Wat zijn de 10 zorgplichtmaatregelen van de NIS2?

De Cyberbeveiligingswet is de Nederlandse toepassing van de Europese NIS2-richtlijn (Network and Information Security Directive). De precieze details va de Nederlandse wet zijn nog in ontwikkeling, de overheid geeft aan dat de verwachting is dat de Cyberbeveiligingswet in het najaar van 2025 in werking zal treden. Maar de NIS2 is al in werking. Het is dan ook verstandig om nu al aan de slag te gaan met de vereisten en u zo voor te bereiden op de Cyberbeveiligingswet. Wat zijn de 4 hoofdverplichtingen en de 10 zorgplichtmaatregelen precies en hoe hangen ze samen?

1. Registratieplicht

Bedrijven die essentiële diensten leveren, moeten zich verplicht registreren bij de overheid: dit doet u bij het Nationaal Cyber Security Centrum (NCSC). Zo weet de overheid wie er onder de wet valt en wie niet.

2. Meldplicht

Als er een cyberincident plaatsvindt, moet dit meteen gemeld worden. Zo kunnen problemen sneller worden opgelost en worden andere bedrijven gewaarschuwd.

3. Zorgplicht

Bedrijven moeten hun beveiliging op orde hebben. Denk aan het nemen van de juiste technische en organisatorische maatregelen om hacks en datalekken te voorkomen. Hieronder vallen de 10 zorgplichtmaatregelen, aangevuld met governance.

4. Toezicht

De overheid houdt een oogje in het zeil. De toezichthouder kan controleren of bedrijven zich aan de regels houden en boetes uitdelen als dat niet zo is.

De 10 zorgplichtmaatregelen van de Cyberbeveiligingswet/ NIS2

Rondom de zorgplicht heeft de overheid 10 maatregelen gedefinieerd die bedrijven minimaal moeten nemen om zich tegen incidenten te beschermen. Dit worden vaak de NIS2-maatregelen genoemd.

1. Een risicoanalyse en beveiliging van informatiesystemen

2. Incidentenbehandeling

3. Maatregelen op het gebied van bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen

4. Beveiliging van de toeleveranciersketen

5. Beveiliging bij het verwerken, ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden

6. Beleid en procedures om de effectiviteit van beheersmaatregelen van cyberbeveiligingsrisico’s te beoordelen

7. Basis cyberhygiëne en trainingen op het gebied van cyberbeveiliging

8. Beleid en procedures over het gebruik van cryptografie en encryptie

9. Beveiligingsaspecten op het gebied van personeel, toegangsbeleid en beheer van assets

10. Het gebruik van multifactorauthenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen

Cyber Security Management Systeem

1: Een risicoanalyse en beveiliging van informatiesystemen

2: Incidentenbehandeling

6: Beleid en procedures om de effectiviteit van beheersmaatregelen van cyberbeveiligingsrisico’s te beoordelen

Supply Chain Cyber Security

4: Beveiliging van de toeleveranciersketen

Cyber Resilience

2: Incidentenbehandeling

3: Maatregelen op het gebied van bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen

Secure development & systems

5: Beveiliging bij het verwerken, ontwikkelen en onderhouden van netwerk- en informatiesystemen, inclusief de respons op en bekendmaking van kwetsbaarheden

6: Effectiviteit maatregelen en risicomanagement

7: Basis cyberhygiëne en trainingen op het gebied van cyberbeveiliging

8: Beleid en procedures over het gebruik van cryptografie en encryptie

9: Beveiligingsaspecten op het gebied van personeel, toegangsbeleid en beheer van assets

10: Het gebruik van multifactorauthenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen

De maatregelen per overkoepelend thema

Ontdek in de volgende pagina’s de maatregelen per thema, zodat u gericht stappen kunt zetten om uw cyberweerbaarheid te verbeteren én straks te voldoen aan de Cyberbeveiligingswet/ NIS2.

Volgende stap