De Europese Commissie zet een belangrijke stap richting goedkeuring van nieuwe cybersecurity-standaarden onder de naam NIS2.
De huidige NIS-cybersecurityregels verplicht lidstaten om essentiële serviceproviders (energieproducenten, drinkwaterleveranciers, luchthavens …) in hun land te identificeren en aan bepaalde securityverplichtingen te onderwerpen. Deze bedrijven en organisaties zullen ook elk cybersecurity-incident moeten melden bij een bevoegde centrale instantie.
Van zodra NIS2 (voorstel) wordt goedgekeurd, moeten Europese lidstaten de bestaande veiligheidsregels verder uitbreiden naar alle middelgrote en grote organisaties over een heleboel sectoren waaronder farmacie, medische toestellen, voedsel, digitale diensten, datacenters, ruimtevaart, post en koerierdiensten.
NIS2 verplicht ook verstrengde cybersecurityregels voor overheidsentiteiten centraal en regionaal. Het is aan de lidstaten om te beslissen of ze ook op lokaal niveau deze regels wil opleggen.
Sommige essentiële industrieën hoeven zich niet aan de NIS2-regels te houden waaronder defensie, nationale veiligheidsagentschappen, politie en justitie.
Boetes tot 10 miljoen euro
De inhoud van NIS2 bestaat uit heel wat zaken waaronder computerhygiëne, cybersecuritytraining, gebruik van cryptografie en regels rond toegangscontrole en asset management. De volledige lijst richtlijnen kan je hier nalezen.
Tot slot brengt NIS2 ook een centraal Europees organisatienetwerk voor cybercrisissen onder de naam EU-CyCLONe. Die moet grootschalige online aanvallen over Europa helpen mitigeren via centrale controle. Bedrijven die zich niet aan de richtlijnen houden, kunnen boetes tot 10 miljoen euro krijgen.
Van zodra het Europese Parlement zijn fiat geeft, krijgen lidstaten tot 21 maanden de tijd om NIS2 in lokale wetteksten om te zetten.