Wie valt onder NIS2?
NIS2 maakt een onderscheid tussen essentiële en belangrijke entiteiten, op basis van sector en grootte. Sectoren zijn onder meer energie, transport, gezondheidszorg, water, digitale infrastructuur, afvalbeheer, voeding, chemie, post en productie van bepaalde goederen. Middelgrote bedrijven in die sectoren vallen doorgaans onder de wet; grote bedrijven vrijwel altijd.
Ook wie zelf niet onder de wet valt, voelt ze: grote klanten leggen NIS2-eisen op aan hun leveranciers. Een KMO die software, onderhoud of diensten levert aan een ziekenhuis of een energiebedrijf krijgt die vragen in de aanbesteding of het contract.
Wat verplicht NIS2 concreet?
De wet vraagt passende en evenredige maatregelen om risico’s te beheersen, en legt de verantwoordelijkheid bij het bestuur. In de praktijk gaat het om:
- Risicoanalyse en een beveiligingsbeleid dat door de directie goedgekeurd is.
- Incidentbeheer en melding van belangrijke incidenten bij het Centrum voor Cybersecurity België (CCB), met een eerste melding binnen 24 uur.
- Bedrijfscontinuïteit: back-ups, herstelplannen en crisisbeheer.
- Beveiliging van de toeleveringsketen, dus ook eisen aan uw leveranciers.
- Veilige ontwikkeling, aankoop en onderhoud van systemen, inclusief het beheer van kwetsbaarheden.
- Toegangsbeheer, multifactorauthenticatie en versleuteling waar passend.
- Opleiding van medewerkers en bestuurders.
CyberFundamentals: de Belgische aanpak
Het CCB ontwikkelde het CyberFundamentals Framework (CyFun) met niveaus Small, Basic, Important en Essential. Het is de praktische lat waartegen Belgische organisaties hun maatregelen kunnen toetsen en, voor entiteiten onder NIS2, een weg naar conformiteit via zelfbeoordeling of certificering. Ook ISO 27001 wordt als gelijkwaardig aanvaard.
Voor een KMO is CyFun Basic of Important meestal het realistische doel. Het dwingt tot een inventaris van systemen, een beleid, back-ups, patching, toegangsbeheer en periodieke controle.
Pragmatisch starten als KMO
U hoeft niet alles in één keer. Een werkbare volgorde die we bij klanten toepassen:
- Bepaal of u onder de wet valt, of dat klanten u NIS2-eisen opleggen. Registreer u indien nodig bij het CCB.
- Inventariseer systemen, data en leveranciers. Wat is kritiek, wat niet?
- Laat een pentest uitvoeren op uw klantgerichte applicaties en infrastructuur: dat geeft meteen een concrete lijst met prioriteiten en een bewijsstuk.
- Zet de basis op orde: multifactorauthenticatie, back-ups met hersteltest, patchbeleid, logging.
- Leg beleid en procedures vast, train medewerkers en herhaal de test jaarlijks.
Hoe N-innovative helpt
Wij voeren pentests uit die bruikbaar zijn als bewijs in uw NIS2- of CyFun-dossier, en bouwen software volgens security-by-design, zodat nieuwe toepassingen van bij het begin conform zijn. Voor de organisatorische kant werken we samen met uw IT-partner of een gespecialiseerde consultant.