Op 18 oktober 2024 is de ‘Network and Information Security’ directive, kortweg: NIS2-richtlijn, in werking getreden. Dit is de opvolger van de NIS-richtlijn die in 2016 werd vastgesteld door de Europese Unie. Het doel van de NIS-richtlijnen is om het collectieve cyberbeveiligingsniveau van de EU-lidstaten te versterken door de eisen op vlak van handhaving van cyberbeveiliging voor kritieke infrastructuursectoren te verhogen. De invoering van NIS2 betekent een voortzetting en uitbreiding van de vorige NIS-richtlijn inzake cyberbeveiliging die sindsdien is opgeheven.
Dankzij NIS2 versterkt ons land de cyberbeveiligingsmaatregelen, het incidentenbeheer en het toezicht op entiteiten die diensten leveren die essentieel zijn voor het in stand houden van kritieke maatschappelijke of economische activiteiten. Tom Van Britsom: “Denk aan essentiële sectoren zoals energie, transport, bankwezen, gezondheidszorg, water, digitale infrastructuur en infrastructuur van de financiële markten. Concreet wordt een transportbedrijf als essentieel beschouwd omdat het instaat voor de bedeling van onze voeding zoals het vervoer van de aardappel naar de supermarkt.”
Welke ondernemingen binnen het toepassingsgebied vallen, is niet alleen afhankelijk van de sector
waarin je actief bent maar ook van de grootte van je onderneming. Als ondernemer is het aan jou om die inschatting correct te maken. Een onderneming valt doorgaans onder het toepassingsgebied van de richtlijn als het actief is in één van de (sub)sectoren en types diensten die opgelijst zijn als ‘zeer kritieke sector’ of als ‘andere kritieke sector’ (zie afbeelding hieronder).
In principe gaat het om grote en middelgrote ondernemingen. Dit zijn ondernemingen met meer dan 50 werknemers en meer dan 10 miljoen euro jaarlijkse omzet (zie afbeelding hieronder). Kleine en microbedrijven vallen buiten de scope, tenzij expliciet anders bepaald.
Je bent in dat geval verplicht om passende en evenredige securitymaatregelen te nemen. Deze verplichting is tweeledig:
- Je bent onder meer verplicht om te voorzien in risicobeheersmaatregelen en risicoanalyses, opleidingen over cyberbeveiliging, beveiligingsplichten
ten aanzien van personeel, …
- Ook heb je een meldingsplicht bij ernstige en significante incidenten.
- Bij een ernstig incident moet je onmiddellijk een waarschuwing uitsturen, uiterlijk binnen de 24 uur na kennisname van het incident.
- Binnen de 72 uur na kennisname van het incident moet je ook een officiële melding maken.
- Tenslotte moet je binnen één maand na de definitieve afhandeling van het incident een eindverslag bezorgen aan de toezichthoudende instanties.
💡 Voor alle ondernemingen die binnen het toepassingsgebied van de wet vallen, geldt dat zij zich verplicht moeten registreren bij het Centrum voor Cybersecurity België (CCB) en nauwkeurige informatie over hun activiteiten moeten verstrekken.
De inspectiedienst van de nationale cyberbeveiligingsautoriteit, het Centrum voor Cybersecurity Belgie (CCB), heeft als taak controles uit te voeren:
- Voor essentiële entiteiten is er een verplichte conformiteitsbeoordeling door het CCB.
- Belangrijke entiteiten kunnen zich op vrijwillige basis aan een conformiteitsbeoordeling onderwerpen. Voor hen is een controle alleen verplicht na een incident, maar een goede voorbereiding blijft aangewezen.
De sancties
zijn heel divers, van waarschuwingen, aanbevelingen, toezicht, bindende instructies, gerichte en ad-hoc inspecties tot bekendmakingsverplichtingen en administratieve geldboetes.
We zoomen in op de meest spraakmakende sancties:
- Er kunnen administratieve sancties en geldboetes
worden opgelegd. De geldboetes variëren naargelang het om een essentieel bedrijf dan wel een belangrijk bedrijf gaat. Administratieve boetes kunnen oplopen tot 10 miljoen euro of 2% van je totale wereldwijze jaaromzet.
- Je kan als bestuurder persoonlijk aansprakelijk worden gesteld. Zo kan je een verbod krijgen op de uitvoering van je taken. Je kan ook verplicht worden om de cyberveiligheid alsnog te verbeteren door het management team of je medewerkers een cyberbeveiligingsopleiding
te laten volgen.
In het kader van de voorzorgsmaatregelen die betrokken ondernemingen moeten nemen voor de NIS2, springen twee verzekeringen mogelijk in het oog:
- Bestuurdersaansprakelijkheidsverzekering: vandaag stellen we (nog) geen impact vast want geen enkele verzekeraar sluit de gevolgen van NIS2 momenteel uit.
- Cyberverzekering: een NIS2-boete is een administratieve boete, net als de GDPR-boete, als bestraffing op je securitybeleid. Beide boetes kunnen verzekerd worden binnen je cyberverzekering.
Onze dienstverlening is erg uitgebreid en bestaat uit vier luiken voor een optimale bescherming:
- Cyberverzekering: we zorgen voor een ruime en actuele dekking op maat met professionele bijstand in geval van een incident.
- Phishing training: via aangepaste opleidingen bouwen we samen aan de “human firewall” van jouw onderneming.
- Cybersecurity workshop: we begeleiden je tijdens een interactieve workshop van A tot Z doorheen een realistisch cyberincident zodat jouw onderneming de stresstest doorstaat. Aangeraden door en voor CFO’s!
- Business Continuity Plan en Cyber Incident Response Plan: we geven je een hands-on stappenplan dat je kan volgen tijdens een cyberincident.
