Een Belgisch bedrijf dat onder NIS2 valt, moet kunnen aantonen dat het zijn cyberrisico's gestructureerd beheert: een risicoanalyse, beveiligingsbeleid, een procedure voor incidentbeheer en -melding, een continuïteitsplan, een inventaris van de bedrijfsmiddelen met hun verantwoordelijken en de goedkeuring van die maatregelen door de directie. Richtlijn (EU) 2022/2555 legt dat kader vast, de Belgische wet van 26 april 2024 zet het om en het CCB volgt de naleving op.
Valt uw bedrijf onder NIS2?
De omvang alleen volstaat niet. In de eerste plaats bepaalt de sector of uw bedrijf onder NIS2 valt.
De richtlijn is van toepassing op middelgrote en grote entiteiten die actief zijn in de sectoren uit bijlagen I en II: onder meer energie, vervoer, bankwezen, gezondheidszorg, water, digitale infrastructuur, vervaardiging van bepaalde producten, levensmiddelen en postdiensten. Ze deelt die op in essentiële en belangrijke entiteiten, met verschillende toezichtsregelingen.
In België zet de wet van 26 april 2024 de richtlijn om. Die trad op 18 oktober 2024 in werking. De betrokken entiteiten moeten zich registreren bij het CCB. Voor bepaalde sectoren is ook een sectorale autoriteit betrokken, bijvoorbeeld het BIPT voor een deel van de digitale infrastructuur.
In de praktijk valt een bedrijf met meer dan 1.000 medewerkers in een van de vermelde sectoren bijna altijd binnen het toepassingsgebied. De eigenlijke vraag wordt dan: essentieel of belangrijk? Het CCB publiceert toelichtingen om dat na te gaan.
Wat moet u concreet documenteren?
Veel teams zien NIS2 als een documentatieoefening. Ze schrijven beleidsdocumenten, slaan die op in SharePoint en beschouwen de zaak als afgehandeld. Dat is niet wat de tekst vraagt. Die vraagt om risicobeheersmaatregelen die daadwerkelijk worden toegepast. De documentatie dient om dat aan te tonen.
Artikel 21 van de richtlijn somt de minimale maatregelen op. Voor elke maatregel moet u kunnen aantonen wat er bestaat en wie ervoor verantwoordelijk is.
| Wat de richtlijn vraagt | Wat u moet kunnen aantonen | Waar datagovernance helpt |
|---|---|---|
| Risicoanalyse en beveiligingsbeleid (art. 21, § 2, a) | Een actuele risicoanalyse en het beleid dat daaruit voortvloeit | Weten welke gegevens kritiek zijn en voor welke processen |
| Incidentbeheer en -melding (art. 21, § 2, b en art. 23) | Een procedure, rollen en een incidentenhistoriek | Snel achterhalen welke systemen, gegevens en rapporten getroffen zijn |
| Bedrijfscontinuïteit (art. 21, § 2, c) | Back-ups, noodherstel en crisisbeheer | In kaart brengen van welke bronnen dagelijkse beslissingen afhangen |
| Beveiliging van de toeleveringsketen (art. 21, § 2, d) | Een lijst van kritieke leveranciers en de eisen die aan hen worden gesteld | Zien welke gegevens via welke leverancier of welk platform lopen |
| Toegangscontrole en beheer van bedrijfsmiddelen (art. 21, § 2, i) | Een inventaris van de bedrijfsmiddelen, hun verantwoordelijken en de toegangsregels | Een actuele inventaris van bronnen, datasets en hun eigenaars |
De overige maatregelen uit artikel 21 gaan onder meer over veilige ontwikkeling en onderhoud, de beoordeling van de doeltreffendheid van de maatregelen, cyberhygiëne en opleiding, cryptografie en multifactorauthenticatie. Die vallen vooral onder IT-beveiliging en minder onder datagovernance.
Wie is verantwoordelijk binnen het bedrijf?
NIS2 laat dit niet uitsluitend over aan de beveiligingsverantwoordelijke. Artikel 20 van de richtlijn verplicht de bestuursorganen om de risicobeheersmaatregelen goed te keuren, toe te zien op de uitvoering ervan en een opleiding te volgen. Ze kunnen aansprakelijk worden gesteld bij tekortkomingen. De Belgische wet neemt dat principe over.
Voor de documentatie verandert dat één ding. Het volstaat niet dat er een beleid bestaat. U moet vastleggen wie het heeft goedgekeurd, wanneer dat gebeurde en wie het actueel houdt.
Bijvoorbeeld: uw beleid voor toegangscontrole bepaalt dat elke gevoelige dataset een eigenaar heeft die de toegang goedkeurt. Als niemand weet wie die eigenaar is voor de klantendatabase, bestaat het beleid alleen op papier, niet in de praktijk.
Binnen welke termijnen moet u een incident melden?
