Eerst: val je onder NIS2?
NIS2 is een Europese richtlijn die organisaties in kritieke en belangrijke sectoren verplicht om hun cybersecurity aantoonbaar te organiseren. In België is ze omgezet in de NIS2-wet, in Nederland in de Cyberbeveiligingswet. Of je eronder valt, hangt vooral af van je sector en je omvang. Je bent dan een essentiële of een belangrijke entiteit, met telkens andere vormen van toezicht.
Begin dus met die vraag, en leg de redenering vast. Ook als je niet onder de wet valt, kan het nuttig zijn: klanten die zelf onder NIS2 vallen, stellen steeds vaker eisen aan hun leveranciers.
Vijf stappen om te starten
- Bepaal je positie. Ga na of en hoe de wet op je organisatie van toepassing is, en welke verplichtingen daarbij horen, zoals registratie bij de bevoegde overheid.
- Breng in kaart wat belangrijk is. Welke processen, gegevens en systemen zijn kritiek? Van welke leveranciers ben je afhankelijk? Dat is de basis voor elke volgende stap.
- Meet waar je staat. Doe een nulmeting tegen een erkend referentiekader. In België gebruiken veel organisaties de CyberFundamentals (CyFun) of ISO/IEC 27001.
- Betrek het bestuur. NIS2 legt de verantwoordelijkheid uitdrukkelijk bij het bestuur. Dat moet maatregelen goedkeuren, toezicht houden en zich laten opleiden.
- Maak een roadmap. Vertaal de bevindingen naar prioriteiten, met een eigenaar en een termijn per actie. Vergeet de meldplicht niet: ernstige incidenten moet je snel en in stappen melden, en dat vraagt een afgesproken procedure.
Begin niet met documenten
Een veelgemaakte fout is meteen beleid gaan schrijven. Beleid dat niet aansluit bij je werkelijke situatie, blijft op papier. Begin met inzicht in je risico’s en je huidige maatregelen, en bouw daar beleid, procedures en technische verbeteringen op.
Hoe Cyberwise helpt
Met het Start-pakket brengen we in kaart waar je staat en welke acties eerst moeten, met een gap-analyse tegen het kader dat voor jou geldt. Daarna begeleiden we de verbetering en volgen we het niveau structureel op. Meer over de wet zelf lees je op de pagina’s over de NIS2-wet en de Cyberbeveiligingswet.
Dit artikel is een algemene inleiding en geen juridisch advies. De precieze verplichtingen hangen af van je situatie.