Sinds de Europese NIS2-richtlijn in beeld kwam, krijgen wij er met enige regelmaat vragen over. Meestal in deze vorm: “Ik kreeg een mail van een leverancier over NIS2 en nu weet ik niet of ik iets moet.” Dat is een terechte vraag, want rond nis2 voor het mkb wordt behoorlijk wat verkocht dat lang niet voor iedereen nodig is.

Vooraf, en dat is geen formaliteit: wij zijn geen juristen. Dit artikel legt uit hoe de richtlijn ruwweg in elkaar zit en wat hij betekent voor het beheer van een website. Voor de vraag of uw specifieke bedrijf eronder valt, hoort u een jurist of uw branchevereniging te raadplegen, zeker omdat de Nederlandse invulling en de invoeringsdatum in beweging zijn geweest.

Wat de richtlijn wil bereiken

NIS2 is de opvolger van een eerdere Europese richtlijn over netwerk- en informatiebeveiliging. Het idee erachter is simpel: organisaties die belangrijk zijn voor de samenleving of voor de economie, moeten hun digitale beveiliging op orde hebben en incidenten melden. De vorige versie gold voor een kleine groep; NIS2 breidt die groep flink uit.

Belangrijk om te weten: het gaat niet primair over websites. NIS2 gaat over de beveiliging van uw hele bedrijfsvoering, van uw netwerk en uw leveranciers tot uw herstelvermogen. Uw website is daar een onderdeel van, meestal een klein onderdeel, maar wel een zichtbaar onderdeel.

Voor wie hij ruwweg geldt

De richtlijn kijkt naar twee dingen tegelijk: de sector waarin u werkt en de omvang van uw bedrijf. Sectoren die genoemd worden zijn onder andere energie, transport, drinkwater en afvalwater, digitale infrastructuur, gezondheidszorg, overheid, post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, productie van bepaalde apparatuur, en digitale aanbieders zoals datacenters en beheerde ICT-dienstverleners.

Daarnaast speelt de omvang mee. In grote lijnen gaat het om organisaties vanaf ongeveer vijftig medewerkers of een jaaromzet vanaf ongeveer tien miljoen euro. Kleinere organisaties vallen er in principe buiten, met uitzonderingen voor partijen die een sleutelrol vervullen.

Dat betekent dat de meeste installatiebedrijven, adviesbureaus, webshops en praktijken er rechtstreeks buiten vallen. Rechtstreeks is hier het sleutelwoord, want er is een tweede route die veel meer bedrijven raakt.

De ketenroute: waarom u er toch mee te maken krijgt

NIS2 verplicht de organisaties die er wel onder vallen om ook naar hun leveranciers te kijken. Levert u aan een ziekenhuis, een netbeheerder, een gemeente of een grote logistieke partij, dan is de kans reëel dat u een vragenlijst krijgt. Niet omdat u onder de wet valt, maar omdat uw klant moet kunnen aantonen dat zijn keten in orde is.

In de praktijk komt dat neer op vragen als: heeft u een beleid voor updates, hoe gaat u om met incidenten, wie heeft toegang tot welke systemen, en hoe snel kunt u herstellen na uitval. Kunt u die vragen niet beantwoorden, dan wordt u een risico in hun overzicht, en dat kan bij een aanbesteding zwaar wegen.

Dit is voor het mkb de belangrijkste reden om er iets mee te doen. Niet uit angst voor een boete die waarschijnlijk niet voor u geldt, maar omdat uw grote klanten het gaan vragen.

Wat het betekent voor uw website

Beperkt tot het stuk waar wij verstand van hebben: welke onderdelen van uw online omgeving komen in zulke vragenlijsten terug?

  • Actuele software. Kunt u aantonen dat updates structureel worden uitgevoerd, en niet alleen als er iets kapotgaat? Een maandrapportage is hier het simpelste bewijs.
  • Toegangsbeheer. Wie heeft beheerdersrechten, hoe worden accounts van vertrokken medewerkers ingetrokken, en staat er tweestapsverificatie op.
  • Back-up en herstel. Niet alleen dát u back-ups heeft, maar ook hoe lang een herstel duurt en wanneer u dat voor het laatst heeft getest.
  • Incidentafhandeling. Wie wordt gewaarschuwd, binnen welke termijn, en wie beslist. Hiervoor volstaat vaak een noodplan van één pagina.
  • Logging. Kunt u achteraf zien wie wat wanneer heeft gedaan.
  • Leveranciers. Welke partijen hebben toegang tot uw omgeving, en wat is daarover afgesproken.

Opvallend is dat dit vrijwel volledig samenvalt met wat een fatsoenlijk beheerde website sowieso hoort te hebben. NIS2 vraagt hier weinig nieuws; het vraagt vooral of u het kunt laten zien.

Wat u nu kunt doen zonder geld uit te geven

  1. Bepaal eerst of u er echt onder valt. Er zijn openbare zelfscans van de Rijksoverheid waarmee u dat in tien minuten kunt inschatten. Doe dat voordat u met een adviseur in gesprek gaat.
  2. Vraag uw grootste klanten of zij iets van u verwachten. Dat gesprek levert meer op dan speculeren.
  3. Zet op papier wat u al doet. Updates, back-ups, wachtwoordbeleid, toegangsrechten. In veel bedrijven gebeurt het wel maar staat het nergens, en dat is precies wat er wordt gevraagd.
  4. Ruim de toegangsrechten op. Oude accounts van bureaus en medewerkers zijn het vaakst genoemde losse eind; hoe u dat aanpakt staat bij het intrekken van toegang na een vertrek.
  5. Test één keer een herstel. Zolang u nooit heeft teruggezet, weet u niet of uw back-up bruikbaar is.

Wat u niet hoeft te doen: instappen op een duur certificeringstraject omdat een verkoper zegt dat het moet. Voor een bedrijf dat er niet onder valt, is dat weggegooid geld.

Nuchter blijven

Er wordt op dit onderwerp behoorlijk met angst gewerkt. Mails met bedragen aan mogelijke boetes, gevolgd door een aanbod voor een abonnement. Het klopt dat de boetes in de richtlijn fors zijn, maar die gelden voor de organisaties die eronder vallen, en dat is een duidelijk afgebakende groep.

De redelijke houding voor de meeste ondernemers: ga ervan uit dat u er waarschijnlijk niet rechtstreeks onder valt, maar dat uw klanten steeds vaker vragen zullen stellen. Zorg dat u die vragen kunt beantwoorden met feiten in plaats van met goede bedoelingen.

Voor het onderdeel website betekent dat: aantoonbaar bijgewerkte software, geregeld toegangsbeheer en een geteste back-up. Dat is precies wat er bij structurele bescherming en bewaking van uw site bij hoort, en het is toevallig ook gewoon verstandig beleid, ongeacht welke richtlijn er van kracht wordt.

Concrete volgende stap: doe de zelfscan van de Rijksoverheid en noteer de uitkomst. Weet u binnen een kwartier of dit u aangaat, dan bespaart dat u een hoop mailtjes van partijen die dat graag voor u invullen.