NIS2 staat voor de Network and Information Security-richtlijn 2.0 en is de opvolger van de oorspronkelijke NIS-richtlijn. Deze nieuwe versie is aangescherpt om beter te kunnen reageren op de groeiende digitale dreigingen.

Met NIS2 vallen meer sectoren en organisaties nu onder de verplichtingen. Dit is een cruciale stap om de veiligheid van de digitale infrastructuur binnen de EU te waarborgen.

Welke sectoren vallen onder NIS2 en wat betekent dit voor jouw bedrijf?

De NIS2-richtlijn is van toepassing op sectoren die essentieel zijn voor onze samenleving en op bedrijven die een belangrijke rol spelen in ons dagelijks leven.

Essentiële vs. belangrijke bedrijven

• Essentiële bedrijven: Grote ondernemingen binnen essentiële sectoren moeten voldoen aan de strengste NIS2-maatregelen.
• Belangrijke bedrijven: Dit omvat grote ondernemingen in belangrijke sectoren en middelgrote ondernemingen in zowel essentiële als belangrijke sectoren. Voor hen gelden minder strenge maatregelen dan voor essentiële bedrijven.

Wat met kleine bedrijven?

Kleine ondernemingen en micro-ondernemingen vallen in principe niet onder de NIS2-richtlijn. De overheid kan hier wel uitzonderingen op maken, en beslissen dat bepaalde kleine bedrijven, vanwege hun essentiële activiteiten, toch moeten voldoen aan NIS2. Dit zal waarschijnlijk eerder uitzondering dan regel zijn.

Categorieën op basis van bedrijfsgrootte

• Micro-ondernemingen: Minder dan 10 werknemers en een jaaromzet of balanstotaal van minder dan 2 miljoen euro.
• Kleine ondernemingen: 10-50 werknemers met een jaaromzet of balanstotaal van minder dan 10 miljoen euro.
• Middelgrote ondernemingen: 50-250 werknemers met een jaaromzet van minder dan 50 miljoen euro of een balanstotaal van minder dan 43 miljoen euro.
• Grote ondernemingen: Meer dan 250 werknemers met een jaaromzet van meer dan 50 miljoen euro of een balanstotaal van meer dan 43 miljoen euro.

Hoe weet je waar jouw bedrijf staat?

Bij 4 Business Software begrijpen we dat de NIS2-regelgeving navigeren uitdagend kan zijn. Daarom ontwikkelden we de NIS2 QuickScan. Met deze tool kun je snel inschatten welke NIS2-verplichtingen voor jouw bedrijf gelden.

Wil je meer weten over hoe NIS2 jouw bedrijf beïnvloedt en hoe je eraan kunt voldoen? Doe dan de NIS2 QuickScan, of neem rechtstreeks contact met ons op.

Het bericht Hoe weet je of jouw bedrijf aan de NIS2 moet voldoen? Doe de NIS2 QuickScan verscheen eerst op 4 Business Software.

Wat is NIS2?

NIS2 staat voor de Network and Information Security-richtlijn 2.0 en is de opvolger van de oorspronkelijke NIS-richtlijn uit 2016.

Met NIS2 vallen aanzienlijk meer sectoren en organisaties nu onder de verplichtingen. Dit met als doel de weerbaarheid van deze sectoren tegen cyberaanvallen te vergroten, en daarmee de continuïteit van essentiële diensten te verzekeren.

Belangrijkste wijzigingen in NIS2

• Meer sectoren moeten er aan voldoen: Waar NIS1 zich richtte op een beperkt aantal sectoren, breidt NIS2 deze lijst uit. Nu vallen ook de gezondheidszorg, afvalbeheer, voedselproductie en andere belangrijke sectoren onder de richtlijn.
• Versterkte verantwoordelijkheden: Organisaties moeten nu een strenger beveiligingsbeleid implementeren, inclusief risicobeheer en rapportageverplichtingen. Wat betekent dat je als bedrijf proactief moet omgaan met cybersecurity.
• Hogere boetes: Een van de meest opvallende veranderingen is de verhoging van boetes bij niet-naleving. Bedrijven die hun IT-security niet serieus nemen, mogen zich aan aanzienlijke financiële sancties verwachten. Én zelfs mogelijke gevolgen voor het management persoonlijk.

