De NIS1 directive stamt uit 2016 maar de implementatie liet te wensen over. De directive is vertaald naar de Wet Beveiliging Netwerk- en Informatiesystemen (Wbni, 2018) in Nederland met daarin aandacht voor meldplicht en zorgplicht. Het EU-bedrijfsleven is echter niet weerbaar genoeg gebleken voor de toegenomen cyberdreigingen en bovendien is de weerbaarheid ongelijk verdeeld over lidstaten en sectoren. Ook bleek dat er geen gezamenlijk beeld bestaat over de bedreigingen en uitdagingen voor de EU.
Daarom is de NIS-2 richtlijn ontwikkeld welke in januari 2023 in werking is getreden, met daarin meer aandacht voor:
- zorgplicht
- registratieplicht
- meldplicht
- toezicht
NIS2 uitgebreid naar meer sectoren dan NIS1
Bovendien vallen veel meer sectoren vallen onder NIS2 dan voorheen met NIS1, en de update dwingt organisaties tevens tot dialoog met leveranciers. Onderstaande tabel geeft een overzicht van de sectoren die onder NIS2 zullen vallen:
|
Sectoren bijlage 1 |
Sectoren bijlage 2 |
|
|
NIS2 maakt onderscheid tussen ‘essentiële’ en ‘belangrijke’ organisaties: belangrijke organisaties krijgen te maken met minder strenge regelgeving dan essentiële organisaties. Klik hier voor meer details over de verschillen tussen essentiële en belangrijke organisaties.
Lidstaten hebben tot oktober 2024 om deze richtlijn om te zetten in nationale wetgeving wat voor Nederland neerkomt op een update van de Wbni uit 2018. Voor meer informatie over NIS2 en de impact daarvan op organisaties klik hier.
Perspectief Europa
Op Europees niveau zal NIS2 bijdragen aan het versterken van het Europese Computer Security Incident Response Team (CSIRT) netwerk en de inrichting van een competent nationaal netwerk en information systems autoriteit in alle lidstaten. Tevens zal NIS2 moeten bijdragen aan betere informatie-uitwisseling tussen lidstaten en een ‘cultuur van veiligheid’ creëren voor vitale sectoren zoals energie, mobiliteit en gezondheidszorg.
Daarnaast wordt in Europa gewerkt aan de Cyber Resilience Act (CRA) en de Cyber Solidarity Act (CSA).
- De CRA zal borgen dat fabrikanten de beveiliging van producten met digitale elementen verbeteren en heeft tot doel dat bedrijven en consumenten vervolgens in staat zijn om deze producten veilig te gebruiken en betere keuzes kunnen maken tussen deze producten. Het gaat dan ook vooral om een transparantieslag die gemaakt moet worden.
- De CSA behelst een noodfonds voor nationale overheden bij grote incidenten (€ 1,1 miljard) en de oprichting van een pan-Europese infrastructuur van nationale en grensoverschrijdende Security Operation Centres (SOC’s).