Hoe NIS2Europe uw documenten opstelt en controleert

De wettelijke bron: de NIS2-wet van 26 april 2024

Voor een onderneming in België is de nationale omzettingswet het vertrekpunt van elk documentatiepakket: de Wet van 26 april 2024 (NIS2-wet) tot vaststelling van een kader voor de cyberbeveiliging van netwerk- en informatiesystemen van algemeen belang voor de openbare veiligheid.

De bepaling die inhoudelijk bepaalt wát er in de documentatie moet staan, is art. 30. Die bepaling verplicht essentiële en belangrijke entiteiten tot passende en evenredige technische, operationele en organisatorische maatregelen, en somt in § 3 elf domeinen op die minstens aan bod moeten komen, onder meer:

• beleid inzake risicoanalyse en beveiliging van informatiesystemen;
• incidentenbehandeling;
• bedrijfscontinuïteit, zoals back-upbeheer, noodvoorzieningenplannen en crisisbeheer;
• de beveiliging van de toeleveringsketen, met inbegrip van de relaties met rechtstreekse leveranciers of dienstverleners;
• beleid en procedures inzake het gebruik van cryptografie en, in voorkomend geval, encryptie;
• basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging.

Art. 30, § 5 koppelt die opsomming aan een concreet document: op basis van een risicoanalyse die alle gevaren omvat, werkt de entiteit een I.B.B. uit dat minstens de in § 3 bedoelde aspecten bevat. De wet voorziet ook uitdrukkelijk in bijsturing: *"Een essentiële of belangrijke entiteit die vaststelt dat zij niet voldoet aan de in paragraaf 3 bedoelde maatregelen, neemt onverwijld alle noodzakelijke, passende en evenredige corrigerende maatregelen."* — NIS2-wet (Wet van 26 april 2024), art. 30, § 6.

Daarnaast bepaalt art. 31 dat de bestuursorganen de maatregelen goedkeuren, toezien op de uitvoering en aansprakelijk zijn voor inbreuken op art. 30; de leden van het bestuursorgaan volgen een opleiding (art. 31, § 2). Een documentatiepakket zonder spoor van die goedkeuring laat dus een wettelijk element onbeschreven.

De bevoegde autoriteit en de meldingstermijnen

De nationale cyberbeveiligingsautoriteit is belast met de opvolging en coördinatie van de uitvoering van de wet en met het toezicht op de uitvoering ervan door de essentiële en belangrijke entiteiten (art. 16). Zij vervult ook de taken van bevoegde autoriteit, van nationaal CSIRT en van centraal nationaal contactpunt. Haar taken zijn opgesomd in art. 17, waaronder het identificeren van entiteiten (art. 11) en het toezien op de uitvoering van de wet.

Significante incidenten worden onverwijld gemeld aan het nationale CSIRT (art. 34, § 1). De termijnen staan in art. 35, § 1 en worden in de documentatie elk afzonderlijk opgenomen:

• een vroegtijdige waarschuwing: onverwijld en in elk geval binnen vierentwintig uur nadat de entiteit kennis heeft gekregen van het significante incident (art. 35, § 1, 1°);
• een incidentmelding met een initiële beoordeling: onverwijld en in elk geval binnen tweeënzeventig uur nadat zij kennis heeft gekregen van het significante incident (art. 35, § 1, 2°);
• een tussentijds verslag op verzoek van het nationale CSIRT of van de betrokken sectorale overheid (art. 35, § 1, 3°);
• een eindverslag uiterlijk één maand na de indiening van de incidentmelding (art. 35, § 1, 4°); loopt het incident dan nog, dan volgt een voortgangsverslag en binnen één maand na de definitieve afhandeling alsnog een eindverslag (art. 35, § 1, 5°).

Voor verleners van vertrouwensdiensten geldt een afwijking in art. 35, § 2. Het exacte elektronische meld- of registratiekanaal blijkt niet eenduidig uit de wettekst; gelieve dit te bevestigen bij de nationale cyberbeveiligingsautoriteit (CCB) als officiële bron.

