NIS2 zorgplicht: deze maatregelen vraagt de wet

De NIS2 zorgplicht is de kern van de Cyberbeveiligingswet. Valt u onder de wet, dan moet u passende en evenredige maatregelen nemen om uw netwerk- en informatiesystemen te beschermen en de gevolgen van incidenten te beperken.

Passend betekent: afgestemd op uw risico’s. Evenredig betekent: in verhouding tot uw omvang en tot wat er op het spel staat. Er is dus geen lijst die voor iedereen hetzelfde is.

Wel benoemt de wet de onderwerpen die in elk geval aan bod moeten komen. Hieronder loopt u ze langs, met per onderwerp wat het praktisch betekent.

De onderwerpen die de wet benoemt

De opsomming leest als de inhoudsopgave van een managementsysteem, en dat is geen toeval.

• Risicobeheer. Beleid voor de analyse van risico’s en voor de beveiliging van uw systemen.
• Incidentafhandeling. Van detectie tot herstel, inclusief de meldketen.
• Continuïteit. Back-ups, herstel na een ramp en crisisbeheer.
• Ketenbeveiliging. Afspraken met en beoordeling van uw leveranciers.
• Veilige aanschaf en onderhoud. Beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, inclusief het omgaan met kwetsbaarheden.
• Beoordeling van effectiviteit. Meten of uw maatregelen werken.
• Basishygiëne en opleiding. De basismaatregelen op orde en mensen die weten wat er van hen wordt verwacht.
• Versleuteling. Beleid over het gebruik van cryptografie.
• Personeel en toegang. Toegangsbeheer en het beheer van bedrijfsmiddelen.
• Authenticatie en communicatie. Waar nodig meerfactorauthenticatie en beveiligde communicatie.

Wie ISO 27001 heeft ingericht herkent vrijwel alles. De overlap staat in ISO 27001 en NIS2.

Wat passend en evenredig betekent

Dit is de bepaling waar de meeste vragen over komen, en het antwoord is opzettelijk open gelaten. De wet wil geen maatregelen voorschrijven die voor de een te zwaar en voor de ander te licht zijn.

Wat de toezichthouder wil zien is de redenering. Waarom vindt u deze maatregel voldoende voor dit risico, en waarom heeft u die andere niet genomen? Een keuze met onderbouwing is verdedigbaar, een keuze zonder onderbouwing niet.

Daarmee is de risicobeoordeling het scharnier van uw hele dossier. Zie de risicoanalyse informatiebeveiliging.

Waar organisaties in de praktijk op vastlopen

Drie onderwerpen leveren het meeste werk op, en het zijn niet de technische.

Ketenbeveiliging is er daar een van. Weten welke leveranciers toegang hebben tot uw systemen of gegevens, wat er contractueel is afgesproken en hoe u dat controleert. Bij veel organisaties bestaat er geen actueel overzicht, en dat opbouwen kost tijd die u niet zelf in de hand heeft.

Het tweede is de beoordeling van effectiviteit. Maatregelen invoeren is een ding, aantonen dat ze werken is een ander. Dat vraagt om metingen, om een interne toetsing en om bewijs dat u het jaar rond verzamelt.

Het derde is de bestuurlijke kant. Aantoonbare kennis bij bestuurders is niet af met een presentatie. Zie bestuurdersaansprakelijkheid.

Hoe u het praktisch aanpakt

Begin niet bij de lijst maar bij uw eigen situatie. Welke dienst mag niet uitvallen, welke gegevens zijn gevoelig, en wie heeft er allemaal toegang.

Leg daarna uw bestaande maatregelen naast de onderwerpen uit de wet. In de meeste gevallen is een flink deel al ingericht en is de opgave vooral vastleggen en afwegen, niet nieuw bouwen.

Wat overblijft is een overzichtelijke lijst met echte gaten. Een praktische volgorde staat in de NIS2 checklist.

Basishygiëne: waar de meeste winst zit

De wet noemt basishygiëne als apart onderwerp, en dat is niet voor niets. Het overgrote deel van de incidenten begint bij iets basaals dat niet op orde was.

