NIS2 Compliance

NIS2 is van toepassing op essentiële en belangrijke entiteiten in 18 sectoren die in de EU actief zijn. Essentiële entiteiten omvatten operators in energie, transport, bankwezen, financiële marktinfrastructuur, gezondheid, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening, openbaar bestuur en ruimtevaart. Belangrijke entiteiten omvatten post- en koeriersdiensten, afvalbeheer, vervaardiging van kritieke producten, voeding, chemische stoffen en digitale diensten. Er gelden ook drempelwaarden: middelgrote bedrijven (50 of meer werknemers of meer dan €10 miljoen omzet) in gedekte sectoren vallen doorgaans onder de scope. We kunnen de toepasselijkheid bevestigen door uw sector, omvang en rol in de toeleveringsketen te beoordelen.

NIS2 Artikel 34 stelt een tweelaags boetestructuur vast. Essentiële entiteiten riskeren boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welke het hoogst is. Belangrijke entiteiten riskeren boetes tot €7 miljoen of 1,4% van de wereldwijde jaaromzet, afhankelijk van welke het hoogst is. Naast financiële sancties kunnen toezichthoudende autoriteiten bindende aanwijzingen opleggen, tijdelijke managementverboden uitvaardigen en organisaties verplichten getroffen partijen te informeren.

NIS2 Artikel 23 vereist een drietrapsprocedure. Binnen 24 uur na bewustwording: een vroege waarschuwing aan uw nationaal CSIRT of bevoegde autoriteit ter bevestiging van het incident en of een cyberaanval wordt vermoed. Binnen 72 uur: een formele incidentmelding met ernstsschatting, getroffen systemen en verwacht aantal getroffen gebruikers. Binnen één maand: een eindrapport met grondoorzaak, genomen en geplande maatregelen en eventuele grensoverschrijdende implicaties. We helpen u de processen en documentatiestructuren opzetten om alle drie de deadlines te halen.

Ja. NIS2 Artikel 20 houdt managementorganen direct verantwoordelijk voor cybersecuritycompliance. Bestuursleden moeten de cybersecuritymaatregelen van de organisatie goedkeuren en actief toezien op de implementatie. Bij ernstige overtredingen kunnen nationale autoriteiten specifieke personen tijdelijk verbieden managementfuncties uit te oefenen. Dit maakt NIS2-compliance een bestuursverplichting, niet alleen een IT-verantwoordelijkheid.

In België is het Centre for Cybersecurity Belgium (CCB) de nationale bevoegde autoriteit voor de meeste sectoren onder NIS2. In Nederland coördineert het NCSC (Nationaal Cyber Security Centrum) het nationale toezicht, maar sectorspecifieke toezichthouders hebben ook bevoegdheid: bijvoorbeeld de DNB voor financiële instellingen en de RDI voor digitale infrastructuur. We houden bij welke autoriteit voor uw specifieke sector geldt en helpen u uw compliancedocumentatie dienovereenkomstig in te richten.

Voor de meeste organisaties duurt een eerste NIS2-gereedheidsproces tussen 4 en 12 weken, afhankelijk van uw huidige beveiligingsmaturiteit, de omvang van uw organisatie en de complexiteit van uw toeleveringsketen. Dit omvat gap-analyse, beleidsontwikkeling, implementatie van technische maatregelen en incident response planning. Organisaties die al over ISO 27001 of een vergelijkbaar kader beschikken gaan doorgaans sneller omdat de basisinfrastructuur al bestaat.