NIS2 verandert de manier waarop organisaties met cybersecurity omgaan.
De eisen op het gebied van cybersecurity in Europa gaan een nieuwe fase in. Met de invoering van de NIS2-richtlijn krijgen organisaties in de Benelux te maken met nieuwe verplichtingen die hun vermogen moeten versterken om cyberincidenten te voorkomen, het hoofd te bieden aan incidenten en ervan te herstellen.
De NIS2-richtlijn (Network and Information Security 2) is een Europees kader dat moet zorgen voor een hoger en meer uniform niveau van cybersecurity in de lidstaten. In vergelijking met haar voorganger breidt NIS2 het aantal organisaties dat onder de cybersecurity-eisen valt aanzienlijk uit. Daarnaast stelt de richtlijn strengere eisen aan risicobeheer, incidentrapportage, beveiliging van de toeleveringsketen en de verantwoordelijkheid van organisaties.
In België, Nederland en Luxemburg veranderen de nationale kaders die NIS2 implementeren de manier waarop organisaties naar digitale weerbaarheid moeten kijken. Cybersecurity draait niet langer alleen om het beschermen van afzonderlijke systemen of netwerken. Er is een bredere aanpak nodig, waarin preventie, detectie, respons en herstel samenkomen.
NIS2 breidt de cybersecurity-eisen uit tot buiten de kritieke infrastructuur
Een van de belangrijkste veranderingen die NIS2 met zich meebrengt, is de uitbreiding van het aantal organisaties dat binnen het toepassingsgebied van de richtlijn valt.
Cybersecurity werd traditioneel vooral geassocieerd met overheidsorganisaties, aanbieders van kritieke infrastructuur en grote technologiebedrijven. NIS2 breidt dit toepassingsgebied aanzienlijk uit naar sectoren zoals productie, gezondheidszorg, transport, energie, financiële dienstverlening, voedselproductie, digitale infrastructuur, openbaar bestuur, logistiek en onderzoek.
Veel organisaties met 50 of meer werknemers, of een jaaromzet van meer dan €10 miljoen, kunnen binnen het toepassingsgebied vallen.
Voor organisaties die cybersecurity nooit als een topprioriteit hebben beschouwd, betekent dit een belangrijke verschuiving. Digitale weerbaarheid wordt een fundamentele vereiste voor bedrijven die actief zijn in een steeds sterker verbonden zakelijke omgeving.
Cyberweerbaarheid gaat verder dan preventie
Een van de belangrijkste veranderingen die NIS2 met zich meebrengt, is de erkenning dat cybersecurity meer vereist dan alleen preventieve maatregelen.
Traditionele beveiligingsstrategieën waren vaak gericht op het buiten de organisatie houden van bedreigingen, bijvoorbeeld via toegangsbeheer, monitoring en endpointbeveiliging. Deze maatregelen blijven essentieel, maar het huidige dreigingslandschap vereist ook dat organisaties voorbereid zijn op incidenten.
Cyberaanvallen zullen blijven plaatsvinden, ook bij organisaties met sterke beveiligingsmaatregelen. Het vermogen om incidenten snel te detecteren, erop te reageren en ervan te herstellen, is daarom minstens zo belangrijk geworden als preventie.
Een ransomware-incident is bijvoorbeeld niet alleen een beveiligingsincident. Het kan bedrijfsactiviteiten verstoren, gevolgen hebben voor klanten, dienstverlening onderbreken en aanzienlijke financiële en reputatieschade veroorzaken.
Daarom worden databescherming, betrouwbare back-upstrategieën en herstelmogelijkheden steeds belangrijkere onderdelen van een moderne beveiligingsaanpak. Organisaties moeten niet alleen weten hoe ze hun infrastructuur kunnen beschermen, maar ook hoe snel ze hun activiteiten kunnen hervatten wanneer zich een verstoring voordoet.
NIS2 verbindt cybersecurity met de bedrijfsvoering
Een ander belangrijk aspect van NIS2 is de sterkere koppeling tussen cybersecurity en het bestuur en de governance van een organisatie.
