Wat bepaalt de kostprijs van uw NIS2-documentatie in België?

Het korte antwoord: de omvang volgt uit de wet, niet uit uw voorkeur

De kostprijs van NIS2-documentatie hangt af van één ding: welke documenten de Wet van 26 april 2024 (NIS2-wet) van úw onderneming vraagt. Een onderneming buiten het toepassingsgebied heeft geen wettelijke NIS2-documentatie nodig; een entiteit die er wel onder valt, moet alle domeinen van art. 30, § 3 aantoonbaar uitwerken. De actuele prijs van elk afzonderlijk document en van elk pakket staat in de prijslijst op deze pagina.

De wet zelf bouwt bovendien evenredigheid in. Bij de beoordeling van de evenredigheid van de maatregelen wordt rekening gehouden met de mate waarin de entiteit aan risico's is blootgesteld, de omvang van de entiteit en de kans dat zich incidenten voordoen en de ernst ervan (art. 30, § 2). Een kleine entiteit met één applicatie en twee leveranciers schrijft dus een ander — en korter — geheel dan een netwerkbeheerder met tientallen koppelingen.

Stap 1: valt u onder de wet, en in welke klasse?

Twee artikelen bepalen dit, met de statutaire termen van de wet:

• Essentiële entiteit — onder meer entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden die zijn bepaald in artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG; gekwalificeerde verleners van vertrouwensdiensten, registers voor topleveldomeinnamen en DNS-dienstverleners, ongeacht hun omvang; en overheidsinstanties die van de Federale Staat afhangen (art. 9).
• Belangrijke entiteit — entiteiten van een in bijlage I of II bedoelde soort die op basis van artikel 9 niet als essentiële entiteit worden beschouwd (art. 10).

Daarnaast kunnen entiteiten worden geïdentificeerd overeenkomstig artikel 11 (art. 9, 6° en art. 10, 2°); het identificeren van essentiële en belangrijke entiteiten is een taak van de nationale cyberbeveiligingsautoriteit (art. 17, 3°).

Valt uw activiteit niet onder een soort uit bijlage I of bijlage II en werd u niet geïdentificeerd overeenkomstig artikel 11, dan vraagt de NIS2-wet geen documentatie van u. Eén praktische reden blijft: klanten die wél onder de wet vallen, moeten bij hun rechtstreekse leveranciers en dienstverleners rekening houden met hun specifieke kwetsbaarheden en met de algemene kwaliteit van hun producten en cyberbeveiligingspraktijken (art. 30, § 4). Wat u dan levert, is bewijsmateriaal voor een klant — geen wettelijke verplichting voor uzelf.

Stap 2: het documentatiegeheel dat de wet als één pakket vraagt

Voor entiteiten binnen het toepassingsgebied vertrekt alles van dezelfde bepaling: "Iedere essentiële en belangrijke entiteit voert een risicoanalyse uit gebaseerd op een benadering die alle gevaren omvat en tot doel heeft de netwerk- en informatiesystemen en de fysieke omgeving van die systemen tegen incidenten te beschermen en werkt, op basis daarvan, een I.B.B. uit dat minstens de in paragraaf 3 bedoelde aspecten bevat." (NIS2-wet art. 30, § 5)

De vijf kerndomeinen die daaruit volgen:

1. Beleid inzake risicoanalyse en beveiliging van informatiesystemen (art. 30, § 3, 1°). Dit is het analytische fundament: welke systemen u gebruikt, welke risico's daaraan verbonden zijn en welke maatregelen u daartegen neemt. Zonder deze analyse ontbreekt de basis waarop art. 30, § 5 het I.B.B. laat steunen.

2. Incidentenbehandeling (art. 30, § 3, 2°). Hier legt u vast hoe een incident wordt vastgesteld, beoordeeld en opgevolgd. Dat sluit aan bij de meldingsketen naar het nationale CSIRT, met een vroegtijdige waarschuwing binnen vierentwintig uur en een incidentmelding binnen tweeënzeventig uur na kennisname van het significante incident (art. 35, § 1, 1° en 2°).

3. Bedrijfscontinuïteit (art. 30, § 3, 3°). De wet noemt uitdrukkelijk back-upbeheer, noodvoorzieningenplannen en crisisbeheer. Het gaat om het in stand houden van uw dienstverlening wanneer systemen uitvallen, en om wie op dat moment welke beslissing neemt.

