Key takeaways
- De kwalificatie onder NIS2 vereist meer dan alleen een toetsing van de sector. Ook de omvang van de organisatie moet worden beoordeeld, waarbij in bepaalde gevallen rekening moet worden gehouden met de Europese regels inzake verbonden en partnerondernemingen.
- Het onderscheid tussen essentiële en belangrijke entiteiten speelt vooral op het niveau van toezicht en handhaving. De inhoudelijke cybersecurityverplichtingen zijn grotendeels vergelijkbaar voor beide, maar het toezichtregime en de mogelijke blootstelling aan sancties verschillen.
- De toepasselijke nationale NIS2-wet moet zorgvuldig worden bepaald. Voor bepaalde digitale dienstverleners moet het toepasselijke recht en de bevoegde lidstaat worden bepaald op basis van de hoofdvestiging, en niet louter op basis van het land waarin diensten worden aangeboden.
- NIS2 strekt zich ook uit tot de toeleveringsketen. Organisaties doen er goed aan hun bestaande leverancierscontracten te herbekijken, contracttemplates aan te passen en duidelijke cybersecurityrichtlijnen voor contractonderhandelingen te ontwikkelen.
NIS2 is meer dan een IT-project
Wanneer organisaties zich beginnen voor te bereiden op de hernieuwde Network and Information Security Directive, beter bekend als NIS2, verschuift de aandacht vaak meteen naar IT-systemen, cybersecuritymaatregelen en de behandeling van incidenten.
Hoewel deze elementen uiteraard centraal staan in een NIS2-complianceprogramma, is er ook een belangrijke juridische en governancecomponent.
Vooraleer technische maatregelen te implementeren, moeten organisaties een aantal fundamentele vragen beantwoorden: is NIS2 überhaupt op ons van toepassing? Zo ja, welke nationale wetgeving is van toepassing? En welke gevolgen heeft NIS2 voor onze relaties met leveranciers?
Drie juridische aandachtspunten verdienen bijzondere aandacht.
1. Bepaal of uw organisatie binnen het toepassingsgebied valt
Een eerste stap is bepalen of de organisatie onder het toepassingsgebied van NIS2 valt. Daarbij zijn twee elementen bijzonder belangrijk.
- Ten eerste moet worden gekeken naar desector waarin de organisatie actief is. NIS2 is van toepassing op een brede waaier aan sectoren die als kritisch of zeer kritisch worden beschouwd, waaronder energie, transport, gezondheidszorg, digitale infrastructuur en bepaalde digitale diensten;
- Ten tweede moet deomvang van de organisatie worden beoordeeld. Daarbij wordt in principe rekening gehouden met zowel het aantal werknemers als bepaalde financiële drempels.
Die omvangstoets is echter niet altijd zo eenvoudig als enkel kijken naar de cijfers van de betrokken juridische entiteit. De Europese regels inzake partnerondernemingen en verbonden ondernemingen kunnen vereisen dat ook gegevens van moedermaatschappijen, dochterondernemingen of andere verbonden entiteiten worden meegenomen. Afhankelijk van de aard van de band kunnen die gegevens proportioneel of volledig moeten worden geconsolideerd.
Een onderneming die op zichzelf beschouwd buiten het toepassingsgebied lijkt te vallen, kan dus desalniettemin toch door NIS2 gevangen worden zodra de bredere groepsstructuur in rekening wordt gebracht.
Het is daarom aangewezen om deze analyse goed te documenteren. Een duidelijk NIS2–kwalificatierapport kan vastleggen waarom een organisatie al dan niet binnen het toepassingsgebied valt en of zij als een essentiële dan wel belangrijke entiteit kwalificeert. Zo ontstaat ook een bruikbaar referentiekader voor toekomstige herbeoordelingen wanneer de onderneming, groepsstructuur of toepasselijke regelgeving wijzigt.
Het onderscheid tussen essentiële en belangrijke entiteiten heeft niet zozeer een impact op de inhoudelijke cybersecuritymaatregelen die moeten worden genomen. Het heeft vooral gevolgen voor het toezicht- en handhavingsregime, waardoor een correcte kwalificatie ook vanuit juridisch risicoperspectief relevant is.
