De regelgeving op het gebied van cyberbeveiliging in de EU wordt steeds strenger. Met meerdere nieuwe en bijgewerkte kaders die worden uitgerold, wordt nu van organisaties verwacht dat ze voldoen aan strengere en uitgebreidere eisen dan ooit tevoren.

Tegelijkertijd moeten veel bedrijven aan meer dan één raamwerk voldoen. Een bedrijf kan omgaan met persoonsgegevens(GDPR), digitale diensten leveren(NIS2), actief zijn in de financiële sector(DORA) en connected producten gebruiken (CRA) - en dat allemaal tegelijk. Dit zorgt voor complexiteit, vooral wanneer de raamwerken elkaar overlappen op gebieden als risicomanagement, reactie op incidenten of governance.

Dit artikel richt zich op de meest relevante cyberbeveiligingsraamwerken die op dit moment door de EU worden gereguleerd, namelijk NIS2, DORA, GDPR en CRA, evenals ISO 27001 als vrijwillige benchmark.

We leggen uit op wie elk framework van toepassing is, wat ervoor nodig is, hoe ze met elkaar verbonden zijn en hoe organisaties er efficiënt mee om kunnen gaan met behulp van Cyberday.

Als je je afvraagt wat je prioriteit moet geven, wat wettelijk verplicht is en waar verschillende frameworks elkaar ondersteunen, dan is dit artikel iets voor jou.

Belangrijkste kaders en regels waarmee in de EU gevestigde organisaties rekening moeten houden

Hieronder volgt een snelle vergelijking van de belangrijkste cyberbeveiligingsraamwerken in de EU, met de aandachtsgebieden, of ze verplicht zijn en wat ze doorgaans vereisen van organisaties.

‍

NIS2 (richtlijn netwerk- en informatiebeveiliging 2)

De NIS2-richtlijn is de belangrijkste cyberbeveiligingsverordening van de EU voor kritieke en belangrijke sectoren. De richtlijn breidt de reikwijdte van de oorspronkelijke NIS-richtlijn aanzienlijk uit, met strengere eisen en een bredere dekking in alle sectoren.

Op wie is NIS2 van toepassing?

NIS2 heeft invloed op zowel essentiële als belangrijke entiteiten in sectoren zoals energie, vervoer, gezondheidszorg, ICT-diensten, digitale infrastructuur, afvalbeheer en openbaar bestuur.

Over het algemeen is het van toepassing op organisaties met meer dan 50 werknemers of een jaaromzet van meer dan €10 miljoen, hoewel kleinere organisaties ook onder het toepassingsgebied kunnen vallen als ze belangrijke diensten verlenen aan de maatschappij of de economie.

Lees hier het volledige overzicht van op wie NIS2 van toepassing is.

Wat heeft NIS2 nodig?

Organisaties moeten een reeks risicobeheer- en governancepraktijken implementeren om hun weerbaarheid tegen cyberbedreigingen te versterken. De belangrijkste vereisten zijn:

• Risicobeheersmaatregelen met betrekking tot beleid, procedures en technische controles
• Incidentmelding binnen 24 uur na het bekend worden van een significante gebeurtenis
• Regelmatige beveiligingsaudits en kwetsbaarheidsbeoordelingen
• Risicobeheer van de toeleveringsketen
• Duidelijke verantwoording: het topmanagement is verantwoordelijk voor beslissingen op het gebied van cyberbeveiliging

Waarom is NIS2 belangrijk?

NIS2 is verplicht in de hele EU en brengt hogere verwachtingen - en boetes - met zich mee dan voorheen. Niet-naleving kan leiden tot hoge boetes en zelfs persoonlijke aansprakelijkheid voor de bedrijfsleiding. De richtlijn is bedoeld om de cyberbeveiligingsbereidheid in de hele EU te harmoniseren en de samenwerking tussen nationale autoriteiten te versterken.

Hoe overlapt NIS2 met andere raamwerken?

