Wat moet u weten over de tien maatregelen van NIS2?
De NIS2-richtlijn beschrijft tien soorten maatregelen waarmee organisaties hun digitale veiligheid kunnen aantonen. Het gaat niet om tien losse regels die u één voor één moet afvinken, maar om tien gebieden waarop een organisatie beleid en werkwijzen hoort te hebben. Veel afnemers nemen deze gebieden letterlijk over in hun cyberveiligheidsvragenlijst, omdat zij op hun beurt moeten kunnen aantonen dat hun leveranciers daar iets aan doen.
Of de richtlijn rechtstreeks op uw organisatie van toepassing is, hangt af van de sector waarin u actief bent en van uw omvang. Veel kleinere bedrijven vallen niet rechtstreeks onder NIS2, maar krijgen de vragen toch doorgestuurd omdat hun klant dat wel is en de keten moet doorvragen. Dat verschil tussen rechtstreeks vallen onder de richtlijn en onderdeel zijn van iemand anders zijn verantwoording is precies waar veel verwarring ontstaat.
Waar gaan de tien gebieden over
De richtlijn noemt onder meer risicoanalyse en beleid voor informatiebeveiliging, het afhandelen van incidenten, bedrijfscontinuïteit en crisisbeheer bij een verstoring, en de beveiliging van de toeleveringsketen. Daarnaast noemt ze beveiliging bij de aanschaf, ontwikkeling en het onderhoud van netwerk- en informatiesystemen, beleid om de effectiviteit van maatregelen te beoordelen, en basispraktijken op het gebied van cyberhygiëne en bewustwordingstraining voor medewerkers. De laatste gebieden gaan over beleid voor het gebruik van cryptografie en encryptie, personeelsbeveiliging en toegangsbeleid, het beheer van bedrijfsmiddelen, en het gebruik van multifactorauthenticatie of vergelijkbare oplossingen voor beveiligde communicatie.
Het is belangrijk te zien dat dit beleidsgebieden zijn, geen checklist met één juiste invulling. Een installatiebedrijf met tien medewerkers geeft op elk van deze gebieden waarschijnlijk een andere, eenvoudigere invulling dan een IT-dienstverlener met honderd medewerkers. Toezichthouders kijken daarbij naar of de maatregelen passen bij de risico's die bij de organisatie horen, niet naar een vast sjabloon dat voor iedereen gelijk is.
Waarom uw klant hiernaar vraagt
Als uw afnemer onder NIS2 valt, moet die afnemer kunnen aantonen dat ook zijn leveranciers aandacht besteden aan deze gebieden. Vandaar dat vragenlijsten vaak letterlijk de tien gebieden aflopen: heeft u een incidentprocedure, gebruikt u multifactorauthenticatie, heeft u beleid voor uw leveranciers. Voor u als ontvanger van de vragenlijst betekent dit vaak dat dezelfde tien onderwerpen in net iets andere bewoording terugkomen bij elke klant die de lijst stuurt.
Dat is ook meteen het grootste praktische probleem: niet de inhoud van de vragen, maar de herhaling. Dezelfde informatie over uw wachtwoordbeleid, uw back-upprocedure en uw incidentafhandeling wordt in tien verschillende formats gevraagd, met tien verschillende portalen. Supplia is gebouwd om dat herhaalwerk te verminderen: u beantwoordt deze onderwerpen één keer in uw eigen ketendossier, en het systeem herkent vergelijkbare vragen in de lijst van elke nieuwe klant. U bevestigt zelf elk antwoord met ja of nee voordat het naar het portaal van uw klant gaat; Supplia beoordeelt niets en logt nergens zelf in.
Hoe u dit voor uzelf behapbaar houdt
Het helpt om niet te starten bij de tien gebieden zelf, maar bij wat u al heeft liggen: een wachtwoordbeleid, een back-upschema, een lijst met wie toegang heeft tot welke systemen. Veel van die stukken bestaan al, maar liggen verspreid over mappen en hoofden. Het ordenen daarvan is vaak meer werk dan het daadwerkelijk invoeren van nieuwe maatregelen. de uitleg per onderwerp in de kennisbank loopt de tien gebieden één voor één langs met wat erbij hoort.
Wilt u snel weten welke van deze gebieden bij uw situatie al op orde lijken en welke aandacht vragen, dan geeft de herkenningscheck in een paar vragen een eerste indicatie. Voor wie wil weten waar de informatie op Supplia vandaan komt en hoe die wordt bijgehouden, legt de pagina over onze werkwijze dat uit.
Of NIS2 in uw specifieke geval van toepassing is en welke maatregelen daarbij precies passen, is iets dat u het best kunt voorleggen aan een jurist of de bevoegde toezichthouder. Dit artikel beschrijft de richtlijn in algemene termen en vervangt dat advies niet.
Herkent u de vragen die uw klant stuurt, maar wilt u eerst zien hoe het invullen in de praktijk werkt? Lees de veelgestelde vragen over het invullen en indienen of start de gratis quick-scan om te zien welke onderwerpen bij uw bedrijf spelen.