NIS2

De NIS2-richtlijn brengt een aantal belangrijke veranderingen met zich mee ten opzichte van de NIS1-richtlijn. Hier zijn enkele van de belangrijkste:

• Het toepassingsgebied wordt uitgebreid tot meer sectoren en entiteiten, waaronder overheidsinstanties, essentiële en belangrijke entiteiten, en digitale dienstverleners. Essentiële en belangrijke entiteiten zijn organisaties die diensten aanbieden die van cruciaal belang zijn voor de economie en de samenleving, zoals energie, vervoer, gezondheidszorg, financiën, water, voedsel, digitale infrastructuur, ruimte, defensie, onderwijs, media, cultuur, enz. Digitale dienstverleners zijn organisaties die online diensten aanbieden, zoals cloud computing, zoekmachines, sociale netwerken, e-commerce, enz.
• De veiligheidseisen worden uitgebreid en geharmoniseerd, waardoor de entiteiten verplicht worden om risicobeheersmaatregelen te nemen, zoals het opstellen van een cyberbeveiligingsbeleid, het uitvoeren van risicobeoordelingen, het implementeren van beveiligingsmaatregelen, het testen van de weerbaarheid, het melden van incidenten, het uitwisselen van informatie, het betrekken van het management, enz.
• De meldingsverplichtingen en de verplichtingen inzake het melden van incidenten worden verduidelijkt en versterkt, waardoor de entiteiten verplicht worden om ernstige cyberincidenten te melden aan de bevoegde autoriteiten binnen 24 uur na de ontdekking ervan, en om relevante informatie te verstrekken, zoals de aard, de omvang, de impact, de oorzaak, de genomen maatregelen, enz.
• De sancties en de toezichtbevoegdheden van de bevoegde autoriteiten worden geharmoniseerd en versterkt, waardoor de lidstaten verplicht worden om doeltreffende, evenredige en afschrikkende sancties vast te stellen voor het niet naleven van de NIS2-richtlijn, en om de bevoegde autoriteiten de nodige middelen en bevoegdheden te geven om de naleving te controleren en af te dwingen.
• De beveiliging van de bevoorradingsketen wordt versterkt, waardoor de entiteiten verplicht worden om de cyberbeveiligingsrisico’s die verband houden met hun leveranciers en onderaannemers te beoordelen en te beheren, en om passende contractuele waarborgen te eisen.