf?

Lees hier verder