NIS2 voor kleine bedrijven: val je er echt onder?

Korte versie: NIS2 raakt je als je actief bent in een van de genoemde sectoren en je minstens een middelgroot bedrijf bent, wat in de praktijk 50 of meer medewerkers betekent. Er is een tweede ingang, en die treft juist kleine teams: een paar categorieën vallen eronder ongeacht hun omvang, inclusief een internetaanbieder van twee man. En het punt dat bijna iedereen in het begin verkeerd heeft: de richtlijn zelf bindt je niet. De versie van jouw land doet dat, en die nationale wetten verschillen in deadlines, registers en toezichthouders.

Dat laatste is precies waarom algemeen NIS2-advies uit elkaar valt op het moment dat het nuttig zou worden. Dit is de scopetest, in onze volgorde.

De richtlijn is niet de wet die je moet volgen

NIS2 is Richtlijn (EU) 2022/2555. Een richtlijn vertelt lidstaten wat ze moeten regelen. Het is niets waar je je rechtstreeks aan houdt. Elk EU-land schrijft zijn eigen omzetting, en die nationale wet is wat een toezichthouder tegen je handhaaft. De omzettingsdeadline uit de richtlijn is al verstreken, en landen zijn sindsdien heel verschillend opgeschoten.

Voor een klein bedrijf betekent dat drie praktische dingen:

• De beveiligingsmaatregelen zijn overal vrijwel identiek, omdat ze allemaal uit artikel 21 van de richtlijn komen.
• Alles procedureels is nationaal: bij welk register je je meldt, wie je toezichthouder is, welke instantie een incidentmelding ontvangt, wat de boetemaxima zijn.
• Verschillende landen hebben de sectorlijst uitgebreid voorbij het minimum van de richtlijn, dus "we hebben de EU-bijlagen gelezen en we vallen erbuiten" is geen volledig antwoord.

Begin bij de wet van je eigen land. Kun je die niet vinden, dan zegt dat op zichzelf iets nuttigs over hoe ver jouw lidstaat is.

De scopetest in twee delen

Deel een: je sector

NIS2 verdeelt organisaties over twee bijlagen. Bijlage I bevat de sectoren van hoge kritikaliteit: energie, vervoer, bankwezen, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten (business to business), overheid en ruimtevaart. Bijlage II bevat andere kritieke sectoren: post- en koeriersdiensten, afvalstoffenbeheer, chemie, levensmiddelen, vervaardiging van bepaalde producten, digitale aanbieders en onderzoek.

Twee items op die lijst raken veel meer softwarebedrijven dan oprichters verwachten. Digitale infrastructuur omvat aanbieders van cloudcomputingdiensten, aanbieders van datacenterdiensten, content delivery networks, DNS-dienstverleners en registers voor topleveldomeinnamen. Beheer van ICT-diensten dekt managed service providers en managed security service providers. Draai je infrastructuur voor andere bedrijven, lees die definities dan serieus in plaats van aan te nemen dat alleen hyperscalers bedoeld worden.

Deel twee: je omvang

Zit je in een genoemde sector, dan beslist omvang. NIS2 leent de EU-definitie van een middelgrote onderneming, dus de werkbare lezing is: 50 of meer medewerkers, of jaaromzet en balanstotaal allebei boven 10 miljoen euro. Daaronder val je er meestal buiten.

Meestal. Wat ons bij het deel brengt dat voor de lezers van deze blog het meest uitmaakt.

De uitzonderingen die piepkleine bedrijven raken

Omvang is niet de hele test. Sommige organisaties vallen eronder hoe klein ze ook zijn, en de richtlijn noemt ze met naam:

• aanbieders van openbare elektronischecommunicatienetwerken of van openbaar beschikbare elektronischecommunicatiediensten
• verleners van vertrouwensdiensten
• registers voor topleveldomeinnamen en DNS-dienstverleners

Een eenmans-internetaanbieder valt eronder. Een verlener van vertrouwensdiensten met twee man ook. Hier is geen ondergrens.

Buiten die lijst kan een lidstaat je individueel aanwijzen: als je in dat land de enige aanbieder bent van een dienst die essentieel is voor kritieke maatschappelijke of economische activiteiten, als verstoring van je dienst de openbare veiligheid of gezondheid aanzienlijk kan raken, of als je kritiek wordt geacht vanwege je specifieke belang op nationaal of regionaal niveau. Overheidsentiteiten regelt elk land apart.

