NIS2; risico's en kansen voor bedrijven

Inleiding en wettelijke verwijzingen

NIS is een afkorting die staat voor "Netwerk- en informatiebeveiliging".

Met dit acroniem wilde de Europese Gemeenschap de wetgevende inspanning aanduiden om een ​​gestandaardiseerde aanpak voor cyberbeveiliging in alle EU-lidstaten te definiëren.

In 2018 werd de eerste Europese verordening, NIS1 (EU-richtlijn 2016/1148), aangenomen; deze werd op nationaal niveau omgezet door wetsbesluit 65 van 18 mei 2018.

Het NIS-decreet voorzag ook in de vaststelling van een 'nationale cyberbeveiligingsstrategie' door de oprichting van het Italiaanse CSIRT (Computer Security Incident Response Team) met technische taken met betrekking tot de preventie, respons en monitoring van cyberincidenten, in samenwerking met Europese CSIRT's.

NIS1 werd vervolgens vervangen door NIS2 (EU-richtlijn 2022/2555); omgezet op nationaal niveau door wetsbesluit 138 van 4 september 2024.

NIS 2 heeft tot doel de beperkingen van NIS 1 te verhelpen. NIS 1 liet namelijk te veel ruimte voor eigen inzicht bij de omzetting, waardoor de doelstelling van harmonisatie niet werd bereikt en bepaalde categorieën entiteiten werden uitgesloten die vanwege hun belang voor de Europese markt wel gereguleerd hadden moeten worden.

Bovendien werd NIS2 ingevoerd als antwoord op de toegenomen digitalisering in alle lidstaten, die door de pandemie is versneld en het potentiële doelwit voor cyberaanvallen heeft vergroot zonder dat de beveiligingssystemen navenant zijn verbeterd.

Tot slot is een ander doel van NIS2 het verplichten van exploitanten van essentiële en belangrijke diensten en aanbieders van digitale diensten om adequate beveiligingsmaatregelen te treffen en incidenten onmiddellijk te melden aan de bevoegde autoriteiten en gebruikers van hun diensten.

De nieuwe richtlijn is afgestemd op andere specifieke Europese sectorale regelgeving, waaronder:

- de Richtlijn inzake digitale operationele veerkracht voor de financiële sector (DORA). Dit is de verordening die op 10 november 2022 is goedgekeurd met als doel de veiligheidsmaatregelen ten gunste van de veerkracht en cyberbeveiliging van de financiële sector te versterken door de implementatie van een reeks verplichte veiligheidsmaatregelen die de integriteit van informatie en de cyberbeveiliging van diensten garanderen;

- de Critical Entity Resilience Directive (CER); deze heeft tot doel juridische duidelijkheid en consistentie tussen de verschillende richtlijnen te waarborgen.

De betrokken bedrijven zijn onderverdeeld in:

• Essentiële entiteiten (energie; transport; gezondheid; watervoorziening; openbaar bestuur; financiën; ruimtevaart; digitale infrastructuur)
• Belangrijke entiteiten (onderzoek; chemicaliën; voedsel; industriële productie; digitale aanbieders; postdiensten; afval)
• Overheidsinstanties: Centrale overheid (grondwettelijke en grondwettelijk relevante instanties; het kabinet van de premier en ministeries; belastingdiensten; onafhankelijke bestuursorganen) | Regionale overheid (regio's en autonome provincies) | Lokale overheid (metropolen; gemeenten met meer dan 100.000 inwoners; regionale hoofdsteden; lokale gezondheidsautoriteiten) | Andere publieke entiteiten (economische regelgevende instanties; aanbieders van economische diensten; verenigingen; welzijns-, recreatie- en culturele dienstverleners; onderzoeksinstellingen; experimentele zoöprofylactische instituten) | Andere soorten entiteiten (entiteiten die lokaal openbaar vervoer verzorgen; onderwijsinstellingen die onderzoek verrichten; entiteiten die activiteiten van cultureel belang uitvoeren; interne bedrijven; deelnemingen en beursgenoteerde bedrijven)
• Leveranciers: organisaties die essentiële diensten leveren aan entiteiten die door NIS2 worden getroffen, moeten hun digitale beveiliging versterken, zelfs als ze expliciet tot de verplichte sectoren behoren.

