Tien vragen die u uw IT-team kunt stellen over NIS2-naleving

Eerder hebbenwe het gehad over NIS2en de verplichtingen die deze verordening oplegt aan organisaties die door de EU als „kritiek“ en „belangrijk“ zijn aangemerkt. Hier bespreken we de belangrijkste aspecten die ten grondslag liggen aan de naleving van NIS2.

Een belangrijk uitgangspunt van de wetgeving is dat leidinggevenden niet langer kunnen volstaan met het werk aan de IT-afdeling over te laten — zij hebben een fiduciaire plicht om zich proactief te verdiepen in cyberbeveiliging en veerkracht en ervoor te zorgen dat hierop adequaat toezicht wordt gehouden.

Zelfs als u niet rechtstreeks door de wetgeving wordt geraakt, kan deze aanpak u helpen om zaken te doen met partijen die dat wel zijn, terwijl u er tegelijkertijd voor zorgt dat uw bedrijf bestand is tegen beveiligingsrisico’s en zich kan herstellen na een incident.

Tien belangrijke aandachtspunten voor naleving van NIS2

1. Risicoanalyse en beveiliging van informatiesystemen: Het is van cruciaal belang om inzicht te hebben in mogelijke kwetsbaarheden en in de gevolgen die een inbreuk op een systeem zou hebben. Weet u welke systemen misbruikt zouden kunnen worden? Weet u hoe deze systemen beveiligd zijn? Is deze informatie duidelijk gedocumenteerd en gemakkelijk toegankelijk voor degenen die deze nodig hebben?
2. Incidentafhandeling: Dit is van invloed op alles, van de manier waarop je incidenten opspoort tot hoe je erop reageert en welke informatie je kunt gebruiken om ze aan de bevoegde autoriteiten te melden. De meldingstermijnen onder NIS2 zijn streng – doorgaans binnen 72 uur – dus het bijhouden van gedetailleerde controles en logboeken van elke handeling is van cruciaal belang om aan de vereiste termijnen te voldoen.
3. Maatregelen voor bedrijfscontinuïteit: hierbij gaat het erom hoe uw bedrijf reageert als het ergste zich voordoet. Beschikt u over de juiste back-upstrategie? Wat is uw noodherstelplan? Weten uw teams hoe ze dat plan moeten uitvoeren en met wie ze in geval van nood contact moeten opnemen?
4. Beveiliging van de toeleveringsketen: U bent verplicht inzicht te hebben in mogelijke kwetsbaarheden bij uw leveranciers en hun praktijken op het gebied van cyberbeveiliging. Dit is ook de reden waarom bedrijven die niet rechtstreeks onder NIS2 vallen, toch indirect door de richtlijn kunnen worden geraakt. Het is zelfs mogelijk dat u zowel onder dit deel van de richtlijn valt als dat u er zelf toezicht op uitoefent.
5. Beveiliging bij de aanschaf, ontwikkeling en het onderhoud van systemen, met inbegrip van het omgaan met en het melden van kwetsbaarheden: hierbij gaat het om het vaststellen van de juiste beveiligingsstrategie voordat het aankoopproces van start gaat. Zodra een nieuw systeem in gebruik is genomen, moeten er processen zijn die ervoor zorgen dat het systeem veilig blijft en dat kwetsbaarheden snel worden verholpen. Ook is een gecoördineerde melding van kwetsbaarheden van belang, zodat beveiligingsproblemen op de juiste wijze kunnen worden gemeld en aangepakt.
6. Beleid en procedures voor het beoordelen van de doeltreffendheid van maatregelen voor cyberbeveiligingsrisicobeheer: dit vormt de operationele „samenhang“ die uw beveiligingsgereedheid beoordeelt en voortdurend in de gaten houdt. Het omvat alles, van benchmarks van uw prestaties tot actieve monitoring en registratie van processen en procedures.
7. Basisprincipes van computerbeheer en training: Een essentieel onderdeel van IT-beheer is inzicht hebben in welke apparaten er zijn en wie ze gebruikt. De meeste organisaties doen dit al, maar het is belangrijk om dit te zien als een integraal onderdeel van uw governance. U kunt uw infrastructuur niet beheren en beveiligen zonder te weten welke bedrijfsmiddelen er deel van uitmaken.
8. Beleid inzake het juiste gebruik van cryptografie en versleuteling: Het is belangrijk om ervoor te zorgen dat uw gegevens zowel in rust als tijdens het transport veilig zijn. Dit houdt ook in dat moet worden vastgelegd hoe cryptografische hulpmiddelen binnen de organisatie worden gebruikt en dat er passende procedures zijn voor het beheer en de implementatie ervan.
9. Personeelsbeveiliging, toegangsbeheerbeleid en activabeheer: het is van cruciaal belang dat er passende trainingen worden aangeboden, zodat gebruikers zich verantwoordelijk gedragen en zich bewust zijn van hun verplichtingen met betrekking tot computergebruik. Daarnaast is het echter ook belangrijk dat de juiste beveiligingsmaatregelen worden getroffen om ervoor te zorgen dat de juiste personen op het juiste moment de juiste toegang krijgen.
10. Gebruik van beveiligde, multifunctionele communicatie via spraak, video en tekst, en beveiligde noodcommunicatie: Veilige zakelijke communicatie is voor elk bedrijf een must. Dit geldt zowel voor de apparaten als voor de tools die u gebruikt. Daarnaast moeten organisaties nadenken over hoe medewerkers zouden communiceren tijdens een ernstig incident of een verstoring.

