NIS 2-richtlijn

Voor een medewerker betekent NIS 2 vooral duidelijkere interne regels, in Frankrijk zodra de omzettingswet van kracht is. Artikel 21 vraagt dat elke betrokken entiteit een minimale lijst maatregelen neemt, waaronder basispraktijken voor cyberhygiëne, opleiding in cyberbeveiliging, beleid voor toegangsbeheer en, naargelang de behoefte, meerfactorauthenticatie¹. Artikel 20 vraagt de lidstaten bovendien om entiteiten aan te moedigen hun personeel regelmatig op te leiden, zodat iedereen risico's kan herkennen en beveiligingspraktijken kan beoordelen¹.

Het punt dat het meest van u afhangt, is het doorgeven van incidenten. De richtlijn vraagt dat een entiteit binnen 24 uur nadat ze kennis heeft genomen van een significant incident een vroegtijdige waarschuwing stuurt aan het CSIRT of de bevoegde autoriteit, daarna binnen 72 uur een incidentmelding en binnen een maand daarna een eindverslag¹. Deze termijnen hebben geen zin als de informatie onderweg blijft steken. Een verdachte e-mail die op maandag is geopend en op donderdag wordt gemeld, betekent drie dagen waarin een aanvaller kon doorgaan zonder dat iemand naar hem zocht.

In de zin van de richtlijn is een incident “significant” als het ernstige verstoring van de diensten of financiële verliezen voor de entiteit veroorzaakt of kan veroorzaken, of aanzienlijke schade aan andere personen¹. De beoordeling is aan het beveiligingsteam; uw rol is melden. Als het incident persoonsgegevens raakt, voegt de AVG een eigen verplichting toe: de CNIL uiterlijk 72 uur na een inbreuk die een risico voor personen inhoudt op de hoogte brengen⁴. Het artikel over de AVG beschrijft deze procedure in detail.

In het Brain-programma komt deze handeling overeen met de reflex “Elk beveiligingsincident melden aan het cybersecurityteam”. Meld ook uw eigen fouten, bijvoorbeeld een ongelukkige klik: zonder uw melding hoort het beveiligingsteam misschien nooit dat er een aanval is begonnen. Het artikel over de bestraffingscultuur legt uit waarom angst voor straf mensen ertoe brengt incidenten te verbergen.

NIS 2 legt cyberbeveiliging op het niveau van de bestuursorganen. De richtlijn vraagt dat zij de maatregelen voor risicobeheer goedkeuren en toezien op de uitvoering ervan, dat zij aansprakelijk kunnen worden gesteld als de entiteit deze verplichtingen schendt, en dat hun leden een opleiding volgen¹. In Frankrijk gelden deze verplichtingen zodra de omzettingswet van kracht is.

Voor boetes moeten de lidstaten een maximum voorzien van ten minste 10 miljoen euro of 2 % van de wereldwijde jaaromzet, waarbij het hoogste bedrag geldt, wanneer een essentiële entiteit haar beveiligings- of meldplichten niet nakomt. Voor een belangrijke entiteit bedraagt dat maximum ten minste 7 miljoen euro of 1,4 %¹. Bij een essentiële entiteit die haar tekortkomingen ondanks de bevelen van de autoriteit niet herstelt, staat de richtlijn de autoriteit ook toe te vragen dat een persoon met leidinggevende verantwoordelijkheid, op het niveau van algemeen directeur of wettelijk vertegenwoordiger, tijdelijk wordt verboden deze verantwoordelijkheden in de entiteit uit te oefenen¹.

De beveiliging van de toeleveringsketen behoort tot de maatregelen die de richtlijn vereist, ook de relaties met rechtstreekse leveranciers en dienstverleners¹: het artikel over de beoordeling van leveranciersrisico gaat daar volledig over. Om organisaties te helpen heeft de ANSSI een werkversie gepubliceerd van haar Référentiel Cyber France (ReCyF), die de maatregelen opsomt die ze aanbeveelt om de beveiligingsdoelstellingen van NIS 2 te halen². Met een crisisoefening aan tafel kunt u vóór een echt incident nagaan of de waarschuwing binnen 24 uur kan vertrekken.

De richtlijn is op 27 december 2022 gepubliceerd in het Publicatieblad van de Europese Unie. De lidstaten moesten ze uiterlijk op 17 oktober 2024 omzetten en vanaf 18 oktober 2024 toepassen, de datum waarop de NIS-richtlijn van 2016 werd ingetrokken¹. Ze moesten ook uiterlijk op 17 april 2025 de lijst opstellen van hun essentiële en belangrijke entiteiten¹.

Artikel 21 stelt een minimale lijst maatregelen vast, gebaseerd op een aanpak die “alle risico's” omvat¹:

• risicoanalyse en beveiligingsbeleid voor informatiesystemen;
• incidentafhandeling;
• bedrijfscontinuïteit, back-ups en crisisbeheer;
• beveiliging van de toeleveringsketen;
• beveiliging bij de verwerving, ontwikkeling en het onderhoud van netwerken en informatiesystemen, met inbegrip van de afhandeling en openbaarmaking van kwetsbaarheden;
• beoordeling van de doeltreffendheid van de maatregelen;
• basiscyberhygiëne en opleiding in cyberbeveiliging;
• cryptografie en, waar passend, versleuteling;
• beveiliging van personeel, toegangsbeheer en beheer van activa;
• meerfactorauthenticatie en beveiligde communicatie, naargelang de behoefte.

Artikel 23 stelt het tijdschema vast voor het melden van een significant incident¹:

Termijnen gerekend vanaf het moment waarop de entiteit kennisneemt van het significante incident
24 uur         vroegtijdige waarschuwing aan het CSIRT of de bevoegde autoriteit
72 uur         incidentmelding, met een eerste beoordeling van ernst en impact
op verzoek     tussentijds verslag
1 maand        eindverslag, gerekend vanaf de incidentmelding

De Europese Commissie stuurde op 28 november 2024 aanmaningsbrieven en op 7 mei 2025 met redenen omklede adviezen. Op 8 juli 2026 stapte ze naar het Hof van Justitie van de Europese Unie tegen Ierland, Spanje, Frankrijk en Nederland, en vroeg ze om een forfaitaire som en dagelijkse dwangsommen tot de omzetting volledig is⁵.

In Frankrijk loopt de omzetting via het wetsontwerp over de veerkracht van kritieke infrastructuur en de versterking van de cyberbeveiliging. In de ingediende versie verwijst titel II, gewijd aan cyberbeveiliging, naar richtlijn (EU) 2022/2555 en definieert die de essentiële en belangrijke entiteiten, met bijvoorbeeld een drempel van ten minste 50 werknemers voor een belangrijke entiteit⁶. De regering diende het op 15 oktober 2024 in bij de Senaat, volgens de versnelde procedure, en de Senaat nam het op 12 maart 2025 aan. De bijzondere commissie van de Assemblée nationale diende haar tekst op 10 september 2025 in⁷. De Conférence des présidents van de Assemblée had het wetsontwerp geagendeerd voor de zittingen van 7 en 9 oktober 2026⁸ en haalde het er op 6 oktober 2026 weer af, zonder nieuwe datum vast te stellen⁹. Op de datum van raadpleging vermeldt het wetgevingsdossier geen behandeling in openbare zitting van de Assemblée⁷.

Intussen roept de ANSSI de toekomstige essentiële en belangrijke entiteiten op hun beveiligingsniveau nu al te versterken, en geeft ze aan dat haar referentiekader ReCyF kan worden aangepast naarmate de parlementaire debatten vorderen².