Wat betekent de zorgplicht concreet voor uw IT-omgeving?
De NIS2-zorgplicht is bewust technologieneutraal geformuleerd: de wet schrijft geen specifieke producten voor, maar verlangt "passende en evenredige" maatregelen om risico's te beheersen. Dat klinkt vaag, maar in de praktijk komt het neer op een herkenbare set technische maatregelen. Dit artikel vertaalt de zorgplicht naar wat het concreet betekent voor uw IT.
"Passend en evenredig" betekent dat de maatregelen in verhouding staan tot uw risico's en omvang. Een klein bedrijf hoeft geen 24/7-SOC, maar moet wél kunnen aantonen dat het de basis beheerst. Onderstaande maatregelen zijn de kern die vrijwel altijd terugkomt.
De Cyberbeveiligingswet schrijft voor dat organisaties in ieder geval maatregelen treffen op tien gebieden. Deze lijst is de wettelijke basis; hieronder ziet u hoe die zich verhoudt tot de technische onderwerpen waarop wij u helpen.
Bron: NCTV: de zorgplicht. Naast deze technische en organisatorische gebieden kent de wet ook een registratieplicht, een meldplicht en verantwoordelijkheden voor het bestuur (waaronder een trainingsplicht).
De onderwerpen hieronder zijn géén aparte wettelijke lijst, maar de manier waarop wij deze tien gebieden technisch invullen en aantoonbaar maken. Wij richten ons op de technische en operationele maatregelen; onderdelen als personeelsbeveiliging, cyberhygiëne-opleiding en de bestuurlijke trainingsplicht vragen daarnaast om organisatorische invulling.
Alles begint met weten wat u heeft en wat het waard is. Een actuele inventarisatie van systemen, applicaties, gegevens en datastromen, gekoppeld aan de risico's, is de basis waarop alle andere maatregelen rusten. Zonder dit overzicht zijn maatregelen willekeurig.
Een van de meest impactvolle en meest gecontroleerde maatregelen. Concreet:
U kunt alleen melden en reageren op wat u ziet. NIS2 vraagt in de praktijk om:
Dit is direct gekoppeld aan de meldplicht: zonder detectie merkt u een incident niet op tijd op om binnen de termijn te melden.
Beschikbaarheid is een kernonderdeel van de zorgplicht. Van belang:
Veilige standaardconfiguraties in plaats van standaard-functioneel:
E-mail blijft het meestgebruikte aanvalskanaal. De relevante maatregelen:
Meer hierover leest u op onze pagina Email Domein Beveiliging.
Omdat NIS2 een gefaseerde meldplicht met strakke termijnen kent (een vroegtijdige waarschuwing zo snel mogelijk, in ieder geval binnen 24 uur na kennisname, gevolgd door verdere meldingen), moet u vooraf geregeld hebben:
De maatregelen stoppen niet bij uw eigen grens. U moet de beveiligingsrisico's van uw leveranciers beoordelen en beheersen, en waar u zelf leverancier bent, kunt u eisen doorgelegd krijgen.
De meeste organisaties hebben stukjes hiervan al. Waar het bij NIS2 (net als bij ISO 27001) op vastloopt, is aantoonbaarheid: kunt u laten zien dat de maatregel echt in uw systemen zit en werkt? Dat is precies waar wij ons op richten.
Deze maatregelen zijn geen afvinklijst maar een samenhangend geheel. Wij starten doorgaans met een Audit-klaar Analyse om te zien welke er al staan, welke ontbreken en welke niet aantoonbaar zijn, met een geprioriteerd plan als resultaat.
Heeft u al ISO 27001? Dan heeft u het merendeel al ingericht; zie NIS2 en ISO 27001: hoeveel werk is de stap echt?. Twijfelt u of u onder de wet valt, lees dan NIS2 uitgelegd voor het MKB.
Wij implementeren en verifiëren de technische maatregelen die de NIS2-zorgplicht vraagt. Neem contact op voor een vrijblijvend gesprek.