4. Beveiliging van de toeleveringsketen (art. 30, § 3, 4°). Dit omvat de beveiligingsgerelateerde aspecten van de relaties tussen uw entiteit en haar rechtstreekse leveranciers of dienstverleners. Bij de keuze van passende maatregelen weegt u hun specifieke kwetsbaarheden en de kwaliteit van hun cyberbeveiligingspraktijken, inclusief veilige ontwikkelingsprocedures (art. 30, § 4).

5. Bestuurdersverantwoordelijkheid en opleiding (art. 31). De bestuursorganen keuren de maatregelen goed, zien toe op de uitvoering en zijn aansprakelijk voor inbreuken op artikel 30 (art. 31, § 1); de leden volgen een opleiding (art. 31, § 2).

Daarnaast bevat art. 30, § 3 nog zes punten, waaronder cyberhygiëne en opleiding (7°), cryptografie en encryptie (8°), personeel, toegangsbeleid en beheer van activa (9°) en een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden (11°). Hoeveel van die punten voor u zwaar wegen, bepaalt mee de omvang van het werk.

Eén document of het volledige geheel: een reële keuze

De vijf domeinen zijn geen losse formulieren. Het risicobeheerbeleid is het funderingsdocument: art. 30, § 5 vraagt eerst een risicoanalyse en laat het I.B.B. daarop steunen, en de vier andere domeinen verwijzen terug naar die analyse. Zonder vastgelegde risico's heeft een continuïteitsplan geen scenario's, heeft de incidentenbehandeling geen drempels en heeft uw leveranciersbeleid geen criteria.

Daarom is beginnen met dat ene document een verdedigbare eerste stap, maar geen eindpunt: art. 30, § 3 vraagt dat de maatregelen ten minste op alle opgesomde punten betrekking hebben. Stelt u zelf vast dat u niet aan die maatregelen voldoet, dan vraagt de wet dat u onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen neemt (art. 30, § 6). Documentatie is dus een levend geheel dat u aanvult naarmate uw analyse vordert.

Goedkeuring door het bestuursorgaan en de opleidingsplicht

Documentatie die nooit formeel werd goedgekeurd, mist het element dat de wet uitdrukkelijk bij het bestuur legt. De bestuursorganen keuren de maatregelen voor het beheer van cyberbeveiligingsrisico's goed, zien toe op de uitvoering ervan en zijn aansprakelijk voor inbreuken door de entiteit op artikel 30 (art. 31, § 1). Leg die goedkeuring daarom vast met datum en met wie ze gaf.

De opleidingsplicht staat in dezelfde bepaling: "De leden van de bestuursorganen van essentiële en belangrijke entiteiten volgen een opleiding zodat ze over voldoende kennis en vaardigheden beschikken om risico's te kunnen identificeren en risicobeheerspraktijken op het gebied van cyberbeveiliging en de gevolgen ervan voor de diensten die door de entiteit worden verleend, te kunnen beoordelen." (NIS2-wet art. 31, § 2) De nationale cyberbeveiligingsautoriteit heeft als taak de organisatie van opleidingen rond cyberbeveiliging voor personeelsleden van essentiële of belangrijke entiteiten te faciliteren en aan te moedigen (art. 17, 13°).

Waarom de opzet van uw documentatie later telt

Bij toezicht kan de inspectiedienst toegang vragen tot alle documenten of informatie die nodig zijn voor haar opdracht, met name de bewijzen van de uitvoering van het cyberbeveiligingsbeleid, zoals de resultaten van conformiteitsbeoordelingen en van beveiligingsaudits (art. 48, § 1, 1°), en alle informatie inwinnen over het gedocumenteerde cyberbeveiligingsbeleid (art. 48, § 1, 4°). Bij belangrijke entiteiten worden die bevoegdheden achteraf ("ex post") uitgeoefend op basis van bewijzen, aanwijzingen of informatie waaruit blijkt dat de wet niet wordt nageleefd (art. 48, § 2).

Documentatie die per domein naar het juiste artikel verwijst, is daardoor eenvoudiger te bespreken dan een algemeen verhaal zonder vindplaatsen. Voor officiële toelichting bij de toepassing van de wet kunt u terecht bij de nationale cyberbeveiligingsautoriteit (CCB), die standaarden, richtlijnen en normen voor cyberbeveiliging opstelt en verspreidt (art. 17, 7°). Bindend is en blijft de officiële tekst van de NIS2-wet.