Veel van de vereisten van NIS2 sluiten nauw aan bij ISO 27001, vooral op gebieden als risicobeheer, governance en reactie op incidenten. Als uw organisatie al werkt met ISO 27001, dan is veel van het basiswerk al gedaan, aangezien deze twee behoorlijk veel overlappen. Bij volledige naleving van ISO 27001 is de naleving van NIS2 ongeveer 80%.

Er zijn ook sterke verbanden met DORA voor entiteiten in de financiële sector en GDPR als het gaat om inbreuken op persoonsgegevens.

Welke voorschriften zijn vergelijkbaar met NIS2 buiten de EU?

Vergelijkbare kaders zijn onder andere het NIST Cybersecurity Framework in de VS en de NIS-regelgeving in het VK, die na de Brexit wordt voortgezet met een vergelijkbare aanpak.

Wat is de tijdlijn voor naleving van NIS2?

De richtlijn is in januari 2023 van kracht geworden en de EU-lidstaten moeten deze uiterlijk op 17 oktober 2024 op nationaal niveau hebben geïmplementeerd. Van betrokken organisaties wordt verwacht dat ze direct na de inwerkingtreding van de nationale wetgeving aan de richtlijn voldoen.

Wordt NIS2 ondersteund in Cyberday?

Ja. Cyberday ISMS omvat volledige ondersteuning voor NIS2 - inclusief taken, documentatiesjablonen en auditgereedheid. Een groot deel van onze klantorganisaties opereert in NIS2-sectoren of als belangrijke leveranciers voor organisaties in het NIS2-gebied. Om deze reden maakt meer dan 70% van de Cyberday klanten gebruik van het NIS2 framework.

GDPR (Algemene Verordening Gegevensbescherming)

De General Data Protection Regulation (GDPR) is het vlaggenschip van de EU op het gebied van gegevensprivacy en -beveiliging. Het stelt de norm voor hoe organisaties moeten omgaan met persoonlijke gegevens, ongeacht of ze gevestigd zijn in de EU of alleen gegevens verwerken van inwoners van de EU.

Op wie is GDPR van toepassing?

GDPR is van toepassing op alle organisaties -ongeacht hun omvang of sector - die persoonlijke gegevens van personen in de EU verzamelen of verwerken. Dit geldt ook voor bedrijven die buiten de EU zijn gevestigd als zij zich richten op EU-gebruikers of hen volgen (bijvoorbeeld via websites, apps of diensten).

Wat vereist GDPR?

GDPR legt specifieke principes en rechten vast rond de verwerking van persoonlijke gegevens. De belangrijkste vereisten zijn onder andere:

• Wettelijke basis voor het verwerken van persoonlijke gegevens
• Rechten van betrokkenen (toegang, correctie, verwijdering, enz.)
• Gegevensbescherming door ontwerp en standaard
• Aanstelling van een functionaris voor gegevensbescherming (Data Protection Officer, DPO) in sommige gevallen
• Meldplicht datalekken binnen 72 uur
• Een register van verwerkingsactiviteiten bijhouden (ROPA)

Waarom is GDPR belangrijk?

GDPR is verplicht in de hele EU en is de wereldwijde standaard geworden voor privacyregelgeving. Boetes kunnen oplopen tot €20 miljoen of 4% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. GDPR gaat verder dan naleving en bouwt vertrouwen op bij klanten en zakelijke partners door transparante gegevenspraktijken.

Hoe overlapt GDPR met andere kaders?

GDPR overlapt met NIS2 wanneer persoonlijke gegevens betrokken zijn bij een beveiligingsincident. Het sluit ook aan bij ISO 27001 voor controles op het gebied van toegangsbeheer, risicobeoordeling en reactie op incidenten. Organisaties die DORA, CRA of andere raamwerken gebruiken, zullen ook te maken krijgen met gedeelde principes voor beveiligingsbeheer en het melden van inbreuken.

Welke voorschriften zijn vergelijkbaar met GDPR buiten de EU?