Waarom is NIS2 zo belangrijk?

1. Bescherming van kritieke infrastructuur
   De richtlijn richt zich op sectoren die van kritisch belang zijn voor de samenleving. Door deze infrastructuren beter te beveiligen, beschermt NIS2 de continuïteit van essentiële diensten zoals gezondheidszorg, transport, en energie.
2. Aanpak van toegenomen cyberdreigingen
   Het aantal cyberaanvallen is de laatste jaren exponentieel gegroeid, en daarmee ook de noodzaak voor sterkere wetgeving. NIS2 zorgt ervoor dat bedrijven en overheden beter voorbereid zijn op potentiële aanvallen.
3. Verbeterde samenwerking tussen lidstaten
   Een belangrijk aspect van NIS2 is de versterking van de samenwerking tussen de EU-lidstaten. Dit zorgt voor een meer gecoördineerde aanpak bij het aanpakken van grensoverschrijdende cyberincidenten.
4. Vertrouwen en reputatie
   Voor bedrijven betekent naleven van NIS2 niet alleen dat ze boetes vermijden, maar ook dat ze hun reputatie en het vertrouwen van hun klanten beschermen. In een tijd waarin data breaches bijna dagelijkse kost zijn, is een sterke cybersecurity-strategie een concurrentieel voordeel dat je niet mag onderschatten.

NIS2 is een onmisbare richtlijn voor de beveiliging van de digitale infrastructuur in de EU. Door de invoering van strengere regels en hogere boetes dwingt de wetgeving bedrijven om hun cybersecurity serieus te nemen. Het is nu aan de bedrijven om actie te ondernemen en ervoor te zorgen dat ze voldoen aan de nieuwe eisen van NIS2​.

Het bericht Waarom is NIS2 zo belangrijk? verscheen eerst op 4 Business Software.

Wat is GDPR?

De GDPR is een Europese wetgeving rond privacy die we sinds 2018 kennen. Deze richtlijn richt zich specifiek op de bescherming van persoonlijke gegevens van EU-burgers. GDPR legt bedrijven op hoe ze persoonlijke data moeten verzamelen, verwerken en bewaren. Het doel is om de privacy van mensen te waarborgen en hen meer controle te geven over hun eigen gegevens.

Wat is NIS2?

NIS2 is een uitbreiding van de oorspronkelijke NIS-richtlijn, die gericht is op de beveiliging van netwerken en informatiediensten in de EU.

In tegenstelling tot GDPR, dat draait om gegevensbescherming, focust NIS2 zich op het verbeteren van de algemene cybersecurity binnen kritieke sectoren zoals energie, transport, gezondheidszorg en digitale infrastructuur. Alsook belangrijke sectoren zoals post- en koeriersdiensten, afvalstoffenbeheer, levensmiddelen, manufacturing en meer.

Het doel van NIS2 is om de weerbaarheid van deze sectoren tegen cyberaanvallen te vergroten, en daarmee de continuïteit van essentiële diensten te verzekeren.

De belangrijkste verschillen tussen NIS2 en GDPR

Hoewel beide richtlijnen te maken hebben met digitale veiligheid, richten ze zich op verschillende aspecten:

• Focus: GDPR draait om de bescherming van persoonlijke gegevens, terwijl NIS2 zich richt op de beveiliging van netwerken en systemen binnen essentiële & belangrijke sectoren.
• Toepassingsgebied: GDPR is van toepassing op alle bedrijven die persoonlijke gegevens van EU-burgers verwerken, ongeacht hun sector of grootte. NIS2 richt zich daarentegen specifiek op organisaties die essentiële of belangrijke diensten leveren.
• Boetes en naleving: Beide richtlijnen hebben strenge boetes voor niet-naleving, maar de focus ligt op verschillende risico’s. Bij GDPR gaat het om de bescherming van de privacy van individuen, terwijl bij NIS2 de nadruk ligt op het voorkomen van verstoringen in essentiële diensten door cyberaanvallen.

