Stel je voor: je bent de CEO van een bedrijf dat te maken heeft met een ransomware-aanval en nu krijg je te horen dat niet alleen je bedrijf voor een aantal dagen stilligt, maar dat je ook boetes tegemoet kunt zien. Niet alleen je bedrijf, maar ook jij kunt persoonlijk verantwoordelijk en wettelijk aansprakelijk worden gesteld als grove nalatigheid kan worden aangetoond.

Voor sommigen klinkt dit misschien extreem, maar zodra de nationale wetgeving rond de Network and Information Systems Directive 2 (NIS2) is afgerond, kan dit de werkelijkheid worden.

NIS2 is van kracht sinds januari 2023, met een deadline van oktober 2024 voor EU-lidstaten om beleid te publiceren en implementeren. NIS2 schrijft niet alleen nieuwe, strengere richtlijnen voor cybersecurity voor. Als Europese wetgevers grove nalatigheid kunnen bewijzen, zullen de boetes voor zowel je bedrijf en jijzelf als CEO van het bedrijf behoorlijk hoog zijn.

Met boetes die in het ergste geval op kunnen lopen tot wel 7 miljoen euro (of 4% van het jaarinkomen), is het duidelijk dat hier iets substantieels op het spel staat. Maar we willen het niet alleen over de boetes hebben, hoe hoog die ook mogen zijn. NIS2 kan je helpen om datalekken te voorkomen die jouw bedrijf alleen al aan operationele kosten veel meer dan 7 miljoen euro kunnen kosten. 

In deze quick guide voor NIS2-compliance verkennen we de belangrijkste onderdelen van de NIS2 regelgeving en vind je een aantal tips en tricks over hoe je je het beste kunt voorbereiden om het beleid dat eraan zit te komen.

Inzicht in NIS2

NIS2 legt de nadruk op robuuste security maatregelen, het melden van incidenten en internationale samenwerking. Het verhoogt de eisen voor cybersecurity in heel Europa en bestempelt een groot aantal organisaties als ‘essentiële bedrijven’. In totaal zal NIS2 van invloed zijn op zo’n 160.000 organisaties in heel Europa.

Het overtreden van de NIS2-wetgeving leidt tot boetes en als je bedrijf in overtreding wordt bevonden, kan dit leiden tot andere ernstige gevolgen. Net als bij de GDPR-privacywet, die ook ingaat op persoonlijke verantwoordelijkheid in geval van nalatigheid, vinden Europese wetgevers dat CEO’s en toezichthouders een grote verantwoordelijkheid hebben ten opzichte van hun klanten, werknemers en partners. Het niet nakomen van die verantwoordelijkheden moet strafbaar zijn, aldus Europa

Hoe bereid je je voor op de NIS2-wetgeving

Hoewel de wetgeving nog niet in beton is gegoten, weten we genoeg om een aantal stappen uit te lichten die je al kunt nemen om je voor te bereiden op wat er aan komt.

Hier zijn vier belangrijke stappen waar je naar moet kijken:

• Risicoassessment: Voer grondige risico assessments uit die zijn afgestemd op de specifieke activiteiten en infrastructuur en identificeer kwetsbaarheden die relevant zijn voor de context van je bedrijf.
  
• Security beleid: Ontwikkel en implementer security beleid- en procedures die afgestemd zijn op de NIS2-richtlijn, zodat informatiesystemen en kritieke infrastructuur worden beschermd.
  
• Training van personeel: Zorg voor uitgebreide trainingen voor je personeel om ervoor te zorgen dat iedereen het belang van NIS2-compliance begrijpt en de cybersecurity normen naleeft.
  
• Incident reporting: Stel een protocol op voor het snel melden van incidenten volgens de NIS2-vereisten en zorg voor een gecoördineerde reactie op cybersecurity incidenten.

Leg de nadruk op preventie

Eén benadering van NIS2 en andere nieuwe regelgevingen is om te klagen over het extra werk, trainingen en kosten die deze strengere regelgevingen met zich meebrengen. Maar waarom zou je het niet zien als een gouden kans om je cybersecurity naar een hoger niveau te tillen?

NIS2 legt, net zoals de vergelijkbare Europese Digital Operational Resilience Act (DORA), de nadruk op het voorkomen van cyber incidenten. Dat is eigenlijk heel logisch. Door de nadruk te leggen op preventie maak je het niet alleen eenvoudiger om nu aan deze specifieke regelgevingen te voldoen, maar ook om in de toekomst aan nieuwe regelgevingen te voldoen. Daarnaast is het misschien nog wel belangrijker dat een nadruk op preventie je algemene cybersecurityhouding verbetert.

Hier haal je iets goeds uit

Hoewel wetgeving die spreekt over boetes en wettelijke aansprakelijkheid overweldigend of eng kan overkomen, zijn de introductie en het finaliseren van regelgeving zoals NIS2 en DORA de perfecte stimulans om op de zaken vooruit te lopen en je cybersecurity op orde te krijgen. De weg naar compliance kan uitdagingen met zich meebrengen, maar is desalniettemin van vitaal belang voor het handhaven en optimaliseren van je cybersecurityhouding, en dus voor het waarborgen van cyber weerbaarheid in dit digitale tijdperk.

Aanvullende bronnen

Raadpleeg voor meer informatie over NIS2-compliance de officiële NIS2-richtijnen van de EU en sectorspecifieke bronnen. Als je op de aankomende wetgeving vooruit will open, helpt onze  NIS2 Impact Assessment bij het identificeren van gaps in je cybersecurity maatregelen en zorgt ervoor dat je de nodige stappen kunt nemen om aan de NIS2-vereisten te voldoen.