De NIS2-richtlijn is Europese cybersecuritywetgeving die tot doel heeft de digitale weerbaarheid van essentiële en belangrijke organisaties binnen de Europese Unie te versterken. Lidstaten zetten de richtlijn om in nationale wetgeving. In Nederland gebeurt dat via de Cyberbeveiligingswet.

Organisaties die binnen de reikwijdte vallen krijgen onder meer te maken met verplichtingen rond risicobeheersing, incidentmelding en registratie. De precieze toepassing hangt af van de positie van de organisatie en de toepasselijke wet- en regelgeving.

Een belangrijk verschil met een uitsluitend technische benadering van cybersecurity is de positie van het bestuur. Cyberrisico’s kunnen dienstverlening, continuïteit, financiën en reputatie raken en zijn daarmee organisatierisico’s. De verantwoordelijkheid voor de beheersing daarvan kan niet volledig bij IT, de CISO of de Security Officer worden neergelegd.

De zorgplicht onder de Cyberbeveiligingswet verlangt dat organisaties passende en evenredige maatregelen nemen om cyberrisico’s te beheersen. Het uitgangspunt is daarmee niet een vaste verzameling maatregelen die voor iedere organisatie hetzelfde is, maar het eigen risicoprofiel.

Een ziekenhuis, energiebedrijf en IT-dienstverlener kunnen allemaal met NIS2 te maken krijgen, terwijl hun afhankelijkheden en mogelijke gevolgen van een incident sterk verschillen. Ook hun leveranciersketens, kritieke processen en risicobereidheid zijn niet hetzelfde. De beoordeling van passende maatregelen moet daarom aansluiten op de risico’s die voor de eigen organisatie materieel zijn.

Voor het bestuur betekent dit dat een overzicht van geïmplementeerde beveiligingsmaatregelen onvoldoende is. Het moet ook duidelijk zijn welke risico’s met die maatregelen worden beheerst, waarom voor die aanpak is gekozen en welk restrisico overblijft.

Daarmee verschuift NIS2 van een compliancevraag naar een vraagstuk van risicosturing.

Organisaties kunnen vaak goed aantonen dat een beveiligingsmaatregel aanwezig is. Er bestaat een procedure, medewerkers hebben een training gevolgd, MFA is ingevoerd of een leverancier wordt periodiek beoordeeld. Dat bewijs is noodzakelijk, maar geeft nog geen volledig antwoord op de vraag of het onderliggende risico voldoende wordt beheerst.

Een awarenessprogramma kan bijvoorbeeld volledig volgens planning worden uitgevoerd terwijl medewerkers nog regelmatig op phishing reageren. MFA kan breed zijn ingevoerd terwijl uitzonderingen nauwelijks worden gevolgd. Een leveranciersbeoordeling kan ieder jaar plaatsvinden zonder dat een kritieke afhankelijkheid werkelijk wordt onderzocht.

Voor bestuurlijke sturing is daarom ook informatie nodig over de werking van maatregelen. Het management moet kunnen beoordelen welk risico wordt beheerst, welk bewijs beschikbaar is over de uitvoering en of het resultaat voldoende is. Pas daarna kan worden besloten of de bestaande beheersing kan blijven staan, moet worden aangepast of dat een restrisico bewust wordt geaccepteerd.

Dit onderscheid tussen aanwezigheid en effectiviteit is belangrijk. Een organisatie kan aantoonbaar compliant zijn met een proces en tegelijkertijd onvoldoende zicht hebben op de werkelijke beheersing van het risico.

Voor organisaties die al werken met 27001:2022 ligt het niet voor de hand om naast het bestaande managementsysteem een afzonderlijke NIS2-structuur op te bouwen. Veel van wat nodig is om NIS2 bestuurbaar te maken, kan juist binnen het bestaande managementsysteem worden georganiseerd.

Wettelijke en contractuele verplichtingen kunnen worden vastgelegd en verbonden met risico’s, maatregelen en eigenaarschap. Incidenten, auditresultaten en prestatie-informatie leveren vervolgens bewijs over de werking. Management review brengt die informatie periodiek bij elkaar zodat het management kan beoordelen waar bijsturing nodig is.

De toegevoegde waarde zit vooral in die samenhang. Een wettelijke verplichting staat dan niet los van risicoanalyse en een maatregel staat niet los van het bewijs over de werking ervan. Het managementsysteem vormt de verbinding tussen wat van de organisatie wordt gevraagd en de manier waarop daarover wordt besloten.

NIS2 wordt daarmee geen extra laag compliance, maar onderdeel van de bestaande governance.

De eigen organisatie is maar een deel van het cyberrisico. Cloudleveranciers, softwarebedrijven, IT-dienstverleners en andere ketenpartners kunnen toegang hebben tot informatie of processen ondersteunen waarvan de organisatie sterk afhankelijk is.

De NIS2-richtlijn besteedt daarom expliciet aandacht aan supply-chain security. Bij het beoordelen van cybersecurityrisico’s moet ook rekening worden gehouden met kwetsbaarheden en beveiligingspraktijken binnen de leveranciersketen.