Het bericht Wat is het verschil tussen NIS2 en GDPR? verscheen eerst op 4 Business Software.

Om je organisatie klaar te stomen voor deze verandering, delen we deze zeven essentiële stappen die wij als IT-bedrijf nemen om een organisatie NIS2-compliant te maken.

1. Inventariseer kwetsbaarheden

Het inventariseren van kwetsbaarheden betekent dat je nagaat welke apparaten, software en gegevens je binnen je organisatie hebt, zodat je weet wat je moet beschermen. Dit is belangrijk omdat je alleen risico’s kunt beheersen als je weet waar ze zich bevinden.

Door daarna bijvoorbeeld elke zes maanden te controleren wat er veranderde binnen je IT-infrastructuur, spoor je zwakke plekken op die misbruikt kunnen worden tijdens bijvoorbeeld een malware-aanval.

Daarnaast is het essentieel om een plan te hebben voor wanneer er iets misgaat. Dit houdt in dat je goede back-ups maakt van je belangrijke gegevens, en dat je weet hoe je deze kunt herstellen. Bewaar deze back-ups niet alleen op een apparaat zelf of enkel in de cloud. Maak ook een fysieke kopie die je regelmatig bijwerkt. Zo ben je snel terug aan de slag na een incident.

2. Voorkom virussen en malware

Een standaard antivirusprogramma is een stap in de goede richting, maar biedt vaak geen bescherming tegen geavanceerde dreigingen zoals cryptolockers—malware die je data versleutelt en zich snel door je netwerk verspreidt met mogelijk desastreuze gevolgen. Daarom is het essentieel om extra tools te gebruiken die je beschermen tegen dergelijke aanvallen, je apparaten in topconditie houden en je software up-to-date houden.

Het inschakelen van ransomware-detectie en EDR (Endpoint Detection and Response) oplossingen is tegenwoordig van groot belang. Deze systemen gaan verder dan traditionele antivirussoftware door ook onbekende bedreigingen en verdacht gedrag te herkennen. Met oplossingen zoals Secure4Device geniet je van topklasse bescherming dankzij een combinatie van sterke tools, regelmatige updates en een securityteam dat 24/7 klaarstaat om manueel in te grijpen bij dringende problemen.

3. Plan for the worst met een business continuity-plan

Ook al ben je zo voorzichtig, kan er toch iets misgaan. Zorg daarom voor een actueel backup- en recoveryplan, oftewel een business continuity-plan, en de middelen om dit uit te voeren.

Dit plan helpt je de impact van IT-problemen—zoals hardwareproblemen, softwarefouten of ransomware—sterk te beperken.

Elke organisatie moet een Business Continuity Plan hebben met antwoord op de volgende vragen:

• Welke systemen zijn er binnen onze organisatie?
• Wat moet ik doen in welke situatie?
• Wie heb ik nodig in welke situatie?
• Hoe ziet het herstelproces eruit?

Het is essentieel al je data te beschermen, of deze nu on-premise staat, in de cloud, of in een SaaS-oplossing zoals Microsoft 365.

Maak onderscheid tussen belangrijke data en cruciale processen om te bepalen of je een back-up nodig hebt of een volledige business continuity-oplossing.

4. Kies altijd voor veilige instellingen

De standaardinstellingen op je apparaten, en binnen je applicaties, die zijn vaak niet optimaal qua security. In tegendeel: ze zijn meestal gericht op gemak en niet op maximale beveiliging. Hierdoor blijven standaardwachtwoorden en beveiligingsfuncties soms ongewijzigd, wat risico’s met zich meebrengt. Het is daarom belangrijk om actief je instellingen aan te passen om je systemen beter te beschermen.

