NIS2 en geopolitieke spanningen vergroten de druk op CISO’s

Met de invoering van NIS2 (Richtlijn (EU) 2022/2555) is dit flink veranderd. De reikwijdte van de regelgeving is uitgebreid van zeven naar achttien verschillende sectoren. Hieronder vallen:

• Essentiële entiteiten
  Naast traditionele nutsvoorzieningen vallen nu ook overheidsdiensten, de ruimtevaartsector, afvalwaterbeheer en B2B-ICT-dienstverlening, waaronder managed security service providers (MSSP’s) en telecombedrijven, onder de richtlijn.
• Belangrijke entiteiten
  Ook kritieke commerciële toeleveringsketens vallen nu rechtstreeks onder toezicht op CNI-niveau en worden aangemerkt als belangrijke entiteiten.

NIS2 is een reactie op de geopolitieke veranderingen die zich sinds het midden van de jaren 2010 hebben voltrokken en op de sterke toename van cyberdreigingen en hun impact op de samenleving. Door staten gesteunde cyberoperaties en hybride dreigingen vormen inmiddels een aanzienlijk deel van de aanvallen. Daarbij worden ook systemen buiten het traditionele militaire domein aangevallen, met een focus op economische en civiele infrastructuur om maatschappelijke instabiliteit te veroorzaken.

Wetgevers scherpen de regels aan, CISO’s dragen de verantwoordelijkheid

In recente gesprekken met CISO’s en andere securityverantwoordelijken wordt duidelijk wat de operationele gevolgen zijn van de uitbreiding van NIS2 in sectoren en verplichtingen. Organisaties die voorheen opereerden onder commerciële IT-richtlijnen krijgen nu te maken met compliance-eisen die eerder waren voorbehouden aan systemen en infrastructuur van nationaal belang. Naast de uitbreiding naar meer industriële sectoren vereist de nieuwe regelgeving bovendien een integrale risicoaanpak voor de hele organisatie. Daarmee wordt de verantwoordelijkheid van de CISO aanzienlijk breder dan het traditionele beheer van IT-risico’s.

Het mandaat verschuift daarmee van het voorkomen van incidenten naar aantoonbaar en gedocumenteerd weerbaarheidsbeleid. Daaronder vallen onder meer:

• Controle van de toeleveringsketen
  Artikel 21 van NIS2 verplicht organisaties om beveiligingsrisico’s binnen hun directe toeleveringsketens te beheersen.
• Strikte meldingsverplichtingen
  Organisaties moeten voldoen aan een gefaseerd mechanisme voor het melden van incidenten.
• Directe verantwoordelijkheid van het bestuur
  Artikel 32 legt directe toezichtverantwoordelijkheden bij bestuursorganen. Bestuurders zijn daarmee verantwoordelijk voor het goedkeuren van maatregelen voor cybersecurityrisico’s en moeten verplichte cybersecuritytraining volgen.

Architectuur voor de bescherming van CNI

Het aanpakken van de uitgebreidere CNI-reikwijdte vraagt om een verschuiving van versnipperde point solutions naar geïntegreerde securityarchitecturen met een lage latency. Waar IT-netwerken verbinding maken met OT- en industriële controlesystemen, mogen beveiligingsmaatregelen geen extra vertraging veroorzaken in fysieke processen.

Het operationaliseren van CNI-cybersecurity draait daarom om drie essentiële capaciteiten: geconvergeerde IT/OT-telemetrie, geautomatiseerde incidentbeheersing en meetbare weerbaarheidsresultaten.

• Geconvergeerde IT/OT-telemetrie betekent dat organisaties één geïntegreerd overzicht creëren van administratieve IT-systemen, externe toegangspunten en SCADA/ICS-lagen. Zo kan laterale beweging worden gedetecteerd voordat fysieke processen worden geraakt. Dit is van groot belang, omdat de afgelopen tien jaar hebben laten zien dat veel industriële sectoren onvoldoende voorbereid zijn op OT-security. Waar OT voorheen als ‘veilig’ werd beschouwd omdat systemen bijvoorbeeld air-gapped waren of zeer veel moeite kostten om binnen te dringen (zoals bij Stuxnet) is de realiteit inmiddels anders. Kwetsbaarheden in OT kunnen vandaag de dag rechtstreeks gevolgen hebben voor mensenlevens en veiligheid.

• Geautomatiseerde incidentbeheersing betekent dat organisaties geautomatiseerde Security Operations inzetten om Indicators of Compromise te analyseren, dreigingsinformatie te correleren en binnen enkele minuten microsegmentatiebeleid uit te voeren. Daarmee kunnen organisaties voldoen aan de rapportagedrempels van 24 uur.

Daarnaast helpt het invoeren van meetbare weerbaarheidsresultaten om verschillende onderdelen van de securitystack samen te brengen in architecturen met één besturingssysteem. Dit vermindert de administratieve belasting en de complexiteit van het beheer.

Een uniforme architectuur wordt noodzakelijk

Wetgevers hebben de uitgebreide NIS2-richtlijn voorzien van de nodige tanden om serieuze cybersecurityhygiëne in kritieke sectoren af te dwingen. Om deze uitgebreidere verantwoordelijkheid te dragen zonder teams te overbelasten, moeten organisaties de operationele complexiteit terugdringen. Dat betekent dat we afscheid moeten nemen van versnipperde tools en moeten toewerken naar een uniforme architectuur. Deze ontwikkeling vereist bovendien een verandering in vaardigheden: van uitsluitend technologiekennis naar meer aandacht voor processen en organisatie, waarbij de integrale risicoaanpak voor de hele onderneming centraal staat.

Technologische kennis blijft essentieel en vraagt om aanzienlijke uitbreiding op gebieden als OT en AI. Tegelijkertijd wordt kennis van processen en de organisatie steeds belangrijker. Ook crisismanagement mag daarbij niet worden vergeten. Onder de nieuwe regelgeving moeten organisaties hun paraatheid aantoonbaar maken door regelmatig oefeningen en tests uit te voeren. CISO’s en bestuursleden zitten daarbij in hetzelfde schuitje en dragen gezamenlijk verantwoordelijkheid. Voor CISO’s wordt het daarom steeds belangrijker dat ook het bestuur goed is voorbereid.

Auteurs kennisbijdrage: Alain Sanchez, EMEA CISO bij Fortinet, en dr. Wolfgang Bitomsky, CIO van FCC en lid van de NIS2-commissie.