NIS2: het gras is altijd groener bij de buren

Onder dit mom volgt CGI de ontwikkelingen op het gebied van NIS2 op de voet, in zowel Nederland, België als Duitsland. Zo heeft het Belgische Centrum voor Cybersecurity (CCB) reeds een framework gepubliceerd met concrete en praktische veiligheidsdoelstellingen voor organisaties. Later dit jaar komt er een platform om het aanbod van adviezen en dreigingsinformatie vanuit het CCB te stroomlijnen.

In Nederland heeft het Nationaal Cyber Security Centrum (NCSC) basismaatregelen gepubliceerd om organisaties te helpen beschermen tegen cyberaanvallen. Recentelijk is ook een tool geïntroduceerd waarmee organisaties kunnen verifiëren of ze onder de NIS2-richtlijn vallen en, zo ja, of ze als essentieel of belangrijk worden beschouwd.

In deze blog zal ik dieper ingaan op wat we kunnen leren van deze instrumenten en welke informatie we tot dusver hebben, elf maanden na de publicatie van de NIS2-richtlijn door de Europese Commissie.

Update over de NIS2 in Nederland

Sinds mijn laatste NIS2 blog zijn er op verschillende vlakken significante veranderingen opgetreden en zijn er nieuwe informatie en updates beschikbaar gekomen. Deze ontwikkelingen werpen een nieuw licht op wat de Nederlandse overheid als cruciaal beschouwt om te voldoen aan NIS2. De internetconsultatie van de Nederlandse overheid over dit onderwerp heeft nog niet plaatsgevonden, maar staat nu gepland voor begin 2024.

Het is van belang dat organisaties passende en evenredige technische, operationele en organisatorische maatregelen nemen om de risico’s voor de beveiliging van hun netwerk- en informatiesystemen (IT en OT diensten) te beheren. ‘Passend’ houdt kortgezegd in dat de entiteiten een risicoanalyse moeten uitvoeren en op basis hiervan de risico’s moeten mitigeren en aanpakken. ‘Evenredig’ gaat om de proportionaliteit van de maatregelen tot risico’s. De Nederlandse overheid heeft aangegeven dat zij van plan is deze aanpak te gebruiken bij het uitvoeren van het toezicht.

Het Digital Trust Center (DTC) heeft een vierstappenplan gemaakt voor een risicoanalyse:

1. Bepaal wat je wil  beschermen
2. Identificeer de risico’s en maak scenario’s, bijvoorbeeld voor Ransomware of een datalek
3. Analyseer de gevonden risico’s, bereken het risico (kans x impact) en bepaal wat aanvaardbaar is.
4. Besluit wat je gaat doen, accepteren van het risico, oplossen door het beperken en uitsluiten van het risico, overdragen van het risico naar, bijvoorbeeld, de verzekering, of stoppen met de activiteit omdat het risico te groot is.

Uit een webinar van Economische Zaken en Klimaat (EZK) blijkt dat ‘cybersecurity een randvoorwaarde voor beleidsvorming wordt’ en dat er een grote verandering gaat plaatsvinden op het gebied van de keten, want een ‘cyberweerbare keten is zo sterk als de zwakste schakel’. Volgens de interpretatie van de Nederlandse overheid moeten organisaties die onder NIS2 vallen ervoor zorgen dat de beveiliging van hun toeleveringsketen, met betrekking tot netwerk- en informatiesystemen, wordt gewaarborgd. Dit geldt voor directe leveranciers. De keten wordt niet individueel gecontroleerd, maar er dienen afspraken te worden gemaakt over, bijvoorbeeld, de beveiliging en producten. Lagere Nederlandse wetgeving (een AMvB) zal hier de concrete maatregelen voor gaan uitwerken en voorschrijven.

Verder adviseert zowel de NIS2 als de Nederlandse overheid om standaarden te gebruiken, gezien deze bewezen effectieve maatregelen bevatten.

De Nederlandse overheid heeft aangekondigd dat ze zich zullen beperken tot het implementeren van wat de NIS2-richtlijn momenteel voorschrijft. Dit houdt in dat de focus zal liggen op de tien risicobeheersmaatregelen (zorgplicht), de verplichting tot melding (meldplicht) en toezicht.

