Uitleg over de uitvoeringsverordening van NIS2

De richtlijn inzake netwerk- en informatiesystemen 2, beter bekend als NIS2, stelt gemeenschappelijke cyberbeveiligingsverplichtingen vast voor de hele EU. Op zichzelf blijft de richtlijn opzettelijk op een hoog niveau. Ze definieert wie onder de werkingssfeer valt, welke verantwoordelijkheden van toepassing zijn en hoe de handhaving werkt, maar vermijdt het voorschrijven van gedetailleerde technische controles.

Die leemte wordt opgevuld door de uitvoeringsverordening van NIS2. De technische en methodologische bijlage bij de verordening zet de meer algemene verplichtingen van NIS2 om in concrete controles, processen en bewijsvereisten. Voor de betrokken organisaties is dit het punt waarop abstracte vereisten worden omgezet in dagelijkse cyberbeveiligingswerkzaamheden.

De NIS2-uitvoeringsverordening is het specifieke technische regelboek om de algemene kaderwet (NIS2) in praktijk te brengen.

Deze verordening is bedoeld om onduidelijkheid te verminderen. Onder het oorspronkelijke NIS-kader had "passende maatregelen" in verschillende landen verschillende betekenissen. De uitvoeringsverordening stelt een gemeenschappelijke basis vast, zodat organisaties en toezichthoudende autoriteiten vanuit hetzelfde referentiepunt kunnen werken, terwijl proportionaliteit en technologische neutraliteit behouden blijven.

Lees meer: Wat is de richtlijn inzake netwerk- en informatiesystemen 2?

Wat is het verschil tussen NIS2 en de uitvoeringsverordening van NIS2?

De NIS2-richtlijn is de primaire wetgeving. Deze richtlijn bepaalt het toepassingsgebied voor 18 kritieke sectoren (van energie en gezondheidszorg tot ruimtevaart en openbaar bestuur). De richtlijn schrijft lidstaten voor dat zij ervoor moeten zorgen dat bedrijven in deze sectoren:

• Registreer je bij de autoriteiten.
• Implementeer "passende" beveiligingsmaatregelen.
• Meld "significante" incidenten binnen 24/72 uur.
• Krijg boetes voor niet-naleving.

De richtlijn is echter vrij algemeen. Er staat in dat je risicobeheer moet doen, maar er staat niet precies in hoe je dat moet doen (bijvoorbeeld welk versleutelingsalgoritme je moet gebruiken of wat je moet doen als je op zoek bent naar zwakke plekken). Daar komt de NIS2-uitvoeringsverordening om de hoek kijken.

Een gemeenschappelijke basisnorm voor de hele EU

Een van de belangrijkste doelstellingen van de uitvoeringsverordening is harmonisatie. In plaats van 27 verschillende interpretaties van wat goede cyberbeveiliging inhoudt, wordt een minimumpakket van domeinen en praktijken vastgesteld waaraan alle betrokken organisaties moeten voldoen.

Dit is vooral belangrijk voor organisaties die grensoverschrijdend actief zijn. Een gemeenschappelijke basis vermindert tegenstrijdige verwachtingen op het gebied van toezicht en maakt audits voorspelbaarder. Voor autoriteiten maakt dit een consistentere vorm van toezicht en samenwerking mogelijk. In de praktijk vormt de verordening de technische ruggengraat van het gehele NIS2-stelsel.

Reikwijdte en evenredigheid in de praktijk

De uitvoeringsverordening verandert niets aan wie onder NIS2 valt. Het toepassingsgebied is al gedefinieerd door de richtlijn en de nationale omzettingswetgeving. Wat de verordening wel definieert, is hoe organisaties die onder het toepassingsgebied vallen, cyberbeveiliging moeten beheren vanuit het oogpunt van risicobeheer. De verordening verduidelijkt de richtlijn door meer gedetailleerde informatie toe te voegen aan de algemene vereisten. 

Waar NIS2 bijvoorbeeld in grote lijnen verwacht dat getroffen organisaties versleuteling in hun netwerken en informatiesystemen implementeren, beschrijft de uitvoeringsverordening in detail hoe versleuteling moet worden geïmplementeerd. Deze verordening heeft betrekking op de ontwikkeling en handhaving van het versleutelingsbeleid op managementniveau en op specifieke technische maatregelen die op operationeel niveau moeten worden geïmplementeerd. Deze logica geldt voor alle thema's die onder de verordening vallen. 

De verordening erkent ook expliciet dat organisaties verschillen. Een multinationale cloudprovider, een regionaal waterbedrijf en een ziekenhuis worden niet met dezelfde bedreigingen geconfronteerd en beschikken niet over dezelfde middelen. Maatregelen moeten in verhouding staan tot de omvang van de organisatie, de kriticiteit van de dienstverlening, de gevoeligheid van de gegevens en de mogelijke gevolgen van incidenten.

