2024 moet het jaar worden van NIS2. Want hoewel de invoering van de nieuwe regels in Nederland trager verloopt dan in andere landen, staat de Europese deadline vast. In oktober van dit jaar gaat NIS2 voor veel (IT-)bedrijven gelden. We schetsen de stand van zaken.
Tijdens een evenement van Claranet gaf Petra Oldengarm, directeur Cyberveilig Nederland, een lezing over NIS2. De organisatie waaraan zij leiding geeft telt 110 leden en werd vijf jaar geleden opgericht. Cyberveilig Nederland is een belangenvereniging die zich inzet voor het vergroten van kwaliteit en transparantie in de cybersecuritysector.
Petra OldengarmAllereerst besteedde Oldengarm aandacht aan de historie van de NIS. “De ‘oorspronkelijke NIS bestaat sinds 2018,” legde ze uit. Ondernemingen werden steeds vaker slachtoffer van cybercriminaliteit en dat zette de EU aan tot het optuigen van regels. “De NIS richtte zich op slechts een beperkt aantal organisaties en de bedoeling was daar een aantal eisen aan te stellen.”
Nederland koos er destijds voor om een groter aantal sectoren onder de NIS te scharen dan de initiële Europese richtlijn voorschreef. “We waren dus iets strenger dan de EU, vooral doordat ook zogenaamde vitale aanbieders al onder de NIS vielen.” Dit past bij het principe dat ook geldt bij de invoering van de NIS2, dat de Europese lidstaten zelf bepalen of er sectoren of branches worden toegevoegd aan de door Europa voorgeschreven lijst.” Onder de ‘oude’ NIS vallen in Nederland tussen de 800 en 1000 bedrijven en organisaties.
Rechten en plichten
Al vanaf het begin kwam de NIS met zowel rechten als plichten voor die ondernemingen die onder de richtlijn vallen. Oldengarm: “Zo hebben die bedrijven recht op ondersteuning bij een incident het CCERT. Daarnaast wordt informatie over kwetsbaarheden en cyberdreigingen met hen gedeeld.”
De uitdaging is dat niet duidelijk is gedefinieerd wat passende maatregelen zijn
De plichten die de eerste versie van de NIS met zich meebracht worden omschreven als de opdracht aan organisaties om ‘passende technische en organisatorische maatregelen te nemen om incidenten te voorkomen.’ Daarnaast voorziet de NIS in toezicht: heb je te maken met een incident als onderneming en val je onder richtlijn, dan moet je er melding van doen. En dat kan consequenties hebben als zou blijken dat de getroffen maatregelen toch niet genoeg blijken te zijn. Oldengarm: “De uitdaging daarbij is, dat niet duidelijk gedefinieerd is in de ‘oude’ wat nu precies passende maatregelen zijn. Dat bepalen ondernemingen in principe zelf.”
Bredere scope
Sinds 2018 is het aantal cyberincidenten niet afgenomen. Integendeel. Ransomware bestond weliswaar al sinds 1989, maar groeide in de loop van het vorige decennium uit tot een ware plaag. Ook de snelle opmars van malware en andere bedreiging die ‘as a service’ kunnen worden afgenomen en aanvallen door of namens statelijke actoren namen enorm toe. Dit leidde tot de ontwikkeling van een update van de NIS, de NIS2. “Die moet voor veel meer organisaties gaan gelden. En daarnaast moet ook nauwkeuriger worden gemeld wat onder passende maatregelen om incidenten te voorkomen zou moeten vallen.” De nieuwe regels werden een jaar geleden door de EU vastgesteld en per 17 oktober van dit jaar moeten de lidstaten van de EU deze regels vertaald hebben naar nationale wetgeving.
Consultatieronde
Na de Europese vaststelling zijn het eerst de nationale parlementen die de wet moeten aannemen. “Nederland koos ervoor een consultatieronde op te nemen in het proces. Die had aanvankelijk in september 2023 moeten plaatsvinden, maar is nog steeds niet houden.” Zo bezien lijkt de deadline van oktober dit jaar nauwelijks nog haalbaar. En, vertelt Oldengarm, NIS2 gaat pas van kracht na goedkeuring door de Tweede en Eerste Kamer. “Dat betekent echter niet dat ondernemingen rustig kunnen afwachten. Er zijn ook elementen in de Europese richtlijn die rechtstreekse werking hebben. Die regels gelden dan direct ook voor Nederland.” Heel concreet is het overzicht van die ‘directe’ maatregelen nog niet, maar, geeft Oldengarm aan, de verwachting is dat Digital Service Providers direct de impact zullen merken van NIS2.
Ook bedrijven die zelf niet essentieel zijn, maar onderdeel van de toeleveranciersketen, vallen onder NIS2
Ketenaansprakelijkheid
Petra stelt dat de bedrijven en sectoren die onder NIS2 grofweg onder twee categorieën vallen, namelijk belangrijk en essentieel. Oldengarm: “Ook het toezicht is binnen NIS2 anders geregeld en het gaat om veel meer bedrijven dan voorheen, namelijk tussen de 10.000 en 12.000 organisaties die rechtstreeks onder NIS2 vallen.” Indirect zijn dat er nog veel meer, want ook ondernemingen, zelfs als die heel klein zijn, die onderdeel zijn van een keten, bijvoorbeeld als toeleverancier, waarin zich ook een NIS2-bedrijf bevindt, vallen onder de nieuwe wetgeving.
Ook NIS2 komt weer met rechten plichten voor de ondernemingen die eronder vallen. “De overheid zal nadrukkelijk ondersteuning bieden bij incidenten en doorgaan met informatievoorziening over dreigingen en kwetsbaarheden.” Oldengarm stelt dat het bieden van die ondersteuning een uitdaging kan zijn vanwege het grote aantal bedrijven dat onder de NIS zal vallen.”
Onevenwichtige lijst
De directeur van Cyberveilig Nederland maakt duidelijk dat ze de lijst niet heel evenwichtig vindt: “Het is een breed scala aan maatregelen, maar rijp en groen door elkaar. De eerste maatregel gaat over beleid gebaseerd op risicoanalyse, terwijl een andere maatregel heel technisch MFA voorschrijft.”
Bij onvoldoende maatregelen is sprake van sancties die, zoals het genoemd wordt ‘evenwichtig en afschrikwekkend’ moeten zijn. Petra: “De handhavers krijgen veel bevoegdheden. Dat kan gaan tot het intrekken van vergunningen, het vervangen van directies tot zelfs hoofdelijke aansprakelijkheid van betrokkenen.”
