Wat is de NIS2?

De Network and Information Security Directive (NIS) is sinds 2016 van kracht in de Europese Unie. Deze richtlijn heeft als doel de beveiliging en informatiebeveiliging van vitale sectoren te versterken door middel van specifieke maatregelen en regelgeving. Om de NIS-richtlijn te implementeren, moeten lidstaten een nationaal kader opzetten om de veiligheid en veerkracht van netwerk- en informatiesystemen in vitale sectoren te waarborgen. Dit omvat het identificeren van kwetsbaarheden, het vaststellen van beveiligingsmaatregelen en het opzetten van een coördinatiemechanisme voor incidentrespons. Het uiteindelijke doel is om de digitale infrastructuur van de Europese Unie te beschermen tegen cyberdreigingen en ervoor te zorgen dat vitale diensten blijven functioneren, zelfs in geval van een cyberaanval.

Onduidelijkheden en NIS2

De huidige NIS1-richtlijn blijkt echter onduidelijk te zijn wat betreft maatregelen en verantwoordelijkheden, en er zijn inconsistenties in de naleving en sancties. Dit heeft geleid tot de introductie van NIS2 als aanvulling op NIS1.

Enkele punten die onduidelijk kunnen zijn in de NIS1 zijn:

• Onduidelijkheden in de maatregelen en verantwoordelijkheden van NIS1.

• Inconsistenties in de naleving en sancties van NIS1.

• De exacte gevolgen en juridische consequenties van het niet naleven van de NIS1-richtlijnen.

• De rol en verantwoordelijkheid van bestuurders binnen organisaties met betrekking tot informatiebeveiliging volgens NIS1.

• De impact van NIS1 op verschillende sectoren en toeleveranciers.

• De specifieke maatregelen en vereisten voor organisaties om te voldoen aan de NIS1-richtlijnen.

Het doel is om dit wel duidelijk te krijgen in de NIS2.

Belangrijke punten van NIS2

Met de introductie van NIS2 worden de sectoren duidelijker gedefinieerd. Naast de vitale/essentiële sectoren omvat NIS2 ook de toeleveranciers. Dit betekent dat er goede afspraken moeten worden gemaakt met leveranciers om de beveiliging te waarborgen. Bovendien is het van cruciaal belang dat organisaties zorgen voor een goede samenwerking en communicatie met hun leveranciers, zodat ze gezamenlijk de vereiste beveiligingsmaatregelen kunnen implementeren en handhaven.

Een andere belangrijke wijziging in het kader van NIS2 is dat bestuurders binnen organisaties aansprakelijk worden gesteld en moeten kunnen aantonen dat ze zich actief bezighouden met informatiebeveiliging. Dit betekent dat bestuurders een proactieve rol moeten spelen bij het waarborgen van de beveiliging van hun organisatie. Ze moeten ervoor zorgen dat er adequaat toezicht is op de beveiligingsmaatregelen en dat er regelmatig controles en audits worden uitgevoerd om de effectiviteit van deze maatregelen te evalueren.

Naast de verhoogde aansprakelijkheid van bestuurders, zal het toezicht op naleving van de beveiligingsvoorschriften ook worden geïntensiveerd. Dit betekent dat er strengere controles en audits zullen plaatsvinden om te controleren of organisaties voldoen aan de vereiste beveiligingsnormen. Vanaf oktober 2024 zullen er zelfs strengere maatregelen worden genomen tegen bestuurders die nalatig zijn op het gebied van informatiebeveiliging. Dit kan variëren van boetes tot juridische consequenties, afhankelijk van de ernst van de nalatigheid.

Het is essentieel voor organisaties om deze veranderingen serieus te nemen en ervoor te zorgen dat ze goed voorbereid zijn op de nieuwe eisen op het gebied van informatiebeveiliging.

Voor wie geldt de NIS2?

NIS2 is onder andere van toepassing op de vitale/essentiële sectoren, dit zijn sectoren die van cruciaal belang zijn voor het goed functioneren van een land. Deze sectoren spelen een vitale rol bij het waarborgen van de basisbehoeften van de samenleving. Ze zijn verantwoordelijk voor het leveren van essentiële diensten en het behouden van de stabiliteit en veiligheid van het land.

Enkele voorbeelden van vitale/essentiële sectoren zijn:

• Transport

• De energiesector

• Financiële sector

• De gezondheidszorg

• Het drinkwater- en afvalwaterbeheer

• De overheidssector

• De (digitale) infrastructuur

• Ruimtevaart

Binnen de digitale infrastructuur vallen verschillende belangrijke componenten, zoals datacenters, netwerkhubs en internettoegangspunten. Deze infrastructuur is essentieel voor het ondersteunen van moderne communicatie en digitale diensten die van cruciaal belang zijn in onze hedendaagse samenleving.