Tegelijkertijd is evenredigheid geen excuus om basisprincipes te negeren. De wetgeving stelt een duidelijke minimumdrempel vast. Kleinere of minder kritieke organisaties kunnen op sommige gebieden lichtere implementaties rechtvaardigen, maar ze moeten nog steeds alle kerngebieden bestrijken. Van meer kritieke organisaties wordt verwacht dat ze verder gaan, met strengere controles, bredere dekking en meer formele zekerheid.

Kerngebieden van cyberbeveiligingsrisicobeheer

De kern van de uitvoeringsverordening wordt gevormd door een gestructureerde reeks domeinen voor cyberbeveiligingsrisicobeheer. NIS2 somt deze onderwerpen op hoog niveau op. De verordening zet ze om in praktische gebieden die organisaties kunnen beoordelen, implementeren en waarvoor ze bewijsmateriaal kunnen verzamelen.

Typische domeinen zijn onder meer:

• bestuur en organisatie
• risicobeoordeling
• beleidsregels en procedures
• vermogensbeheer
• toegangscontrole
• operationele veiligheid
• netwerk- en systeembeveiliging
• incidentenbeheer
• bedrijfscontinuïteit en noodherstel
• beveiliging van de toeleveringsketen
• cryptografie

Voor elk domein beschrijft de verordening de verwachtingen voor processen, documentatie en technische controles. Het detailniveau is niet hetzelfde als bij een volledige technische norm zoals ISO/IEC 27001, maar het is specifiek genoeg om als leidraad te dienen voor audits en inspecties.

Het doel is om de volledige levenscyclus van cyberrisico's te bestrijken, van managementverantwoordelijkheid en risico-identificatie tot preventie, detectie, respons en herstel.

Deze domeinen zijn geen onafhankelijke checklists. Governance bepaalt de prioriteiten, risicobeoordeling vormt de basis voor controlekeuzes, operationele maatregelen verminderen de kans op incidenten en incident- en continuïteitsplanning verminderen de impact ervan. Van organisaties wordt verwacht dat zij deze domeinen behandelen als onderdelen van één samenhangend risicobeheersysteem.

Bestuur en verantwoordingsplicht van het management

NIS2 legt sterk de nadruk op verantwoordingsplicht van het management, en de uitvoeringsverordening maakt dit operationeel. Beheersorganen zijn niet alleen op papier verantwoordelijk. Van hen wordt verwacht dat zij actief toezicht houden op cyberbeveiliging.

Dit omvat regelmatige rapportage over risico's, incidenten en de effectiviteit van controles, gedocumenteerde strategieën en risicobeheersingsplannen, en periodieke evaluaties. Organisaties moeten duidelijk kunnen aantonen wie verantwoordelijk is voor welke taken, van het algemene cyberbeveiligingsbeleid tot incidentcoördinatie, leveranciersrisico's en communicatie met toezichthouders.

Bewustzijn bij het management is ook een vereiste. Van leiders wordt verwacht dat zij cyberrisico's begrijpen in zakelijke termen en deze niet alleen delegeren aan technische teams. Bewijs hiervan kan worden geleverd door middel van trainingsverslagen, notulen van vergaderingen, begrotingsbeslissingen en escalatieprocessen. Voor toezichthoudende autoriteiten maakt dit het mogelijk om te beoordelen of de betrokkenheid van het management reëel is of slechts formeel.

Incidentafhandeling en rapportage

Het melden van incidenten is een van de meest zichtbare verplichtingen van NIS2. De uitvoeringsverordening verduidelijkt wat er moet worden gemeld, wanneer en hoe.

Het stelt criteria vast voor te melden incidenten op basis van de impact op de beschikbaarheid, integriteit of vertrouwelijkheid, het aantal getroffen gebruikers, de duur en de geografische spreiding. Het definieert ook gefaseerde rapportage, die doorgaans begint met een vroege waarschuwing, gevolgd door een meer volledige kennisgeving en een eindrapport zodra de onderliggende oorzaken bekend zijn.

Voor organisaties betekent dit dat incidentresponsplannen duidelijke beslissingsmomenten moeten bevatten. Technische teams moeten weten wanneer ze een incident moeten escaleren. Juridische afdelingen, compliance-afdelingen en het management moeten in een vroeg stadium worden betrokken om de rapportagedrempels te beoordelen. De regelgeving verwacht ook dat deze processen worden getest door middel van oefeningen en worden verbeterd op basis van de geleerde lessen.

Bedrijfscontinuïteit en crisisbeheer

De uitvoeringsverordening legt een sterk verband tussen cyberbeveiliging en veerkracht. Het voorkomen van incidenten is niet voldoende. Organisaties moeten ook aantonen dat zij in staat zijn om kritieke diensten in stand te houden of te herstellen.

Dit omvat een analyse van de impact op het bedrijf, gedefinieerde hersteldoelstellingen, continuïteitsstrategieën en geteste herstelplannen. Afhankelijkheden van systemen, gegevens en leveranciers moeten worden begrepen. Back-up-, redundantie- en noodoplossingen moeten worden afgestemd op de kriticiteit van de diensten.