Verschillende landen hebben op de GDPR geïnspireerde wetten ingevoerd:

• CCPA/CPRA (Californië, VS)
• LGPD (Brazilië)
• PIPEDA (Canada)

Deze hebben concepten als rechten van betrokkenen en transparantie gemeen, maar zijn vaak minder streng.

Wat is de tijdlijn voor GDPR-compliance?

GDPR is op 25 mei 2018 van kracht geworden. Naleving wordt verwacht vanaf het moment dat een organisatie begint met het verwerken van persoonlijke gegevens uit de EU.

Wordt GDPR ondersteund in Cyberday?

Ja. Cyberday ISMS biedt volledige GDPR dekking met kant-en-klare taken, documentatie tools en risico mapping. GDPR wordt gebruikt door meer dan 75% van de organisaties in Cyberday, waardoor het het op één na meest gebruikte framework is. Het is op iedereen van toepassing en velen gebruiken het naast andere raamwerken - wat de brede acceptatie verklaart, ook al is het zelden het primaire raamwerk.

DORA (Wet Digitale Operationele Weerbaarheid)

DORA is de cyberbeveiligingsverordening van de EU die specifiek gericht is op de financiële sector. Het is erop gericht ervoor te zorgen dat financiële instellingen bestand zijn tegen en kunnen herstellen van operationele verstoringen, met name die welke worden veroorzaakt door ICT-risico's (informatie- en communicatietechnologie).

Op wie is DORA van toepassing?

DORA is van toepassing op bijna alle soorten financiële entiteiten die actief zijn in de EU, waaronder:

• Banken en kredietinstellingen
• Verzekerings- en herverzekeringsondernemingen
• Beleggingsondernemingen en vermogensbeheerders
• Aanbieders van cryptodiensten
• Betalingsinstellingen en aanbieders van elektronisch geld
• Kritische externe ICT-dienstverleners (inclusief cloudproviders)

Als je organisatie deel uitmaakt van het financiële ecosysteem, in welke vorm dan ook, dan is DORA waarschijnlijk van toepassing.

Wat vereist DORA?

DORA bevat duidelijke regels voor het beheren van ICT-risico's. De belangrijkste vereisten zijn onder andere:

• Een robuust kader voor ICT-risicobeheer
• Classificatie en rapportage van grote ICT-gerelateerde incidenten
• Voortdurende testen van digitale operationele veerkracht
• Risicobeheer voor derden voor ICT-dienstverleners
• Duidelijke rollen en verantwoordelijkheden op managementniveau

Waarom is DORA belangrijk?

DORA is verplicht voor financiële entiteiten binnen het toepassingsgebied en legt de lat voor operationele veerkracht aanzienlijk hoger. Het sluit aan bij het doel van de EU om het vermogen van het financiële systeem om cyberverstoringen te voorkomen en erop te reageren te versterken. Naleving is essentieel om licenties te behouden en boetes te voorkomen.

Hoe overlapt DORA met andere raamwerken?

DORA overlapt met NIS2 voor kritieke ICT-infrastructuur en incidentafhandeling, en deelt de fundamenten voor risicobeheer met ISO 27001. Als je organisatie ISO of NIS2 al implementeert, is er een sterke basis om op voort te bouwen. Het sluit ook aan bij GDPR wanneer persoonlijke gegevens worden beïnvloed tijdens een incident.

Welke regelingen zijn vergelijkbaar met DORA buiten de EU?

De meest vergelijkbare regelgeving is de Amerikaanse SEC Cybersecurity Rule voor financiële instellingen. DORA lijkt ook op de NYDFS Cybersecurity Regulation in New York en andere opkomende regels voor operationele veerkracht in Azië en het Verenigd Koninkrijk.

Wat is het tijdschema voor naleving van de DORA?

DORA werd van kracht in januari 2023. Alle financiële entiteiten moeten op 17 januari 2025 volledig aan de eisen voldoen. De implementatie-inspanningen zouden al moeten beginnen.

Wordt DORA ondersteund in Cyberday?

