NIS2 is de voorbije maanden voor veel Belgische ondernemers veranderd van een ver-van-mijn-bedrijf-begrip in iets waar ze wakker van liggen. Dat is begrijpelijk, want de communicatie errond zit vol jargon. In dit artikel leg ik in gewone taal uit wat NIS2 is, of het voor jou geldt en hoe je er pragmatisch aan begint.
Wat is NIS2 eigenlijk?
NIS2 is een Europese richtlijn die organisaties verplicht om hun cyberbeveiliging aantoonbaar op orde te hebben. Aantoonbaar is het sleutelwoord. Het volstaat niet om te zeggen dat je veilig werkt. Je moet het ook kunnen tonen, met beleid, procedures en bewijs. België heeft de richtlijn omgezet in nationale wetgeving, en het Centrum voor Cybersecurity België (CCB) volgt ze op.
Geldt NIS2 voor mijn bedrijf?
Dat hangt af van twee dingen: je sector en je grootte. NIS2 maakt een onderscheid tussen essentiële en belangrijke entiteiten, in sectoren zoals energie, transport, gezondheidszorg, digitale infrastructuur, overheidsdiensten, de voedingssector, productie en meer. Algemeen geldt dat middelgrote en grote organisaties in een van die sectoren er doorgaans onder vallen. Middelgroot betekent hier vanaf ongeveer 50 medewerkers of 10 miljoen euro omzet.
Let wel op: ook als je zelf niet rechtstreeks onder NIS2 valt, kan je er onrechtstreeks mee te maken krijgen. Grote klanten die wel onder NIS2 vallen, gaan hun leveranciers bevragen over hun beveiliging, en dus misschien ook jou. Zo sijpelt NIS2 door de hele keten.
Wat moet je concreet kunnen aantonen?
De richtlijn schrijft geen specifieke producten voor. Ze vraagt wel dat je een aantal zaken op orde hebt. In de praktijk komt het hierop neer:
- Risicobeheer: je weet welke risico's je organisatie loopt en neemt gepaste maatregelen.
- Toegangsbeheer: alleen de juiste mensen hebben toegang tot de juiste systemen, met sterke authenticatie.
- Incidentrespons: je hebt een plan voor als er iets misgaat, en je meldt ernstige incidenten tijdig.
- Back-ups en continuïteit: je organisatie kan blijven draaien na een incident.
- Bewustwording: je medewerkers weten hoe ze veilig werken.
- Verantwoordelijkheid op directieniveau: het bestuur is mee verantwoordelijk. Cybersecurity is niet langer een zaak van de IT-afdeling alleen.
Hoe begin je eraan zonder je werking te blokkeren?
De grootste valkuil die ik zie, is dat organisaties in paniek schieten en dure tools kopen die ze niet ten volle benutten. Ik pak het omgekeerd aan en kijk eerst naar wat je al hebt. Werk je met Microsoft 365, dan zit een verrassend groot deel van wat NIS2 vraagt al in je bestaande licenties: meervoudige authenticatie, toegangsbeleid, logboeken en beveiliging van toestellen. De eerste winst zit dan vaak in het activeren van wat je al betaalt.
Een verstandig traject ziet er zo uit. Eerst een nuchtere doorlichting: waar sta je vandaag tegenover wat NIS2 vraagt? Dan een prioriteitenlijst: wat levert de meeste veiligheid op voor de minste moeite? En ten slotte een gefaseerde uitrol die je dagelijkse werking niet platlegt.
Conclusie
NIS2 is geen reden tot paniek, wel een reden om in actie te komen. De organisaties die er goed uitkomen, zijn niet de organisaties die het meeste geld uitgeven. Het zijn de organisaties die gestructureerd te werk gaan en vertrekken van wat ze al hebben. Twijfel je of NIS2 voor jou geldt, of waar je vandaag staat? Dat zoeken we samen uit in één gesprek.