De Rijksinspectie Digitale Infrastructuur (RDI) heeft vandaag een zelfevaluatietool gelanceerd. Daarmee kunnen bedrijven en organisaties kijken of ze onder de Europese beveiligingsrichtlijn NIS2 vallen of niet. Als dat het geval is, hebben ze nog een jaar de tijd om te voldoen aan de verplichtingen die deze richtlijn stelt.
Dat schrijven het RDI, Nationaal Cyber Security Centrum (NCSC) en Digital Trust Center (DTC) in een gezamenlijk persbericht.
Brussel wil netwerkbeveiliging harmoniseren met NIS2
‘NIS’ staat voor Network and Information Security. NIS2 is de opvolger van de eerste NIS-richtlijn, die in 2016 in ons land werd opgenomen in de Wet Beveiliging Netwerk- en Informatiesystemen (Wbni). Vanwege allerlei ontwikkelingen die de veiligheid van ons land raken – denk aan de coronapandemie, de oorlog in Oekraïne, klimaatverandering en het toenemend aantal cyberdreigingen – werken Europese beleidsmakers sinds 2020 aan twee nieuwe richtlijnen: de Critical Entities Resilience (CER) en NIS2.
CER richt zich op de bescherming van publieke en private organisaties tegen fysieke risico’s als terroristische aanslagen, sabotage en natuurrampen. De NIS2-richtlijn focust zich op risico’s die netwerk- en informatiesystemen bedreigen, zoals cyberaanvallen, zeroday-exploits en andere cyberrisico’s. De Europese Commissie streeft er met de NIS2-richtlijn naar om de beveiliging van netwerk- en informatiesystemen gelijk te trekken in de Europese Unie.
De richtlijn bepaalt onder meer dat er een zorg- en meldplicht komt voor zowel private als publieke organisaties in bepaalde sectoren, waaronder de zorg, energie, financiën, digitale infrastructuur en openbaar bestuur. Verder zijn er afspraken gemaakt over uitwisseling van dreigingsinformatie tussen lidstaten en komt er een Europese database voor kwetsbaarheden. Tot slot moeten bedrijven en organisaties aan strengere verplichtingen voldoen op het gebied van cybersecurity.
Internetconsultatie over CER- en NIS2-richtlijn in aantocht
De NIS2-richtlijn geldt alleen voor bedrijven en organisaties die als ‘essentieel’ of ‘belangrijk’ worden gezien. Hoe weet je of jouw onderneming aan deze voorwaarde voldoet en de NIS2-richtlijn van toepassing is op jouw organisatie? Om een antwoord op deze vraag te krijgen, heeft de RDI een zelfevaluatietool ontwikkeld. Deze bevat gedetailleerde vragen over de producten, diensten en omvang die je aanbiedt. Als je alle vragen invult, weet je of jouw bedrijf aan de NIS2-richtlijn moet voldoen.
In januari 2024 start de Rijksoverheid een internetconsultatie over de omzetting van de NIS2-richtlijn in nationale wetgeving. Betrokkenen en andere stakeholders kunnen dan reageren op conceptwetteksten die uit de richtlijn voortvloeien. Rond dezelfde tijd publiceert de overheid ook handelingsperspectieven die organisaties helpen om met de voorbereidingen van de aankomende wetgeving aan de slag te gaan.
De internetconsultatie zou eigenlijk al afgelopen zomer zijn gehouden. Vanwege de complexiteit en impact van de CER- en NIS2-richtlijn, besloot het kabinet om meer tijd uit te trekken om het wetsvoorstel uit te werken.
EU-lidstaten hebben tot eind 2024 om de NIS2-richtlijn te verwerken in nationale wetgeving.
