De NIS2-richtlijn is in Nederland omgezet in de Cyberbeveiligingswet. Onder ondernemers bestaat het hardnekkige beeld dat deze wetgeving uitsluitend voor grote multinationals geldt. Dat beeld klopt niet: ook middelgrote bedrijven in specifieke sectoren vallen onder de regels, met aanzienlijke boetes bij niet-naleving.
Let op: de boetemaxima bedragen €10 miljoen of 2% van de wereldwijde jaaromzet voor essentiële entiteiten, en €7 miljoen of 1,4% voor belangrijke entiteiten. Deze bedragen zijn vastgelegd in artikel 34 van richtlijn (EU) 2022/2555; het hoogste van beide bedragen geldt.
Valt uw bedrijf onder NIS2?
De richtlijn onderscheidt twee categorieën organisaties:
Essentiële entiteiten, sectoren met hoge impact:
- Energie (elektriciteit, gas, olie, warmte, waterstof)
- Transport (lucht, spoor, water, weg)
- Bankwezen en financiële infrastructuur
- Drinkwater en afvalwater
- Digitale infrastructuur en ICT-diensten
- Gezondheidszorg
- Ruimtevaart
Belangrijke entiteiten, sectoren met gemiddelde impact:
- Post- en koeriersdiensten
- Afvalbeheer
- Chemische industrie
- Voedingsmiddelenindustrie
- Maakindustrie (kritieke producten)
- Digitale aanbieders
- Onderzoeksinstellingen
Vuistregel: telt uw bedrijf meer dan 50 medewerkers of bedraagt de omzet meer dan €10 miljoen, en bent u actief in een van bovenstaande sectoren, dan valt u hoogstwaarschijnlijk onder de wet. De sector is daarbij bepalend; de omvang bepaalt vervolgens in welke categorie u valt.
Wat zijn de concrete verplichtingen?
De wet verlangt passende technische, operationele en organisatorische maatregelen. In de praktijk komt dat neer op het volgende:
- Risicobeheer: vastgelegd beleid voor het onderkennen en beheersen van cyberrisico's
- Incidentafhandeling: procedures voor detectie, melding en afwikkeling van incidenten
- Bedrijfscontinuïteit: back-upbeheer en beproefde herstelplannen
- Ketenbeveiliging: eisen aan leveranciers en toetsing daarvan
- Toegangsbeheer: multifactor-authenticatie en beperking van rechten tot het noodzakelijke
- Versleuteling: bescherming van gegevens bij opslag en overdracht
- Meldplicht: een vroegtijdige waarschuwing binnen 24 uur, gevolgd door een incidentmelding binnen 72 uur
Bestuurdersaansprakelijkheid: nieuw en belangrijk
Tot de meest ingrijpende onderdelen van NIS2 behoort de persoonlijke aansprakelijkheid van bestuurders. Voldoet een organisatie niet aan de vereisten, dan kunnen bestuurders daar persoonlijk op worden aangesproken. Daarmee verschuift cybersecurity van een technisch vraagstuk naar een onderwerp dat op de bestuursagenda thuishoort, met dezelfde status als financiële en juridische risico's.
Wat moet u nu doen?
- Stel vast of u onder de wet valt. Sector, omvang en activiteiten zijn daarbij bepalend.
- Voer een nulmeting uit om te bepalen waar u staat ten opzichte van de vereisten.
- Stel een implementatieplan op en breng daarin een volgorde aan op basis van risico.
- Leg vast wat u doet. De wet verlangt naleving die aantoonbaar is, niet naleving die aannemelijk is.
- Betrek uw medewerkers. Bewustwording blijft de eerste verdedigingslinie, en de goedkoopste.
Weet u of uw organisatie NIS2-compliant is?
Resotech voert een nulmeting uit en stelt met u een actieplan op met een volgorde en een begroting. U hoort binnen twee werkdagen van ons.
Plan een gesprek Onze NIS2-dienst