Wat het eigen profiel van de onderneming bepaalt

Welke verplichtingen in het pakket terechtkomen, volgt uit het profiel van de onderneming: sector, omvang en wettelijke classificatie.

De sector wordt afgeleid uit bijlage I (zeer kritieke sectoren, zoals energie, vervoer, bankwezen, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart) en bijlage II (andere kritieke sectoren, zoals post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging, digitale aanbieders en onderzoek).

De omvang speelt vervolgens mee. Volgens art. 9 zijn essentiële entiteiten onder meer de entiteiten van een in bijlage I bedoelde soort die de plafonds voor middelgrote ondernemingen overschrijden zoals bepaald in artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG, alsook de gekwalificeerde verleners van vertrouwensdiensten, de registers voor topleveldomeinnamen en de DNS-dienstverleners ongeacht hun omvang, en de overheidsinstanties die van de Federale Staat afhangen. Volgens art. 10 zijn belangrijke entiteiten de entiteiten van een in bijlage I of II bedoelde soort die op basis van art. 9 niet als essentiële entiteit worden beschouwd, plus de entiteiten die overeenkomstig art. 11 als belangrijk worden geïdentificeerd.

Die classificatie is geen etiket zonder gevolgen: art. 48, § 2 bepaalt dat de toezichtsbevoegdheden bij belangrijke entiteiten achteraf ("ex post") worden uitgeoefend, terwijl art. 48, § 1, 3° regelmatige en gerichte beveiligingsaudits bij essentiële entiteiten vermeldt. Ook de boetevorken in art. 59 verschillen per categorie.

Hoe elke vereiste tegen de wettekst wordt gecontroleerd

Na het opstellen wordt het document zin per zin naast de bepaling gelegd die het beweert uit te voeren. De werkwijze is telkens dezelfde:

1. Toewijzen — elke uitspraak krijgt de bepaling waarop zij steunt: art. 30, § 3 voor een maatregelendomein, art. 30, § 5 voor het I.B.B., art. 31 voor de goedkeuring door het bestuursorgaan, art. 34 en art. 35 voor de meldingsketen, art. 9 of art. 10 voor de classificatie. 2. Vergelijken — de formulering in het document wordt naast de wettelijke formulering gelegd. Verwijst een passage enkel naar richtlijn (EU) 2022/2555 terwijl de nationale bepaling bestaat, dan wordt de nationale referentie toegevoegd. 3. Corrigeren — een uitspraak die door geen enkele bepaling wordt gedragen, wordt herschreven of geschrapt vóór het document in gebruik wordt genomen. Cijfers, termijnen en artikelnummers die niet uit de wettekst blijken, worden niet ingevuld maar als openstaand punt gemarkeerd, met verwijzing naar de gepubliceerde richtsnoeren van de nationale cyberbeveiligingsautoriteit.

Deze stap is ook inhoudelijk verankerd: art. 30, § 6 verplicht tot onverwijlde corrigerende maatregelen zodra de entiteit zelf vaststelt dat zij niet voldoet aan de maatregelen van § 3.

Wat achteraf controleerbaar blijft

Het resultaat is een document waarin naast elke vereiste de exacte naam van de wet en de bepaling staat — bijvoorbeeld "Wet van 26 april 2024 (NIS2-wet), art. 30, § 3, 4°" bij de beveiliging van de toeleveringsketen, of "art. 35, § 1, 1°" bij de vroegtijdige waarschuwing.

Dat maakt elke afzonderlijke bewering natrekbaar in de officiële wettekst, door drie soorten lezers:

Een documentatiepakket bewijst op zichzelf geen naleving en sluit toezicht of sancties niet uit — art. 59 bepaalt dat een belangrijke entiteit die niet voldoet aan de verplichtingen inzake risicobeheersmaatregelen en/of rapportage kan worden bestraft met een geldboete van 500 tot 7.000.000 euro of van 1,4 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar, en een essentiële entiteit met 500 tot 10.000.000 euro of 2 procent, afhankelijk van welk bedrag het hoogst is. Wat het document wél doet, is elke uitspraak herleidbaar maken tot de tekst waarop zij steunt. Bindend blijft steeds de officiële wettekst van de Staat.