Voldoen aan de Cyberbeveiligingswet (NIS2)

De NIS2-richtlijn is Europese wetgeving. De Cyberbeveiligingswet is de Nederlandse implementatie daarvan. De inhoud komt grotendeels overeen, maar de Cyberbeveiligingswet bepaalt hoe de regels in Nederland worden toegepast en gecontroleerd.

De Cyberbeveiligingswet verplicht organisaties om cyberrisico’s te beheersen, passende maatregelen te nemen en incidenten te melden. Het doel is om de digitale weerbaarheid van organisaties en sectoren te vergroten.

De Cyberbeveiligingswet geldt voor organisaties die actief zijn in specifieke sectoren, zoals energie, zorg, transport, digitale infrastructuur en overheid.

Je valt onder de wet als je binnen zo’n sector een rol hebt die belangrijk is voor de continuïteit van diensten. Afhankelijk van je omvang en type organisatie word je vervolgens aangemerkt als ‘essentiële’ of ‘belangrijke’ entiteit.

Je organisatie valt onder de Cyberbeveiligingswet als je actief bent in een aangewezen sector en voldoet aan de criteria voor type organisatie en omvang. In sommige gevallen geldt de wet altijd, ongeacht de grootte, bijvoorbeeld voor bepaalde digitale dienstverleners en overheidsorganisaties.

Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de wet vallen. De overheid biedt hiervoor een zelfevaluatietool en een stappenplan, waarbij je kijkt naar:

• de sector waarin je actief bent
• de omvang van je organisatie (zoals aantal medewerkers en omzet)
• je rol binnen de keten

Bekijk hier de officiële toelichting en doe een eerste check.

Als je onder de wet valt, moet je je organisatie registreren bij het Nationaal Cyber Security Centrum (NCSC).

Je voldoet wanneer je je cyberrisico’s aantoonbaar beheert, passende maatregelen neemt en incidenten tijdig meldt.

Het gaat daarbij niet alleen om wat je doet, maar vooral om wat je kunt laten zien, bijvoorbeeld in beleid, processen en documentatie.

Bestuurders zijn verantwoordelijk voor toezicht op cybersecurity. Zij moeten maatregelen goedkeuren, de uitvoering volgen en voldoende kennis hebben om risico’s en keuzes te kunnen beoordelen.

Nee. De wet raakt meerdere onderdelen van de organisatie, zoals governance, risicomanagement en bedrijfscontinuïteit. Samenwerking tussen IT, security, legal en business is noodzakelijk.

De wet verwacht dat organisaties ook risico’s in hun keten beheersen. Dat betekent dat je inzicht moet hebben in afhankelijkheden en afspraken moet maken met leveranciers over beveiliging en incidentafhandeling.

Je moet een incident melden wanneer het een significante impact heeft op de beschikbaarheid, integriteit of vertrouwelijkheid van systemen of diensten.

Omdat dit niet altijd direct duidelijk is, werken organisaties met een eerste inschatting op basis van impact en risico. Een incident geldt als significant wanneer het de dienstverlening ernstig verstoort, schade veroorzaakt of andere organisaties raakt of kan raken.

Twijfel je over de impact, dan moet je het incident als potentieel significant behandelen en tijdig melden.