De richtlijn vereist dat de bestuursorganen van essentiële en belangrijke entiteiten de maatregelen voor het beheer van cyberrisico’s goedkeuren en toezicht houden op de uitvoering ervan. Hierdoor ontstaat een nauwere verbinding tussen technologische beslissingen en zakelijke prioriteiten.
Cybersecurity kan niet worden beschouwd als een losstaande technische functie. Het moet worden geïntegreerd in bredere gesprekken over bedrijfscontinuïteit, risicobeheer en de bedrijfsstrategie.
IT-leiders spelen hierbij een belangrijke rol. Zij moeten beveiligingsrisico’s kunnen vertalen naar de impact op de bedrijfsvoering en ervoor zorgen dat beveiligingsmaatregelen het vermogen van de organisatie ondersteunen om te blijven functioneren, zich aan te passen en te groeien.
Compliance moet het fundament zijn, niet het einddoel
De boetes die aan NIS2 zijn verbonden, kunnen aanzienlijk zijn en afhankelijk van het type organisatie en de ernst van de niet-naleving oplopen tot miljoenen euro’s.
Maar wie zich uitsluitend richt op boetes, ziet het bredere doel van de richtlijn over het hoofd.
Een organisatie kan beschikken over beveiligingsbeleid, procedures en documentatie en toch kwetsbaar blijven als deze maatregelen niet regelmatig worden getest en verbeterd.
Het doel is een omgeving te creëren waarin organisaties hun activiteiten kunnen voortzetten ondanks veranderende cyberdreigingen. Compliance vormt daarbij het fundament voor sterkere beveiligingspraktijken.
Een volwassen cybersecurityaanpak vereist voortdurende evaluatie. Daarbij gaat het onder meer om het identificeren van kwetsbaarheden, het versterken van de beveiliging van de toeleveringsketen, het verbeteren van de mogelijkheden voor incidentrespons en het waarborgen dat kritieke systemen en gegevens indien nodig kunnen worden hersteld.
Technologie-ecosystemen spelen een belangrijke rol in cyberweerbaarheid
NIS2 benadrukt ook het belang van beveiliging binnen de toeleveringsketen. Moderne organisaties zijn steeds afhankelijker van externe leveranciers voor infrastructuur, cloudservices, managed services en databescherming.
Dit onderling verbonden ecosysteem creëert nieuwe mogelijkheden, maar brengt ook nieuwe afhankelijkheden met zich mee. Een beveiligingszwakte op één punt in de keten kan gevolgen hebben voor tal van andere organisaties.
Bedrijven zullen daarom steeds meer inzicht nodig hebben in de beveiligingspraktijken van de technologieaanbieders waarop zij vertrouwen. Cybersecurity wordt daarmee een gedeelde verantwoordelijkheid van organisaties en hun technologiepartners.
De Benelux kan NIS2 aangrijpen om cybersecurity verder te versterken
De Benelux behoort tot de meest digitaal verbonden regio’s van Europa. Bedrijven zijn sterk afhankelijk van technologische infrastructuur, digitale diensten en onderling verbonden ecosystemen die over nationale grenzen heen actief zijn.
Dat biedt kansen voor innovatie, maar vergroot ook het belang van een betrouwbare en weerbare digitale basis.
NIS2 biedt organisaties de mogelijkheid om hun volwassenheid op het gebied van cybersecurity te vergroten en een bredere aanpak te hanteren voor de bescherming van hun bedrijfsactiviteiten.
De organisaties die het best voorbereid zijn, zijn degenen die cybersecurity zien als een continu proces dat draait om bescherming, herstel en voortdurende verbetering.
In het NIS2-tijdperk draait cybersecurity niet alleen om het afweren van aanvallen. Het gaat erom ervoor te zorgen dat organisaties hun activiteiten kunnen voortzetten wanneer zulke aanvallen plaatsvinden.
Dit is een ingezonden bijdrage van Danlin Ou, Senior Presales bij Synology. Klik hier voor meer informatie over de oplossingen van het bedrijf.