Inhoud van NIS2

De algemene verplichtingen die voortvloeien uit de inhoud van NIS2 kunnen worden samengevat aan de hand van vier hoofdpijlers:

Governance: Het management moet de door de organisatie genomen risicobeheersingsmaatregelen goedkeuren en de effectiviteit ervan in de loop der tijd beoordelen: regelmatige trainingen over cyberbeveiligingskwesties volgen en soortgelijke trainingen aan medewerkers aanbieden.

Risicobeheer: de organisatie moet de beveiligings- en netwerkrisico's beoordelen en passende en proportionele technische, operationele en organisatorische maatregelen nemen om de impact van incidenten op de gebruikers van haar diensten te voorkomen of te minimaliseren.

Bedrijfscontinuïteit: de organisatie moet oplossingen implementeren om de bedrijfscontinuïteit te waarborgen (bijv. back-ups, een rampenherstelplan en een crisisbeheersingsprocedure); gericht op het minimaliseren van de impact van eventuele onderbrekingen van de geleverde diensten.

Toeleveringsketen: het bedrijf moet de kwetsbaarheden van elke directe leverancier beoordelen, evenals de algehele kwaliteit van de producten en cybersecuritypraktijken van zijn leveranciers. De beoordeling omvat ICT-leveranciers en andere kritieke leveranciers die verstoringen kunnen veroorzaken in de dienstverlening waarvoor de organisatie is opgenomen in de NIS2-perimeter.

Bedrijven zullen daarom verplicht zijn om de volgende gegevens te meten en te rapporteren:

• Risicoanalyse en beleid inzake de beveiliging van informatiesystemen
• Incidentbeheerprocedures
• Oplossingen voor bedrijfscontinuïteit (back-up en noodherstel) en procedures voor crisisbeheer en -communicatie.
• Beveiligingsbeleid in de toeleveringsketen (leveranciers en dienstverleners)
• Beveiliging bij de verwerving, ontwikkeling, het onderhoud en het beheer van informatiesystemen en netwerkkwetsbaarheden.

NIS2-tijdlijn

Bedrijven en overheidsinstanties zullen een beoordeling moeten uitvoeren om te bepalen of zij al dan niet onder de verplichtingen van de NIS2-richtlijn vallen.

Van 1 december 2024 tot en met 28 februari 2025 moeten bedrijven zich hebben geauthenticeerd op het ACN-portaal (Agency de National Cybersecurity) met hun SPID-gegevens. Gedurende deze periode waren gebruikers aangewezen als /Registration Service.

Bedrijven zijn met name verplicht om:

• Geef aan of de entiteit deel uitmaakt van een groep bedrijven en vermeld, indien van toepassing, de belastingcode van de moedermaatschappij.
  
• Vermeld de gerelateerde bedrijven en geef hun belastingcodes op.
  
• Geef een lijst van de ATECO-codes die de activiteit van de entiteit beschrijven.
• Geef de relevante sectorale regelgeving van de Europese Unie aan.
• Geef de omzet, de balans en het aantal werknemersgegevens door om de categorie van het bedrijf te bepalen.
• Geef aan tot welke soorten entiteiten het bedrijf behoort.

Uiterlijk 17 januari 2025 moeten beheerders van topdomeinnamenregisters; aanbieders van domeinnaamsystemen en domeinnaamregistratiediensten; cloudcomputingbedrijven; datacenters; aanbieders van content delivery networks; managed service providers; managed security service providers; evenals aanbieders van online marktplaatsen; aanbieders van online zoekmachines en aanbieders van sociale netwerkplatformen zich op het platform hebben geregistreerd.

Uiterlijk 31 maart 2025 stelde de ACN een lijst samen van essentiële en belangrijke entiteiten op basis van de via het platform ontvangen registraties.

Tussen 1 april 2025 en 15 april 2025 heeft de ACN de betrokken entiteiten laten weten of zij waren opgenomen in de lijst van essentiële of belangrijke entiteiten.

Uiterlijk 15 april 2025 moesten de entiteiten die de kennisgeving hadden ontvangen, middels een specifieke wet, een entiteit aanwijzen die verantwoordelijk was voor de uitvoering van de verplichtingen uit het decreet.

Daarna moeten de entiteiten die onder de richtlijn vallen, aan verdere eisen voldoen:

• uiterlijk 1 januari 2026; meldingsplicht voor incidenten
• uiterlijk 1 oktober 2026 moeten de verplichtingen met betrekking tot bestuursorganen en veiligheidsmaatregelen worden nagekomen.