Dit zijn slechts zeer algemene overzichten die als gespreksonderwerpen dienen. Achter elk van deze punten schuilt een constante behoefte aan degelijke processen en de juiste hulpmiddelen om voor adequaat beheer te zorgen.

Het is van cruciaal belang dat er bewijs is

Lacunes in de documentatie vormen een direct nalevingsrisico en zijn van cruciaal belang voor het aantonen van naleving.

• Het gaat erom aan te tonen dat de processen zijn gecontroleerd en goedgekeurd, met een „papieren spoor“ om dat te staven.
• Het is het vermogen om te begrijpen wat er is gebeurd, wat er gebeurt en wat er zou moeten gebeuren rondom een bepaald incident.
• Het gaat erom dat je kunt aantonen dat je over degelijke beveiligingsprocessen beschikt en dat deze daadwerkelijk worden toegepast.

In geval van een incident moeten bedrijven aantonen welke stappen ze hebben genomen en welke beslissingen ze hebben genomen, en moeten ze uitleggen op basis van welke overwegingen ze de bedrijfsvoering hebben hersteld. Een bedrijf kan echter ook worden gevraagd om toe te lichten en aan te tonen wat het vóór het incident heeft gedaan. Het kan nodig zijn dat het bedrijf zijn processen laat zien, aangeeft wat het heeft geregistreerd en hoe het op informatie heeft gereageerd, en daar vervolgens bewijs van levert.

Zo ontstaat een cultuur waarin voortdurend bewijsmateriaal wordt verzameld, en niet pas als er iets misgaat.

Dit is ook niet haalbaar in een modern bedrijf dat gebruikmaakt van spreadsheets of afhankelijk is van handmatige tussenkomst door mensen. Het is van cruciaal belang dat teams over de juiste tools beschikken om hun werk te kunnen doen.

Laat het niet aan het toeval over

Kaseya loopt voorop bij de ontwikkeling van tools die IT-teams helpen de cyberbeveiliging en veerkracht te versterken.

Er kunnen weliswaar richtlijnen en voorschriften worden ingevoerd en deze kunnen veranderen, maar als u de basisprincipes van goed bestuur hanteert en over de juiste instrumenten beschikt, volgt naleving vanzelf. 

Oplossingen zoals IT Glue IT-documentatie bieden de mogelijkheid om binnen 30 seconden alles te traceren, te vinden en te weten. Datto zorgt er daarentegen voor dat u erop kunt vertrouwen dat, mocht er iets misgaan, de juiste back-ups en noodherstelprocedures aanwezig zijn om de bedrijfscontinuïteit te waarborgen.

Boek vandaag nog een demo voor meer informatie.