Ja. DORA is beschikbaar als een dedicated framework in Cyberday, met taken, beleidsregels en documentatiehulpmiddelen die zijn gebouwd voor compliance in de financiële sector. De financiële sector en hun ICT-dienstverleners vormen een belangrijk segment in Cyberday, met ongeveer 20% van de klanten die het DORA-framework gebruiken.

Cyberweerbaarheidswet (CRA)

De Cyberweerbaarheidswet is een EU-verordening die gericht is op het verbeteren van de cyberveiligheid van digitale producten. De wet moet ervoor zorgen dat hardware en software die in de EU op de markt worden gebracht, gedurende hun hele levenscyclus voorzien zijn van ingebouwde beveiligingsfuncties en -verantwoordelijkheden.

Op wie is de CRA van toepassing?

CRA is van toepassing op fabrikanten, importeurs en distributeurs van producten met digitale elementen, waaronder:

• Software-toepassingen
• Aangesloten apparaten (IoT)
• Besturingssystemen
• Industriële besturingssoftware
• Geïntegreerde software in hardwareproducten

Producten die al onder andere EU-wetten vallen, zoals medische apparaten, voertuigen of luchtvaartapparatuur, zijn uitgesloten. Als uw organisatie digitale producten ontwikkelt, verkoopt of distribueert in de EU, is de CRA waarschijnlijk van toepassing.

Wat vereist de CRA?

De CRA introduceert beveiligingsverplichtingen voor de hele levenscyclus van een product. De belangrijkste vereisten zijn:

• Secure-by-design en standaard ontwikkelpraktijken
• Een gedocumenteerd proces voor de behandeling van kwetsbaarheden
• Incidentrapportage voor actief uitgebuite kwetsbaarheden
• Voortdurende beveiligingsupdates en ondersteuning voor producten
• Technische documentatie die conformiteit aantoont

Bepaalde "kritieke" productcategorieën moeten een conformiteitsbeoordeling door een derde partij ondergaan, terwijl andere categorieën zelf kunnen verklaren dat ze aan de eisen voldoen.

Waarom is de CRA belangrijk?

De CRA is verplicht en maakt onveilige producten wettelijk aansprakelijk. Het verschuift de verantwoordelijkheid naar verkopers om cyberbeveiliging vanaf dag één te garanderen - niet als een bijkomstigheid. Dit helpt het risico in de hele EU van slecht beveiligde digitale hulpmiddelen te verminderen en creëert marktdruk voor veilige innovatie.

Hoe overlapt de CRA met andere raamwerken?

CRA overlapt met ISO 27001 op het gebied van veilige ontwikkeling, kwetsbaarheidsbeheer en reactie op incidenten. Het sluit ook aan bij NIS2 wanneer digitale producten deel uitmaken van kritieke infrastructuur, en bij DORA in de financiële sector. Net als GDPR introduceert het verplichtingen voor het rapporteren van incidenten, maar dan gekoppeld aan kwetsbaarheden van producten.

Welke voorschriften zijn vergelijkbaar met de CRA buiten de EU?

• US IoT Cybersecurity Improvement Act (overheidsopdrachten)
• Wet van het Verenigd Koninkrijk inzake productbeveiliging en telecommunicatie-infrastructuur (PSTI)
• Diverse wereldwijde standaarden voor veilige softwareontwikkeling en productlabeling

Wat is de tijdlijn voor naleving van de CRA?

De CRA trad in werking op 10 december 2024. De meeste verplichtingen gelden vanaf 11 december 2027. Fabrikanten en distributeurs moeten ruim van tevoren beginnen met het beoordelen van de betreffende producten en technische documentatie voorbereiden.

Wordt CRA ondersteund in Cyberday?

Ja. We hebben zojuist de volledige ondersteuning voor de Cyber Resilience Act in Cyberday afgerond. Dit omvat taken en controles voor het omgaan met kwetsbaarheden, het melden van incidenten, veilige ontwikkelingspraktijken en technische documentatie.

