NIS2-documentatie in België: het geheel vóór de eerste stap

NIS2-documentatie is één geheel, geen losse papieren

Veel bedrijven beginnen aan NIS2 met de vraag: *welk document moet ik eerst maken?* Die vraag komt eigenlijk te vroeg. De Wet van 26 april 2024 (NIS2-wet) beschrijft in artikel 30 geen enkel los document, maar een samenhangend pakket maatregelen dat een entiteit moet nemen.

Artikel 30, § 1 verplicht essentiële en belangrijke entiteiten om passende en evenredige technische, operationele en organisatorische maatregelen te nemen om de risico's voor hun netwerk- en informatiesystemen te beheren en om de gevolgen van incidenten voor de afnemers van hun diensten te beperken. Artikel 30, § 3 somt vervolgens op waarop die maatregelen ten minste betrekking moeten hebben — elf punten, van risicoanalyse tot de gecoördineerde bekendmaking van kwetsbaarheden.

Daarom loont het om eerst het volledige beeld te zien. Wie het geheel kent, maakt de eerste stap in de juiste volgorde en schrijft geen document dat later opnieuw moet.

De vijf kerngebieden van uw NIS2-documentatie

De elf punten van artikel 30, § 3 en de bestuursverplichtingen van artikel 31 vallen praktisch uiteen in vijf documentatiegebieden.

1. Beleid voor het beheer van cyberbeveiligingsrisico's Artikel 30, § 3, 1° vraagt een *beleid inzake risicoanalyse en beveiliging van informatiesystemen*. Artikel 30, § 5 maakt de werkwijze concreet: elke essentiële en belangrijke entiteit voert een risicoanalyse uit op basis van een benadering die alle gevaren omvat, en werkt op basis daarvan een beleid uit (in de wettekst aangeduid als I.B.B.) dat minstens de in § 3 bedoelde aspecten bevat. Volgens artikel 30, § 2 wordt bij de beoordeling van de evenredigheid rekening gehouden met de blootstelling aan risico's, de omvang van de entiteit en de kans op en de ernst van incidenten.

2. Incidentenbehandeling Artikel 30, § 3, 2° noemt incidentenbehandeling uitdrukkelijk als verplicht onderwerp. Dit gebied sluit aan op artikel 35: voor een significant incident bezorgt de entiteit het nationale CSIRT onverwijld en in elk geval binnen vierentwintig uur na kennisname een vroegtijdige waarschuwing, onverwijld en in elk geval binnen tweeënzeventig uur na kennisname een incidentmelding met een initiële beoordeling, en uiterlijk één maand na die incidentmelding een eindverslag. Uw documentatie moet dus vastleggen wie een incident beoordeelt, wie meldt en welke informatie op welk moment beschikbaar moet zijn.

3. Bedrijfscontinuïteit Artikel 30, § 3, 3° vraagt bedrijfscontinuïteit, *zoals back-upbeheer, noodvoorzieningenplannen en crisisbeheer*. Het gaat dus niet alleen om een back-upschema, maar ook om de vraag hoe u uw dienstverlening voortzet en wie tijdens een crisis beslist. Artikel 35, § 1, 5° gaat er bovendien van uit dat een incident nog kan lopen op het moment dat het eindverslag verwacht wordt — continuïteit en incidentafhandeling grijpen in elkaar.

4. Beveiliging van de toeleveringsketen Artikel 30, § 3, 4° verplicht tot beveiliging van de toeleveringsketen, met inbegrip van de beveiligingsgerelateerde aspecten van de relaties tussen de entiteit en haar rechtstreekse leveranciers of dienstverleners (het nationale equivalent van art 21(2), punt d) van richtlijn (EU) 2022/2555). Artikel 30, § 4 voegt toe dat de entiteit rekening houdt met de specifieke kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener en met de algemene kwaliteit van hun producten en cyberbeveiligingspraktijken, inclusief hun veilige ontwikkelingsprocedures.

5. Bestuurdersverantwoordelijkheid en opleiding Artikel 31, § 1 bepaalt dat de bestuursorganen de maatregelen voor het beheer van cyberbeveiligingsrisico's goedkeuren, toezien op de uitvoering ervan en aansprakelijk zijn voor inbreuken van de entiteit op artikel 30. Artikel 31, § 2 verplicht de leden van de bestuursorganen een opleiding te volgen zodat zij risico's kunnen identificeren en risicobeheerspraktijken kunnen beoordelen. Daarnaast noemt artikel 30, § 3, 7° basispraktijken op het gebied van cyberhygiëne en opleiding voor de bredere organisatie.

Waarom het risicobeheerbeleid de natuurlijke eerste stap is

Pas nu de vijf gebieden op tafel liggen, wordt de volgorde logisch. Het beleid voor het beheer van cyberbeveiligingsrisico's staat niet toevallig als eerste in artikel 30, § 3 — het is het document waarop de andere vier steunen.

