Waarvoor is de NIS2 (Network and Information Security Directive)

De NIS2-richtlijn (Network and Information Security Directive), in het Nederlands de Netwerk- en Informatiebeveiligingsrichtlijn, is Europese wetgeving die tot doel heeft een hoger gemeenschappelijk niveau van cyberbeveiliging in alle EU-lidstaten te bereiken. Het is de opvolger van de oorspronkelijke NIS-richtlijn en is ontworpen om de cyberweerbaarheid van de Europese Unie te versterken tegenover een toenemend en complexer wordend dreigingslandschap.

De belangrijkste doelen en functies van de NIS2-richtlijn zijn:

Uitbreiding van de reikwijdte: De NIS2-richtlijn is van toepassing op een veel breder scala aan sectoren en soorten entiteiten dan zijn voorganger. Dit omvat nu meer “essentiële” en “belangrijke” entiteiten die cruciaal zijn voor de economie en de samenleving. Denk hierbij aan sectoren zoals energie, vervoer, gezondheidszorg, digitale infrastructuur (zoals datacenters en clouddiensten), openbaar bestuur, post- en koeriersdiensten, afvalbeheer, en de productie van bepaalde kritieke producten.

Versterking van de beveiligingseisen: Organisaties die onder de NIS2 vallen, moeten robuustere en meer gedetailleerde maatregelen voor cyberrisicobeheer implementeren. Dit omvat aspecten zoals:

• Risicoanalyse en informatiebeveiligingsbeleid.

• Incidentbehandeling (preventie, detectie, respons).

• Bedrijfscontinuïteit en crisisbeheer (bijvoorbeeld back-upbeheer, noodplannen).

• Beveiliging van de toeleveringsketen (supply chain security).

• Beveiliging bij het ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief het omgaan met en openbaar maken van kwetsbaarheden.

• Beleid en procedures voor het gebruik van cryptografie en encryptie.

• Verbeterde en gestroomlijnde meldplicht voor incidenten: Entiteiten moeten significante cyberincidenten sneller en gedetailleerder melden aan de nationale bevoegde autoriteiten (in Nederland is dat vaak het Nationaal Cyber Security Centrum – NCSC – en het Agentschap Telecom).

• Strenger toezicht en handhaving: Nationale autoriteiten krijgen meer bevoegdheden om toezicht te houden op de naleving van de richtlijn. Er komen ook strengere en meer geharmoniseerde handhavingsmaatregelen, waaronder de mogelijkheid tot het opleggen van hogere administratieve boetes.

• Bevordering van samenwerking en informatie-uitwisseling: De richtlijn stimuleert een nauwere samenwerking en betere informatie-uitwisseling tussen de EU-lidstaten, bijvoorbeeld via het EU-CyCLONe-netwerk (European Cyber Crises Liaison Organisation Network), om gecoördineerd te kunnen reageren op grootschalige cyberincidenten.

• Vergroting van de verantwoordelijkheid van het management: De directie van de betrokken organisaties wordt explicieter verantwoordelijk gehouden voor het goedkeuren en implementeren van de cyberbeveiligingsmaatregelen en het toezicht daarop.

Kortom, de NIS2-richtlijn is er om:

• De cyberweerbaarheid van kritieke sectoren in de EU te verhogen.

• De aanpak van cyberbeveiliging binnen de EU te harmoniseren.

• De respons op en het herstel van cyberincidenten te verbeteren.

• Het algemene bewustzijn en de cultuur rondom cybersecurity te versterken.

Het doel is een veiligere en beter beveiligde digitale interne markt te creëren, wat essentieel is voor de economie en het dagelijks leven van burgers in de Europese Unie.