De eerlijke versie van de omvangregel is dus: onder de drempel val je er waarschijnlijk buiten, tenzij je in een van de genoemde categorieën zonder ondergrens zit, of je nationale wet verder reikt dan het minimum van de richtlijn.

Essentieel of belangrijk: wat verandert er echt?

Organisaties binnen de scope worden ingedeeld als essentiële of belangrijke entiteiten, vooral op sector en omvang. Het loont om precies te zijn over wat dat onderscheid doet.

Aan je beveiligingsverplichtingen verandert het nauwelijks iets. Beide klassen werken met dezelfde maatregelen uit artikel 21.

Wat wel verandert, is het toezicht. Essentiële entiteiten krijgen proactief toezicht, een toezichthouder kan dus inspecteren en auditen voordat er iets is misgegaan. Belangrijke entiteiten krijgen reactief toezicht: de aandacht komt na een incident of na een geloofwaardig signaal dat je niet voldoet. Ook de maximale boetes verschillen tussen de klassen, met de plafonds in nationale wetgeving.

Land je in de categorie belangrijk in plaats van essentieel, dan is het werk hetzelfde. Het verschil is wie er aanklopt, en wanneer.

Wat je deze week doet als je denkt eronder te vallen

1. Zoek je nationale wet op, niet de richtlijn. Deadlines, registratieplichten en de ontvangende instantie staan daar.
2. Check de registratieplicht als eerste. Verschillende categorieën digitale aanbieders moeten zich registreren bij een nationale instantie, en registratie is een aparte verplichting naast de beveiligingsmaatregelen. Het is meestal ook de plicht met de hardste datum.
3. Lees artikel 21 één keer goed. Tien maatregelgebieden: risicoanalyse en beleid voor de beveiliging van informatiesystemen, incidentbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij verwerving en ontwikkeling en onderhoud inclusief kwetsbaarhedenbeheer, procedures om te toetsen of je maatregelen echt werken, cyberhygiëne en training, cryptografie, personeelsbeveiliging met toegangsbeheer en assetmanagement, en multifactorauthenticatie met beveiligde communicatie waar passend.
4. Let op de bestuursplicht. Artikel 20 verplicht bestuursorganen de risicobeheermaatregelen goed te keuren en toezicht te houden op de uitvoering, en vraagt van hen dat ze training volgen. Dat is een persoon met een naam, geen afdeling.
5. Inventariseer wat je al hebt. Heb je aan bijlage A van ISO 27001 gewerkt, dan zit een groot deel van artikel 21 al onder andere namen in je ISMS.

Dat laatste punt verdient een eigen artikel, en dat komt in deze reeks.

Waar wij staan met NIS2, eerlijk

We bouwen compliancetooling voor kleine teams, dus het nuttigste dat we kunnen vertellen is precies wat we ondersteunen, niet een marketingclaim.

Onze NIS2-ondersteuning is early access en zetten we per account aan na een gesprek. We zijn begonnen met de Poolse omzetting, omdat daar onze eerste design partners zitten, en we hebben hem in het Pools gebouwd. De maatregelencatalogus is algemeen ten opzichte van de wet en past dus bij elke organisatie die vanuit artikel 21 werkt. De scopeclassifier niet: die codeert nu de Poolse regels voor aanbieders van elektronische communicatie, wat betekent dat hij goed antwoordt voor een Poolse ISP en helemaal niet voor een Poolse fabrikant.

Dat zeggen we liever meteen dan dat je er na het aanmelden achterkomt. Heb je een ander land nodig, zeg welk, dan krijg je een echt antwoord over timing in plaats van een misschien.

Onze eigen route liep eerst via ISO. We hebben AuditBadger met AuditBadger gecertificeerd, SOC 2® Type II, zonder externe consultants, en het ISMS daaronder is de reden dat een gesprek over artikel 21 kort blijft. Zit je daar nog voor, dan is de slanke versie van governance, risk en compliance een betere eerste lezing dan welke richtlijn ook. En twijfel je nog welk raamwerk eerst komt: SOC 2 of ISO 27001 is de splitsing waar kleine teams ruim voor NIS2 tegenaan lopen.

Meer over de tien maatregelen, de meldtermijnen en wat er uit ISO meekomt op onze NIS2-pagina.