NIS2 stap voor stap: digitale infrastructuur in België

1. Nagaan of de wet van toepassing is

Bijlage I bij de NIS2-wet noemt digitale infrastructuur als zeer kritieke sector en somt daarbij onder meer aanbieders van internetknooppunten, DNS-dienstverleners met uitzondering van exploitanten van root-naamservers, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, verleners van vertrouwensdiensten en aanbieders van openbare elektronische-communicatienetwerken of -diensten op. Volgens art. 9 geldt een entiteit van een in bijlage I bedoelde soort als essentiële entiteit wanneer zij de plafonds voor middelgrote ondernemingen uit artikel 2, lid 1, van de bijlage bij Aanbeveling nr. 2003/361/EG overschrijdt. Datzelfde artikel merkt de gekwalificeerde verleners van vertrouwensdiensten, de registers voor topleveldomeinnamen en de DNS-dienstverleners aan als essentiële entiteit ongeacht hun omvang, en aanbieders van openbare elektronische-communicatienetwerken of -diensten zodra zij minstens als middelgrote onderneming in aanmerking komen. Wie tot een soort uit bijlage I of II behoort maar niet onder art. 9 valt, is volgens art. 10 een belangrijke entiteit.

NACE 61NACE 63.11

Zie ook de sectorpagina: Digitale infrastructuur · NIS2-entiteitscategorieën — België

Start de gratis toepassingscheck

2. Verantwoordelijkheid van het bestuursorgaan

Art. 31, § 1 van de NIS2-wet legt de goedkeuring van de maatregelen voor het beheer van cyberbeveiligingsrisico's bij de bestuursorganen van essentiële en belangrijke entiteiten. Diezelfde bepaling belast die organen met het toezicht op de uitvoering ervan en maakt hen aansprakelijk voor inbreuken van de entiteit op art. 30. Voor overheidsinstanties, ambtenaren en verkozen of benoemde mandatarissen blijven de eigen aansprakelijkheidsregels onverkort gelden. Art. 31, § 2 bepaalt daarnaast dat de leden van die bestuursorganen een opleiding volgen om risico's te kunnen identificeren en risicobeheerspraktijken en hun gevolgen voor de verleende diensten te kunnen beoordelen.

NIS2-opleidingsverplichting voor bestuursorganen per land

3. Risicoanalyse als basis

Art. 30, § 5 van de NIS2-wet verplicht iedere essentiële en belangrijke entiteit tot een risicoanalyse die alle gevaren omvat en die zowel de netwerk- en informatiesystemen als hun fysieke omgeving tegen incidenten wil beschermen. Op grond van die analyse werkt de entiteit een informatiebeveiligingsbeleid uit dat minstens de aspecten van art. 30, § 3 bevat. Art. 30, § 2 koppelt het vereiste beveiligingsniveau aan de stand van de techniek, de toepasselijke Europese en internationale normen en de uitvoeringskosten. Bij de beoordeling van de evenredigheid telt volgens diezelfde bepaling hoe sterk de entiteit aan risico's is blootgesteld, hoe groot zij is en hoe waarschijnlijk en ernstig incidenten zijn.

Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

4. Maatregelen voor risicobeheer

Art. 30, § 3 van de NIS2-wet somt elf domeinen op die de maatregelen minstens moeten bestrijken: beleid rond risicoanalyse en beveiliging van informatiesystemen, incidentenbehandeling, bedrijfscontinuïteit met back-upbeheer, noodvoorzieningenplannen en crisisbeheer, beveiliging van de toeleveringsketen, veilige verwerving, ontwikkeling en onderhoud van systemen inclusief omgang met kwetsbaarheden, beoordeling van de doeltreffendheid van de maatregelen, cyberhygiëne en opleiding, cryptografie en waar nodig encryptie, personeelsaspecten met toegangsbeleid en beheer van activa, waar gepast meerfactor- of continue authenticatie en beveiligde communicatie, en een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden. De wet formuleert deze catalogus identiek voor alle essentiële en belangrijke entiteiten en voorziet geen afzonderlijke lijst voor digitale infrastructuur. Voor de keten vraagt art. 30, § 4 wel rekening te houden met de kwetsbaarheden van elke rechtstreekse leverancier en dienstverlener, met de algemene kwaliteit van hun producten en praktijken en met de op Unieniveau gecoördineerde risicobeoordelingen van kritieke toeleveringsketens. Stelt een entiteit vast dat zij niet aan die maatregelen voldoet, dan neemt zij volgens art. 30, § 6 onverwijld de nodige corrigerende maatregelen.