In de praktijk gaat het om een handvol dingen: updates die tijdig worden geïnstalleerd, accounts die worden ingetrokken als iemand vertrekt, back-ups waarvan het herstel is beproefd, meerfactorauthenticatie op accounts die van buiten bereikbaar zijn, en medewerkers die weten hoe ze iets melden.

Geen van die maatregelen is ingewikkeld of duur. Wat ze lastig maakt is dat ze onderhoud vragen: een back-up die twee jaar geleden is getest, is vandaag een aanname. Neem ze daarom op in uw jaarritme en niet in een projectplan.

Wat evenredig in de praktijk betekent

Evenredig is het woord waarmee de wet ruimte laat, en tegelijk het woord dat de meeste onzekerheid geeft. Wanneer is een maatregel te zwaar, en wanneer te licht?

Drie dingen wegen mee. Uw omvang, want van een organisatie van twintig mensen wordt iets anders verwacht dan van een concern. De aard van uw dienst, want uitval van een ziekenhuis heeft andere gevolgen dan uitval van een webshop. En de kosten, want een maatregel die niet in verhouding staat tot het risico hoeft niet.

Wat er niet meeweegt is of u het lastig vindt of er geen tijd voor heeft. Een maatregel die duidelijk past bij een reëel risico en die betaalbaar is, kunt u niet overslaan met een verwijzing naar drukte.

De praktische toets: kunt u aan iemand van buiten uitleggen waarom deze maatregel voldoende is voor dit risico? Kan dat, dan is de keuze verdedigbaar. Kan dat niet, dan is er werk aan de winkel.

Een risico bewust aanvaarden

Niet elk risico hoeft te worden weggenomen, en dat is een van de meest ondergewaardeerde mogelijkheden in de wet. U mag een risico aanvaarden, mits u dat bewust doet en vastlegt.

Wat daarvoor nodig is: een beschrijving van het risico, de reden waarom u het aanvaardt, welke compenserende maatregel u eventueel treft, wie het besluit heeft genomen en wanneer u het opnieuw bekijkt.

Dat kost tien minuten per risico en het maakt een groot verschil. Een aanvaard risico met onderbouwing is een besluit. Hetzelfde risico zonder vastlegging is een gat, en zo wordt het bij toezicht ook gelezen.

Let er wel op dat de persoon die aanvaardt daarvoor mandaat heeft. Een securityfunctionaris kan het risico beschrijven, maar het aanvaarden hoort bij wie de gevolgen draagt.

Veelgestelde vragen over de NIS2 zorgplicht

Staat er ergens een lijst met verplichte maatregelen?

Nee, en dat is bewust. De wet benoemt onderwerpen die aan bod moeten komen, maar de invulling hangt af van uw risico’s en uw omvang. Wat u moet kunnen laten zien is de redenering achter uw keuzes.

Is de zorgplicht lichter voor belangrijke entiteiten?

Nee. De zorgplicht is voor essentiële en belangrijke entiteiten gelijk. Wat verschilt is het toezicht: proactief bij essentieel, reactief bij belangrijk. Zie voor wie geldt NIS2.

Moeten wij meerfactorauthenticatie invoeren?

De wet noemt het als maatregel waar nodig. In de praktijk is het bij vrijwel elke organisatie een van de maatregelen met de beste verhouding tussen inspanning en effect, dus een uitsluiting daarvan roept al snel vragen op.

Hoe toon ik aan dat mijn maatregelen effectief zijn?

Met metingen, een interne toetsing en bewijs uit de praktijk: een beoordeling van toegangsrechten, een beproefd herstel van een back-up, een verwerkte melding. Verzamel dat gedurende het jaar en niet achteraf.

Wat als wij een maatregel niet kunnen betalen?

Evenredigheid werkt twee kanten op, dus kosten mogen meewegen. Leg dan vast welk risico u aanvaardt, welke compenserende maatregel u treft en wie dat heeft besloten. Een aanvaard risico met onderbouwing is iets anders dan een gat.