Voor wie het geldt
De richtlijn maakt onderscheid tussen essentiële en belangrijke entiteiten, in sectoren als energie, transport, water, gezondheidszorg, digitale infrastructuur, overheid en industrie. Toeleveranciers van die organisaties krijgen er via het contract mee te maken: hun klanten moeten eisen stellen aan de keten, en zetten die eisen dus bij hen neer.
Twijfelt u of u eronder valt, kijk dan naar de zelfevaluatie van de Rijksoverheid en overleg met uw brancheorganisatie. De Europese deadline voor omzetting lag in oktober 2024; de Nederlandse wet heeft langer geduurd. Wacht daar niet op: de eisen zijn bekend en de klanten die eronder vallen stellen ze nu al.
Wat de wet van uw software vraagt
NIS2 schrijft geen techniek voor maar een zorgplicht: passende en evenredige maatregelen, gebaseerd op een risicoanalyse. Voor software die u laat bouwen of beheren komt dat in de praktijk neer op een vaste lijst.
- Toegangsbeheer met meervoudige authenticatie en rechten die per rol zijn vastgelegd
- Logging van wie wat gedaan heeft, bewaard op een plek waar een aanvaller niet bij kan
- Updates en patches binnen een afgesproken termijn, ook voor de onderdelen die u niet zelf schreef
- Back-ups die getest zijn door ze terug te zetten, niet alleen door ze te maken
- Zicht op uw leveranciers: wie heeft toegang, wat is er afgesproken, en wat gebeurt er bij een incident bij hen
- Versleuteling van gegevens onderweg en in rust, met sleutels die u zelf beheert
De meldplicht in het kort
Bij een significant incident moet u snel melden: een eerste waarschuwing binnen 24 uur, een uitgebreidere melding binnen 72 uur, en een eindrapport binnen een maand. Dat lukt alleen als u het incident ook opmerkt, en dat is precies waar logging en monitoring voor zijn. Een aanvaller die maanden onopgemerkt binnen zit, is het scenario dat de wet wil voorkomen.
Nieuw is ook dat het bestuur aanspreekbaar is. Bestuurders moeten de maatregelen goedkeuren en er toezicht op houden, en kunnen persoonlijk aansprakelijk worden gesteld als dat niet gebeurt.
NIS2-checklist: waar u morgen begint
Niemand doet dit in een week. Maar de eerste stappen zijn klein.
- Maak een lijst van uw systemen en wie er toegang toe heeft; wat er niet op staat, kunt u niet beschermen
- Zet meervoudige authenticatie aan op alles wat van buiten bereikbaar is
- Laat een pentest doen op de applicatie die het meeste risico draagt en los de bevindingen op
- Leg vast wie wat doet bij een incident, met telefoonnummers, en oefen het één keer
- Zet in nieuwe contracten met leveranciers wat u van hen verwacht bij updates en incidenten
Hoe wij hierbij helpen
Wij bouwen veiligheid in het ontwerp in plaats van erachteraan: threat modeling vóór de eerste regel code, een pentest vóór de livegang, en hardening van wat er al draait. Voor bestaande systemen beginnen we met een doorlichting van een paar dagen die precies oplevert wat hierboven staat: wat is goed, wat is riskant, en wat eerst.
NIS2 vraagt geen wonderen maar discipline: weten wat u heeft, toegang op orde, updates op tijd, en een incident kunnen zien en melden. Begin bij de lijst van uw systemen; de rest volgt daaruit.