Effectieve en auditbestendige software voor de NIS 2-richtlijn

Achtergrond

Het doel van de NIS 2-richtlijn (link naar de officiële website van de EU) is om de cyberbeveiliging van belangrijke en relevante organisaties te versterken. De belangrijkste sectoren voor een functionerende digitale samenleving en organisaties boven een bepaalde omvang moeten daarom aantonen dat ze effectieve, op risico's gebaseerde cyberbeveiliging hebben wanneer de betreffende nationale wetgeving van kracht wordt (in Duitsland via NIS2UmsuCG). De algehele verantwoordelijkheid ligt bij het management, dat onder andere trainingen op het gebied van beveiliging moet volgen. Ook moet het bewustzijn van het personeel worden gewaarborgd. De naar schatting 30.000 getroffen organisaties riskeren sancties als ze hun verplichtingen niet nakomen.

Verplichtingen

In het geval van een incident moet dit worden gemeld aan een toezichthoudende autoriteit in een vroegtijdige waarschuwing, indien nodig tussentijdse rapporten en een eindrapport. Deze rapporten moeten informatie bevatten over welke organisatiegebieden door het cyberbeveiligingsincident worden getroffen (asset management is nuttig), welke maatregelen zijn genomen en welke maatregelen kunnen worden gebruikt om soortgelijke incidenten in de toekomst te voorkomen of te beperken.

Relevantie

De NIS 2-richtlijn heeft betrekking op tal van industrieën en sectoren, die in twee bijlagen worden gedefinieerd. Middelgrote instellingen met meer dan 50 werknemers en een jaaromzet van meer dan 10 miljoen maar minder dan 50 miljoen euro (of een jaarlijks balanstotaal van maximaal 43 miljoen euro) die in een bedrijfstak in bijlage 1 of 2 zijn opgenomen, moeten vanaf oktober 2024 voorbereid zijn op de implementatie van de NIS 2-richtlijn. Hetzelfde geldt voor grote ondernemingen met meer dan 250 werknemers en een jaaromzet van meer dan 50 miljoen euro of een jaarlijks balanstotaal van meer dan 43 miljoen euro.

Significante en belangrijke faciliteiten vallen ongeacht de omzet of het aantal werknemers onder de reikwijdte van NIS 2.

Daarnaast kunnen ook kleinere organisaties op last van de overheid onder NIS 2 vallen, bijvoorbeeld als ze deel uitmaken van de digitale infrastructuur, DNS-providers zijn of kritieke diensten aanbieden. Ook het openbaar bestuur is hierop een uitzondering. Organisaties die eerder als kritieke infrastructuren werden geclassificeerd, worden allemaal getroffen door NIS 2.

In welke categorie een instelling valt, heeft invloed op mogelijke sancties en toezicht (reactief/proactief).

Met het GRC Center bent u niet alleen voorbereid op de nalevingsvereisten van de NIS 2-richtlijn, maar ook op het auditen van uw ISMS (bv. conform ISO 27001), IMS, kwaliteitsmanagementsysteem (ISO 9001) of tal van andere (inclusief toekomstige) normen en voorschriften. De voordelen van brede naleving zijn duidelijk: risico's en organisatie-eenheden worden op een centrale locatie bijgehouden. Een autorisatie- en rollenconcept wordt gebruikt om het beheer van risico's, maatregelen, controles, audits, contracten en noodplannen te beheren, documenteren en continu te verbeteren.

NIS 2-relevante functies in het OMNITRACKER Governance, Risk and Compliance Center

• Geïntegreerd risicomanagement
• Rolconcept voor goedkeuringen en verantwoordelijkheden
• Multistandaardcapaciteit (alle compliance-records gebundeld in één tool)
• Documentbeheer (versiebeheer, archivering, goedkeuring, abonnementsfunctie)
• Leveranciersbeheer (voor uitbestede NIS 2-relevante processen/services)
• Opzetten van een ISMS (certificeerbaar conform ISO 27001)
• Centraal rapportagekanaal
• Compliance casemanagement
• Business continuity management (noodmanagement)
• Actie- en controlemanagement (inclusief actieplannen)
• Auditmanagement (auditplanning- en uitvoering)
• Assetmanagement (afhankelijkheden, categorisering en evaluatie)

Als digitaliseringspartner bereiden wij u graag voor op de nieuwe EU-richtlijn, bijvoorbeeld op het gebied van leveranciers-, activa-, crisis-, audit-, document- en risicomanagement en bij het opzetten van een rapportagekanaal of bij de gestructureerde, procesmatige verduidelijking van verantwoordelijkheden en bevoegdheden. Wij ondersteunen u graag in alle fasen van de projectrealisatie, van vereisteanalyse, implementatie en technisch advies tot en met de go-live en het continue onderhoud en de ontwikkeling van uw systeem.