‍

ISO 27001 (Informatiebeveiligingsbeheer)

ISO/IEC 27001 is de toonaangevende internationale norm voor beheersystemen voor informatiebeveiliging (ISMS). In tegenstelling tot de EU-regelgeving is deze norm niet verplicht, maar hij wordt breed toegepast in verschillende sectoren om sterke beveiligingspraktijken aan te tonen en naleving van de regelgeving te ondersteunen.

Op wie is ISO 27001 van toepassing?

ISO 27001 is vrijwillig, maar waardevol voor elke organisatie - groot of klein - die informatiebeveiliging systematisch wil beheren. Het is nuttig voor elke organisatie die beveiliging moet aantonen aan klanten of partners

Wat vereist ISO 27001?

De standaard definieert een gestructureerde aanpak voor het identificeren, beheren en verminderen van risico's voor informatiebeveiliging. De belangrijkste elementen zijn:

• Een formeel beheersysteem voor informatiebeveiliging (ISMS)
• Risicobeoordelingen en risicobehandelingsplanning
• Duidelijke beveiligingsdoelstellingen en -beleidslijnen
• Toewijzing van rollen en verantwoordelijkheden
• Implementatie van relevante controles uit bijlage A (bijgewerkt in 2022)
• Interne audits en voortdurende verbetering

Organisaties kunnen zich certificeren voor ISO 27001 door te slagen voor een formele audit.

Waarom is ISO 27001 belangrijk?

Hoewel ISO 27001 niet wettelijk verplicht is, wordt het vaak beschouwd als de "gouden standaard" voor informatiebeveiliging. Het wordt wereldwijd erkend en is vaak vereist bij B2B-overeenkomsten, inkoopprocessen en beoordelingen van leveranciers. Het helpt ook bij de voorbereiding op verplichte regelgeving zoals NIS2, DORA en GDPR door overlappende controlegebieden te dekken.

Hoe overlapt ISO 27001 met andere raamwerken?

ISO 27001 biedt een basisstructuur voor beveiliging, dus er is een grote overlap met ISO 27001:

• NIS2 - risicobeheer, governance, incidentafhandeling
• DORA - ICT-risico en operationele veerkracht
• GDPR - controle op gegevenstoegang, reactie op inbreuken
• CRA - veilige ontwikkeling en beheer van kwetsbaarheden

Door ISO 27001 te gebruiken, wordt naleving van meerdere kaders veel eenvoudiger.

Welke voorschriften zijn vergelijkbaar met ISO 27001 buiten de EU?

ISO 27001 is internationaal, dus er is geen direct equivalent - maar het is vaak goed te vergelijken:

• NIST Cybersecurity Framework (VS)
• SOC 2 (voor dienstverleners in de VS)

Wat is de tijdlijn voor naleving van ISO 27001?

Er is geen vaste deadline - organisaties kunnen volgens hun eigen schema certificeren. Organisaties die echter de oudere versie uit 2013 gebruiken, moeten voor oktober 2025 overstappen op de herziening uit 2022 om hun certificering geldig te houden.

Wordt ISO 27001 ondersteund in Cyberday?

Ja. Cyberday ondersteunt de volledige ISO 27001:2022-norm, inclusief alle bijgewerkte Annex A-controles, vereiste documentatie en het bijhouden van interne audits. Meer dan 600 organisaties gebruiken ISO 27001 in Cyberday, waardoor het het meest populaire cyberbeveiligingsraamwerk is.

Andere relevante regelgeving in de EU

Enkele aanvullende EU- en wereldwijde regelgevingen hebben raakvlakken met cyberbeveiliging, maar vormen niet de kern van dit artikel. Hier zijn er een paar die de moeite waard zijn om in de gaten te houden:

EU AI-wet

De EU AI-wet reguleert de ontwikkeling en het gebruik van kunstmatige intelligentiesystemen op basis van risiconiveaus. Hoewel het geen pure cyberbeveiligingswet is, introduceert het wel beveiligingsgerelateerde eisen, vooral voor systemen met een hoog risico.

