Nieuwe eisen voor incidentmanagement
Eerder schreven we al een algemene samenvatting over de aankomende NIS2-richtlijn en de veranderingen die het met zich mee zal brengen. Aangezien de nieuwe NIS2-richtlijn sinds 18 oktober officieel van kracht is, wil ik vandaag een specifiek onderwerp uitlichten om de impact van deze vernieuwde regelgeving te onderzoeken: incidentmanagement.
De NIS2-richtlijn brengt namelijk veel veranderingen met zich mee op het gebied van incidentmanagement binnen de EU. Waar de oorspronkelijke NIS-richtlijn al eisen stelde aan de beveiliging van netwerk- en informatiesystemen, introduceert NIS2 vooral aangescherpte regels en verplichtingen, waaronder dus strengere eisen voor incidentmeldingen. Ik heb alle belangrijke veranderingen hieronder voor je onder elkaar gezet.
Verplichte en strikte incidentmeldingen
Een van de grootste veranderingen die NIS2 introduceert, is de verplichting om cyberincidenten met een (mogelijk) grote impact binnen strenge termijnen te melden aan de bevoegde autoriteiten. Voorheen was de meldingstermijn minder strikt en verschilde per lidstaat. Vaak was er geen specifieke tijdslimiet vastgelegd, dat is nu anders:
- Voorlopige meldingen binnen 24 uur
Zodra een organisatie een incident ontdekt dat grote gevolgen kan hebben, moet dit binnen 24 uur na de ontdekking worden gemeld. Dit geeft autoriteiten een vroegtijdige indicatie van de situatie, zelfs als bijvoorbeeld het onderzoek nog gaande is.
- Gedetailleerde rapportage binnen 72 uur
Na de eerste melding moeten organisaties binnen 72 uur aanvullende details verschaffen. Dit omvat een uitgebreide beschrijving van het incident, de aard en de omvang van de schade, de getroffen systemen, en de reeds genomen maatregelen om verdere schade te beperken.
- Definitieve rapportage binnen een maand
Een volledige evaluatie moet binnen een maand na het incident worden ingediend. Deze finale rapportage bevat informatie over de exacte oorzaken, de technische details en de langetermijnmaatregelen die worden getroffen om herhaling te voorkomen.
Uitgebreide toepassing van incidentmeldingsplicht
In vergelijking met de oorspronkelijke NIS-richtlijn, breidt NIS2 de meldingsplicht uit naar meer sectoren en organisaties. Waar voorheen alleen kritieke infrastructuren zoals o. a. energie, water en vervoer onder de regelgeving vielen, zijn nu ook andere sectoren verplicht tot incidentmanagement.
- Zorginstellingen
Ziekenhuizen, farmaceutische bedrijven en medische onderzoekscentra worden nu specifiek genoemd als meldingsplichtige organisaties. Incidenten binnen de gezondheidszorg kunnen namelijk enorme gevolgen hebben, vooral gezien de gevoeligheid van medische gegevens.
- Digitale dienstverleners
Cloudproviders, datacenters, en online marktplaatsen zijn nu ook meldingsplichtig. De digitale infrastructuur vormt een essentieel onderdeel van de moderne economie en is daarom een steeds belangrijker doelwit voor cyberaanvallen.
- Andere kritische sectoren
NIS2 richt zich daarnaast op nieuwe sectoren zoals de voedselvoorziening, ruimtevaart, koeriersdiensten en producenten van chemische producten, gezien hun toenemende afhankelijkheid van digitale systemen.
Strengere handhaving en flinke boetes
De NIS2 legt een sterke nadruk op naleving en handhaving. Organisaties die niet voldoen aan de meldingsplicht of hun incidentmanagementprocessen niet op orde hebben, riskeren aanzienlijke hogere boetes en juridische gevolgen dan voorheen.
- Hoge boetes
De boetes voor niet-naleving van NIS2 kunnen oplopen tot 2% van de wereldwijde omzet van een organisatie. Onderstaand voorbeeld benadrukt nog maar eens hoe dringend de EU organisaties aanmoedigt om cybersecurity serieus te nemen.