Crisisbeheer wordt beschouwd als een bedrijfsbrede capaciteit. Het uitvoerend management, de communicatie-, juridische en operationele teams hebben allemaal welbepaalde rollen. Oefeningen moeten realistische cyberscenario's weerspiegelen en autoriteiten kunnen om bewijs vragen van tests en daaropvolgende verbeteringen. Continuïteitsplannen moeten in de praktijk werken en mogen niet alleen op papier bestaan.

Toeleveringsketen en risico's van derden

De veiligheid van de toeleveringsketen is een belangrijk aandachtspunt van NIS2, en de uitvoeringsverordening voegt daar concrete verwachtingen aan toe. Van organisaties wordt verwacht dat zij leveranciers classificeren op basis van kriticiteit en passende niveaus van controle toepassen.

Voor kritieke leveranciers, zoals managed service providers of leveranciers van kernsoftware, kan dit onder meer bestaan uit beveiligingsbeoordelingen, certificeringen, audits of technische tests. Contractuele bepalingen alleen worden niet als voldoende beschouwd. Ook voortdurende monitoring en noodplanning zijn vereist.

Organisaties moeten kunnen uitleggen hoe ze zouden reageren als een belangrijke leverancier te maken krijgt met een cyberincident. Dit omvat exitstrategieën, alternatieve leveranciers, gegevensoverdraagbaarheid en monitoring van gedeelde interfaces. Het risico van leveranciers moet worden geïntegreerd in het algemene risicobeheer en bestuur, en mag niet alleen door de inkoopafdeling worden behandeld.

Documentatie en bewijsstukken

De uitvoeringsverordening maakt documentatie tot een centraal onderdeel van de naleving. Toezichthoudende autoriteiten zullen beleid, procedures, risicobeoordelingen, inventarissen van activa, incidentrapportages, bewijzen van opleiding en monitoringresultaten willen zien.

Proportionaliteit blijft van toepassing. Grotere of meer kritische organisaties zullen over meer formele documentatie beschikken. Kleinere organisaties kunnen volstaan met eenvoudigere formats. Het belangrijkste is dat er consistentie is tussen wat er gedocumenteerd is en wat er daadwerkelijk gebeurt.

Documentatie wordt beschouwd als bewijs van de werkelijke praktijk. Als een beleid dagelijkse back-ups en regelmatige tests voorschrijft, moeten logboeken en rapporten dat ondersteunen. Als een risicobeoordeling ransomware aan het licht brengt, moeten de daarmee verband houdende controles zichtbaar zijn. Van documentatie wordt verwacht dat deze wordt bijgehouden, herzien en bijgewerkt naarmate risico's, systemen en incidenten veranderen.

Afstemming op andere kaders en normen

De meeste betrokken organisaties volgen al bestaande kaders zoals ISO/IEC 27001, ISO/IEC 22301, CIS Controls of nationale regelingen. De uitvoeringsverordening NIS2 is zo ontworpen dat deze hiermee compatibel is. De verordening dwingt organisaties niet om hun huidige kaders op te geven. In plaats daarvan creëert zij een gemeenschappelijk referentiepunt voor regelgeving dat kan worden gekoppeld aan bestaande controles.

Kernbegrippen zoals risicobeoordeling, incidentlevenscycli, activaclassificatie en hersteldoelstellingen zijn bekend. Certificeringen kunnen vaak als ondersteunend bewijs dienen, maar garanderen niet automatisch dat aan NIS2 wordt voldaan. Gebieden zoals incidentrapportage, toezicht op de toeleveringsketen en verantwoordingsplicht van het management vereisen doorgaans specifieke aandacht.

De verordening biedt een gemeenschappelijk referentiekader dat organisaties helpt om bestaande controles af te stemmen op de verwachtingen van de regelgever en hiaten te identificeren zonder hun volledige beveiligingsprogramma te moeten herzien.

Wat dit in de praktijk betekent

De NIS2-uitvoeringsverordening zet abstracte wettelijke verplichtingen om in operationele vereisten. Ze verduidelijkt wat nationale autoriteiten zullen verwachten te zien en te evalueren.

Voor organisaties werkt het het beste als basisreferentie. Het kan worden gebruikt om huidige praktijken te evalueren, hiaten te identificeren en verbeteringen te prioriteren. Het integreren van NIS2-vereisten in bestaande managementsystemen is meestal effectiever dan het creëren van parallelle structuren.

Naast naleving ondersteunt de verordening ook een betere veerkracht. Ze verbindt governance, risicobeheer, operaties en incidentafhandeling in één enkel model. Op termijn zou dit moeten leiden tot consistentere cyberbeveiligingspraktijken in de hele EU en een duidelijker gedeeld begrip van wat 'goed' in de praktijk inhoudt.