Relevant voor organisaties die:

• AI-systemen ontwikkelen of gebruiken in gereguleerde sectoren
• Gevoelige gegevens verwerken via AI
• AI inzetten bij het nemen van beslissingen (bijv. aanwerving, kredietscores)

Belangrijke overlappingen met cyberbeveiliging:

• Robuustheid en nauwkeurigheid van AI-modellen
• Risico- en beveiligingsbeoordelingen
• Incidentafhandeling als AI schade of storing veroorzaakt

Als jouw organisatie AI gebruikt, is het de moeite waard om de uiteindelijke vorm en tijdlijnen van de AI-wet te volgen.

Cybersolidariteitswet (CSA)

De Cyber Solidarity Act is geen kader waaraan organisaties direct moeten voldoen. In plaats daarvan is het een initiatief op EU-niveau dat is gericht op het vergroten van de grensoverschrijdende mogelijkheden voor detectie van cyberdreigingen, reactie op incidenten en crisisbeheer.

Het stelt dingen vast als:

• Een EU reserve voor cyberveiligheid
• Een Europees cyberschild (netwerk van beveiligingscentra)
• Financiering en coördinatiesteun voor grootschalige incidenten

Hoewel CSA niet iets is dat je intern implementeert, kan het wel invloed hebben op de manier waarop je organisatie omgaat met nationale autoriteiten of ondersteuning ontvangt tijdens grote cybergebeurtenissen.

Industrie-specifieke regelgeving

Afhankelijk van uw sector kunnen de volgende kaders ook van toepassing zijn - vanwege wettelijke vereisten of verwachtingen van de sector:

• PSD2 (EU): Regelgeving voor betalingsdiensten met strenge eisen voor klantauthenticatie en fraudepreventie.
• PCI DSS (wereldwijd): Geldt voor elke entiteit die kaarthoudergegevens verwerkt of opslaat.
• EU MDR (EU): Vereist controles op cyberbeveiliging in medische hulpmiddelen.
• TISAX (EU): Een breed geaccepteerde standaard voor de auto-industrie voor het beheer van informatiebeveiligingsbeoordelingen.

Deze zijn meer gespecialiseerd, maar staan vaak naast de belangrijkste raamwerken (zoals NIS2 of ISO 27001) in een bredere poging tot compliance.

Compliance vereenvoudigen met Cyberday

Het beheren van cyberbeveiligingseisen van meerdere raamwerken hoeft geen dubbel werk te betekenen. Cyberday is gebouwd om organisaties te helpen beveiligingsraamwerken op een gecentraliseerde, efficiënte en schaalbare manier te implementeren en te onderhouden.

Elk van de kernframeworks die in dit artikel worden behandeld - NIS2, GDPR, DORA, CRA (binnenkort), ISO 27001 - isbeschikbaar als een kant-en-klare structuur in Cyberday, compleet met taken, documentatiesjablonen, beleidsregels en audittools. Eenmaal geactiveerd, identificeert Cyberday automatisch overlappende vereisten tussen frameworks en kunt u gedeelde taken slechts eenmaal beheren.

Echte overlap = echte tijdsbesparing

Zo ziet dat er in de praktijk uit:

Als je NIS2 volledig implementeert, ben je al gedekt:

• ~40% van ISO 27001-taken
• ~45% van GDPR-taken
• ~45% van DORA-taken

Dat is een enorme voorsprong voor organisaties die met meerdere regelgevingen werken en een goede reden om te voorkomen dat elk kader in een silo wordt behandeld.

Eén omgeving, meerdere frameworks

Cyberday geeft je team:

• Een duidelijke takenlijst voor elk actief kader
• Automatisch in kaart brengen van overlappende vereisten
• Eén overzicht van uw nalevingsdocumentatie en auditstatus
• Ingebouwde richtlijnen om uw beveiligingsinspanningen in lijn te houden met de veranderende regelgeving

Of je nu begint met GDPR of opschaalt naar DORA en NIS2, Cyberday maakt het makkelijker om compliant te blijven zonder elke keer vanaf nul te moeten beginnen. Start vandaag nog uw gratis proefperiode!

‍