Wat betekent de NIS2-richtlijn voor jouw organisatie?

Wat is de NIS2 richtlijn?

De EU is bezig om de digitale veiligheid van bedrijven te verbeteren. Hiervoor is in 2016 een richtlijn aangenomen met de naam NIS, wat staat voor Network and Information Security directive. Inmiddels zijn er veel nieuwe dreigingen bij gekomen, wat ervoor heeft gezorgd dat er een nieuwe richtlijn nodig is; NIS2. Deze richtlijn wordt in Nederland actief vanaf juli 2024 en is van toepassing op verschillende sectoren, dit wordt verderop in dit artikel uitgelegd. Ook voor andere bedrijven die officieel niet binnen de wetgeving vallen is de NIS2-richtlijn een goede norm om aan te voldoen.

Hoe kan ik mijn bedrijf voorbereiden?

Vooruitlopend op de komst van de wetgeving kunnen bedrijven zich voorbereiden op de NIS2-richtlijn. Hiervoor zijn een aantal basismaatregelen bedacht;

1) Zorg dat elke applicatie en elk systeem voldoende loginformatie genereert

Veel applicaties houden logbestanden bij waarin staat wie is ingelogd, vanaf welk moment en vanaf welk apparaat. Aan de hand van dit soort logs kan achterhaald worden wie toegang heeft en heeft gehad tot bepaalde systemen. Dit kan erg belangrijk zijn in het geval van een datalek.

2) Pas multifactor authenticatie toe waar nodig

Een gebruikersnaam en wachtwoord kunnen vaak achterhaald worden doordat veel mensen vaak hetzelfde wachtwoord gebruiken voor verschillende diensten. Het gebruik van multifactor authenticatie zorgt ervoor dat er naast een gebruikersnaam en wachtwoord nog een andere factor nodig is, vaak is dit een code vanaf een telefoon, een SMS ter verificatie of iets vergelijkbaars. Dit vergroot de veiligheid enorm, omdat hackers deze codes nauwelijks kunnen achterhalen en deze codes vaak maar kort gebruikt kunnen worden.

3) Bepaal wie toegang heeft tot jouw data en diensten

Zorg ervoor dat het duidelijk is wie toegang heeft tot belangrijke gegevens en beperk de rechten van gebruikers die dit niet mogen hebben. Maak ook inzichtelijk wie welke rechten heeft, om zo periodiek te controleren of de rechten nog aansluiten bij de functie van uw medewerkers.

4) Segmenteer netwerken

Het segmenteren van netwerken zorgt ervoor dat wanneer hackers uw netwerk al binnen zijn, het zo lastig mogelijk gemaakt wordt om bij kritieke gegevens te kunnen. Zo kan een hacker die een laptop heeft overgenomen bijvoorbeeld niet gemakkelijk bij een server komen waar klantgegevens op staan.

5) Versleutel opslagmedia met gevoelige bedrijfsinformatie

Gevoelige gegevens verlaten tegenwoordig steeds vaker fysiek het bedrijfspand, bijvoorbeeld op een laptop, in de cloud of op een USB-stick. Het gebruik van versleuteling zorgt ervoor dat in het geval van diefstal of verlies, de gegevens niet benaderd kunnen worden zonder een aanvullende digitale sleutel.

6) Controleer welke apparaten en diensten bereikbaar zijn vanaf internet en bescherm deze

Apparaten die altijd vanaf het internet bereikbaar zijn, vormen ook 24/7 een risico. Het beschermen van dit soort apparaten is cruciaal en voorkomt dat een hacker een netwerk binnen komt.

7) Maak regelmatig back-ups van jouw systemen en test deze

Back-ups zijn als een verzekering, normaliter zijn deze niet nodig. Toch is het enorm belangrijk dat er een back-up bestaat voor het geval er onverhoopt toch iets fout gaan. Dit kan een digitale aanval zijn, maar ook een fout van een medewerker die per ongeluk een map onherstelbaar verwijderd. Wij hebben hierover een back-up artikel geschreven.

8) Installeer software-updates

Updates bestaan niet alleen om leuke nieuwe functies toe te voegen aan een pakket, maar ook om beveiligingslekken te dichten. Zo worden er dagelijks diverse updates uitgebracht die de beveiliging continu moeten verbeteren om cyberaanvallen een stap voor te zijn.

Wat kan ik zelf doen?

Veel maatregelen zijn relatief simpel zelf uit te voeren, denk hierbij aan het gebruik van een sterk wachtwoord. Ook oplettendheid op het internet kan veel problemen voorkomen, om zo de ‘zwakke schakels’ zoveel mogelijk uit te sluiten. Een cybersecurity training kan dit niveau zelfs nog verder verbeteren.

Verder is het gebruik van een wachtwoordbeheer-systeem erg handig. Dit zorgt er namelijk voor dat je op elke website een ander sterk wachtwoord kunt gebruiken terwijl je er zelf maar één hoeft te onthouden. Wanneer je dit aanvult met multifactor authenticatie, gaat het beveiligingsniveau van je accounts flink omhoog. Ook hiervoor kun je uiteraard bij Bitcom terecht!

Op welke bedrijven is de NIS2 richtlijn van toepassing?

De NIS2 richtlijn is van toepassing op een aantal sectoren, welke zijn onderverdeeld in 2 categorieën. Valt het bedrijf in de categorie essentieel, zijn er meer dan 250 werknemers of is er een omzet van meer dan €50 miljoen en een balanstotaal van meer dan €43 miljoen, dan moeten ze voldoen aan de NIS2 richtlijn. Valt het bedrijf binnen de categorie belangrijk, zijn er minimaal 50 werknemers of een jaaromzet of balanstotaal van meer dan €10 miljoen, dan moeten ze ook voldoen aan de NIS2 richtlijn.

Essentiele Entiteiten	Belangrijke Entiteiten
Energie	Digitale aanbieders
Transport	Post- en koeriersdiensten
Bankwezen	Afvalstoffenbeheer
Infrastructuur financiële markt	Levensmiddelen
Gezondheidszorg	Chemische stoffen
Drinkwater	Onderzoek
Digitale infrastructuur	Vervaardiging / Manufacturing
Afvalwater
Overheidsdiensten
Ruimtevaart
Beheer van ICT diensten

De minister die verantwoordelijk is voor een bepaalde sector kan er ook voor kiezen om een klein bedrijf alsnog toe te wijzen aan de NIS2-richtlijn.

Hoef ik me als MKB niet aan de richtlijn te houden?

Volgens de wetgeving is dit niet verplicht, maar ook voor de MKB-sector zijn de richtlijnen tegenwoordig belangrijker dan ooit. Niet alleen grote bedrijven, maar ook kleine bedrijven of ZZP’ers worden vaker slachtoffer van digitale aanvallen. Denk hierbij bijvoorbeeld aan spam of phishing, cryptolockers of misleidende telefoongesprekken.

Hoe nu verder?

Of het nu om een groot of klein bedrijf gaat, de NIS2-richtlijn is enorm belangrijk voor alle organisaties. Bitcom kan helpen om jouw organisatie naar een hoger niveau te tillen om zo cybersecurity-dreigingen voor te zijn. Interesse? Neem dan gerust contact met ons op!