De NIS2-richtlijn per 15 augustus: dit moet je als ondernemer weten

Wat houdt de NIS2-richtlijn in?

De NIS2-richtlijn is ontworpen om de cyberbeveiliging te verbeteren door organisaties te verplichten om robuuste beveiligingsmaatregelen te implementeren en incidenten effectief te beheren. De richtlijn richt zich op een breed scala aan sectoren die als essentieel voor de maatschappij worden beschouwd. Denk aan de transportsector, de vervaardigingssector, de digitale infrastructuursector, de productie van levensmiddelen en de energiesector.

Belangrijkste wijzigingen NIS2-richtlijn

• Uitgebreide reikwijdte: de NIS2-richtlijn breidt de lijst van sectoren en entiteiten die onder de regelgeving vallen aanzienlijk uit ten opzichte van de oorspronkelijke NIS-richtlijn. Dit betekent dat meer bedrijven en organisaties onderworpen zijn aan de voorschriften van de richtlijn.
• Versterkte beveiligingsvereisten: organisaties moeten robuuste technische en organisatorische maatregelen treffen om de veiligheid van hun netwerken en informatiesystemen te waarborgen. Dit omvat risicoanalyse, incidentbeheer, bedrijfscontinuïteit en beveiliging van toeleveringsketens.
• Incidentmeldingsplicht: bedrijven moeten significante incidenten zo snel mogelijk melden. Een eerste melding moet in beginsel binnen 24 uur plaatsvinden, gevolgd door aanvullende meldingen conform de wettelijke termijnen. Dit help bij het sneller reageren op cyberdreigingen en het beperken van schade.
• Toezicht en handhaving: de richtlijn voorziet in strengere handhavingsmechanismen en zwaardere sancties voor niet-naleving. Nationale autoriteiten krijgen de bevoegdheid om audits uit te voeren en boetes op te leggen.
• Internationale samenwerking: de NIS2-richtlijn bevordert de samenwerking tussen lidstaten van de EU en met derde landen om grensoverschrijdende cyberdreigingen effectief aan te pakken.

Specifieke sectorale overwegingen

Sector Logistiek & Transport

• Beveiliging van kritieke infrastructuur: bedrijven moeten zorgen voor de beveiliging van logistieke netwerken, waaronder spoorwegen, luchtvaart en maritieme routes.
• Incidentenbeheer: snelle detectie en reactie op cyberincidenten die de continuïteit van transportdiensten kunnen verstoren is cruciaal.

Vervaardigingssector

• Productiebeveiliging: bedrijven moeten hun productiesystemen beveiligen tegen cyberaanvallen die productielijnen kunnen stilleggen.
• Toeleveringsketenbeveiliging: aandacht voor de beveiliging van toeleveranciers en partners om risico’s in de keten te minimaliseren.

Digitale infrastructuursector

• Netwerkbeveiliging: leveranciers van internetdiensten, datacenters en cloudproviders moeten geavanceerde beveiligingsmaatregelen implementeren om hun diensten te beschermen.
• Beschikbaarheid en veerkracht: waarborgen dat digitale diensten ook tijdens cyberaanvallen operationeel blijven.

Productie van levensmiddelen

• Veiligheid van productiesystemen: beveiliging van de gehele voedselproductieketen om voedselveiligheid en -kwaliteit te garanderen.
• Bescherming tegen sabotage: preventieve maatregelen tegen cyberaanvallen die de voedselproductie kunnen saboteren.

Energiesector

• Bescherming van energievoorziening: beveiliging van energieproductie- en distributiesystemen om de continuïteit van energievoorziening te waarborgen.
• Nationale veiligheid: aandacht voor de beveiliging van systemen die cruciaal zijn voor de nationale veiligheid en infrastructuur.

Inwerktreding NIS2-richtlijn

De NIS2-richtlijn is op 27 december 2022 in werking getreden en had als deadline voor nationale implementatie 17 oktober 2024. Nederland heeft deze deadline echter niet gehaald. Nederland heeft de NIS-2 richtlijn nu geïmplementeerd in de Cyberbeveiligingswet (Cbw). Die treedt op 15 augustus 2026 in werking en vervangt de Wet beveiliging netwerk- en informatiesystemen (Wbni).

Kom op tijd in actie

De NIS2-richtlijn markeert een belangrijke stap voorwaarts in het versterken van de cyberbeveiliging binnen de EU. Bedrijven in de transport-, vervaardigings-, digitale infrastructuur, productie van levensmiddelen en energiesector moeten zich goed voorbereiden op de naleving van deze nieuwe regelgeving. Door proactief robuuste beveiligingsmaatregelen te implementeren, incidenten tijdig te melden en samen te werken met nationale en internationale partners, kunnen deze sectoren hun weerbaarheid tegen cyberdreigingen aanzienlijk vergroten en de continuïteit van hun diensten waarborgen. 

In de Cyberbeveiligingswet is het bestuur eindverantwoordelijk voor cyberrisicobeheersing. Bestuurders moeten voldoende kennis hebben van cyberrisico’s en passende trainingen volgen om hun toezichthoudende taak te kunnen uitvoeren.

Organisatie die onder de Cyberbeveiligingswet vallen, moeten zich registreren in het landelijk entiteitenregister via het NCSC.

Meer weten?

aaff is graag overal van betekenis. Door kennis te delen, advies te geven en voor inzicht te zorgen. Wil je meer informatie over IT-recht, en meer specifiek de NIS2-richtlijn? De juristen van aaff hebben uitgebreide kennis en ervaring op het gebied van ICT-recht en kunnen je bijstaan bij allerlei vraagstukken op dit gebied. Neem contact op met onze juristen ondernemingsrecht en ICT-recht.