De hindernissen van de NIS2; is jouw organisatie er al klaar voor?

Network and Information Security directive. Een hele mond vol en de meeste lezers zal het in deze benaming niet veel zeggen. Maar misschien gaat er bij de afkorting, NIS2 of ook wel NIB2, wel een lampje branden. Halverwege dit jaar ging de Europese Commissie akkoord met fors aangescherpte, hernieuwde wetgeving op het gebied van cybersecurity.

Deze richt zich op risico’s die netwerk- en informatiesystemen bedreigen, waaronder cyberbeveiligingsrisico’s en geldt voor sectoren die ook al onder de eerdere NIS-richtlijn vielen. Maar ook zijn er een aantal nieuwe sectoren toegevoegd. Lever je als organisatie ‘essentiële diensten’, dan moet je voldoen aan de nieuwe securityrichtlijnen van NIS2. Onze specialist op het gebied van onder andere security, Hendry Scholing, vertelt je in deze blog meer over de impact, het belang en de uitvoering van NIS2 voor jouw organisatie.

Alle al eerder onder de eerste NIS-richtlijn vallende sectoren vallen automatisch ook onder de nieuwe NIS2-richtlijn. Dat betreft organisaties werkzaam in de volgende sectoren: Afvalstoffenbeheer, Gezondheidszorg, Levensmiddelen, Drinkwater, Chemische stoffen, Digitale infrastructuur, Onderzoek, Afvalwater, Vervaardiging/manufacturing, Overheidsdiensten, Ruimtevaart, Beheerders van ICT-diensten en Bankwezen. Vanuit de NIS2 worden daar ook organisaties werkzaam in sectoren Energie, Digitale aanbieders, Transport, Post- en Koeriersdiensten en Infrastructuur financiële markt aan toegevoegd. Maar ook organisaties met meer dan 250 werknemers óf met een jaaromzet van meer dan € 50 miljoen en een balanstotaal van meer dan € 43 miljoen.

Er wordt in de nieuwe richtlijn specifiek toegespitst op drie verplichtingen; zorgplicht, meldplicht en toezicht. De zorgplicht verplicht jouw organisatie om zelf een risicobeoordeling te doen en op basis daarvan passende maatregelen te nemen. Dit om geboden diensten zoveel mogelijk te waarborgen en de gebruikte informatie te beschermen. De meldplicht schrijft voor dat incidenten, die de verlening van de essentiële dienst sterk (kunnen) verstoren, binnen 24 uur gemeld worden bij de toezichthouder. Betreft het een cyberincident, dan meld je deze ook bij het Computer Security Incident Response Team (CSIRT) dat jou hulp en ondersteuning kan leveren. Valt jouw organisatie onder de richtlijn, dan kom je automatisch onder toezicht te staan. Een onafhankelijk toezichthouder kijkt dan naar de naleving van de verplichtingen uit de richtlijn.

Het eerste advies dat we je willen geven? Blijf rustig, maar begin nu wel echt met het opstellen van een actieplan. Het is tenslotte zo oktober 2024. Een eerste stap is het in kaart brengen van je huidige securityvolwassenheid. Wat heb je eigenlijk al geregeld en waar moet aandacht op gevestigd worden? Een CIS Controls assessment, uitgevoerd door de securityspecialisten van Unica ICT, kan hierbij helpen. In een duidelijk rapport wordt helder waar je nu staat in jouw securityvolwassenheid en waar je jouw aandacht op moet vestigen. Aangezien een cybersecurityplan vooral gaat over het inzichtelijk krijgen van alle apparatuur die mogelijk onveilig kan zijn, is het van groot belang grip te krijgen op al je assets. Wat heb je aangesloten in je netwerk en hoe communiceren deze apparaten? Waar slaan ze hun data op en hoe heb je deze data vervolgens beschermd? Als dit allemaal bekend is, kunnen daar acties op worden uitgezet.

Een ander belangrijk punt om mee aan de slag te gaan is de signalering van het moment dat het mis dreigt te gaan. Draag er zorg voor dat logging vanuit je securityoplossing wordt verzameld in een SIEM, zoals bijvoorbeeld Microsoft Sentinel. Maar het verzamelen daarvan is één, een correcte opvolging op de meldingen is minstens zo belangrijk. Voor een gemiddeld MKB-bedrijf is dit echter vaak niet eenvoudig te realiseren. Maak daarom gebruik van een Security Operating Center, waar 24/7 securityalarmen in de gaten gehouden worden en waar nodig direct op geacteerd. Door deze opvolging ben je zelf in control en kan er binnen de gestelde 24 uur een melding worden gemaakt bij CSIRT (Computer Security Incident Response Teams).

Als laatste advies willen we je graag meegeven dat jouw organisatie vandaag nog aan de slag kan gaan. Dit door security onder de aandacht te brengen van de gebruikers, maar deze aandacht ook vooral te houden. Door gebruikers proactief te adviseren wat er zoal kan gebeuren en dit aanvullend te toetsen door bijvoorbeeld een phisingcampagne te starten, kan er gevolgd worden of de security awareness bij gebruikers toeneemt. Maar ook kunnen daarmee de risico’s dat een zogenaamde malwarebesmetting of sphere phising aanval via e-mail binnenkomt tot een minimum beperkt worden. Door alle voortgang van campagnes te loggen blijf je een actueel inzicht houden in hoeverre jouw collega’s kritischer worden bij het werken met e-mail en kun je zelf altijd bijsturen waar nodig.

Door je ondernomen acties op het vlak van security te registreren en hierop ook de verdere doorontwikkeling vast te leggen, kun je bij de toezichthouder aannemelijk maken dat je als organisatie de noodzakelijke acties hebt ondernomen op het vlak van cybersecurity. Zo blijft het invulling geven aan de NIS2 overzichtelijk. Onze specialisten kunnen je hierbij helpen, door het leveren van diverse diensten zoals de uitvoer van een CIS Controls Assessment, consultancy en diverse diensten vanuit ons Security Operations Center.