NIS2: van Europese richtlijn naar maatregelen op je werkvloer

Dat hangt af van je sector, je activiteiten en je omvang. NIS2 wijst essentiële en belangrijke entiteiten aan in sectoren als energie, transport, drinkwater, digitale infrastructuur, ICT-dienstbeheer, zorg, overheid, post, afvalbeheer, chemie, voedsel, industrie en digitale dienstverlening, met in de regel een ondergrens qua bedrijfsgrootte. De overheid biedt daarvoor een zelfevaluatie aan. Wij lopen die toets samen met je door en kijken meteen of je via je opdrachtgevers alsnog met de eisen te maken krijgt.

Dan komen de eisen via het contract naar je toe. NIS2 verplicht organisaties namelijk uitdrukkelijk om de beveiliging van hun toeleveringsketen te beheersen. In de praktijk betekent dat vragenlijsten, aanvullende contractvoorwaarden en steeds vaker de eis van een ISO 27001-certificaat. Veel van onze klanten starten precies om deze reden: niet omdat de wet het zegt, maar omdat hun grootste opdrachtgever het vraagt.

Bij een significant incident doe je binnen 24 uur een eerste melding bij de toezichthouder, gevolgd door een uitgebreidere melding binnen 72 uur en een eindrapportage binnen een maand. Die termijnen haal je alleen als het proces vooraf klaarligt: wie beoordeelt of een incident significant is, wie doet de melding, en welke gegevens heb je op dat moment nodig. Dat is precies wat wij samen met je inrichten en oefenen.

NIS2 legt de verantwoordelijkheid voor het goedkeuren van de maatregelen en het toezicht op de uitvoering nadrukkelijk bij het bestuur, en verplicht bestuurders zich te laten scholen. Bij ernstige nalatigheid kan een bestuurder daarop worden aangesproken. Hoe die aansprakelijkheid in Nederland precies uitwerkt, is een juridische vraag; daarvoor verwijzen we je naar een jurist. Wij zorgen dat je bestuurlijke besluitvorming, scholing en toezicht aantoonbaar geregeld zijn.

Nee, NIS2 kent geen certificeringsplicht. Je moet kunnen aantonen dat je passende maatregelen hebt genomen, en dat mag op je eigen manier. In de praktijk kiezen veel organisaties toch voor ISO 27001, omdat een certificaat het bewijs levert dat een toezichthouder of opdrachtgever direct accepteert. Wil je dat niet, dan richten we het managementsysteem in zonder het certificeringstraject.

De toepasbaarheidstoets en de nulmeting zijn in enkele weken gedaan. Daarna hangt het af van wat er al staat: heb je ISO 27001, dan gaat het vooral om aanvullingen op melding, keten en bestuur. Begin je vanaf nul, reken dan op drie tot zes maanden voor een werkend systeem. Wij werken op je locatie en nemen het werk uit handen, zodat je organisatie ondertussen door kan.