NIS2 / Cyberbeveiligingswet: checklist en advies
Laatst bijgewerkt: · Redactie IT-Checklist
Val je onder de Cyberbeveiligingswet, dan heb je een zorgplicht. De wet noemt de maatregelen die je in elk geval moet regelen, van risicoanalyse en incidentafhandeling tot back-ups, ketenbeveiliging, versleuteling en MFA. De directie keurt ze goed en houdt toezicht.
Deze checklist loopt die maatregelen een voor een na. Weet je nog niet of de wet voor je geldt? Begin dan met het thema NIS2 / Cyberbeveiligingswet in de gewone checklist.
Kijk waar jouw bedrijf staat op nis2 / cyberbeveiligingswet
De gratis IT-check stelt je deze vragen. Daarna zie je je score per thema en advies bij elk verbeterpunt. Je hebt geen account nodig.
Start de IT-check →Waarom dit belangrijk is
Bestuurders zijn persoonlijk verantwoordelijk. Ze moeten de maatregelen goedkeuren, toezicht houden en zelf een cybersecuritytraining volgen.
De meldtermijnen zijn kort: binnen 24 uur een vroege waarschuwing, binnen 72 uur een melding en binnen een maand een eindverslag. Zonder vaste procedure haal je dat niet.
De zorgplicht geldt ook voor je leveranciers. Zwakke beveiliging bij een IT- of clouddienstverlener wordt jouw probleem.
De 12 vragen in dit thema, met advies
Elke vraag beschrijft de situatie die je wilt hebben. Het label laat zien hoe zwaar de maatregel meetelt in je score. 'Eerst regelen' telt het zwaarst.
Onze directie heeft de cybersecuritymaatregelen goedgekeurd, houdt toezicht op de uitvoering en volgt zelf een cybersecuritytraining.
Eerst regelenNIS2 legt de verantwoordelijkheid bij het bestuur (artikel 20 van de richtlijn). Bestuurders moeten de maatregelen goedkeuren, erop toezien en zelf training volgen. Ze kunnen aansprakelijk worden gesteld als het misgaat. Zet cybersecurity daarom vast op de agenda van het directieoverleg.
Wij hebben een risicoanalyse gedaan en op basis daarvan een beleid voor de beveiliging van onze netwerk- en informatiesystemen vastgelegd.
Eerst regelenDe zorgplicht begint bij risicoanalyse en beleid (artikel 21, lid 2, onder a). Breng in kaart welke systemen nodig zijn voor je dienstverlening, wat er mis kan gaan en welke maatregelen daarbij passen. Leg dat vast, dan kun je het ook aan de toezichthouder laten zien.
Wij weten welke incidenten significant zijn en hebben een meldprocedure: binnen 24 uur een vroege waarschuwing, binnen 72 uur een incidentmelding en binnen een maand een eindverslag.
Eerst regelenDit zijn de termijnen uit artikel 23 van NIS2. Melden gaat via het meldportaal op mijn.ncsc.nl. Leg vast wie mag melden, wie de directie informeert en hoe je dit combineert met een datalekmelding bij de Autoriteit Persoonsgegevens.
Wij hebben een procedure voor het afhandelen van incidenten: opsporen, analyseren, indammen en herstellen.
BelangrijkIncidentbehandeling is een van de verplichte maatregelen (artikel 21, lid 2, onder b). Beschrijf de stappen, de rollen en de contactgegevens, ook van je IT-leverancier. Oefen het minstens één keer per jaar.
Wij hebben back-ups, een herstelplan en een crisisplan, zodat onze dienstverlening doorgaat of snel weer opstart na een aanval of storing.
BelangrijkBedrijfscontinuïteit staat in artikel 21, lid 2, onder c: back-upbeheer, herstel na een calamiteit en crisisbeheer. Bewaar minstens één back-up los van je netwerk en test het terugzetten. Ons noodplan helpt je op weg.
