NIS2 in België: wat uw beleid voor het beheer van cyberbeveiligingsrisico's moet bevatten

Het document zelf: waar de wet het over heeft

De Wet van 26 april 2024 (NIS2-wet) vraagt niet alleen dát u maatregelen neemt, maar ook dat u ze in een document vastlegt. Artikel 30, § 1 bepaalt dat essentiële en belangrijke entiteiten "passende en evenredige technische, operationele en organisatorische maatregelen" nemen om de risico's voor de beveiliging van hun netwerk- en informatiesystemen te beheren en om incidenten te voorkomen of de gevolgen ervan te beperken.

Het vertrekpunt van het document is de risicoanalyse. De wet zegt letterlijk: "Iedere essentiële en belangrijke entiteit voert een risicoanalyse uit gebaseerd op een benadering die alle gevaren omvat en tot doel heeft de netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen en werkt, op basis daarvan, een I.B.B. uit dat minstens de in paragraaf 3 bedoelde aspecten bevat." (NIS2-wet art. 30, § 5).

Twee dingen volgen daaruit. Ten eerste: de analyse komt eerst, het beleidsdocument daarna — het beleid is de neerslag van uw eigen risicobeeld. Ten tweede: de minimuminhoud staat niet vrij ter interpretatie, want § 5 verwijst uitdrukkelijk naar de lijst in § 3.

De inhoudelijke minimumpunten van artikel 30, § 3

Artikel 30, § 3 somt op waarop de maatregelen — en dus het beleid — ten minste betrekking hebben. Elk punt draagt zijn eigen nummer; gebruik dat nummer ook in uw document, zodat elk hoofdstuk naar zijn rechtsgrond verwijst.

Merk op dat de Belgische wet elf punten kent. Punt 11° over de gecoördineerde bekendmaking van kwetsbaarheden staat er los vermeld — vergeet het niet als u zich op een Europese samenvatting met tien punten baseert.

Alle gevaren en evenredigheid: waarom twee beleidsdocumenten mogen verschillen

De maatregelen zijn "gebaseerd op een benadering die alle gevaren omvat" (art. 30, § 3). Dat betekent dat uw beleid niet alleen over hacking gaat, maar ook over de fysieke omgeving van uw systemen: brand, wateroverlast, stroomuitval, uitval van een leverancier, menselijke fouten.

Hoe zwaar u elk punt invult, hangt af van de evenredigheidsregel. Artikel 30, § 2 verwoordt het zo: "Bij de beoordeling van de evenredigheid van die maatregelen wordt naar behoren rekening gehouden met de mate waarin de entiteit aan risico's is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan, met inbegrip van de maatschappelijke en economische gevolgen." (NIS2-wet art. 30, § 2). Dezelfde paragraaf vraagt rekening te houden met de stand van de techniek, met de relevante Europese en internationale normen en met de uitvoeringskosten.

Daarom is er geen universeel modeldocument. Twee ondernemingen in dezelfde sector kunnen een verschillend beleid hebben, en beide kunnen die verschillen onderbouwen — zolang de motivering in het document staat en teruggaat op de eigen risicoanalyse.

Welke delen afhangen van uw eigen profiel

Vier profielelementen bepalen hoe uw document eruitziet.

• Sector en soort entiteit. Bijlage I (zeer kritieke sectoren) en bijlage II (andere kritieke sectoren) van de wet van 26 april 2024 bepalen of uw soort activiteit in beeld komt.
• Omvang. Artikel 9, 1° verwijst voor essentiële entiteiten naar de plafonds voor middelgrote ondernemingen bepaald in artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG. Voor sommige types — gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners — geldt dit ongeacht hun omvang (art. 9, 2°).
• De wettelijke classificatie. De wet kent twee categorieën: de essentiële entiteit (art. 9) en de belangrijke entiteit (art. 10). Entiteiten van een in bijlage I of II bedoelde soort die niet als essentiële entiteit worden beschouwd op basis van artikel 9, zijn belangrijke entiteiten (art. 10, 1°). De nationale cyberbeveiligingsautoriteit kan entiteiten bovendien identificeren overeenkomstig artikel 11 (art. 17, 3°). De categorie stuurt onder meer het toezicht: bij belangrijke entiteiten worden de toezichtsbevoegdheden achteraf ("ex post") uitgeoefend (art. 48, § 2), terwijl essentiële entiteiten aan regelmatige en gerichte beveiligingsaudits kunnen worden onderworpen (art. 48, § 1, 3°).
• Diensten en afhankelijkheden. Voor het leveranciersluik vraagt art. 30, § 4 rekening te houden met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener, met de algemene kwaliteit van hun producten en cyberbeveiligingspraktijken en met hun veilige ontwikkelingsprocedures.

Bent u niet zeker over uw eigen classificatie? Raadpleeg de gepubliceerde richtsnoeren van de nationale cyberbeveiligingsautoriteit (officiële bron); zij stelt de lijst van essentiële en belangrijke entiteiten op en actualiseert die ten minste om de twee jaar (art. 17, 14°).

Goedkeuring, toezicht en opleiding door het bestuursorgaan

Een beleidsdocument dat alleen in de IT-map leeft, beantwoordt niet aan de wet. Artikel 31, § 1 stelt: "De bestuursorganen van essentiële en belangrijke entiteiten keuren de maatregelen voor het beheer van cyberbeveiligingsrisico's goed die deze entiteiten nemen om te voldoen aan artikel 30, zien toe op de uitvoering ervan en zijn aansprakelijk voor inbreuken door deze entiteiten op dat artikel" (NIS2-wet art. 31, § 1).

Praktisch betekent dat: een dateerbaar goedkeuringsbesluit, een aanwijsbare opvolging van de uitvoering en een spoor van de herzieningen. Daarnaast bepaalt art. 31, § 2 dat de leden van de bestuursorganen een opleiding volgen zodat ze over voldoende kennis en vaardigheden beschikken om risico's te identificeren en risicobeheerspraktijken en hun gevolgen voor de diensten te beoordelen. Opleiding op het niveau van de medewerkers komt afzonderlijk terug in art. 30, § 3, 7°.

Wat het beleid controleerbaar maakt

De inspectiedienst kan toegang vragen tot alle documenten en informatie die nodig zijn voor haar opdracht, met name de bewijzen van de uitvoering van het cyberbeveiligingsbeleid, zoals de resultaten van conformiteitsbeoordelingen en van beveiligingsaudits (art. 48, § 1, 1°), en kan alle informatie inwinnen over het gedocumenteerde cyberbeveiligingsbeleid (art. 48, § 1, 4°).

Drie gewoontes maken uw document navolgbaar:

• Elke eis draagt haar verwijzing. Zet bij elk hoofdstuk het punt uit art. 30, § 3 waarop het slaat; bij de goedkeuring art. 31, § 1.
• Elke afwijking draagt haar motivering. Verwijs naar de evenredigheidscriteria van art. 30, § 2 en naar uw risicoanalyse.
• Elke tekortkoming krijgt opvolging. Stelt de entiteit vast dat zij niet voldoet aan de maatregelen van § 3, dan neemt zij onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen (art. 30, § 6). Neem die correctielus zelf als procedure in het document op.

Koppel het beleid ten slotte aan uw meldingsproces: significante incidenten worden gemeld aan het nationale CSIRT (art. 34, § 1), met een vroegtijdige waarschuwing binnen vierentwintig uur en een incidentmelding binnen tweeënzeventig uur na kennisname (art. 35, § 1, 1° en 2°).