NIS2-checklist: praktische stappen voor organisaties

Wat het is

Voorbereid zijn op NIS2 betekent begrijpen of en hoe de richtlijn op u van toepassing is, en vervolgens de verwachte governance-, technische en organisatorische maatregelen opbouwen en documenteren. Artikel 21 noemt de gebieden van maatregelen voor het beheer van cyberbeveiligingsrisico's, waaronder risicoanalyse en beveiligingsbeleid, incidentbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij aanschaf en ontwikkeling inclusief het omgaan met kwetsbaarheden, beoordeling van de effectiviteit van maatregelen, basispraktijken voor cyberhygiëne en training, cryptografie, beveiliging van personeel en toegangsbeheer, en multifactor- of continue authenticatie. Artikel 20 legt bij de bestuursorganen de verantwoordelijkheid om deze maatregelen goed te keuren en toezicht te houden op de uitvoering. Artikel 23 regelt een gefaseerde melding van incidenten aan de bevoegde autoriteit of het CSIRT: een vroegtijdige waarschuwing binnen 24 uur nadat men kennis heeft gekregen van een significant incident, een incidentmelding binnen 72 uur en een eindverslag binnen een maand na de incidentmelding. Nationaal recht kan details toevoegen, en voor bepaalde digitale aanbieders, zoals cloud-, datacenter-, managed-service- en DNS-aanbieders, werkt Uitvoeringsverordening (EU) 2024/2690 van de Commissie de technische eisen nader uit.

Voor wie het is

Deze checklist is bedoeld voor:

• Middelgrote en grotere organisaties in sectoren onder NIS2 die hun positie beoordelen
• Leveranciers van entiteiten onder NIS2 die NIS2-gerelateerde beveiligingsvragenlijsten ontvangen
• Directies die een gestructureerd overzicht nodig hebben van wat ze met juridische en technische adviseurs moeten bespreken
• IT- en securityleads die een gap-analyse en roadmap voorbereiden

Wat Het Helpt Verduidelijken

De checklist doorlopen helpt verduidelijken:

• of uw organisatie waarschijnlijk onder de reikwijdte valt en welke nationale autoriteit bevoegd is
• waar huidige maatregelen en documentatie tekortschieten ten opzichte van de verwachte maatregelen
• wie in de directie verantwoordelijk is en welke training nodig is
• welke tekortkomingen u eerst moet aanpakken en welke aparte specialistische input vragen

Wat is inbegrepen

• Reikwijdte: bevestig sector, omvang en de lidstaten waarin u actief bent; leg de uitkomst en onderbouwing vast
• Registratie: controleer of nationaal recht registratie bij een autoriteit vereist, en vóór wanneer
• Governance: wijs een verantwoordelijke bestuurder aan, spreek af hoe de directie beveiligingsmaatregelen goedkeurt en beoordeelt, en plan training voor de directie
• Risicobeoordeling: documenteer kritieke diensten, ondersteunende systemen en de belangrijkste risico's daarvoor
• Beleid: onderhoud een informatiebeveiligingsbeleid, regels voor toegangsbeheer en richtlijnen voor cryptografie
• Incidentbehandeling: bepaal wat voor u een significant incident is, wie beslist en hoe de meldingen na 24 uur, 72 uur en één maand worden voorbereid
• Continuïteit: test back-ups en herstel van kritieke diensten en documenteer crisiscommunicatie
• Toeleveringsketen: maak een lijst van belangrijke ICT-leveranciers, beoordeel hun beveiligingstoezeggingen en neem beveiligingsclausules op in contracten
• Veilige ontwikkeling en omgaan met kwetsbaarheden: leg vast hoe kwetsbaarheden worden gemeld, beoordeeld en verholpen
• Hygiëne en training: geef regelmatig bewustwordingstraining, patch volgens schema en dwing MFA af
• Effectiviteit: plan periodieke beoordelingen of tests om aan te tonen dat maatregelen werken

Wat is niet inbegrepen

• Juridisch advies of een vaststelling dat u wel of niet onder de reikwijdte valt
• Certificering, goedkeuring op het gebied van compliance of een officieel auditoordeel
• Het namens u indienen van meldingen of registraties bij autoriteiten
• Een bewering dat het doorlopen van de checklist voldoet aan nationaal recht

Wanneer u het kiest

Gebruik deze checklist wanneer u NIS2 voor het eerst beoordeelt, wanneer de nationale omzetting in een land waar u actief bent wordt gepubliceerd of bijgewerkt, of wanneer een klant om bewijs van op NIS2 afgestemde beveiliging vraagt. Combineer de checklist met juridisch advies over de reikwijdte en nationale eisen. Als u al een programma op basis van ISO 27001 hebt, breng dan bestaande maatregelen in kaart tegen de checklist voordat u nieuwe documenten maakt. Dit artikel is algemene informatie en geen juridisch advies.

Onze Aanpak

Begin met reikwijdte en governance; technisch werk zonder eigenaarschap van de directie loopt meestal vast. Voer daarna een gap-analyse uit tegen de maatregelen, op basis van bewijs in plaats van aannames: configuratie, logs, testresultaten, contracten en trainingsregistraties. Rangschik tekortkomingen naar risico en inspanning en stel een roadmap op met eigenaren en data. Onze Security Baseline Review kan een gedocumenteerd startpunt bieden: een schriftelijk beeld van afgesproken assets, naar ernst ingedeelde observaties en observaties over tekortkomingen in de voorbereiding ten opzichte van een afgesproken referentie, waar dat in de bevestigde scope is opgenomen. De review ondersteunt interne besluiten en gesprekken met stakeholders met een gedocumenteerd beeld van uw voorbereiding dat u kunt voorleggen aan certificerende instellingen en juridische adviseurs. Oefen voor incidentbehandeling de meldtermijnen met een tabletopoefening, zodat de vroegtijdige waarschuwing binnen 24 uur realistisch is in plaats van theoretisch. Herzie de roadmap naarmate nationale richtsnoeren zich ontwikkelen.

Security Baseline Review

Veelgestelde vragen

Gerelateerde artikelen