Voorbeeld: stel dat Philips, met een jaarlijkse wereldwijde omzet van ongeveer €17 miljard (gebaseerd op omzetcijfers) een NIS2 richtlijn overtreedt, dan kunnen zij een boete verwachten van 0.02 X €17 miljard = €340 miljoen.
- Strenge handhaving
Naast boetes kunnen bedrijven ook onderworpen worden aan audits, inspecties en in sommige gevallen zelfs verplichte technische maatregelen. Dit dwingt organisaties om preventief te investeren in incidentmanagementsystemen.
Betere samenwerking en informatie-uitwisseling
Een belangrijk doel van NIS2 is het bevorderen van samenwerking en informatie-uitwisseling tussen lidstaten, sectoren, en bedrijven. Het snel en efficiënt delen van informatie over cyberdreigingen is cruciaal om de algehele cyberweerbaarheid te versterken.
- Informatie-uitwisseling
Organisaties worden aangemoedigd om sneller en beter samen te werken bij het delen van gegevens over cyberincidenten. Dit kan helpen om veelvoorkomende dreigingen te herkennen, samen na te denken over verdedigingsstrategieën en deze vervolgens te ontwikkelen.
- Nationaal coördinatiepunt
Elk EU-land moet een Single Point of Contact (SPOC) aanwijzen dat verantwoordelijk is voor de coördinatie van incidentmeldingen en de communicatie met andere lidstaten. Daarnaast worden bestaande Computer Security Incident Response Teams (CSIRTs) versterkt om grensoverschrijdende incidenten beter te kunnen aanpakken.
Verhoogde verantwoordelijkheid voor leidinggevenden
Onder NIS2 wordt de verantwoordelijkheid voor cyberincidenten en de preventie daarvan nadrukkelijk neergelegd bij de top van de organisatie. Bestuurders en leidinggevenden moeten erop toezien dat hun organisatie beschikt over de juiste processen en middelen om incidenten te voorkomen en adequaat te reageren wanneer deze zich voordoen.
- Verantwoordelijkheid van de directie
De directie van een bedrijf wordt expliciet verantwoordelijk gehouden voor het voldoen aan de NIS2-verplichtingen. Dit betekent dat zij niet alleen aansprakelijk kunnen worden gesteld voor de gevolgen van een incident, maar ook voor het falen om preventieve maatregelen te nemen.
- Opleiding en bewustwording
Het verhogen van de kennis en bewustzijn over cybersecurity binnen alle lagen van de organisatie is een essentieel onderdeel van NIS2. Leidinggevenden moeten ervoor zorgen dat hun personeel regelmatig wordt getraind en dat er een cultuur van cyberbewustzijn wordt gecreëerd.
Proactief risicobeheer en preventieve maatregelen
NIS2 moedigt organisaties aan om meer nadruk te leggen op preventie en risicobeheer. Dit betekent dat bedrijven niet alleen moeten reageren op incidenten, maar vooral actief moeten werken aan het voorkomen ervan.
- Risicoanalyse
Regelmatige risicoanalyses en kwetsbaarheidstesten worden verplicht gesteld om de zwakke punten te identificeren en te versterken.
- Incidentresponseplannen
Bedrijven moeten beschikken over gedetailleerde incidentresponsplannen die duidelijk omschrijven hoe ze reageren op verschillende soorten cyberdreigingen.
Conclusie
De NIS2-richtlijn brengt strengere eisen voor incidentmanagement met zich mee dan zijn voorganger. Organisaties moeten nu sneller reageren op cyberincidenten én deze tijdig melden, terwijl bestuurders persoonlijk verantwoordelijk worden voor naleving. Met hogere boetes, striktere regels en een sterke focus op preventie en risicobeheer tilt NIS2 de cyberveiligheid in de EU naar een hoger niveau. Zorg er daarom voor dat jouw organisatie voorbereid is.