Of u nu in de EU gevestigd bent of niet, NIS2 is een zaak van bestuurlijk belang die niet genegeerd mag worden. 

Zelfs als uw bedrijf hier niet direct door wordt geraakt, heeft u waarschijnlijk wel eens gehoord van de NIS-richtlijn van de EU en de opvolger daarvan, NIS2.

De NIS-richtlijn (Netwerk- en informatiesystemen) van 2016 trad in werking om meer verantwoordingsplicht op het gebied van beveiliging en governance in te voeren voor sectoren die de EU als „kritiek“ aanmerkt, zoals energie en vervoer. De richtlijn gold ook voor andere „belangrijke“ sectoren die, mocht zich een incident voordoen, een negatieve invloed zouden kunnen hebben op de werking van die kritieke sectoren.

Met de invoering van de richtlijn inzake netwerk- en informatiebeveiliging (NIS2) is het toepassingsgebied van de richtlijn uitgebreid naar andere sectoren, terwijl bepaalde verplichtingen in de wetgeving zijn geharmoniseerd.

Cruciaal is dat hierdoor ook de verantwoordingsplicht van het hoger management werd uitgebreid, waardoor veiligheid en veerkracht stevig zijn verankerd in het corporate governance-kader van de organisatie.

Het management is nu rechtstreeks verantwoordelijk – en aansprakelijk – voor NIS2

De gevolgen van een mislukking kunnen ernstig zijn, zowel voor uw bedrijf als voor de leidinggevenden.

Voor bedrijven worden eventuele boetes berekend als een percentage van de wereldwijde omzet — niet alleen van de omzet uit de betrokken markt. Dat kan boetes betekenen van maximaal 2% van de totale omzet of 10 miljoen euro.

Maar de boete die het bedrijf krijgt opgelegd, biedt geen bescherming voor het topmanagement. De NIS2-richtlijn legt de verantwoordelijkheid voor naleving bij het topmanagement en stelt hen aansprakelijk voor tekortkomingen. Als er dus sprake is van nalatigheid, mogen zij mogelijk niet langer leiding geven aan het betreffende bedrijf.

De wetgeving is duidelijk: cyberbeveiliging en veerkracht zijn niet langer een ‘IT-probleem’. Ze vormen een essentieel onderdeel van corporate governance, en als ze niet als zodanig worden behandeld, kan dat ernstige gevolgen hebben voor zowel het bedrijf als zijn leidinggevenden.

NIS2 zou een punt van zorg moeten zijn, zelfs als u niet onder de werkingssfeer ervan valt

NIS2 verplicht bedrijven om verder te kijken dan alleen de risico’s die zij zelf kunnen beheersen. Het verplicht hen ook om hun toeleveringsketens te beoordelen op mogelijke zwakke plekken en een te grote afhankelijkheid van bepaalde bedrijven.

Als uw bedrijf een van de vele leveranciers van een andere organisatie is, wordt u wellicht als ‘belangrijk’ beschouwd. Maar als u de enige leverancier van bepaalde diensten bent, kunt u voor dat bedrijf ‘cruciaal’ worden — waardoor het nalevingsrisico op uw bedrijf wordt overgedragen. 

Dus zelfs als uw organisatie niet rechtstreeks onder NIS2 valt, kan er toch van u worden verlangd dat u aantoont dat uw werkzaamheden onder de werkingssfeer vallen, als u zaken wilt doen met bedrijven die dat wel zijn.

En het gaat niet eens alleen om NIS2. Ook andere landen hebben soortgelijke wetgeving met overlappende vereisten. Het Verenigd Koninkrijk heeft bijvoorbeeld zijn eigen NIS-wetgeving, naast strenge meldingsplichten voor inbreuken in het kader van de Britse AVG. Er wordt ook gesproken over wat er binnen de EU mogelijk in het kader van NIS3 op stapel staat. Wetgeving wordt zelden beperkt, en er wordt nu al gediscussieerd over hoe het toepassingsgebied ervan zal worden uitgebreid.

Kortom, dit soort frameworks zullen niet verdwijnen, maar alleen maar verder groeien.

De vier belangrijkste gebieden van het toezicht op NIS2

Hoewel deze onder de NIS2-wetgeving vallen, vormen ze ook een praktisch kader voor het versterken van corporate governance, cyberbeveiliging en veerkracht binnen elke organisatie.

• Risicobeheer – Dit is het preventieve aspect. Het gaat erom ervoor te zorgen dat alles goed op orde is om risico’s tot een minimum te beperken. Dit omvat onder meer incidentbeheer, een betere beveiliging van de toeleveringsketen, verbeterde netwerkbeveiliging, betere toegangscontrole en versleuteling.
• Meldingsplicht – Als er iets misgaat, gelden er strikte termijnen voor het melden van inbreuken. Elke seconde telt, en het is van cruciaal belang dat uw bedrijf weet welke verplichtingen het heeft bij het reageren op een incident.
• Bedrijfscontinuïteit – Hoe blijft uw organisatie functioneren als het ergste gebeurt? Beschikt zij over een noodherstelplan? Is dit getest? Zijn de teams klaar om zich snel aan te passen als zich een incident voordoet? Kortom: kan uw bedrijf het hoofd boven water houden en zich herstellen?

Aan deze drie kerngebieden ligt de verantwoordingsplicht van de onderneming ten grondslag . Het gaat er niet om dat we dit aan de IT-afdeling overlaten, maar dat we ervoor zorgen dat managementteams worden getraind om hun verantwoordelijkheden te begrijpen en maatregelen te nemen om naleving te waarborgen.

De wetgeving kan veranderen, maar de onderliggende behoefte blijft bestaan

Door de principes van NIS2 te omarmen, zelfs als u daar wettelijk niet toe verplicht bent, toont u aan dat u klaar bent om zaken te doen met partijen die dat wel zijn. Bovendien zal het toepassen van deze aanpak uw beveiligingsniveau en uw vermogen om op incidenten te reageren alleen maar verbeteren.

Aangezien de gemiddelde kosten van een datalek meer dan 3,3 miljoen euro bedragen, onderstreept alleen al de financiële impact de noodzaak van een krachtig beheer. En dan hebben we het nog niet eens over de kosten van reputatieschade. 

Kaseya, met zijn pakket aan oplossingen voor IT-beheer en risicobeheer, benadrukt al geruime tijd het belang van de juiste tools om organisaties te stroomlijnen, te beheren en te beveiligen.

Goed bestuur vereist de juiste instrumenten

Hoewel de overkoepelende wetgeving kan veranderen en zich blijft ontwikkelen, blijven de principes hetzelfde. Goed bestuur is afhankelijk van hulpmiddelen die de kans op menselijke fouten verkleinen, de opsporing versnellen, helpen bij het oplossen van problemen en ervoor zorgen dat teams precies beschikken over wat ze nodig hebben als er iets misgaat.

Het betekent ook dat u over het juiste bewijsmateriaal moet beschikken voor het geval uw bedrijf wordt gecontroleerd of een beveiligingsinbreuk moet melden. Dat omvat alles van bewijzen van opleidingen en documentatie over het beheer tot gedetailleerde verslagen waarin stap voor stap wordt beschreven hoe een beveiligingsincident is afgehandeld.

In ons volgende artikel bespreken we de tien punten die managementteams met IT-verantwoordelijken moeten bespreken om naleving van NIS2 te waarborgen.