Status van de NIS2 in België

België heeft voorgesteld om naast de bestaande verplichtingen onder NIS2 een derde (sub-) entiteitstype toe te voegen, naast 'Essentieel' en 'Belangrijk': 'Vitale' entiteiten maken deel uit van de categorie 'Essentieel'. Hieronder vallen alle entiteiten die eerder al zijn aangewezen onder NIS1, en ook die entiteiten die onder de CER (Critical Entities Resilience) richtlijn vallen, die zich richt op fysieke weerbaarheid. Bovendien heeft België besloten om de verantwoordelijkheden onder NIS2 te verdelen tussen het Belgische Centrum voor Cybersecurity (CCB) en acht sectorspecifieke autoriteiten. Verder geeft België prioriteit aan drie onderdelen:

1. Governance: Het hoogste management keurt de implementatie van maatregelen goed, houdt toezicht en draagt verantwoordelijkheid voor eventuele niet-naleving. Het management volgt regelmatige basistrainingen hierover in het kader van de aansprakelijkheid.
2. Maatregelen voor risicobeheer op het gebied van cyberbeveiliging: : Geschikte en evenredige technische en organisatorische maatregelen, aangepast aan de huidige stand van de technologie en de kosten, dienen te worden genomen om de veiligheidsrisico's van de netwerk- en informatiesystemen te beheren.
3. Gecoördineerd beleid voor openbaarmaking van kwetsbaarheden: Het coördineren van kwetsbaarheidsmeldingen en het opzetten van een Europese kwetsbaarheidsdatabase wordt als belangrijk geacht.

Het Belgische Cyberfundamentals Framework

Het CCB heeft het Cyberfundamentals Framework (‘CyFun’) uitgebracht om organisaties te begeleiden bij de voorbereiding op NIS2 door middel van een reeks concrete maatregelen. Dit framework fungeert als een instrument om gegevens te beschermen, het risico van veelvoorkomende cyberaanvallen aanzienlijk te verminderen en de cyberweerbaarheid van een organisatie te versterken.

Het CyFun maakt onderscheid tussen drie veiligheidsniveaus: Basis, Belangrijk en Essentieel. Deze veiligheidsniveaus zijn te vergelijken met de Security Levels in de IEC 62443 standaard:

De benaming van de CyFun veiligheidsniveaus is enigszins verwarrend, aangezien de termen “Belangrijk” en “Essentieel” binnen NIS2 ook wordt gebruikt om entiteiten aan te duiden. Naast het CyFun heeft het CCB ook een tool gemaakt voor risicobeoordeling, zodat een onderbouwde keuze van veiligheidsniveau kan worden gemaakt, waarop de organisatie zich wil beschermen.

CyFun is gebaseerd op vier veelgebruikte standaarden, waarbij OT cybersecurity een prominente rol speelt:

• IEC 62443 (OT cybersecurity)
• NIST Cyber Security Framework
• ISO 27001/2 (IT cybersecurity)
• CIS Critical Security Controls

Vanuit het NIST framework gebruikt CyFun de fasering van cybersecuritymaatregelen: Identify, Protect, Detect, Respond en Recover, die worden geëvalueerd op twee volwassenheidsniveaus:

1. Beleidsvolwassenheid: Beoordeelt in hoeverre de geschreven regels en procedures voldoen aan de eisen van het framework en het gekozen veiligheidsniveau (ontwerpeffectiviteit).
2. Implementatievolwassenheid: Beoordeelt of en hoe deze regels en procedures worden uitgevoerd en opgevolgd (operationele effectiviteit).

De manier van meten van het volwassenheidsniveau binnen CyFun vindt plaats op een schaal van 1 tot 5, waarbij 1 staat voor “niet compliant”, en 5 voor “volledig compliant”. Met behulp van de hieruit volgende scores kan eenvoudig worden vastgesteld binnen welke gebieden, categorieën of fases er verbetering moet plaatsvinden.

De combinatie van OT- en IT-maatregelen binnen CyFun geeft een goede basis en startpunt voor het compliant worden aan NIS2.

Concrete actiepunten om cybersecurity nu te verbeteren

Het implementeren van cybersecuritymaatregelen zou eigenlijk moeten voortkomen uit intrinsieke motivatie; het is belangrijk dat organisaties er nu mee beginnen. De bescherming van assets moet overeenkomen met de risico’s die zijn geïdentificeerd. Voorbeelden van acties zijn:

CGI beschikt over deskundigen op zowel het gebied van IT als OT. Wij staan klaar om u de juiste hulp en perspectieven te bieden. Aarzel niet om contact op te nemen met onze experts als u assistentie nodig heeft bij de implementatie van de NIS2 maatregelen of als u verdere vragen heeft.