Wat is NIS2?
NIS2 is de Europese richtlijn voor een hoog gemeenschappelijk niveau van cyberbeveiliging in de Unie. Ze vervangt de oorspronkelijke NIS-richtlijn en breidt de scope sterk uit. Lidstaten moesten NIS2 uiterlijk op 17 oktober 2024 omzetten in nationaal recht. In België geldt de NIS2-wet van 26 april 2024 sinds 18 oktober 2024, met het Centrum voor Cybersecurity België (CCB) als nationale autoriteit.
De richtlijn bevat drie onderdelen die voor bestuurders en securityteams bijzonder belangrijk zijn: artikel 20 over verantwoordelijkheid van het bestuur, artikel 21 over minimale cybersecuritymaatregelen en artikel 23 over incidentmelding. NIS2 is geen certificeringsnorm zoals ISO 27001, maar een wettelijke verplichting voor organisaties die binnen de scope vallen.
Voor wie geldt NIS2?
NIS2 geldt doorgaans voor middelgrote en grote organisaties: minstens 50 werknemers of meer dan 10 miljoen euro omzet en balanstotaal, actief in sectoren uit bijlage I of II. Sommige organisaties vallen ongeacht grootte onder de regels, zoals aanbieders van openbare elektronische communicatienetwerken, vertrouwensdiensten, DNS-diensten en TLD-registers.
De richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten. Essentiële entiteiten zijn meestal grote organisaties in sectoren met hoge kritikaliteit. Belangrijke entiteiten vallen ook onder dezelfde beveiligingsmaatregelen, maar het toezicht en de maximale boetes verschillen. Nationale wetgeving en sectorrichtlijnen bepalen de precieze toepassing.
- Bijlage I: energie, transport, bankwezen, financiële marktinfrastructuur, gezondheid, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstbeheer, overheid en ruimtevaart.
- Bijlage II: post- en koeriersdiensten, afvalbeheer, chemie, voeding, productie van bepaalde goederen, digitale aanbieders en onderzoek.
Welke deadlines en boetes gelden onder NIS2?
| Verplichting | Termijn of bedrag |
|---|---|
| Omzetting in nationaal recht | 17 oktober 2024 |
| Vroege waarschuwing bij significant incident | Binnen 24 uur na kennisname |
| Incidentmelding | Binnen 72 uur na kennisname |
| Eindrapport | Binnen één maand na de melding |
| Maximale boete voor essentiële entiteiten | €10 miljoen of 2% van de wereldwijde jaaromzet |
| Maximale boete voor belangrijke entiteiten | €7 miljoen of 1,4% van de wereldwijde jaaromzet |
Wat vraagt artikel 21 van NIS2?
Artikel 21(2) noemt tien maatregelen die passend en evenredig moeten zijn voor het risico. Ze zijn concreet genoeg om in controls, beleid, taken en bewijs te vertalen.
- Beleid voor risicoanalyse en beveiliging van informatiesystemen.
- Incidentafhandeling en meldprocedures.
- Bedrijfscontinuïteit, backupbeheer, disaster recovery en crisisbeheer.
- Supply-chainbeveiliging en beveiliging van relaties met leveranciers.
- Beveiliging bij aankoop, ontwikkeling en onderhoud van netwerk- en informatiesystemen.
- Procedures om de effectiviteit van maatregelen te beoordelen.
- Cyberhygiëne en cybersecuritytraining.
- Cryptografie en, waar passend, encryptie.
- HR-beveiliging, toegangscontrole en assetmanagement.
- Multi-factor authenticatie, beveiligde communicatie en noodcommunicatie.
Hoe helpt ComplyPilot bij NIS2?
ComplyPilot behandelt NIS2 als een frameworklaag bovenop je bestaande controls. Elke NIS2-vereiste wordt gekoppeld aan controls, risico's, beleid, leveranciers en bewijs. Als je al ISO 27001 gebruikt, tellen dezelfde controls mee voor NIS2 waar dat inhoudelijk klopt. Daardoor vermijd je dubbel werk en zie je toch welke NIS2-specifieke verplichtingen nog openstaan.
Het NIS2-dashboard toont gereedheid per categorie, zoals governance, risicobeheer, incidentafhandeling, bedrijfscontinuïteit en supply chain. Leveranciersrecords bevatten kritikaliteit, reviewfrequentie en deadlines. Taken helpen remediation op te volgen. Voor incidenten kan het team de 24-uurs, 72-uurs en één-maands stappen voorbereiden, zodat de meldplicht niet pas tijdens een crisis wordt uitgezocht.
Wanneer is een spreadsheet niet meer genoeg voor NIS2?
Een spreadsheet kan werken voor een eerste inventaris, maar NIS2 vraagt aantoonbaarheid over meerdere domeinen. Het risico is dat risico's in één bestand staan, leveranciers in een ander, bewijs in mappen en taken in mail of chat. Bij een incident of toezichtsvraag kost het dan te veel tijd om te bewijzen welke maatregel werkt en wie eigenaar is.
ComplyPilot houdt die relaties vast. Een leverancier kan gekoppeld zijn aan een risico, een control, een reviewdatum en bewijs. Een control kan tegelijk ISO 27001 en NIS2 ondersteunen. De auditlog toont wijzigingen. Dat maakt het programma beter overdraagbaar tussen CTO, CIO, auditor en bestuur.
Veelgestelde vragen
Betekent ISO 27001 automatisch NIS2-conformiteit?
Nee. ISO 27001 dekt veel maatregelen van artikel 21, maar NIS2 voegt wettelijke plichten toe zoals incidentmelding, bestuurdersverantwoordelijkheid en registratie.
Wie is de NIS2-autoriteit in België?
Het Centrum voor Cybersecurity België (CCB).
Wat is het verschil tussen essentieel en belangrijk?
Beide categorieën moeten maatregelen nemen. Het verschil zit vooral in toezicht, handhaving en maximale boetes.
Kan ComplyPilot helpen met leveranciersbeheer?
Ja. Leveranciers kunnen worden vastgelegd met kritikaliteit, reviewfrequentie, due dates en gekoppeld bewijs.