Dat vraagt meer dan een beveiligingsvragenlijst bij contractering. Voor kritieke leveranciers moet duidelijk zijn welke afhankelijkheid bestaat, welk risico daarmee samenhangt, welke afspraken zijn gemaakt en welk bewijs beschikbaar is over de naleving daarvan.

Een certificaat, assuranceverklaring of contractueel auditrecht kan daarbij waardevol zijn, maar geen van deze instrumenten neemt de verantwoordelijkheid voor het eigen leveranciersrisico over. De organisatie moet zelf kunnen beoordelen welke zekerheid nodig is en of de beschikbare informatie daarvoor voldoende is.

De werking van NIS2 via de keten stopt niet automatisch bij de Europese buitengrens. Een leverancier buiten de EU valt niet alleen vanwege een Europese klant rechtstreeks onder NIS2. Een organisatie die zelf aan NIS2-verplichtingen moet voldoen, kan echter wel aanvullende beveiligingseisen aan leveranciers stellen.

Dat kan zichtbaar worden in contractuele beveiligingseisen, incidentmeldingsafspraken, auditrechten of verzoeken om certificeringen en andere vormen van bewijs. Voor een Britse, Amerikaanse of Golf-gebaseerde leverancier ontstaat daarmee geen Nederlandse wettelijke verplichting, maar mogelijk wel een concrete commerciële verplichting tegenover de klant.

Contractuele cybersecurity-eisen verdienen daarom dezelfde bestuurlijke aandacht als andere relevante verplichtingen. De organisatie moet weten wat is toegezegd, welk risico daarmee wordt beheerst en of zij aantoonbaar aan de afspraak kan blijven voldoen.

Wanneer een belangrijke klant afhankelijk wordt van dat bewijs, wordt cybersecurity daarmee ook een commercieel risico.

Het bestuur hoeft NIS2 niet zelf te implementeren en hoeft evenmin de technische werking van iedere beveiligingsmaatregel te kennen. Het moet wel voldoende informatie hebben om te beoordelen of de belangrijkste cyberrisico’s worden beheerst en waar besluitvorming nodig is.

Goede bestuurlijke informatie maakt daarom de relatie zichtbaar tussen organisatiedoelstellingen, risico’s, beheersing en effectiviteit. Een dashboard met tientallen security-indicatoren kan veel informatie bevatten, maar weinig helpen wanneer niet duidelijk is welke ontwikkeling bestuurlijke aandacht vraagt.

Het management moet bijvoorbeeld kunnen begrijpen waarom een bepaald risico materieel is, welke beheersing daarvoor is gekozen en welk bewijs beschikbaar is over de werking. Wanneer de beheersing onvoldoende blijkt, moet zichtbaar zijn welke keuze voorligt en wie daarover besluit.

Deze manier van sturen is niet specifiek voor NIS2. Hetzelfde principe kan worden gebruikt voor informatiebeveiliging, continuïteit, AI en andere materiële organisatierisico’s. NIS2 maakt de bestuurlijke verantwoordelijkheid voor cybersecurity vooral explicieter.

Nieuwe wetgeving leidt gemakkelijk tot een projectmatige aanpak. De organisatie bepaalt wat verplicht is, voert ontbrekende maatregelen in en verzamelt het bewijs dat nodig is om naleving aan te tonen. Dat is een noodzakelijke stap, maar nog niet hetzelfde als volwassen beheersing.

Het verschil wordt zichtbaar nadat de eerste implementatie is afgerond. Wordt informatie over incidenten en afwijkingen gebruikt om maatregelen aan te passen? Komen nieuwe leveranciersrisico’s tijdig in beeld? Kan het management zien waar beheersing onvoldoende effectief is en leidt dat vervolgens tot een besluit?

Wanneer die cyclus werkt, wordt NIS2 onderdeel van de manier waarop de organisatie wordt bestuurd. Compliance is dan niet het einddoel, maar een resultaat van een managementsysteem dat risico’s zichtbaar maakt, informatie oplevert en verbetering afdwingt.

Dat is uiteindelijk een duurzamere positie dan een NIS2-project dat vooral is ingericht om op één moment aan te tonen dat aan de vereisten is voldaan.

Bestuurders hoeven geen cybersecurityspecialist te worden. Ze moeten wel voldoende begrijpen om risico’s en maatregelen te kunnen beoordelen, kritische vragen te stellen en besluiten te nemen wanneer de beheersing daarom vraagt.

De NIS2 Boardroom Training van iQomply vertaalt die verantwoordelijkheid naar de eigen organisatie. In een dagdeel werkt bestuur of directie met de eigen context, cyberrisico’s, maatregelen en bestuurlijke informatie. Na afloop ontvangt het bestuur een Board Action Summary met de belangrijkste aandachtspunten en acties.

Een korte jaarlijkse of tweejaarlijkse refresher kan vervolgens helpen om kennis en aantoonbaarheid actueel te houden, eventueel als onderdeel van een reguliere bestuursvergadering.