NIS2-risicobeheersmaatregelen versus ISO 27001, DORA en AVG

5. Melding van significante incidenten

Voor een significant incident richt de melding zich volgens art. 35 van de NIS2-wet tot het nationale CSIRT, dat onder de nationale cyberbeveiligingsautoriteit valt. Art. 35, § 1, 1° voorziet onverwijld en in elk geval binnen vierentwintig uur na kennisname een vroegtijdige waarschuwing, waarin waar van toepassing wordt aangegeven of een onrechtmatige of kwaadwillige handeling wordt vermoed dan wel of er grensoverschrijdende gevolgen mogelijk zijn. Art. 35, § 1, 2° voorziet onverwijld en in elk geval binnen tweeënzeventig uur na kennisname een incidentmelding met een geactualiseerde stand van zaken, een eerste beoordeling van ernst en gevolgen en, indien beschikbaar, de indicatoren voor aantasting; voor verleners van vertrouwensdiensten geldt volgens art. 35, § 2 in afwijking daarvan de termijn van vierentwintig uur. Art. 35, § 1, 4° voorziet uiterlijk één maand na die incidentmelding een eindverslag, terwijl een tussentijds verslag volgt op verzoek van het nationale CSIRT of de betrokken sectorale overheid en een lopend incident volgens art. 35, § 1, 5° eerst tot een voortgangsverslag leidt en pas binnen één maand na de definitieve afhandeling tot het eindverslag.

NIS2-meldingstermijnen voor incidenten per EU-land · Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

6. Schriftelijke vastlegging

De wet werkt met vastgelegde stukken: art. 30, § 5 verlangt een risicoanalyse en een daarop gebaseerd informatiebeveiligingsbeleid dat minstens de aspecten van art. 30, § 3 dekt. Verschillende punten van art. 30, § 3 zijn zelf als beleid of procedure omschreven, onder meer voor risicoanalyse en beveiliging van informatiesystemen, voor de beoordeling van de doeltreffendheid van de maatregelen, voor het gebruik van cryptografie en encryptie en voor de gecoördineerde bekendmaking van kwetsbaarheden. Ook de meldingsketen van art. 35 vergt vastgelegde informatie, want het eindverslag bevat een gedetailleerde beschrijving van het incident met ernst en gevolgen, het soort bedreiging of de grondoorzaak, de toegepaste en lopende risicobeperkende maatregelen en in voorkomend geval de grensoverschrijdende gevolgen. Art. 31, § 1 verbindt daaraan de goedkeuring van die maatregelen door het bestuursorgaan en het toezicht op de uitvoering.

Het pakket omvat:

• Beleid voor het beheer van cyberbeveiligingsrisico's
• Plan voor de behandeling van incidenten
• Bedrijfscontinuïteitsplan
• Beleid voor de beveiliging van de toeleveringsketen
• Verklaring over de verantwoordelijkheid van het leidinggevend orgaan en opleidingsplan
• Invulassistent in het portaal

Onderhoud (maandelijks) — re-sign van documenten volgens geldend recht — 290 EUR/maand — Diensten

7. Administratieve geldboetes

Art. 59 van de NIS2-wet bepaalt de administratieve geldboetes die op grond van artikel 51 of 52 kunnen worden opgelegd. Voor een essentiële entiteit die de verplichtingen inzake de maatregelen voor het beheer van cyberbeveiligingsrisico's of de rapportageverplichtingen van titel 3 niet nakomt, bedraagt de boete 500 tot 10.000.000 euro of 2 procent van de totale wereldwijde jaaromzet in het voorgaande boekjaar van de onderneming waartoe zij behoort, waarbij het hoogste bedrag geldt. Voor een belangrijke entiteit in dezelfde situatie bedraagt de boete 500 tot 7.000.000 euro of 1,4 procent van diezelfde jaaromzet, opnieuw naar het hoogste bedrag. Bij herhaling van dezelfde feiten binnen drie jaar wordt de boete verdubbeld, en samenloop van meerdere inbreuken kan leiden tot één enkele boete die in verhouding staat tot het geheel van de feiten.

NIS2-administratieve boetes per land