Voldoen aan wet- en regelgeving
Cyberbeveiligingswet (NIS 2)
NIS2 (Network and Information Security 2) is de vernieuwde EU-richtlijn voor cybersecurity, die de oorspronkelijke NIS-richtlijn (2016) vervangt. De NIS2-richtlijn is opgesteld om het niveau van cybersecurity bij leveranciers van essentiële en belangrijke diensten te verhogen, risico’s voor netwerk- en informatiesystemen te mitigeren en de continuïteit van deze diensten zo goed als mogelijk te garanderen.
“Met de komst van NIS2 wordt cybersecurity niet langer een keuze, maar een wettelijke verplichting. Het is essentieel dat organisaties hun digitale weerbaarheid nu op orde brengen om boetes en reputatieschade te voorkomen.”
Ketenverantwoordelijkheid
Essentiële en belangrijke entiteiten die onder de NIS2-richtlijn vallen, worden verantwoordelijk voor de beveiliging van hun toeleveringsketen. Dit betekent dat zij moeten beoordelen welke risico’s hun leveranciers en dienstverleners met zich meebrengen en passende maatregelen nemen om de veiligheid van de gehele keten te waarborgen. Dit geldt logischerwijs alleen voor partijen in de toeleveringsketen die digitale diensten of producten leveren en/ of toegang hebben tot netwerk- of informatiesystemen van de entiteit. ENISA (het Europese agentschap voor cyberbeveiliging) heeft de volgende typen ICT-toeleveranciers gedefinieerd:
– Fabrikanten (leveranciers van hardware)
– System integrators
– ICT-service management (MS(S)P’s).
– Aanbieders van digitale diensten (SaaS, PaaS, IaaS)
– Externe partijen die toegang hebben tot netwerken of systemen (inclusief contractors)
De NIS2-richtlijn/ WBNI is dus niet direct van toepassing op de ketenpartners (tenzij zij zelf als essentiële of belangrijke entiteit worden geclassificeerd). Wel kunnen zij vragen verwachten over genomen maatregelen op het gebied van informatiebeveiliging. Hoewel ketenpartners dus niet direct onder NIS2 vallen, is het wel verstandig om proactief te werken aan informatiebeveiliging, bijvoorbeeld door een ISO 27001-gecertificeerd ISMS in te richten.
Dit helpt niet alleen bij nalevingseisen vanuit klanten, maar verhoogt ook de weerbaarheid tegen cyberdreigingen.
Met ISO 27001 invulling geven aan NIS2
Voor zowel direct onder NIS2 vallende entiteiten als hun ketenpartners is het opzetten van een gecertificeerd Information Security Management System (ISMS) een cruciale stap. Een ISO 27001-certificering helpt organisaties om aan te tonen dat hun informatiebeveiliging structureel is ingericht en risico’s effectief worden beheerst. Dit is met de invoering van NIS2 nog belangrijker geworden, omdat essentiële en belangrijke entiteiten verplicht zijn om beveiligingsmaatregelen te nemen en de risico’s binnen hun toeleveringsketen te beheersen.
Ook voor ketenpartners is het inrichten van een gecertificeerd ISMS een belangrijke aanbeveling. Middels dit certificaat kan immers eenvoudiger worden aangetoond dat informatiebeveiliging op een passende wijze is ingericht en risico’s worden gemitigeerd, wat voor kritische en belangrijke entiteiten door NIS2 nog belangrijker wordt. Door het kunnen overleggen van een ISO 27001-certificaat wordt een groot deel van specifieke vragen en leveranciersaudits teruggedrongen. De ISO27001-beheersmaatregelen die je hebt geïmplementeerd, kunnen mogelijk onvoldoende zijn om aan de NIS2-eisen te voldoen. Het is daarom cruciaal om bij de implementatie van je ISMS rekening te houden met alle relevante regelgeving en deze expliciet in de scope op te nemen. Daarnaast is het van belang dat afgenomen producten of diensten (en de hiervoor benodigde processen) onderdeel zijn van het toepassingsgebied van het managementsysteem.
Door nu te starten met het opzetten, implementeren en continu verbeteren van een ISO 27001-gecertificeerd ISMS, zorg je ervoor dat jouw organisatie klaar is voor NIS2 én beter bestand is tegen cyberdreigingen.