Bij de implementatie van NIS2 is het belangrijk om rekening te houden met de omvang van organisaties. Zowel middelgrote als grote organisaties spelen een belangrijke rol in het waarborgen van de veiligheid en veerkracht van de vitale/essentiële sectoren. Het is van groot belang dat zij passende maatregelen nemen om cyberdreigingen en aanvallen te voorkomen en te beperken.

Organisaties voorbereiden op de NIS2-richtlijn met de zelf-evaluatie tool

Het Nationaal Cyber Security Centrum heeft een zelf-evaluatie tool gelanceerd om organisaties voor te bereiden op de NIS2-richtlijn. Met behulp van deze tool kunnen organisaties bepalen of ze onder de NIS2-richtlijn vallen en of ze als "essentieel" of "belangrijk" worden beschouwd voor het functioneren van de samenleving en/of economie. Door de zelfevaluatie in te vullen, kunnen organisaties achterhalen of ze voldoen aan de vereisten van NIS2 en kunnen ze tijdig de nodige maatregelen nemen om te voldoen aan de nieuwe wetgeving. Het is van groot belang dat organisaties zich bewust zijn van de mogelijke juridische consequenties en boetes die het niet naleven van de NIS2-richtlijn met zich mee kan brengen. Daarom is het raadzaam om de zelf-evaluatie tool te gebruiken en ervoor te zorgen dat uw organisatie voldoet aan de vereisten van NIS2. Je kunt de zelf-evaulatie tool hier vinden.

Risicomanagement en maatregelen

Het nemen van passende maatregelen als organisatie begint met risicomanagement. Dit betekent dat er een systematische aanpak gevolgd moet worden om risico's te identificeren, te beoordelen en te beheersen.

Om de kwaliteit en volledigheid van de genomen maatregelen te waarborgen, is het belangrijk om gebruik te maken van multidisciplinaire tools en standaarden. Deze tools en standaarden helpen bij het identificeren van mogelijke risico's en het implementeren van passende beveiligingsmaatregelen.

Bij het bepalen van de maatregelen is het belangrijk om rekening te houden met de doelstellingen van de organisatie en de beschikbare middelen. Daarnaast is het essentieel om de maatregelen periodiek te evalueren en indien nodig aan te passen.

Continu pentesten

Een belangrijk onderdeel van de beveiligingsmaatregelen is het continu pentesten van systemen. Pentesten, ook wel bekend als penetratietesten, is een methode die wordt gebruikt om te controleren of iemand met kwaadwillige bedoelingen kan binnendringen in de infrastructuur. Voorheen werd pentesten vaak eenmalig uitgevoerd en werd er alleen gerapporteerd als er kwetsbaarheden werden gevonden.

Echter, in de huidige tijd is het van cruciaal belang om pentesten regelmatig en continu uit te voeren. Dit betekent dat er op regelmatige basis tests worden uitgevoerd om te controleren of de genomen beveiligingsmaatregelen nog steeds effectief zijn en om mogelijke kwetsbaarheden tijdig te identificeren en aan te pakken.

Het continu pentesten moet niet alleen worden uitgevoerd op het moment dat een product in gebruik wordt genomen, maar ook op regelmatige basis om te waarborgen dat de beveiligingsmaatregelen voldoen aan de NIS2-wetgeving. Dit is een wetgeving die specifiek gericht is op het waarborgen van de beveiliging van digitale systemen en netwerken.

Daarnaast kan het continu pentesten ook helpen bij het identificeren van nieuwe bedreigingen en aanvalsmethoden die zich kunnen voordoen in een steeds veranderend cyberlandschap. Door regelmatig pentesten uit te voeren, kunnen organisaties proactief reageren op nieuwe beveiligingsrisico's en hun beveiligingsmaatregelen verbeteren.

Kortom, het continu pentesten van systemen is een essentiële praktijk geworden in de moderne tijd vanwege de toenemende complexiteit van cyberdreigingen. Het biedt organisaties de mogelijkheid om proactief hun beveiligingsniveau te verbeteren en de risico's van inbreuken en datalekken te minimaliseren.

Conclusie

NIS2 is een belangrijke stap vooruit om de EU beter te beschermen tegen cyberaanvallen en beter te laten reageren op dergelijke incidenten. Het is essentieel dat organisaties binnen vitale sectoren de juiste maatregelen nemen en zich bewust zijn van de impact van informatiebeveiliging op hun activiteiten.

Het continu pentesten van systemen is een belangrijk onderdeel van het waarborgen van de veiligheid en het voldoen aan de NIS2-richtlijnen. Door regelmatig pentesten uit te voeren, kunnen mogelijke kwetsbaarheden tijdig worden geïdentificeerd en geadresseerd, waardoor de beveiliging van systemen en gegevens wordt versterkt.