Wat betekent NIS2 voor jouw organisatie?
NIS2 klinkt misschien als een technisch cybersecurityverhaal maar is in de eerste plaats ook een juridische verplichting. De Europese richtlijn bepaalt of, hoe en aan welke concrete verplichtingen rond cyberrisicobeheer, incidentmelding en bestuurlijke zorgplicht jouw organisatie moet voldoen.
Alles wat je moet weten vanuit juridisch oogpunt rond NIS2, vind je hier.
Wat is NIS2?
NIS2 is de Europese cybersecuritywet die de NIS-richtlijn uit 2016 vervangt.
De eerste richtlijn was enkel bedoeld voor kritieke sectoren, zoals energie, water, …. Al snel bleek dat dit niet genoeg dekte, en met grotere incidenten en aanvallen was het nodig om deze wet te herzien. Daarom verplicht NIS2 nu een veel bredere groep organisaties dan voorheen, met extra aandacht voor de veiligheid van de toeleveringsketen en authenticatiemechanismen.
Wat houdt deze wet nu concreet in? Eigenlijk drie zaken:
- het beheersen van cyberrisico’s via concrete maatregelen,
- het melden van incidenten binnen strikte termijnen
- en een actieve zorgplicht van jouw bestuur op dit vlak.
Ontdek hieronder of jouw organisatie tot die bredere groep behoort.
Valt jouw organisatie onder NIS2?
NIS2 is van toepassing op een brede waaier van sectoren. Jouw organisatie valt mogelijk onder de wet als je actief bent in:
Naast de sector speelt ook de omvang van je organisatie een rol. Kleine en micro-ondernemingen vallen doorgaans buiten NIS2, tenzij ze een kritieke rol vervullen.
En ben je zelf niet actief in een van deze sectoren, maar lever je aan een organisatie die dat wel is? Dan kan die klant je contractueel verplichten om aan bepaalde beveiligingseisen te voldoen omdat hijzelf verplicht is de veiligheid van zijn toeleveringsketen te bewaken.
Bij het bepalen of je onder NIS2 valt, worden drie zaken vaak over het hoofd gezien:
- Moeder- en dochterondernemingen: hun cijfers tellen mee wanneer je de omvang van je organisatie berekent.
- Toepasselijk recht: zelfs wanneer duidelijk is dat je in scope valt, weet je daarmee nog niet welk land’s NIS2-wet geldt. Dat wordt bepaald door de locatie van je hoofdvestiging.
- Ketenverantwoordelijkheid: val je zelf onder NIS2, dan draag je ook verantwoordelijkheid voor de beveiliging van je leveranciers, met gevolgen voor bestaande contracten en samenwerkingsovereenkomsten.
Ons juridisch expert Bernd legt het hieronder in de video even voor je uit:
Ben je niet zeker of jouw organisatie moet voldoen aan NIS2?
Onze juridische experten maken je wegwijs.
Wanneer is de volgende deadline?
Een korte tijdlijn:
- 18 oktober 2024: NIS2 treedt in werking in België, verplichtingen gelden sindsdien.
- 18 april 2026: essentiële entiteiten moesten een eerste conformiteitsbeoordeling laten uitvoeren.
- 18 april 2027: essentiële entiteiten moeten een niveau hoger: van een eerste, beperkte verificatie naar volledige certificering.
Wil je weten of jouw organisatie onder NIS2 valt en wat jouw wettelijke verplichtingen zijn?
Wat betekent dit concreet voor jouw organisatie?
- Ben je een essentiële entiteit en deed je die eerste beoordeling al? Dan is de volgende stap: tegen 18 april 2027 moet je in principe klaar zijn op jouw zekerheidsniveau. Ben je dat niet dan moet je een correctieplan kunnen voorleggen tegen 18 april 2028.
- Ben je een essentiële entiteit maar nog geen beoordeling laten uitvoeren? Dan voldoe je niet aan de wetgeving en loop je risico op sancties.
- Ben je een belangrijke entiteit? Dan geldt er geen vaste beoordelingsdeadline maar zijn de veiligheidsmaatregelen en meldplicht al sinds 2024 van kracht. Bij een ernstig incident kan je echter wel beoordeeld worden en zijn alle verplichtingen onverminderd van kracht.
- Ben je een leverancier aan een essentiële entiteit, maar val je zelf niet onder NIS2? Dan krijg je mogelijke contractuele veiligheidseisen van je klant opgelegd.
Wat zijn de gevolgen van het niet naleven van de NIS2 wet?
Veel organisaties zijn trouwens nog niet volledig in orde met NIS2, je bent dus zeker niet alleen als je nog stappen te zetten hebt.
De gevolgen zijn echter niet min. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet (het hoogste telt). En voor belangrijke entiteiten kan dat tot 7 miljoen euro of 1,4% zijn. Daarbovenop kan de toezichthouder diensten tijdelijk laten stopzetten, een inbreuk publiek bekendmaken en zelfs bestuurders persoonlijk aansprakelijk stellen wanneer zij hun toezichtsplicht op dit vlak verwaarloosden. In extreme gevallen kunnen ze zelfs tijdelijk uit hun bestuursfunctie gezet worden.
Ook dit legt Bernd graag voor je uit:
Weet je waar je juridisch staat met NIS2?
Voordat je investeert in technische maatregelen, moet je weten waar je juridisch staat. Val je onder NIS2 ? En zo ja, ben je dan een essentiële of belangrijke entiteit ? Een verkeerde inschatting op dit vlak leidt tot vertraging, dubbele kosten of in het slechtste geval sancties.
Onze oplossing hiervoor is de Digital Law Scan. De scan brengt in kaart of en hoe NIS2 op jouw organisatie van toepassing is, positioneert jouw huidige juridische status ten opzichte van de wettelijke verplichtingen.
Als je weet waar je staat maar ondersteuning nodig hebt om je organisatie klaar te maken om aan al deze verplichtingen te voldoen, kan je ook bij Cingulum terecht, onze dochteronderneming gespecialiseerd in cybersecurity trajecten.
Ontmoet de CRANIUM specialisten
Marie Manhaeve
Digital Law Consultant
Bernd Fiten
Head of Digital Law
Bram Goetry
Senior Digital Law Consultant
Laat je organisatie scannen.
Vraag vandaag nog je Digital Law Scan aan en weet waar je staat voor NIS2.
