Cyberbeveiliging: de impact van de NIS2-richtlijn (deel 2)

23/07/2024 – In een eerdere blog is de impact van de NIS2-richtlijn op cyberbeveiliging besproken, met specifieke aandacht voor de uitbreiding van de reikwijdte en de classificatie van essentiële en belangrijke entiteiten. Dit tweede deel zal dieper ingaan op specifieke verplichtingen die voortvloeien uit de NIS2-richtlijn, zoals de dubbele meldplicht voor entiteiten en andere verplichtingen met betrekking tot cybersecurity. Door deze verplichtingen te belichten, kunnen organisaties een beter beeld krijgen van wat er van hen wordt verwacht onder de NIS2-richtlijn.

Meldplicht

Een van de verplichtingen onder de NIS2-richtlijn is de dubbele meldplicht voor essentiële en belangrijke entiteiten bij significante incidenten. Deze plicht vertoont veel overeenkomsten met de meldplicht datalekken zoals beschreven in de AVG, maar richt zich specifiek op informatiebeveiliging.

De NIS2-richtlijn definieert significante incidenten als incidenten die een ernstige operationele verstoring van diensten of financiële verliezen voor de organisatie veroorzaken, evenals aanzienlijke materiële of immateriële schade voor andere personen of entiteiten. Deze definitie is ruimer dan die onder de NIS1-richtlijn, waar een daadwerkelijk schadelijk effect voor de cybersecurity vereist was. Onder de NIS2-richtlijn is het voldoende als een gebeurtenis de beschikbaarheid van de dienst of de verwerkte gegevens in gevaar brengt.

Bovendien lijkt de meldingsdrempel onder de NIS2-richtlijn te zijn verlaagd. Onder de NIS1-richtlijn moest een incident aanzienlijke gevolgen hebben voor de continuïteit van de dienst, vastgesteld aan de hand van het aantal getroffen gebruikers, de duur van het incident en de omvang van het geografische gebied. Ter illustratie: onder de NIS1-richtlijn zou een ransomware-aanval waarbij de getroffen entiteit het losgeld direct betaalt, mogelijk niet gemeld hoeven te worden vanwege de korte duur van het incident. Onder de NIS2-richtlijn moet een dergelijke aanval echter wel worden gemeld, omdat de financiële verliezen en de operationele verstoring, ondanks de korte duur, als ernstig worden beschouwd. Hierdoor zal sneller sprake zijn van een meldingsplichting incident.

Onder de NIS2-richtlijn moeten gereguleerde entiteiten elk significant incident onverwijld melden bij hun Computer Security Incident Response Teams (CSIRT) en bij de bevoegde autoriteit. Elke lidstaat moet volgens de NIS2-richtlijn één of meer CSIRT’s aanwijzen, die verantwoordelijk zijn voor het waarschuwen voor cyberrisico’s en reageren op cyberincidenten. Daarnaast moeten zij één of meer bevoegde autoriteiten aanwijzen die verantwoordelijk zijn voor het beheer van grootschalige cyberbeveiligingsincidenten. De richtlijn streeft ernaar de dubbele meldplicht zo te organiseren dat entiteiten slechts één handeling hoeven te verrichten om de benodigde informatie te verspreiden. Het NCSC werkt aan het inrichten van een centraal meldpunt voor zowel significante meldingen als vrijwillige meldingen van niet-significante incidenten of bijna-incidenten. Organisaties moeten bovendien hun klanten informeren over incidenten die de dienstverlening nadelig kunnen beïnvloeden.

Daarnaast vereist de richtlijn qua timing een getrapte melding van incidenten. Allereerst moeten entiteiten binnen 24 uur een melding doen bij de toezichthouder. Onder de NIS2-richtlijn moet elke lidstaat een of meer bevoegde autoriteiten aanwijzen die toezien op de naleving van de verplichtingen uit de richtlijn. Vervolgens moeten zij binnen 72 uur een incidentmelding indienen met een initiële beoordeling van het incident, waarin de ernst en de gevolgen worden beschreven. Ten slotte moet er na een maand een eindverslag worden ingediend, met een gedetailleerde omschrijving van het incident en de genomen cybersecuritymaatregelen. Hiermee wordt getracht een balans te vinden tussen een snelle melding, die eventuele verdere nadelige gevolgen kan beperken, en een grondige melding, die het mogelijk maakt om van incidenten te leren.

Cybersecurity

Ten slotte legt de NIS2-richtlijn essentiële en belangrijke entiteiten strikte verplichtingen op met betrekking tot cybersecurity. Een externe toezichthouder gaat toezien op de naleving van deze verplichtingen. Het belangrijkste verschil tussen de essentiële en belangrijke entiteiten is dat belangrijke entiteiten lagere financiële sancties opgelegd kunnen krijgen en onderworpen zijn aan reactief toezicht van autoriteiten, terwijl proactief toezicht is voorbehouden aan essentiële entiteiten. Voor essentiële entiteiten kunnen dit onder andere on-site inspecties, externe monitoring en beveiligingsscans omvatten, terwijl belangrijke entiteiten deze maatregelen alleen ondergaan wanneer er aanwijzingen zijn dat zij niet aan de richtlijn voldoen.

Boetes en aansprakelijkheid bestuurders

De NIS2-richtlijn introduceert aanzienlijke sancties voor non-compliance. Essentiële entiteiten riskeren boetes tot EUR 10 miljoen of 2% van hun jaaromzet, terwijl belangrijke entiteiten boetes tot EUR 7 miljoen of 1,4% van hun omzet kunnen oplopen. Daarnaast kunnen vervolgstappen zoals verplichte termijnen voor probleemoplossing, opschorting van certificeringen of vergunningen volgen.

Ook kunnen leidinggevenden - zoals algemeen directeuren – een tijdelijk verbod krijgen om een leidinggevende functie uit te oefenen. Het bestuur van een organisatie dient volgens de NIS2-richtlijn een cruciale rol te spelen bij het goedkeuren en implementeren van risicobeheersingsmaatregelen voor cybersecurity. Bestuursleden van essentiële entiteiten kunnen dan ook persoonlijk aansprakelijk worden gesteld voor schendingen van de richtlijn.

Conclusie

De implementatie van de NIS2-richtlijn brengt significante veranderingen met zich mee voor Europese organisaties. Organisaties worden geconfronteerd met strikte cybersecurity-eisen, waaronder bijvoorbeeld een dubbele meldplicht voor significante cyberincidenten. Het toezicht en de handhaving zijn versterkt, met aanzienlijke boetes en de mogelijkheid voor persoonlijke aansprakelijkheid van bestuursleden is ontstaan. Het is van belang voor organisaties om te evalueren of ze onder de NIS2-richtlijn vallen en om eventuele lacunes met betrekking tot de vereisten van de richtlijn te identificeren. Dit omvat het herzien van bestaande contracten en het implementeren van specifieke maatregelen om te voldoen aan de strengere beveiligings- en meldingsverplichtingen van de richtlijn.