NIS2 is de Europese richtlijn die het cybersecurityrecht verbreedde van enkele kritieke sectoren naar achttien, en zij raakt bedrijven die u niet zou verwachten: een managed IT-provider met zestig medewerkers, een SaaS-bedrijf dat host voor ziekenhuizen, een voedselproducent, een datacenterexploitant. In Nederland wordt zij geïmplementeerd via de Cyberbeveiligingswet (Cbw), die achterloopt op de Europese deadline van oktober 2024 en met vertraging in werking treedt. Deze notitie geeft kleine en middelgrote bedrijven een manier om vast te stellen of zij eronder vallen, wat de wet vraagt en wat u doet als u "alleen maar" leverancier bent.
Stap één: uw sector
Bijlage I noemt sectoren van zeer kritiek belang: energie, vervoer, bankwezen, financiëlemarktinfrastructuur, gezondheidszorg, drink- en afvalwater, digitale infrastructuur (DNS, cloud, datacenters, content delivery, vertrouwensdiensten, openbare netwerken), beheer van ICT-diensten (managed service en managed security providers), overheid en ruimtevaart. Bijlage II noemt andere kritieke sectoren: post, afvalbeheer, chemie, voedsel, productie van medische apparaten, computers, elektronica, machines en voertuigen, digitale aanbieders (online marktplaatsen, zoekmachines, sociale netwerken) en onderzoek. Valt u niet in een van deze sectoren, dan geldt NIS2 niet rechtstreeks, maar lees stap vier.
Stap twee: uw omvang
De hoofdregel is dat middelgrote en grote bedrijven in die sectoren eronder vallen: vijftig of meer medewerkers, of meer dan EUR 10 miljoen omzet en balanstotaal. Grote bedrijven in bijlage I-sectoren zijn 'essentiële entiteiten'; de rest zijn 'belangrijke entiteiten' met iets lichter toezicht maar dezelfde maatregelen. Omvang telt op groepsniveau, dus een kleine Nederlandse dochter van een grote groep kan als groot gelden. Sommige categorieën vallen eronder ongeacht omvang: DNS-aanbieders, registers van topleveldomeinen, vertrouwensdienstverleners, aanbieders van openbare netwerken en entiteiten die de overheid als kritiek aanwijst.
Stap drie: wat de wet vraagt
Vier groepen plichten. Registratie bij de nationale autoriteit. Risicobeheersmaatregelen, de bekende lijst van tien: beleid voor risicoanalyse en informatiebeveiliging; incidentafhandeling; bedrijfscontinuïteit en crisisbeheer; ketenbeveiliging; beveiliging bij inkoop, ontwikkeling en onderhoud, inclusief kwetsbaarhedenbeheer; beoordeling van de effectiviteit van maatregelen; cyberhygiëne en training; cryptografie en encryptie; personeelsbeveiliging, toegangsbeheer en assetbeheer; multifactorauthenticatie en beveiligde communicatie. Incidentmelding van significante incidenten: vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. Bestuurdersplichten: het bestuur moet de maatregelen goedkeuren, de uitvoering bewaken, training volgen en kan persoonlijk aansprakelijk worden gesteld.
Stap vier: u bent leverancier
Hier komt het meeste mkb NIS2 tegen. Entiteiten binnen de reikwijdte moeten ketenrisico beheersen, en dat doen zij via contracten: beveiligingsvragenlijsten, auditrechten, incidentmelding binnen uren, minimale maatregelensets en soms de eis van ISO 27001 of NEN 7510. U bent niet gereguleerd, maar uw klant wel, en uw verkooptraject hangt nu af van de vraag of u ja kunt zeggen. Kunnen laten zien dat u een risicoanalyse, een incidentproces en MFA op al uw systemen heeft, is vaak genoeg om op de leverancierslijst te blijven.
Hoe proportioneel eruitziet voor een mkb-bedrijf
De wet zegt dat maatregelen in verhouding moeten staan tot uw omvang en risico. In de praktijk betekent dat voor een SaaS-bedrijf met zestig medewerkers: een informatiebeveiligingsbeleid ondertekend door het bestuur, een risicoregister dat twee keer per jaar wordt herzien, overal MFA, offline back-ups die elk kwartaal worden getest, een leverancierslijst met kritiekheidsscores, een incidentdraaiboek van één pagina met de 24- en 72-uursklokken, basisregels voor veilig ontwikkelen en een uur training per jaar voor iedereen. ISO 27001 is niet verplicht, maar de structuur ervan sluit bijna één op één aan op NIS2, dus bedrijven die het al hebben zijn bijna klaar.
Wilt u weten of de Cyberbeveiligingswet voor u geldt, stuur ons dan uw sector, aantal medewerkers en omzet en wij zeggen het u in één antwoord.