Wat de NIS2-richtlijn betekent voor jouw organisatie

De NIS2-richtlijn is inmiddels in veel gesprekken opgedoken. Maar wat betekent het nu concreet voor jouw organisatie? En wat moet je er mee?

Wat NIS2 is

NIS2 is een Europese richtlijn die de eisen aan digitale beveiliging aanscherpt voor een breed scala aan organisaties. De afkorting staat voor Network and Information Security, versie 2. Het is de opvolger van de eerste NIS-richtlijn uit 2016 en heeft een significant bredere reikwijdte.

Voor wie geldt het

De richtlijn geldt voor organisaties in sectoren die als essentieel of belangrijk worden aangemerkt. Denk aan energie, transport, gezondheidszorg, digitale infrastructuur, maar ook aan sectoren als voedselproductie, chemie en overheidsdiensten.

Of jouw organisatie eronder valt, hangt af van de sector en de omvang. Middelgrote en grote organisaties in de aangewezen sectoren vallen er vrijwel zeker onder. Kleinere organisaties soms ook, afhankelijk van hun rol in de keten.

Wat er van je verwacht wordt

NIS2 vraagt om een serieuze aanpak van risicobeheer. Dat betekent concreet: inzicht in de risico’s die je loopt, maatregelen om die risico’s te beperken, een plan voor als het toch misgaat en de verplichting om incidenten te melden.

Daarnaast verschuift de verantwoordelijkheid expliciet naar de directie. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld als er onvoldoende maatregelen zijn getroffen. Dat is een wezenlijke verandering ten opzichte van de situatie daarvoor.

Wat het in de praktijk vraagt

NIS2 is geen afvinklijst. Het vraagt om een structurele aanpak van digitale veiligheid die past bij de risico’s die de organisatie loopt. Dat begint bij inzicht: weet je waar je kwetsbaar bent? Heb je de juiste maatregelen getroffen? En kun je dat aantonen?

Voor veel organisaties betekent dit dat ze voor het eerst echt systematisch naar hun beveiliging moeten kijken, niet als project maar als onderdeel van hoe de organisatie werkt.

Geen reden voor paniek maar wel voor actie

NIS2 is geen reden voor paniek. Het is een reden om te beginnen als je dat nog niet hebt gedaan. Een onafhankelijke audit of een gesprek over waar je nu staat, is een logische eerste stap om te weten wat er van jou verwacht wordt en hoe ver je nog van die verwachting af zit.