2. Bepaal welke nationale NIS2-wetgeving van toepassing is
NIS2 is een Europese richtlijn. Dat betekent dat de verplichtingen ervan worden omgezet in nationale wetgeving door de verschillende EU-lidstaten.
Het mag evenwel niet automatisch worden aangenomen dat, omdat een organisatie in België gevestigd of actief is, ook steeds de Belgische NIS2-wetgeving van toepassing zal zijn op al haar activiteiten.
Deze vraag is met name relevant voor organisaties die grensoverschrijdend actief zijn.Voor bepaalde dienstverleners, waaronder cloudcomputingdienstverleners en managed service providers, voorziet NIS2 in een vorm van one-stop-shopmechanisme. In dergelijke gevallen kan de toepasselijke wetgeving en bevoegde lidstaat worden bepaald aan de hand van de lidstaat waar de hoofdvestiging van de dienstverlener zich bevindt. In andere gevallen kan het zijn dat een organisatie die internationaal actief is aan een uiteenlopende waaier van nationale implementatiewetten van de NIS2 Richtlijn moet voldoen.
Voor internationale groepen en digitale dienstverleners moet de vraag naar het toepasselijke nationale regime of nationale regimes daarom deel uitmaken van de initiële juridische NIS2-analyse.
Een correcte beoordeling is belangrijk, omdat onder meer de bevoegde toezichthoudende autoriteit, eventuele registratieverplichtingen, het handhavingsproces, de praktische complianceverwachtingen en de deadlines hiervoor kunnen afhangen van de toepasselijke wetgeving.
3. Verlies de verantwoordelijkheid in de toeleveringsketen niet uit het oog
Een derde belangrijk juridisch aandachtspunt betreft de leveranciers en dienstverleners van de organisatie.
NIS2 vereist immers uitdrukkelijk dat organisaties rekening houden met cybersecurityrisico’s die voortvloeien uit hun toeleveringsketen en hun relaties met rechtstreekse leveranciers en dienstverleners.
Cybersecurity compliance stopt dus niet aan de grenzen van de eigen organisatie.
Vanuit juridisch perspectief betekent dit dat moet worden nagegaan of bestaande contractuele afspraken voldoende bescherming bieden. Organisaties doen er bijvoorbeeld goed aan oudere leverancierscontracten te herbekijken en na te gaan of daarin passende cybersecurityverplichtingen, meldingsverplichtingen bij incidenten, auditrechten en samenwerkingsmechanismen zijn opgenomen.
Dezelfde oefening moet ook voor toekomstige contracten worden gemaakt.
Standaard aankoopvoorwaarden, IT-contracten en leveranciersmodellen moeten worden nagekeken en waar nodig aangepast om ze NIS2-proof te maken.
Voor organisaties die regelmatig leverancierscontracten onderhandelen, kan het daarnaast nuttig zijn om een contracting playbook op te stellen of een bestaand playbook te actualiseren. Daarin kunnen onder meer de gewenste cybersecurityclausules, minimale contractuele vereisten, aanvaardbare fallback-posities en situaties waarin bijkomende juridische of securityreview nodig is, worden vastgelegd.
Van NIS2 naar een juridisch onderbouwd compliancekader
Een succesvolle implementatie van NIS2 vereist aldus meer dan alleen technische maatregelen. Organisaties moeten ervoor zorgen dat hun cybersecurityprogramma wordt ondersteund door een duidelijke juridische analyse die verzekert dat de juiste zaken op de juiste momenten worden geimplementeerd.
Daarbij staan drie vragen centraal:
Hoe is NIS2 op onze organisatie van toepassing? Welke nationale NIS2-regelgeving geldt voor ons? En zijn onze leverancierscontracten afgestemd op onze cybersecurityverantwoordelijkheden?
Door deze vragen vroeg in het proces te beantwoorden, krijgen organisaties een duidelijker beeld van hun regelgevend risico en kan NIS2 worden vertaald van een louter technische
