NIS2 is de Europese richtlijn die de digitale weerbaarheid van vitale sectoren moet verhogen. Nederland vult die in met de Cyberbeveiligingswet. Veel mkb-bedrijven denken dat het hen niet raakt, tot een klant in de zorg, energie of logistiek een vragenlijst stuurt over hun beveiliging. Dan blijkt het ineens heel concreet.
Voor wie geldt het, en voor wie indirect
De wet wijst sectoren aan en gebruikt daarbinnen omvangsdrempels. Val je er rechtstreeks onder, dan gelden zorgplicht, meldplicht en toezicht. Val je er niet onder, dan kun je er alsnog mee te maken krijgen: NIS2 verplicht organisaties die er wél onder vallen om de beveiliging in hun toeleveringsketen te beoordelen. Lever jij software of een koppeling aan zo’n organisatie, dan komt die verplichting via het contract bij jou terecht.
De Nederlandse invoering liep achter op de Europese planning. Kijk voor de actuele status en de sectorindeling op de site van de Rijksoverheid of bij het NCSC; dit artikel gaat over wat het inhoudelijk van je software vraagt.
Wat de zorgplicht van je software vraagt
De maatregelen uit NIS2 zijn geen exotische techniek. Het zijn dingen die goede software toch al hoort te doen, maar die in maatwerk dat jaren geleden is gebouwd vaak half zijn blijven liggen.
- Toegangsbeheer: rollen en rechten per gebruiker, meervoudige authenticatie voor beheerders, en accounts die bij uitdiensttreding echt dichtgaan.
- Logging: vastleggen wie wat wanneer deed, lang genoeg bewaard om een incident achteraf te kunnen reconstrueren.
- Patchbeleid: een proces waarmee beveiligingsupdates binnen dagen doorgevoerd worden, niet binnen kwartalen.
- Back-up en herstel: en, belangrijker, een herstel dat je periodiek test in plaats van hoopt.
- Incidentafhandeling: een meldroute die werkt, met een eerste melding binnen 24 uur bij een significant incident.
De ketenvraag die je gaat krijgen
In de praktijk begint het bij ons meestal met een vragenlijst van een klant: hoe is de applicatie beveiligd, waar staat de data, wie heeft toegang, wat gebeurt er bij een lek. Wie dat niet kan beantwoorden verliest de aanbesteding, ongeacht of de software goed is.
Daarom hoort documentatie bij de oplevering en niet erna. Bij elk project dat wij in beheer nemen leggen we vast waar de omgeving draait, wie er rechten heeft, hoe de monitoring werkt en wat de hersteltijden zijn. Dat is precies de onderbouwing die je nodig hebt als een klant of toezichthouder naar je ketenbeveiliging vraagt.
Beginnen zonder alles overhoop te halen
Een NIS2-traject hoeft geen herbouw te zijn. Begin met een inventarisatie van je applicatielandschap en beoordeel per systeem de vijf punten hierboven. Meestal blijkt dat twee of drie systemen het risico dragen en de rest prima is.
Loop je daarbij tegen software aan die niemand meer onderhoudt, dan is doorontwikkeling of overname vaak goedkoper dan vervanging. We beginnen dan met een technische audit, zodat je weet waar je staat voordat je budget vastlegt.