NIS2 stap voor stap voor productiebedrijven in België: wat de wet in zeven stappen vraagt

1. Nagaan of de wet van toepassing is

De NIS2-wet werkt met twee statutaire klassen. Artikel 9 rekent onder meer entiteiten van een soort uit bijlage I tot de essentiële entiteit wanneer zij groter zijn dan de grens voor middelgrote ondernemingen die is vastgelegd in Aanbeveling nr. 2003/361/EG. Bijlage II bij de wet bevat de productiegebonden sectoren, zoals de vervaardiging van medische hulpmiddelen en hulpmiddelen voor in-vitrodiagnostiek, van informaticaproducten en elektronische en optische producten, van elektrische apparatuur, van machines en werktuigen, van motorvoertuigen en aanhangwagens en van andere transportmiddelen, naast de vervaardiging, productie en distributie van chemische stoffen. Volgens artikel 10 zijn entiteiten van een soort uit bijlage I of bijlage II die op grond van artikel 9 niet essentieel zijn, een belangrijke entiteit; artikel 11 voorziet daarnaast in identificatie door de overheid.

NACE 26NACE 27NACE 28NACE 29NACE 30NACE 32.50

Zie ook de sectorpagina: Vervaardiging · NIS2-entiteitscategorieën — België

Start de gratis toepassingscheck

2. Rol van het bestuursorgaan

Artikel 31, § 1, van de NIS2-wet legt de goedkeuring van de risicobeheersmaatregelen bij de bestuursorganen van essentiële en belangrijke entiteiten. Diezelfde bepaling belast de bestuursorganen met het toezicht op de uitvoering van die maatregelen en houdt hen aansprakelijk voor inbreuken van de entiteit op artikel 30. Artikel 31, § 2, voegt daaraan een opleidingsplicht toe voor de leden van het bestuursorgaan, zodat zij risico's kunnen herkennen en cyberbeveiligingspraktijken en hun gevolgen voor de diensten van de entiteit kunnen beoordelen. De nationale cyberbeveiligingsautoriteit heeft onder artikel 17 de taak opleidingen rond cyberbeveiliging voor personeel van deze entiteiten te faciliteren en aan te moedigen.

NIS2-opleidingsverplichting voor bestuursorganen per land

3. Risicoanalyse als basis

Artikel 30, § 5, verplicht iedere essentiële en belangrijke entiteit tot een risicoanalyse die alle gevaren omvat en die netwerk- en informatiesystemen samen met hun fysieke omgeving tegen incidenten beschermt. Op basis van die analyse werkt de entiteit een I.B.B. uit dat ten minste de onderwerpen van artikel 30, § 3, dekt. Artikel 30, § 2, bepaalt dat het beveiligingsniveau moet aansluiten bij de reële risico's, rekening houdend met de stand van de techniek, de toepasselijke Europese en internationale normen en de uitvoeringskosten. Bij die afweging tellen ook de blootstelling aan risico's, de omvang van de entiteit en de kans op en de ernst van incidenten mee.

Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

4. Catalogus van beveiligingsmaatregelen

Artikel 30, § 1, vraagt passende en evenredige technische, operationele en organisatorische maatregelen om risico's te beheren en de gevolgen van incidenten te beperken. Artikel 30, § 3, somt de minimale onderwerpen op: beleid voor risicoanalyse en informatiebeveiliging, incidentenbehandeling, bedrijfscontinuïteit met back-ups, noodplannen en crisisbeheer, beveiliging van de toeleveringsketen, veilige verwerving, ontwikkeling en onderhoud van systemen met kwetsbaarhedenbeheer, beoordeling van de doeltreffendheid van de maatregelen, cyberhygiëne en opleiding, cryptografie en encryptie, personeel, toegangsbeleid en activabeheer, waar passend meerfactor- of continue authenticatie en beveiligde communicatie, en een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden. De wet voorziet voor productiebedrijven geen aparte maatregelenlijst: dezelfde catalogus geldt voor alle essentiële en belangrijke entiteiten, waarbij artikel 30, § 4, bij leveranciersmaatregelen kijkt naar de kwetsbaarheden en de beveiligingspraktijken van elke rechtstreekse leverancier of dienstverlener. Wie vaststelt niet aan die maatregelen te voldoen, neemt volgens artikel 30, § 6, onverwijld corrigerende maatregelen.