• Het bepaalt de scope van de rest. Artikel 30, § 5 vertrekt van een risicoanalyse die alle gevaren omvat; zonder die analyse weet u niet welke systemen uw continuïteitsplan moet dekken of welke leveranciers kritiek zijn.
• Het bepaalt het niveau. Artikel 30, § 2 koppelt het vereiste beveiligingsniveau aan de risico's die zich voordoen, aan de stand van de techniek en aan de uitvoeringskosten. Die afweging maakt u één keer, in het beleid.
• Het is wat het bestuur goedkeurt. Artikel 31, § 1 spreekt over de goedkeuring van de maatregelen voor het beheer van cyberbeveiligingsrisico's — het beleid is het stuk waarin die goedkeuring zichtbaar wordt.

Stelt u vast dat u niet voldoet aan de maatregelen van artikel 30, § 3? Dan bepaalt artikel 30, § 6 dat u onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen neemt. Ook dat begint bij weten waar u staat.

Toezicht en klanten kijken naar het geheel

Het is een feit dat NIS2 in België niet wordt beoordeeld op één document. De nationale cyberbeveiligingsautoriteit is volgens artikel 16 belast met de opvolging en coördinatie van de uitvoering van de wet én met het toezicht op de uitvoering ervan door de essentiële en belangrijke entiteiten. Artikel 17, 4° herhaalt die taak: toezien op de uitvoering van de wet door essentiële en belangrijke entiteiten overeenkomstig titel 4. De rol wordt vervuld door het Centrum voor Cybersecurity België; het nationale CSIRT werkt onder het CCB.

Het toezicht richt zich dus op de uitvoering van artikel 30 in zijn geheel — de vijf gebieden samen — en niet op één beleidsstuk. Voor de precieze toezichtinstrumenten en de vorm waarin bewijs wordt opgevraagd: raadpleeg de gepubliceerde richtsnoeren van de nationale cyberbeveiligingsautoriteit (CCB) als officiële bron.

Daarnaast bepaalt artikel 17, 14° dat de autoriteit een lijst opstelt van essentiële en belangrijke entiteiten en die minstens om de twee jaar evalueert en actualiseert. Uw classificatie volgt uit artikel 9 (essentiële entiteit) en artikel 10 (belangrijke entiteit), samen met de sectoren in bijlage I en bijlage II van de wet.

De ring van de keten: waarom ook leveranciers vragen krijgen

Er is een tweede, even harde reden om het geheel voor te bereiden. Entiteiten die zelf onder de wet vallen, moeten volgens artikel 30, § 3, 4° de beveiliging van hun toeleveringsketen beheren, inclusief de beveiligingsaspecten van de relatie met hun rechtstreekse leveranciers en dienstverleners. Artikel 30, § 4 vraagt hen daarbij te kijken naar de specifieke kwetsbaarheden en de cyberbeveiligingspraktijken van die leveranciers.

Het gevolg is voorspelbaar: die verplichting wordt doorgegeven aan de leverancier. Een kmo die levert aan een ziekenhuis, een energiebedrijf, een overheidsinstantie of een aanbieder van beheerde ICT-diensten krijgt vragen over haar eigen beveiligingsdocumentatie — ook wanneer zij zelf misschien niet als essentiële of belangrijke entiteit is aangeduid. Wie dan alleen een half afgewerkt beleid heeft, staat met lege handen in een aanbesteding of een leveranciersbeoordeling.

De wet legt boetes vast in artikel 59: voor een essentiële entiteit die niet voldoet aan de verplichtingen inzake de maatregelen voor het beheer van cyberbeveiligingsrisico's of aan de rapportageverplichtingen van titel 3, van 500 tot 10.000.000 euro of 2 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar, afhankelijk van welk bedrag het hoogst is; voor een belangrijke entiteit van 500 tot 7.000.000 euro of 1,4 procent, volgens hetzelfde principe.

Praktisch beginnen: de volgorde die werkt

Een werkbare volgorde voor een kmo-directie:

1. Bepaal uw positie. Valt u onder een soort entiteit uit bijlage I of bijlage II, en bent u een essentiële entiteit (artikel 9) of een belangrijke entiteit (artikel 10)? Een korte zelfevaluatie van de toepasselijkheid geeft hierop als eerste antwoord. 2. Voer de risicoanalyse uit volgens een benadering die alle gevaren omvat, zoals artikel 30, § 5 vraagt. 3. Werk het beleid uit dat minstens de aspecten van artikel 30, § 3 bevat, en laat het door het bestuursorgaan goedkeuren (artikel 31, § 1). 4. Bouw de vier overige gebieden erop verder: incidentenbehandeling met de termijnen van artikel 35, bedrijfscontinuïteit, ketenbeveiliging en de opleiding van bestuursleden.

Deze tekst beschrijft wat de wet vereist en wat de documenten bevatten; hij bevestigt niet dat een individuele organisatie aan haar verplichtingen voldoet. Voor de officiële en bindende versie geldt de wettekst zelf en de gepubliceerde informatie van de nationale cyberbeveiligingsautoriteit (CCB).