NIS2 in de praktijk: wat kleine organisaties echt moeten voorbereiden

NIS2 wordt vaak voorgesteld als een nieuwe lijst verplichtingen voor ‘alle bedrijven’. Die formulering is te ruim. In België richt de wet zich vooral op entiteiten van een bepaalde omvang die diensten leveren in welbepaalde sectoren, met verschillende uitzonderingen.

Een kleine vzw, een gemeente, een IT-dienstverlener of een kmo kan er toch op drie verschillende manieren mee te maken krijgen: rechtstreeks door de wet, als leverancier van een betrokken entiteit, of gewoon omdat de gevraagde maatregelen nuttige goede praktijken zijn.

Begin bij het toepassingsgebied, niet bij een vragenlijst

De Belgische wet van 26 april 2024 zet de Europese NIS2-richtlijn om. Om te weten of een organisatie rechtstreeks betrokken is, moet je minstens nagaan:

• de precieze aard van de geleverde dienst;
• de sector die in de bijlagen is opgenomen;
• de omvang van de entiteit;
• verbonden of partnerondernemingen;
• de toepasselijke uitzonderingen;
• de plaats van vestiging en de bijzondere regels voor bepaalde diensten.

De drempel van vijftig personen of tien miljoen euro wordt vaak geciteerd. Die mag niet op zichzelf worden gebruikt. De Europese definitie van kmo's houdt rekening met het personeelsbestand, de omzet, het balanstotaal en soms met gegevens van verbonden ondernemingen. Bepaalde soorten entiteiten kunnen ook ongeacht hun omvang onder de wet vallen.

Gebruik bij twijfel de informatie en tools van het CCB (Centrum voor Cybersecurity België) en vraag daarna advies op maat van je organisatie. Een algemeen artikel vervangt geen juridische analyse.

Een kleine organisatie kan betrokken zijn zonder een NIS2-entiteit te zijn

Een organisatie die onder NIS2 valt, moet de risico's uit haar toeleveringsketen beheren. Ze zal haar leveranciers dus garanties vragen over toegang, incidenten, back-ups, onderaannemers en continuïteit.

De kleine webdienstverlener van een ziekenhuis, de hostingprovider van een gemeente of de IT-leverancier van een energiebedrijf wordt niet automatisch een NIS2-entiteit. Hij kan wel preciezere contractuele eisen krijgen.

Dat onderscheid is belangrijk. Het laat toe eerlijk te antwoorden:

• ‘wij vallen rechtstreeks onder NIS2’;
• ‘wij vallen er niet rechtstreeks onder, maar we passen deze controles toe’;
• ‘we moeten onze situatie nog nagaan’.

Jezelf conform verklaren zonder je status te hebben bepaald, creëert meer risico dan een voorzichtig en gedocumenteerd antwoord.

Het eerste resultaat is een kaart van de diensten

Beschrijf vóór je een tool koopt welke diensten moeten blijven draaien:

• e-mail;
• website en klantenportaal;
• facturatie;
• gedeelde mappen;
• toegang op afstand;
• back-ups;
• cloudleveranciers;
• domeinnamen en DNS.

Vermeld voor elke dienst een verantwoordelijke, een leverancier, de verwerkte gegevens, de beheerdersaccounts, een aanvaardbare onderbrekingsduur en de herstelmethode.

Die kaart beantwoordt een eenvoudige vraag: als deze dienst morgen wegvalt, wie weet dan wat te doen?

Governance betekent niet meer vergaderingen

NIS2 legt de verantwoordelijkheid voor cyberbeveiliging bij de leiding. In een kleine organisatie kan dat een heel concrete vorm aannemen:

• een driemaandelijks overleg over de belangrijkste risico's;
• goedkeuring van prioriteiten en budget;
• een aangewezen verantwoordelijke;
• bewijs van de genomen beslissingen;
• een opleiding op maat van wie beslist.

