Zorgt NIS2 voor een nieuw GDPR-moment? Hier staan we vandaag

Op 18 oktober 2024 start voor vele bedrijven een nieuwe fase in hun cybersecuritytraject. Vanaf dan krijgen organisaties een duidelijke tijdlijn voorgeschoteld: tegen maart 2025 moeten betrokken partijen zich registreren bij de relevante autoriteit (voor België het CCB) en tegen april 2026 moeten ze compliant zijn met de NIS2-richtlijnen. Vóór april 2027 is het de bedoeling dat de grootste bedrijven al een eerste audit hebben ondergaan.

Ondanks de aandacht die NIS2 al heeft gekregen, en de vele analyses en opiniestukken die het onderwerp behandelen, is nog steeds niet helemaal duidelijk wat de precieze impact ervan zal zijn – of hoe alle puzzelstukjes in elkaar moeten passen. Veel zal pas duidelijk worden wanneer ieder land het framework heeft vertaald naar lokale wetgeving.

Toch vallen de contouren stilaan te ontwaren en wordt duidelijk welke richting organisaties uit moeten wat betreft hun cybersecurity posture. Hoewel het voor ondernemingen nog wat zoeken wordt naar de juiste maatregelen om 100% compliant te worden, zijn er dus al enkele zaken waarmee organisaties kunnen beginnen – en waarmee ze zelfs al bezig zouden moeten zijn. Bij heel wat zaken kan Secutec een broodnodige hand toesteken.

Wondermiddelen bestaan niet

Eén ding moeten organisaties goed begrijpen: er bestaat geen mirakeloplossing die bedrijven, non-profits en andere vzw’s op slag compliant maken. NIS2 draait om een houding die veronderstelt dat een organisatie doet wat het moet en kan, om zowel incidenten te voorkomen als om ze correct af te handelen indien er toch een voorvalt.

Secutec biedt heel wat mogelijkheden die een belangrijke rol spelen op de weg naar NIS2 compliancy. Hieronder vind je een schematisch overzicht van het ‘Cyber Fundamentals Framework’ dat dient als basis voor de implementatie van NIS2, en welke Secutec-oplossingen bijdragen aan het compliant worden met ieder topic.

De Secutec-oplossingen raken iedere categorie aan binnen het framework. Bovendien werken onze diensten naadloos samen met de reeds aanwezige technology stack. Dat betekent dat organisaties geen nieuwe hardware moeten aankopen of bestaande structuren moeten omgooien om toch een grote stap richting compliancy te kunnen zetten.

Eerste hulp bij rapporteren: het Secutec Portal

Bij Secutec vind je een portfolio aan oplossingen die niet alleen voorkomen, maar eveneens helpen genezen. Zowel in de rapportering van cyberincidenten als in het verhelpen van de gevolgen ervan kunnen onze diensten en experts een grote rol spelen.

De grootste meerwaarde in dit opzicht vind je op het Secutec Portal. Hierin worden alle datapunten, contextuele inzichten en mogelijke dreigingsnotificaties gebundeld om een compleet en inzichtelijk geheel te tonen van de security posture van uw onderneming. Als er zich verdachte datastromen voordoen, of er worden potentiële malicious domains gespot, dan worden ze gebundeld in een overzichtelijke lijst die kunnen helpen bij de opmaak van een incident report.

Wachten heeft geen zin

Hoewel het verleidelijk is om op de lauweren te rusten tot alle punten en komma’s op papier staan, kan dat een onderneming een sterk nadeel opleveren. Wie pas bij het publiceren van het volledige gelokaliseerde framework op zoek gaat naar oplossingen, komt achteraan de rij terecht. Gelet op de strakke tijdlijn die de EU voorop heeft gesteld, is dat onverstandig.

Als de invoering van de GDPR ons iets heeft geleerd, dan is het wel dat er niet wordt gewacht op organisaties die de boot afhouden. Getuige zijn de verschillende boetes die dagelijks worden uitgereikt aan wie zijn zaken niet op orde heeft1. NIS2 zal een vergelijkbare impact hebben op de structuur, aanpak en gevolgen van en voor bedrijven in de hele Europese Unie. Gezien de schaal van de geïmpacteerde sectoren en het gegeven dat de toeleveringsketen eveneens in het vizier komt, zullen maar weinig ondernemingen de dans ontspringen.

Interesse in een gesprek over jouw noden en hoe Secutec een bijdrage kan leveren aan jouw specifieke onderneming? Neem dan snel contact neem dan snel contact op met een van onze cyberexperts.

Wat is NIS2 ook alweer?

Zoals je kan vermoeden, is het de opvolger van de eerste Network and Information Security-richtlijn (NIS1) uit 2016. Deze stelt dat bedrijven en organisaties, in sectoren die cruciaal zijn voor de samenleving, compliant moeten zijn met vastgelegde normen en regels. Dit framework is gelijk over de hele EU om zowel cyberrisico’s als een ongelijke behandeling van bedrijven binnen de eurozone te vermijden.

NIS2 scherpt deze regels verder aan en breidt de impact ervan gevoelig uit. Zo maken nu veel meer bedrijven deel uit van cruciale sectoren en komen eveneens bedrijven uit de toeleveringsketen in het vizier. Bedrijven die voldoen aan bepaalde criteria, en zakendoen met organisaties in die bepaalde sectoren, zullen eveneens moeten voldoen aan NIS2.

Er is een impact zowel op vlak van cybersecuritymaatregelen, meldingsplicht, risicomanagement en bedrijfscontinuïteitsvoorwaarden. In geval van een incident zal je moeten aantonen dat de organisatie was voorbereid, dat er correct wordt gerapporteerd en dat de bedrijfsvoering niet in het gedrang komt. Om dit te verzekeren komen er gerichte audits vanuit de bevoegde overheden.

Meer info vind je op https://ccb.belgium.be