NIS2-richtlijn: beveiliging van netwerk- en informatiesystemen

Cyberbeveiliging omvat het beschermen van netwerk- en informatiesystemen (NIS), hun gebruikers en andere getroffen personen tegen cyberincidenten en -bedreigingen. Om te reageren op de toegenomen blootstelling van Europa aan cyberdreigingen heeft Richtlijn 2022/2555, ook bekend als NIS2, haar voorganger, Richtlijn 2016/1148 of NIS1, vervangen. NIS2 verhoogt het gemeenschappelijke ambitieniveau van de EU op het gebied van cyberbeveiliging door middel van een breder toepassingsgebied, duidelijkere regels en sterkere toezichtsinstrumenten. De lidstaten moeten hun cyberbeveiligingscapaciteiten versterken en tegelijkertijd risicobeheersmaatregelen en rapportagevereisten invoeren voor entiteiten uit meer sectoren en regels vaststellen voor samenwerking, informatie-uitwisseling, toezicht en handhaving van cyberbeveiligingsmaatregelen.

De richtlijn schrijft voor dat elke lidstaat een nationale cyberbeveiligingsstrategie moet vaststellen, die beleidsmaatregelen omvat voor de beveiliging van de toeleveringsketen, kwetsbaarheidsbeheer en voorlichting en bewustmaking op het gebied van cyberbeveiliging. De lidstaten moeten ook een lijst van aanbieders van essentiële diensten opstellen en regelmatig bijwerken om ervoor te zorgen dat deze entiteiten voldoen aan de vereisten van de richtlijn.

Naast de sectoren die reeds onder NIS 1 vallen - energie, vervoer, gezondheidszorg, financiën, waterbeheer en digitale infrastructuur - zijn de nieuwe regels ook van toepassing op aanbieders van openbare elektronische communicatie, meer digitale diensten (zoals sociale platforms), afval- en afvalwaterbeheer, de productie van kritieke producten, post- en koeriersdiensten en overheidsdiensten op centraal en regionaal niveau, alsook op de ruimtevaartsector. In de regel zullen middelgrote en grote entiteiten in deze kritieke sectoren passende maatregelen voor het beheer van cyberbeveiligingsrisico’s moeten nemen en de relevante nationale autoriteiten in kennis moeten stellen van significante incidenten. Dit zijn incidenten die aanzienlijke verstoring of schade kunnen veroorzaken.

De richtlijn bevat ook bepalingen inzake toezicht, handhaving en vrijwillige collegiale toetsing om het wederzijds vertrouwen en de cyberbeveiligingscapaciteit in de hele EU te vergroten. Het introduceert ook de verantwoordingsplicht van het topmanagement voor niet-naleving van maatregelen voor het beheer van cyberbeveiligingsrisico’s, waardoor cyberbeveiliging onder de aandacht van de raad van bestuur wordt gebracht.

De richtlijn zet een netwerk van Computer Security Incident Response Teams (CSIRT's) op om informatie over cyberdreigingen uit te wisselen en te reageren op incidenten. Deze teams zijn cruciaal voor het behoud van situationeel bewustzijn en het bieden van hulp. Om grootschalige cyberbeveiligingsincidenten of -crises te beheren, wordt met de richtlijn het Europees netwerk van verbindingsorganisaties voor cybercrises (EU-CyCLONe) opgericht. Dit netwerk ondersteunt gecoördineerd beheer en zorgt voor regelmatige informatie-uitwisseling tussen de lidstaten en de EU-instellingen in geval van grootschalige incidenten en crises. 

Tegelijkertijd is de NIS-samenwerkingsgroep een platform dat bij de NIS-richtlijn is opgericht om strategische samenwerking en informatie-uitwisseling tussen de EU-lidstaten, de Europese Commissie en het Agentschap van de Europese Unie voor cyberbeveiliging (Enisa) te vergemakkelijken. De groep publiceert niet-bindende richtsnoeren en aanbevelingen ter ondersteuning van de uitvoering van de NIS-richtlijn.

Achtergrond

De NIS 1 (Richtlijn 2016/1148) was de eerste uitgebreide EU-wetgeving ter bevordering van de cyberbeveiliging van netwerk- en informatiesystemen om essentiële diensten voor de economie en de samenleving van de EU te waarborgen. In december 2020 heeft de Commissie een herziening van NIS 1 voorgesteld, die heeft geleid tot de vaststelling van NIS 2, die in januari 2023 in werking is getreden. De lidstaten hadden tot 17 oktober 2024 de tijd om de NIS2-richtlijn in nationaal recht om te zetten. NIS 2 heeft NIS1 met ingang van 18 oktober 2024 ingetrokken.