Wat is NIS2?

NIS2 is de afkorting van Network and Information Security Directive 2. Het is een Europese wet die regels oplegt aan bedrijven om hun digitale veiligheid te versterken. Door alle ontwikkelingen in onze snel veranderende wereld waarin alles draait om online communicatie zijn scherpe richtlijnen steeds belangrijker. Als systemen bijvoorbeeld worden gehackt of uitvallen kan dit enorme gevolgen hebben. Niet alleen voor het bedrijf zelf, maar ook voor klanten, medewerkers, leveranciers of zelfs voor de maatschappij.

Met de NIS2-richtlijnen zegt de Europese Unie eigenlijk:

• Bedrijven moeten beter voorbereid zijn op cyberaanvallen
• Bedrijven moeten kunnen aantonen dat hun IT en processen veilig zijn
• Bedrijven moeten incidenten snel melden zodat problemen niet groter worden dan nodig is

De wetgeving is sinds oktober 2024 al van kracht in de EU, maar wordt in Nederland naar verwachting eind 2025 geïmplementeerd. Kortom, NIS2 is een gezamenlijke afspraak om Europa digitaal veilig en sterker te maken.

Waarom NIS2?

Cyberaanvallen komen tegenwoordig dagelijks voor. Denk bijvoorbeeld aan phishingmails, ransomware of datalekken, ieder bedrijf kan ermee te maken krijgen. Een verkeerde klik kan er al voor zorgen dat je hele bedrijf stil komt te liggen, met alle gevolgen van dien.

Het doel van NIS2 is om dit risico te verkleinen. De richtlijnen zijn vooral gericht op organisaties die een belangrijke maatschappelijke functie hebben, maar ook veel mkb-bedrijven vallen nu onder de NIS-richtlijnen.

De basis van NIS2: zorgplicht, meldplicht en toezicht

Bedrijven krijgen te maken met meerdere verplichtingen en regels, deze kunnen onderverdeeld worden in drie basisverplichtingen:

• Zorgplicht: je moet als organisatie passende maatregelen nemen om je systemen en gegevens te beveiligen.
• Meldplicht: ernstige incidenten moeten binnen 24 uur gemeld worden bij de toezichthouder. Daarna moet er binnen 72 uur een eerste update volgen en uiteindelijk een volledig eindrapport binnen een maand.
• Toezicht: je moet als organisatie kunnen aantonen dat je maatregelen structureel op orde zijn, want er kunnen controles plaatsvinden.

Wat betekent dit concreet voor jouw mkb-bedrijf?

Voor veel mkb-bedrijven komt met de NIS2-wetgeving een professionaliseringsslag. Cybersecurity wordt nu door veel mkb-bedrijven gezien als iets extra’s, maar het wordt een basisvoorwaarde om te ondernemen. Daarom moet je als mkb’er in ieder geval:

• Duidelijke processen hebben
• Aantoonbare maatregelen nemen
• Betrokkenheid creëren vanuit medewerkers en directie

Belangrijk om te weten: niet alleen de IT-afdeling draagt verantwoordelijkheid. Ook bestuurders en directieleden kunnen persoonlijk aansprakelijk worden gehouden als de beveiliging niet op orde is.

Een aantal stappen die je als bedrijf kan nemen

Om te voldoen aan NIS2 is een losse antivirus of ad-hoc oplossing niet meer voldoende. De nieuwe richtlijnen vereisen een structurele aanpak. Hieronder staan een aantal tips op een rij waar je als mkb-bedrijf alvast mee aan de slag kan:

• Goede back-up- en herstelprocedures implementeren: zorg dat je automatische back-ups maakt en deze ook regelmatig test zodat je snel weer online bent als er iets gebeurt.
• Monitoring en bescherming: zorg dat er 24/7 toezicht is op je systemen om eventuele dreigingen direct te detecteren.
• Bewustwording en training: het is van groot belang dat medewerkers zich bewust zijn van de gevaren en gevolgen van cyberdreigingen. Daarom is bewustwording en training een belangrijke stap richting het NIS2.
• Duidelijke afspraken met IT-partners: ook leveranciers en partners moeten veilig werken en hierin hun verantwoordelijkheden nemen, daarom zijn goede afspraken cruciaal.

NIS2 klinkt als een hoop extra werk en verplichtingen, maar met de juiste stappen en de juiste IT-partner is het eigenlijk meer een kans. Bedrijven die hun IT-omgeving en processen nu goed inrichten, zijn straks beter beschermd tegen cyberaanvallen en waarborgen de continuïteit van hun organisatie.

Dus, werk stap voor stap aan je back-ups, monitoring, trainingen en maak duidelijke afspraken met je partners en zorg dat je klaar bent voor de invoering van NIS2 in het derde kwartaal van 2025.