Wij beoordelen de beveiliging van onze leveranciers en dienstverleners en hebben daar afspraken over gemaakt.
BelangrijkKetenbeveiliging is verplicht (artikel 21, lid 2, onder d). Begin bij leveranciers die bij je systemen of gegevens kunnen, zoals je IT-beheerder en clouddiensten. Vraag hoe zij beveiligen en leg minimale eisen vast in het contract.
Bij aanschaf, ontwikkeling en onderhoud van systemen letten we op beveiliging en we lossen kwetsbaarheden snel op.
BelangrijkArtikel 21, lid 2, onder e vraagt om beveiliging over de hele levensduur van een systeem, inclusief het afhandelen en melden van kwetsbaarheden. Stel beveiligingseisen bij inkoop en spreek een vaste termijn af voor het installeren van updates.
Wij controleren periodiek of onze beveiligingsmaatregelen werken, bijvoorbeeld met een interne audit, scan of pentest.
BelangrijkMaatregelen nemen is niet genoeg: je moet ook beoordelen of ze effectief zijn (artikel 21, lid 2, onder f). Plan bijvoorbeeld een jaarlijkse kwetsbaarheidsscan en bespreek de uitkomst met de directie.
Medewerkers volgen regelmatig een cybersecuritytraining en kennen de basisregels voor veilig werken.
BelangrijkBasale cyberhygiëne en training staan in artikel 21, lid 2, onder g. Denk aan sterke wachtwoorden, updates, phishing herkennen en incidenten melden. Herhaal het jaarlijks en houd bij wie het gevolgd heeft.
Geldt voor: mkb, bv
Wij hebben vastgelegd waar we versleuteling gebruiken, bijvoorbeeld op laptops, telefoons, back-ups en verbindingen.
BelangrijkNIS2 vraagt om beleid voor cryptografie en versleuteling (artikel 21, lid 2, onder h). Zet schijfversleuteling aan op alle laptops en telefoons, versleutel back-ups en gebruik alleen beveiligde verbindingen.
Wij regelen toegang op basis van functie, houden een overzicht van onze systemen bij en trekken rechten in als iemand vertrekt.
BelangrijkArtikel 21, lid 2, onder i gaat over personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen. Maak een vaste checklist voor in- en uitdiensttreding en controleer periodiek wie waar bij kan.
Wij gebruiken multifactorauthenticatie en hebben een beveiligd communicatiemiddel voor noodgevallen, voor als e-mail of het netwerk uitvalt.
Eerst regelenArtikel 21, lid 2, onder j noemt multifactorauthenticatie en beveiligde communicatie, ook in noodsituaties. Zet MFA aan op alle accounts en spreek af hoe je elkaar bereikt als je eigen systemen plat liggen, bijvoorbeeld met een telefoonlijst op papier.
Hier begin je
- Leg de goedkeuring van de directie vast in een besluit. Plan ook de training voor de directie.
- Schrijf een incidentprocedure: wie beoordeelt een incident, wie meldt het en dat de melding via mijn.ncsc.nl gaat.
- Zet in een continuïteitsplan hoe je doorwerkt na een aanval, en test of je back-ups terug te zetten zijn.
- Zet MFA aan op alle accounts en regel een noodkanaal voor als mail en netwerk uitvallen.
Veelgemaakte fouten
- Alleen kijken naar IT-maatregelen en de rol van de directie vergeten.
- Een incidentprocedure hebben die niemand kent of nooit is geoefend.
- Leveranciers niet beoordelen omdat ze 'groot en dus veilig' zijn.
Officiële bronnen
Lees verder
- NIS2 / Cyberbeveiligingswet: geldt de wet voor jou?
- Uitleg: NIS2 en de Cyberbeveiligingswet, boetes en sectoren
- Checklist: een incident response team opzetten
- Bedrijfscontinuïteitsplan om in te vullen
Alle thema's in de checklist