Artikel 23 van de richtlijn legt drie stappen vast voor een significant incident: een vroegtijdige waarschuwing binnen 24 uur nadat u er kennis van hebt genomen, een melding binnen 72 uur en vervolgens een eindverslag uiterlijk één maand na de melding. In België meldt u incidenten bij het CCB.
Die termijnen zijn kort. Ze veronderstellen dat u snel weet welke systemen getroffen zijn, welke gegevens ze bevatten en welke diensten ervan afhangen. Een actuele inventaris bespaart u dan uren, terwijl een verouderde inventaris u net uren kost.
Hoe helpt het CCB om de aanpak te structureren?
Het CCB biedt het CyberFundamentals-kader (CyFun) aan, met verschillende zekerheidsniveaus. Entiteiten kunnen CyFun of de norm ISO/IEC 27001 gebruiken om hun conformiteit aan te tonen.
Beide kaders vragen om een inventaris van de bedrijfsmiddelen en een duidelijke toewijzing van verantwoordelijkheden. Als u al met een van beide bent gestart, is een groot deel van de NIS2-documentatie waarschijnlijk al gedeeltelijk aanwezig. Het werk bestaat er vaak in die documentatie met elkaar te verbinden, aan te vullen en actueel te houden.
Een praktisch kader: inventariseren, toewijzen, beoordelen, vastleggen, herzien
- Inventariseren: maak een lijst van de systemen, databronnen en rapporten die uw kritieke diensten ondersteunen.
- Toewijzen: wijs voor elk daarvan een verantwoordelijke bij naam aan, een persoon en geen team.
- Beoordelen: noteer voor elk bedrijfsmiddel hoe kritiek het is en wat de kwaliteit van de bijbehorende gegevens is.
- Vastleggen: registreer beslissingen, goedkeuringen en incidenten, telkens met de datum.
- Herzien: laat de inventaris en de verantwoordelijken op vaste tijdstippen bevestigen, bijvoorbeeld elk kwartaal.
Waar dScribe bij helpt
dScribe is geen tool voor NIS2-conformiteit en maakt geen enkel bedrijf conform. Het helpt bij een specifiek deel van het werk: aantonen wie verantwoordelijk is voor uw gegevens en wat er veranderd is.
In de dScribe-applicatie toont de audittrail u de eigenaar van elk van uw data-assets. Die houdt ook bij wie wat heeft gewijzigd en wanneer. Voor de NIS2-documentatie is dat een concreet spoor van de toewijzing van verantwoordelijkheden en de opvolging ervan doorheen de tijd.
Zo ziet u met enkele klikken wie eigenaar is van de klantendatabase en wie de beschrijving ervan vorige maand heeft gewijzigd. Dat zijn de vragen uit het onderdeel over verantwoordelijkheden: wie is verantwoordelijk voor het bedrijfsmiddel en wie houdt de informatie actueel?
dScribe leest uitsluitend metadata. Uw gegevens zelf verlaten hun bron niet. De risicoanalyse, het beveiligingsbeleid en het juridisch advies blijven uw verantwoordelijkheid.
Tot slot
NIS2 draait niet om ringmappen. Het draait om inzicht: wat u hebt, wat kritiek is en wie ervoor verantwoordelijk is. De documentatie maakt dat alleen zichtbaar. Als uw inventaris van bedrijfsmiddelen en hun verantwoordelijken al actief wordt bijgehouden, is een groot deel van het werk gedaan. Staat die te verstoffen in een vergeten bestand, dan moet u daar beginnen.
Veelgestelde vragen
Valt mijn bedrijf in België onder NIS2?
Dat hangt in de eerste plaats af van uw sector en vervolgens van uw omvang. Middelgrote en grote entiteiten in de sectoren uit bijlagen I en II van de richtlijn vallen eronder. Het CCB publiceert toelichtingen om dat na te gaan.
Verplicht NIS2 een datacatalogus?
Nee. De richtlijn noemt geen enkele tool. Ze vraagt onder meer om beheer van bedrijfsmiddelen en beleid voor toegangscontrole. Een inventaris van gegevens met hun verantwoordelijken is een manier om dat onderdeel te documenteren.
Wat is het verschil tussen NIS2 en de AVG?
De AVG beschermt persoonsgegevens. NIS2 richt zich op de beveiliging van netwerk- en informatiesystemen die essentiële of belangrijke diensten ondersteunen. Eenzelfde incident kan wel onder beide regelgevingen vallen, met afzonderlijke meldingen.
Wie moet de NIS2-maatregelen binnen het bedrijf goedkeuren?
De bestuursorganen, volgens artikel 20 van de richtlijn. Zij keuren de risicobeheersmaatregelen goed, zien toe op de uitvoering ervan en volgen een opleiding. Het is nuttig om die goedkeuringen met datum vast te leggen.
Is een ISO 27001-certificering verplicht voor NIS2?
De richtlijn legt geen specifieke certificering op. In België erkent het CCB verschillende manieren om conformiteit aan te tonen, waaronder CyberFundamentals en ISO/IEC 27001. Ga met uw juridisch adviseur na welke bij uw situatie past.