NIS2-risicobeheersmaatregelen versus ISO 27001, DORA en AVG

5. Melding van significante incidenten

Artikel 35, § 1, richt de melding van een significant incident tot het nationale CSIRT, dat onder de nationale cyberbeveiligingsautoriteit valt (artikel 16). Een vroegtijdige waarschuwing volgt onverwijld en in elk geval binnen vierentwintig uur na kennisname van het significante incident, met vermelding of een onrechtmatige of kwaadwillige handeling wordt vermoed dan wel grensoverschrijdende gevolgen mogelijk zijn. Een incidentmelding met een eerste beoordeling van ernst en gevolgen volgt onverwijld en in elk geval binnen tweeënzeventig uur na kennisname. Een eindverslag komt uiterlijk één maand na de indiening van die incidentmelding, en op verzoek van het nationale CSIRT of van de betrokken sectorale overheid wordt tussentijds over de situatie gerapporteerd; loopt het incident bij het verstrijken van die termijn nog, dan volgt eerst een voortgangsverslag en daarna binnen één maand na de definitieve afhandeling het eindverslag.

NIS2-meldingstermijnen voor incidenten per EU-land · Het platform genereert dit document automatisch — het maakt deel uit van het documentenpakket. Diensten

6. Schriftelijke onderbouwing en bijhouden

De verplichtingen van artikel 30 veronderstellen vastgelegd materiaal: artikel 30, § 5, spreekt over een uitgewerkt I.B.B. dat op de risicoanalyse steunt, en artikel 30, § 3, noemt uitdrukkelijk beleid en procedures voor risicoanalyse en informatiebeveiliging, voor de beoordeling van de doeltreffendheid van de maatregelen, voor cryptografie en encryptie en voor de gecoördineerde bekendmaking van kwetsbaarheden. Artikel 30, § 6, gaat uit van een vaststelling van tekortkomingen en van corrigerende maatregelen die daaruit voortvloeien. De meldingsketen van artikel 35 vraagt bovendien inhoudelijk onderbouwde stukken, waaronder een eindverslag met een gedetailleerde beschrijving van het incident, de ernst en de gevolgen, de waarschijnlijke bedreiging of grondoorzaak, de toegepaste en lopende risicobeperkende maatregelen en, in voorkomend geval, de grensoverschrijdende gevolgen. Artikel 17 verduidelijkt dat de nationale cyberbeveiligingsautoriteit standaarden en richtlijnen opstelt en verspreidt en toeziet op de uitvoering ervan.

Het pakket omvat:

• Beleid voor het beheer van cyberbeveiligingsrisico's
• Plan voor de behandeling van incidenten
• Bedrijfscontinuïteitsplan
• Beleid voor de beveiliging van de toeleveringsketen
• Verklaring over de verantwoordelijkheid van het leidinggevend orgaan en opleidingsplan
• Invulassistent in het portaal

Onderhoud (maandelijks) — re-sign van documenten volgens geldend recht — 290 EUR/maand — Diensten

7. Administratieve geldboetes

Artikel 59 van de NIS2-wet bepaalt de administratieve geldboetes die op grond van artikel 51 of 52 kunnen worden opgelegd. Voor een essentiële entiteit die tekortschiet inzake de maatregelen voor het beheer van cyberbeveiligingsrisico's of de rapportageverplichtingen van titel 3 bedraagt de boete 500 tot 10.000.000 euro of 2 procent van de totale wereldwijde jaaromzet van het voorgaande boekjaar van de onderneming waartoe zij behoort, waarbij het hoogste bedrag geldt. Voor een belangrijke entiteit in dezelfde situatie gaat het om 500 tot 7.000.000 euro of 1,4 procent van diezelfde jaaromzet, opnieuw naar het hoogste bedrag. Bij herhaling van dezelfde feiten binnen drie jaar wordt de administratieve geldboete verdubbeld, en samenloop van meerdere inbreuken kan tot één enkele boete leiden die in verhouding staat tot het geheel van de feiten.

NIS2-administratieve boetes per land