De leiding hoeft geen firewall te configureren. Ze moet de gevolgen van een aanvaard risico begrijpen, nagaan of acties worden opgevolgd en weten wie een incident coördineert.

Tien maatregelen om voor te bereiden vóór de volgende klantenvragenlijst

Een kleine organisatie kan een nuttig dossier samenstellen met:

1. de lijst van haar essentiële diensten en middelen;
2. persoonsgebonden accounts en herziene rechten;
3. sterke authenticatie voor gevoelige toegang;
4. een procedure voor in- en uitdiensttreding;
5. geïsoleerde back-ups en een geteste herstelprocedure;
6. gedocumenteerd updatebeheer;
7. een noodcontact bij elke kritieke leverancier;
8. een interne meldingsprocedure;
9. een incidentresponsplan op één pagina;
10. een eenvoudig beleid om betrokken partners te informeren.

Die elementen overtuigen meer dan een algemene conformiteitsverklaring. Ze kunnen worden getoond, gedateerd en getest.

Leveranciers moeten worden beoordeeld volgens hun rol

Een dienst voor zaalreservaties en een hostingprovider die alle persoonsgegevens bewaart, vormen niet hetzelfde risico. Pas de beoordeling aan:

• welke gegevens ontvangt de leverancier;
• heeft hij toegang tot de systemen;
• hangt hij zelf af van een essentiële onderaannemer;
• hoe meldt hij een incident;
• hoe krijg je de gegevens terug;
• wat gebeurt er aan het einde van het contract?

Een lange, identieke vragenlijst voor iedereen levert vaak oppervlakkige antwoorden op. Een paar vragen die verband houden met de werkelijke dienst zijn nuttiger.

De melding van een incident moet vóór het incident worden voorbereid

Entiteiten die rechtstreeks onder NIS2 vallen, moeten bepaalde significante incidenten melden volgens de procedure van het CCB. De termijnen en de gevraagde informatie veranderen naarmate het incident verloopt.

Om correct te kunnen melden, moet de organisatie weten:

• wie beslist dat een gebeurtenis significant is;
• wie het portaal gebruikt of contact opneemt met het CCB;
• welke informatie mag worden meegedeeld;
• hoe de vertrouwelijkheid wordt bewaard;
• wie klanten en partners informeert.

Wachten tot het incident er is om die antwoorden te zoeken, kost kostbare tijd.

Gebruik CyberFundamentals als gemeenschappelijke taal

Het CyberFundamentals-kader van het CCB biedt niveaus van maatregelen die aan het risico zijn aangepast. Het kan dienen om een plan te structureren, in dialoog te gaan met een leverancier en te vermijden dat elke klant zijn eigen definitie van beveiliging bedenkt.

Het doel is niet documenten op te stapelen. Het doel is elke maatregel te koppelen aan een dienst, een verantwoordelijke en een bewijs.

Een realistisch stappenplan over drie maanden

Verduidelijk in de eerste maand het toepassingsgebied, de essentiële diensten, de verantwoordelijken en de beheerderstoegang.

Test in de tweede maand een herstel, ruim gedeelde accounts op, activeer sterke authenticatie en neem contact op met de kritieke leveranciers.

Organiseer in de derde maand een korte oefening: verlies van e-mail, een gecompromitteerde account of een onbeschikbare hostingprovider. Noteer wat ontbreekt en laat de prioriteiten goedkeuren door de leiding.

Die aanpak garandeert op zich geen wettelijke conformiteit. Hij bouwt wel een controleerbare en nuttige basis op, zelfs voor een organisatie die niet rechtstreeks onder NIS2 valt.

Officiële bronnen

• CCB - De NIS2-wet in België (FR)
• CCB - De NIS2-richtlijn: voor wie en waarom (FR)
• Safeonweb at Work - Informatie over NIS2 (FR)
• CCB - CyberFundamentals Framework (FR)