Wat is de NIS2 wetgeving?

De NIS2-wetgeving is de nieuwe Europese richtlijn voor cybersecurity, bedoeld om de digitale weerbaarheid van essentiële sectoren en belangrijke bedrijven in de EU te versterken.

NIS2 staat voor: Network and Information Security Directive 2.

Wat is het doel van NIS2?

De NIS2-richtlijn wil:

• Cyberaanvallen en digitale risico’s beter voorkomen

• De beveiliging van netwerken en informatiesystemen verbeteren

• Uniforme regels en meldplichten invoeren binnen de EU

Wat vervangt NIS2?

• NIS2 vervangt de oude NIS-richtlijn (2016), die de eerste EU-brede wetgeving was voor cybersecurity. Die was te beperkt in reikwijdte en onvoldoende effectief.

Wanneer gaat NIS2 in?

• De richtlijn is op 16 januari 2023 in werking getreden.

• EU-lidstaten moeten de richtlijn uiterlijk op 17 oktober 2024 hebben omgezet in nationale wetgeving.

Op wie is NIS2 van toepassing?

NIS2 geldt voor veel meer organisaties dan de oude NIS. Het richt zich op:

1. Essentiële entiteiten (kritieke sectoren):

Energie Transport Gezondheidszorg Drinkwater Digitale infrastructuur Overheidsdiensten Bank- en financiële sector

2. Belangrijke entiteiten:

• Post- en koeriersdiensten
• Afvalbeheer
• Voedingsmiddelenproductie
• Fabrikanten van medische apparatuur
• Digitale platforms (cloud, e-commerce, etc.)

De wet geldt in principe voor bedrijven met meer dan:

50 werknemers, of 10 miljoen euro omzet, tenzij ze actief zijn in een kritieke sector (dan geldt dit soms ook voor kleinere bedrijven).

Wat moeten bedrijven doen onder NIS2?

• Minimale beveiligingsmaatregelen
• Risicobeheer op het gebied van ICT-beveiliging
• Incidentdetectie en -respons
• Beveiliging van de toeleveringsketen
• Toegangsbeheer
• Versleuteling en back-ups

Meldplicht:

Cyberincidenten moeten binnen 24 uur gemeld worden aan de nationale autoriteit (zoals het NCSC in Nederland of CCB in België)

Verplichting tot toezicht en audits:

• Bevoegde autoriteiten mogen bedrijven inspecteren, sancties opleggen of boetes geven

Wat zijn de sancties?

• Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet
• Leidinggevenden kunnen persoonlijk aansprakelijk worden gesteld bij nalatigheid