NIS2 en de huidige trends
Wat is de NIS2-richtlijn en welke gevolgen heeft deze voor bedrijven?
Met de opkomst van de digitale technologie is cyberveiligheid cruciaal geworden voor de bedrijven én voor de overheden. In Europa is er de afgelopen jaren een sterke toename geweest van cyberaanvallen, waaronder phishing, malware en ransomware.
Deze incidenten hebben rampzalige gevolgen, gaande van aanzienlijke financiële verliezen tot schade aan het imago van een bedrijf.
Hoewel de cijfers hoog blijven, laten de statistieken van 2019 tot 2023 een daling van de cyberbeveiligingsincidenten zien.
- 2019: 65 %
- 2020: 57 %
- 2021: 54 %
- 2022: 45 %
- 2023: 49 %
Om deze groeiende dreiging tegen te gaan, heeft de Europese Unie de herziene richtlijn voor netwerk- en informatiesystemen aangenomen, die bekend staat als NIS2.
Deze richtlijn is bedoeld om cyberbeveiliging in heel Europa te versterken en te harmoniseren door het toepassingsgebied uit te breiden naar een groter aantal sectoren en organisaties.
NIS2 introduceert strengere eisen voor cyberbeveiliging en legt een strenger risicobeheer en zware straffen op bij niet-naleving.
Voortaan zijn ook de middelgrote en grote bedrijven opgenomen (met uitzondering van micro- en kleine ondernemingen), met meer verantwoordelijkheden voor hun bestuursorganen. De bedrijven moeten ook de risico’s beheren met betrekking tot hun toeleveringsketens en relaties met leveranciers.
Wat zijn de sancties bij niet-naleving?
De richtlijn vereenvoudigt de categorieën van organisaties. Er wordt geen onderscheid meer gemaakt tussen operatoren van essentiële diensten (energie, transport, gezondheid, bank- en financiële diensten, enz.) en aanbieders van digitale diensten (onlinediensten, gegevensuitwisselingsdiensten, enz.).
Organisaties worden nu ingedeeld in twee groepen: essentieel en belangrijk. Elke groep heeft zijn eigen controleregels. De verplichtingen om incidenten te melden zijn strenger, wat de verantwoordelijkheid van bedrijven vergroot.
De deadline om aan deze nieuwe verplichtingen te voldoen is 17 oktober 2024.
Bedrijven moeten hun cyberbeveiliging nu beoordelen en versterken om boetes tot € 10 miljoen of 2 % van hun jaarlijkse wereldwijde omzet te voorkomen, evenals persoonlijke aansprakelijkheid voor directeuren in het geval van niet-naleving.