De ACN actualiseert jaarlijks de lijst met betrokken entiteiten. Bedrijven en overheidsinstellingen krijgen jaarlijks tussen januari en februari de mogelijkheid zich te registreren als zij zichzelf tot de betrokken entiteiten rekenen.

Risico's voor bedrijven, maar ook kansen.

Na de inwerkingtreding van NIS2 en de identificatie van de betrokken exploitanten kunnen de bevoegde autoriteiten toezicht houden en steekproeven uitvoeren om te controleren of zij de richtlijn naleven. In geval van niet-naleving zullen sancties worden opgelegd aan de betrokken bedrijven.

De sancties zijn zeer zwaar: voor grote bedrijven tot €10 miljoen of 2% van de wereldwijde omzet; voor middelgrote ondernemingen tot €7 miljoen of 1,4% van de wereldwijde omzet.

Hoewel het naleven van de regelgeving een duidelijke inspanning en investering van bedrijven vergt, moet ook worden erkend dat de regelgeving zelf een substantiële oplossing beoogt voor het probleem van cyberaanvallen. Italiaanse bedrijven zijn hier nog steeds zeer kwetsbaar voor en proberen deze aanvallen vaak te verdoezelen omwille van hun imago. Economisch gezien bedraagt ​​de geschatte gemiddelde schade per individuele cyberaanval meer dan € 2 miljoen, ongeacht de omzet van het bedrijf.

Hoe ERA kan helpen bij het beheer van NIS2-naleving

Ondanks al het bovenstaande, dat zou kunnen suggereren dat bedrijven zeer geïnteresseerd en betrokken zijn bij cyberbeveiligingskwesties, is het niet ongebruikelijk, met name bij kleine mkb-bedrijven, om bedrijven te vinden die weinig of niets aan deze kwesties hebben gedaan en momenteel niet in staat zijn hun positie te bepalen met betrekking tot de risico's waaraan ze zijn blootgesteld, zowel vanuit technisch oogpunt als met betrekking tot de naleving van de verschillende bestaande regelgeving.

Sommige bedrijven pakken cybersecurity aan via verzekeringen. Verzekeringsmaatschappijen zijn echter vaak terughoudend om dit soort bescherming te bieden aan bedrijven die nog nooit concrete stappen hebben ondernomen op het gebied van cyberbeveiliging. Dit komt doordat er geen betrouwbare methode bestaat om de schade van een cyberaanval nauwkeurig in te schatten. Daarom richten 'NIS2-pakketten' zich op cyberrisicobeoordeling, maar laten ze het aan de bedrijven zelf over om de nodige maatregelen te nemen om eventuele tekortkomingen aan te pakken. ERA kan een meer uitgebreide service bieden, dankzij een netwerk van hooggekwalificeerde leveranciers tegen zeer concurrerende tarieven.

In detail: de steun van ERA bestaat uit:

• Een beoordeling van de organisatorische en technische structuur van het bedrijf, met behulp van zelfbeoordelingsvragenlijsten op basis van vooraf gedefinieerde indicatoren;
• Voorlichtings- en trainingscursussen; met basiscursussen voor alle medewerkers en geavanceerde modules voor het top- en middenmanagement; in lijn met de NIS2-richtlijnen;
• Specifieke en hooggekwalificeerde tests op het gebied van kwetsbaarheidsanalyse; phishingbestrijding en ransomware-risicobeoordeling;
• Ondersteuning van toegewijde consultants tijdens de herstelfase na de beoordeling;
• Gespecialiseerde ondersteuning van toegewijde consultants om strategische beslissingen op het gebied van cyberbeveiliging te begeleiden.

Onze oplossing omvat een analyse van de naleving van de NIS2-regelgeving, wat ongetwijfeld de meest urgente kwestie is. Daarnaast kunnen we de klant begeleiden bij het projectmanagement van de herstelfase, oftewel de fase waarin de klant de verschillende 'gebreken' die tijdens de diagnose zijn vastgesteld, moet verhelpen. Dit is tevens de fase waarin de moeilijkheden van sommige bedrijven het meest duidelijk worden, zowel wat betreft interne expertise als de beschikbaarheid van tijd en middelen.