NIS2: onduidelijke wet in combinatie met hoge boetes
De Network and Information Security 2 Directive (NIS2) is een nieuwe Europese richtlijn die bedoeld is om het niveau van cybersecurity in de Europese Unie te verhogen. De dreiging van cyberaanvallen wordt steeds groter. Bendes die gelieerd zijn aan staten als China en Rusland richten zich steeds vaker op onderdelen van de vitale infrastructuur in Nederland en andere EU-lidstaten. Zij plegen ransomware-aanvallen of stelen intellectueel eigendom. Recent werd bijvoorbeeld de populaire app TikTok bij ambtenaren verboden vanwege het aan zekerheid grenzende vermoeden dat de Chinese staat kan meekijken.
De NIS 2 richtlijn zal nog omgezet worden in nationale wetgeving
De richtlijn geldt voor achttien sectoren, waaronder overheden, energiebedrijven, supermarkten en zorginstellingen. De NIS 2 richtlijn zal nog omgezet worden in nationale wetgeving. Dit betekent dat organisaties die onder de NIS 2 vallen, nog niet precies weten hoe deze wet in detail wordt omgezet in de nationale wetgeving van hun land. Dit kan een probleem opleveren, omdat deze organisaties zich vanaf oktober 2024 al moeten houden aan de Nederlandse implementatie van de wet, terwijl ze nog niet weten wat deze implementatie precies inhoudt. Het is daarom belangrijk dat organisaties zich alvast voorbereiden op de NIS 2 richtlijn en de ontwikkelingen rondom de nationale implementatie nauwlettend in de gaten houden.
Organisaties moeten bijvoorbeeld de cyberveiligheid van hun toeleveranciers in kaart brengen om de cyberveiligheid van het gehele ‘ecosysteem’ te waarborgen. NIS 2 verplicht organisaties om het cybersecurityniveau van hun (directe) toeleveranciers in kaart te brengen. Maar onduidelijkheid over de uitvoering, die er per definitie is omdat zoals gezegd de richtlijn nog omgezet moet worden, kan leiden tot een wildgroei aan raamwerken en formulieren om het cyberrisico van toeleveranciers te beoordelen.
Toezichthouders kunnen hoge boetes uitdelen
Toezichthouders, bijvoorbeeld de Rijksinspectie Digitale Infrastructuur (RDI), kunnen hoge boetes uitdelen die kunnen oplopen tot 2% van de wereldwijde jaaromzet, als een organisatie zich niet aan de wet houdt. Er is een sterke parallel met de introductie van de Algemene verordening gegevensbescherming (AVG) in 2018. Een onduidelijke wet in combinatie met hoge boetes leidde tot papieren rompslomp en een compliance cultuur. Keurige verwerkingsovereenkomsten en privacy statements ten spijt, datalekken zijn nog steeds aan de orde van de dag. Een hacker trekt zich niet zoveel aan van een goed opgestelde verwerkingsovereenkomst. Ook bij NIS2 zijn torenhoge boetes en het risico op een cyberaanval argumenten om alles juridisch dicht te timmeren.
Deze kritiek op de uitvoering van NIS2 is in geen geval een bagatellisering van het belang van cybersecurity. Het is belangrijk om serieus werk te maken van cyberveiligheid omdat de dreiging van cyberaanvallen steeds groter wordt. Het is echter ook belangrijk om ervoor te zorgen dat wetgeving niet leidt tot onnodige papieren rompslomp, ‘red tape’ en een compliance cultuur. De dreiging van hoge boetes kan ervoor zorgen dat bedrijven zich meer richten op het juridisch dichttimmeren van hun cyberrisico’s dan op het cyberveilig maken van hun organisaties.
CyberSecurityBooster
Op 16 mei gaat Bernold Nieuwesteeg in gesprek met Europarlementariër Bart Groothuis. Als lid van het Europees Parlement was hij nauw betrokken bij de totstandkoming van de NIS 2 richtlijn. Hij zal meer vertellen over wat deze nieuwe regelgeving precies inhoudt en welke gevolgen dit heeft voor organisaties. Ook zal hij ingaan op de vraag hoe organisaties zich het beste kunnen voorbereiden op de NIS 2 richtlijn.
CyberSecurityBooster is een reeks van webinars waarin top-experts geïnterviewd worden over cybersecurity, ondersteund door het ministerie van Infrastructuur en Waterstaat.
