NIS2 is de Europese richtlijn voor netwerk- en informatiebeveiliging die de oorspronkelijke NIS-richtlijn uit 2016 vervangt. Twee dingen veranderen fundamenteel: de kring van organisaties die eronder valt wordt aanzienlijk groter, en de vrijblijvendheid verdwijnt.

Let op de actuele stand van zaken. De richtlijn moest door lidstaten in nationale wetgeving worden omgezet. In Nederland gebeurt dat via de Cyberbeveiligingswet. Het tempo van die omzetting en de exacte inwerkingtreding zijn in beweging geweest. Controleer de huidige status bij een betrouwbare bron voordat u planningen op een specifieke datum baseert — dit artikel gaat over de inhoudelijke eisen, niet over deadlines.

Voor wie geldt het?

NIS2 onderscheidt essentiële en belangrijke entiteiten. Onder de eerste categorie vallen sectoren als energie, drinkwater, transport, gezondheidszorg, digitale infrastructuur en overheid. De tweede categorie omvat onder meer post- en koeriersdiensten, afvalbeheer, chemie, levensmiddelen, digitale aanbieders en bepaalde maakindustrie.

Het verschil zit vooral in het toezicht: bij essentiële entiteiten kan de toezichthouder proactief controleren, bij belangrijke entiteiten gebeurt dat doorgaans naar aanleiding van een signaal. De inhoudelijke zorgplicht is grotendeels gelijk.

Er is nog een route die veel organisaties over het hoofd zien. Valt u zelf niet onder NIS2, maar levert u aan een organisatie die er wél onder valt, dan bereiken de eisen u alsnog — via de keten. Uw opdrachtgever moet zijn leveranciersrisico beheersen en zal die verplichting contractueel bij u neerleggen.

Waarom toegangsbeheer centraal staat

NIS2 schrijft geen producten voor. De richtlijn benoemt risicobeheersmaatregelen die een organisatie moet treffen, en toegangsbeheer komt daarin op meerdere plaatsen terug: beleid voor toegangscontrole, beheer van bedrijfsmiddelen, personeelsbeveiliging, en het gebruik van multifactorauthenticatie.

Dat is geen willekeurige keuze. Bij het overgrote deel van de incidenten die tot een meldplicht leiden, speelt toegang een rol: een overgenomen account, een te ruim bemeten rechtenpakket, of een beheerdersaccount dat via een gewone werkplek bereikbaar was.

Wat betekent dit concreet?

Multifactorauthenticatie, ook op de plekken die u liever overslaat

MFA op e-mail is inmiddels gangbaar. De uitzonderingen zijn het probleem: de directie die het te omslachtig vindt, de beheerdersaccounts waar het "niet kan", de externe partij die via een gedeeld account werkt. Juist die uitzonderingen zijn de aantrekkelijkste doelwitten, omdat ze doorgaans de meeste rechten hebben.

Beheerdersrechten scheiden van dagelijks werk

Een beheerder die met hetzelfde account e-mail leest én de omgeving beheert, is één phishing-klik verwijderd van een volledige compromittering. NIS2 dwingt niet expliciet tot aparte beheeraccounts, maar een risicoanalyse die deze situatie accepteert, is lastig te verdedigen tegenover een toezichthouder.

Aantoonbaarheid, niet alleen uitvoering

Dit is de grootste verschuiving. Het is niet voldoende dat uw toegangsbeheer op orde is — u moet kunnen laten zien dat het op orde is. Wie heeft wanneer welke toegang gekregen, wie heeft dat goedgekeurd, en wanneer is dat voor het laatst gecontroleerd?

Organisaties die toegang beheren via e-mailverzoeken en handmatige handelingen komen hier in de knel. Niet omdat hun beveiliging per se slecht is, maar omdat ze het niet kunnen bewijzen. Een toezichthouder die om het bewijs vraagt, neemt geen genoegen met de mededeling dat het proces bestaat.

Periodieke controle van rechten

Access reviews verschuiven van goed gebruik naar noodzaak. Bij elke review hoort een vastlegging: wie heeft beoordeeld, wat is er ingetrokken, en wat is er gebeurd met de bevindingen. Een review zonder opvolging is administratie, geen beheersmaatregel.

Bestuurders zijn persoonlijk aanspreekbaar

NIS2 legt de verantwoordelijkheid voor het goedkeuren van en toezien op de risicobeheersmaatregelen expliciet bij het bestuur. Bestuurders moeten daarnaast scholing volgen op dit terrein. Cyberbeveiliging is daarmee formeel een bestuursverantwoordelijkheid geworden, niet iets dat volledig aan IT kan worden gedelegeerd.

Praktisch gevolg: uw IAM-programma heeft een opdrachtgever op bestuursniveau nodig. Dat is geen formaliteit, maar de reden dat zulke trajecten wél of niet slagen — toegangsbeheer raakt HR, inkoop en de business, en zonder mandaat op dat niveau stokt het bij de eerste afdeling die niet wil meewerken.

Meldplicht binnen 24 uur

Bij een significant incident geldt een gefaseerde meldplicht: een eerste melding binnen 24 uur, gevolgd door een uitgebreidere melding binnen 72 uur en een eindrapportage daarna.

Die eerste 24 uur zijn kort. U moet dan al kunnen vaststellen welke accounts betrokken zijn en waar die bij konden. Zonder actueel overzicht van rechten is die vraag in 24 uur niet te beantwoorden. Uw incidentresponse is in dit opzicht niet sterker dan uw toegangsadministratie.

Een werkbare volgorde

  1. Stel vast of en hoe u onder de richtlijn valt — rechtstreeks of via de keten. Leg die analyse vast; de vraag komt terug.
  2. Inventariseer uw geprivilegieerde accounts. Beheerders en serviceaccounts eerst. Klein in aantal, groot in risico.
  3. Sluit de MFA-uitzonderingen. Begin bij de accounts met de meeste rechten, niet bij de grootste groep gebruikers.
  4. Richt access reviews in met vastlegging. Liever twee keer per jaar met bewijs dan maandelijks zonder.
  5. Automatiseer wat u niet kunt volhouden. Handmatige processen overleven de eerste drukke periode niet.

NIS2 vraagt in de kern niets exotisch. Het zijn maatregelen die een zorgvuldige organisatie sowieso zou treffen. Het verschil is dat vrijblijvendheid eraf gaat, en dat u het moet kunnen aantonen. Wie zijn toegangsbeheer op orde heeft, heeft het grootste deel van het werk al gedaan.