Viavario

NIS2: wat de cyberbeveiligingswet van u vraagt

Sinds 18 oktober 2024 is de Belgische NIS2-wet van kracht. Organisaties in kritieke en belangrijke sectoren moeten hun cyberbeveiliging aantoonbaar op orde hebben, incidenten snel melden, en hun bestuur is er persoonlijk verantwoordelijk voor.

Laat uw situatie toetsen Doe de zelftest

Valt u onder NIS2?

Twee vragen bepalen het: in welke sector bent u actief, en hoe groot is uw organisatie?

  • Sector: onder meer gezondheidszorg, digitale infrastructuur, beheer van ICT-diensten, overheid, energie, transport, financiën, drinkwater, afval, chemie, voeding, maakindustrie, digitale aanbieders en onderzoek.
  • Grootte: in principe middelgrote en grote organisaties, vanaf 50 werknemers of meer dan 10 miljoen euro omzet of balanstotaal. Voor sommige diensten geldt de wet ongeacht de grootte.

Ook als u er niet rechtstreeks onder valt

Organisaties die onder NIS2 vallen, moeten ook de beveiliging van hun leveranciers beheersen. Levert u software of IT-diensten aan een ziekenhuis, een overheid of een andere NIS2-organisatie, dan zult u die eisen via contracten en audits terugzien.

Wat NIS2 vraagt

Maatregelen voor risicobeheer

Onder meer: risicoanalyse en beveiligingsbeleid, incidentbehandeling, bedrijfscontinuïteit en back-ups, beveiliging van de toeleveringsketen, veilige ontwikkeling en onderhoud van systemen, opleiding en cyberhygiëne, versleuteling, toegangsbeheer en meervoudige authenticatie.

Incidenten melden

Een significant incident meldt u bij het Centrum voor Cybersecurity België, in drie stappen:

  1. binnen 24 uur een vroegtijdige waarschuwing;
  2. binnen 72 uur een incidentmelding met een eerste beoordeling;
  3. binnen één maand een eindverslag.

Verantwoordelijkheid van het bestuur

De leiding keurt de maatregelen goed, ziet toe op de uitvoering en volgt zelf een opleiding. Bij nalatigheid kunnen bestuurders persoonlijk aansprakelijk worden gesteld.

Toezicht en sancties

Het CCB houdt toezicht. Als referentiekader gelden de CyberFundamentals of ISO/IEC 27001. Boetes kunnen oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten, en tot 7 miljoen euro of 1,4 procent voor belangrijke entiteiten.

Hoe we u helpen

Wij nemen het technische deel voor onze rekening: uw toepassingen, uw servers en het bewijs dat ze veilig zijn.

  1. 01

    Toepassingsgebied

    We bepalen of en hoe NIS2 op u van toepassing is: essentiële of belangrijke entiteit, en welke diensten en systemen eronder vallen.

  2. 02

    Nulmeting van uw toepassingen

    We toetsen de toepassingen en servers die we bouwen of beheren aan de CyberFundamentals of ISO/IEC 27001.

  3. 03

    Technische maatregelen

    Meervoudige authenticatie, logging, back-ups, hardening en kwetsbaarheidsbeheer. Die voeren we zelf uit, of samen met uw IT.

  4. 04

    Incidenten opmerken

    Logging en monitoring, zodat een incident snel opvalt en u het binnen 24 uur bij het CCB kunt melden.

  5. 05

    Bewijs als leverancier

    NIS2 vraagt dat u ook uw leveranciers beoordeelt. Voor de software die we bouwen en beheren, leveren we de documentatie en het bewijs.

  6. 06

    Beleid en opvolging

    Beveiligingsbeleid, procedures en de periodieke evaluatie doen we samen met een gespecialiseerde partner, zodat alles op elkaar aansluit.

Deze pagina is een samenvatting en geen juridisch advies. Voor de precieze verplichtingen geldt de wet van 26 april 2024 en de richtlijnen van het CCB.

Weet u niet zeker of NIS2 voor u geldt?

In een eerste gesprek bekijken we uw sector, grootte en diensten, en wat dat voor u betekent.

Laat uw situatie toetsen