Enkele snelle tips:

• Gebruik sterke en unieke wachtwoorden: Een wachtwoord van 8 tekens kan binnen 8 uur worden gekraakt; met 10 tekens duurt dit al 5 jaar. Maak dus gebruik van langere en complexere wachtwoorden, die je idealiter laat genereren & opslaat in een password manager.
• Stel multi-factor authenticatie in: Dit voegt een extra beveiligingslaag toe naast je wachtwoord, die veel moeilijker te hacken is.
• Configureer firewalls op alle apparaten: Niet alleen aan de rand van je netwerk, maar ook op individuele endpoints.
• Zorg voor voldoende logging: Dit helpt bij het monitoren van activiteiten en het opsporen van verdachte gebeurtenissen.
• Controleer regelmatig je instellingen: Zorg dat er geen ongeautoriseerde wijzigingen zijn en voorkom ‘shadow IT’ die je beveiliging kan ondermijnen.

5. Voer updates uit

“Pff, alweer een update” is een zin die vele onder ons al vaker uitgesproken hebben. Toch stel je updates beter niet uit. 60% van alle security-inbreuken gebeuren namelijk omdat systemen en apparaten niet up-to-date zijn, ondanks beschikbare patches.

Ons advies rond updates:

• Schakel automatische updates in om altijd up-to-date te blijven.
• Abonneer je op updatenotificaties van je leveranciers.
• Gebruik RMM-tools om patchrondes te beheren en uit te stellen indien nodig.
• Overweeg afscheid te nemen van verouderde platforms en applicaties die geen updates meer ontvangen.

6. Beperk toegang

Vaak wordt de fysieke toegang tot gebouwen, en dus ook IT-apparatuur, over het hoofd gezien bin een IT-security beleid. Wanneer iemand fysieke toegang heeft tot een computer, kan die persoon veel kwaad toerichten. Denk aan fysieke schade, maar bijvoorbeeld ook een BadUSB die malware kan installeren en gegevens kan stelen door deze simpelweg in te pluggen.

Hier zijn alvast enkele tips om van start te gaan met het beperken van toegang tot je IT-systemen:

• Documenteer medewerkerstoegang: Leg vast wie toegang heeft tot welke systemen en data, met welke rechten en waarom.
• Gebruik unieke accounts: Zorg dat elke medewerker zich identificeert met een uniek account voor betere traceerbaarheid.
• Verplicht sterke wachtwoorden en MFA: Gebruik sterke wachtwoorden en multi-factor authenticatie voor belangrijke systemen en data.
• Beperk fysieke toegang: Beperk de toegang tot ruimtes waar systemen & servers draaien; niet elke medewerker hoeft toegang tot serverruimtes of racks.
• Automatische vergrendeling: Stel in dat apparaten automatisch vergrendelen na 3-5 minuten inactiviteit, en opnieuw een wachtwoord vragen om op te starten.
• Pas toegangsrechten aan bij veranderingen: Update toegangsrechten wanneer de rol van een medewerker verandert.

Met de opkomst van thuiswerken is (fysieke) toegang tot IT-infrastructuur beperken nog eens complexer geworden. Zonder geschikte beveiliging kunnen onbevoegden via apparaten van medewerkers toegang krijgen tot het bedrijfsnetwerk. Beperk dit risico door te bepalen welke applicaties buiten een VPN om toegang hebben tot het netwerk en overweeg het gebruik van een Identity and Access Management (IAM)-oplossing. Een goede IAM-oplossing kan inloggen versterken met multi-factor authenticatie, tijdelijk toegang verlenen en zelfs werken zonder wachtwoorden.

7. Training en bewustwording

Cybersecurity rust op drie pijlers: mensen, processen en technologie. Hoewel technologie en processen belangrijke rollen spelen, is de mens vaak de zwakste schakel. Het is meer dan ooit belangrijk om medewerkers te trainen en bewust te maken van risico’s en hoe ze zich hier tegen kunnen wapenen.

Zorg dat je personeel bekend is met het cybersecuritybeleid van je organisatie en weet hoe te handelen bij bijvoorbeeld phishing-mails. Herhaal deze trainingen periodiek, bijvoorbeeld twee keer per jaar, zodat een veilige manier van werken een automatisme wordt.

* Deze tekst werd opgemaakt op basis van de SECURE7 basisprincipes van de Dutch Cybersecurity Assembly.

Het bericht Bereid je voor op NIS2 met deze 7 essentiële stappen verscheen eerst op 4 Business Software.