2.410 organisaties actief in kritieke sectoren hebben zich op tijd geregistreerd bij het CCB in het kader van de NIS2-regelgeving. Het CCB spreekt van de grootste cyberbeveiligingsoperatie ooit. Ook niet-kritieke bedrijven mogen zich registeren.

Al 2.410 organisaties uit kritieke sectoren hebben zich bij het Centrum voor Cybersecurity België (CCB) geregistreerd. Dat doen ze in het kader van de NIS2-richtlijn, die België als eerste Europese lidstaat heeft vertaald naar nationale wetgeving. Organisaties die onder de NIS2-regels vallen, moeten zich registreren via Safeonweb@work. Daarvoor hebben ze de tijd tot morgen, dinsdag 18 maart.

Verplichtingen met NIS2

Onder andere energie, transport, gezondheidszorg, water, digitale infrastructuur, publieke administratie en de financiële sector vallen onder de definitie van kritiek. Organisaties die tot die sectoren behoren en onder NIS2 vallen, moeten aan verschillende verplichtingen voldoen. Ze moeten:

• Registreren op de website van het CCB;
• Gepaste beveiligingsmaatregelen nemen;
• Het CCB om de hoogte stellen van incidenten;
• Regelmatig officiële conformiteitsbeoordelingen uitvoeren.

De FOD Economie schatte eerder dat er ongeveer 2.500 bedrijven onder NIS2 zouden vallen. Het lijkt er dus op dat de overgrote meerderheid van de organisaties in België zich tijdig in regel heeft gesteld. Ook organisaties uit minder kritieke sectoren kunnen zich registeren. Een groot aantal heeft dat effectief gedaan, wat het totaal op 4.500 registraties brengt.

Vrijblijvende registratie

Wie zich optioneel registreert, krijgt toegang tot volgende voordelen:

• Prioriteit: Na registratie beschikt het CCB over een aantal basisgegevens. Als het een kwetsbaar systeem opmerkt op een domeinnaam of IP-adres dat staat geregistreerd, volgt er een waarschuwing. NIS2-organisaties krijgen daar prioriteit boven andere organisaties.
• Cyber Threat Alerts: het CCB helpt organisaties bij het onderzoeken en beperken van potentiële cyberbedreigingen op hun netwerk door structureel meldingen te delen over kwetsbaarheden en infecties.
• Quick Scan Report: Organisaties ontvangen een rapport dat een overzicht geeft van zwakke plekken in de beveiliging en verbetermogelijkheden.
• Self-assessment: Geregistreeerde bedrijven krijgen toegang tot een korte vragenlijst om zwaktes te identificeren en gerichte aanbevelingen te ontvangen.
• Policy templates: Dit zijn kant-en-klare cybersecurity policies waarmee bedrijven aan de slag kunnen.

Meer incidenten gemeld

Het opzet van NIS2 is om de cyberweerbaarheid van Europese bedrijven te verhogen. De verplichting om zich in regel te stellen voor kritieke sectoren is daarbij logisch, net als de ambitie m organisaties breder aan te spreken. NIS2 vraagt in de kern heel logische beveiligingsmaatregelen en strategieën van bedrijven. De regels zijn gebaseerd op best practices, waarmee iedere organisatie zich beter kan beschermen.

lees ook

NIS2: redundante regelneverij, of broodnodige sprong richting een veilig Europa?

Onder NIS2 moeten kritieke bedrijven incidenten melden. De voorbije achttien maanden ontving het CCB al 556 meldingen. Sinds de invoering van de regelgeving is het aantal meldingen met tachtig procent gestegen, van 25 per maand naar 45 per maand. Het CCB is er vrijwel zeker van dat het aantal incidenten niet is toegenomen, enkel de transparantie.

“We merken dat de organisaties vroeger de weg niet wisten of het niet nodig vonden om incidenten te melden”, duidt Miguel De Bruycker, directeur-generaal van het CCB. “Er was in het verleden een onderrapportering. Het aantal belangrijke meldingen is op zich niet toegenomen.”

Rapportering en maturiteit

De registratie is slechts een eerste stap. In een volgende fase moeten organisaties hun beveiliging conform krijgen met NIS2. Voor bedrijven met een mature cyberbeveiligingsstrategie, zal dat niet zo veel aanpassingen vergen. Zij hebben al een goede fundering en moeten vooral uitvogelen hoe die past in het NIS2-keurslijf.

Voor andere (kleinere) organisaties kan NIS2 wel een katalysator zijn richting significant betere beveiliging. De kern van de richtlijn draait rond risico. Ze zet organisaties aan om te definiëren welke data en activiteiten kritiek zijn, en op basis daarvan een beveiligingsstrategie uit te werken. Gezien de toenemende internationale cyberdreiging en de volatiele geopolitieke context, is dat een goede zaak.