Stappenplan Cyberbeveiligingswet (NIS2-richtlijn)

Dit stappenplan is voor organisaties die direct of indirect onder de Cbw komen te vallen. Je valt direct onder de wet als je volgens de wet een ‘belangrijke’ of ‘essentiële’ entiteit bent. Je valt er indirect onder als je een leverancier bent van een organisatie die direct onder de wet komt te vallen. 

Je kan gebruik maken van de NIS2 Zelfevaluatie van de RDI om vast te stellen of je direct onder deze wet gaat vallen. Om vast te stellen of je er indirect mee te maken krijgt, moet je weten of je klanten direct onder de wet vallen: vraag hen dus deze zelfevaluatie uit te voeren om dat duidelijk te krijgen. 

Het verschil tussen ‘direct’ en ‘indirect’ is relevant voor de vraag of je zelf aan de eisen van de Cbw moet voldoen, of dat je je klanten moet ondersteunen om aan de Cbw te voldoen. Het onderscheid tussen ‘belangrijk’ en ‘essentieel’ is met name van belang voor de mate van toezicht en de maximale hoogte van eventuele boetes. 

Het kan ten slotte ook zijn dat je zowel direct als indirect onder de wet valt: dit is het geval wanneer je zelf aan de wettelijke eisen moet voldoen en je klanten óók. Het is in dat geval mogelijk dat je met verschillende sectorale eisen te maken krijgt als je klanten in andere sectoren werkzaam zijn. Gelukkig lijken deze sectorale eisen wel redelijk met elkaar in lijn te zijn. 

NIS2 maakt cybersecurity een bestuursverantwoordelijkheid: klanten moeten hun digitale risico’s inzichtelijk krijgen en actief beheren, terwijl IT-aanbieders verantwoordelijk zijn voor de veiligheid van wat zij opleveren en hoe dat ondersteund wordt. Dit vraagt zowel aandacht van leveranciers van producten als dienstverleners. Voor onze leden betekent dit waarschijnlijk minder inspanningen om klanten van noodzakelijke maatregelen te overtuigen, maar ook dat risicozicht, beveiligingsmaatregelen en voortdurende verbetering zelf tegen het licht gehouden moeten worden. Deze regelgeveling maakt de EU bovendien meer tot gelijk speelveld op dit vlak, in plaats van dat ieder land zijn eigen regels stelt. 

Dit stappenplan brengt informatie van NCSC en ENISA samen, combineert dit met de wetsteksten, ISO27001 én gebruikt daarbij het NOREA NIS2 Control Framework als kapstok om de eisen uit de wet te helpen structureren. Zo kan jij concreet aan de slag met de Cbw.