De meest gestelde vragen rondom NIS2
Val ik onder de wetgeving?
Dat hangt af van je sector en de omvang van je organisatie. Als vuistregel geldt: vanaf vijftig medewerkers, of een omzet en balanstotaal boven de tien miljoen euro, in een van de achttien aangewezen sectoren.
Val je daarbuiten? Dan kun je er alsnog mee te maken krijgen via klanten die wel onder de wet vallen. Zij moeten hun ketenrisico's beheersen, en dat raakt ook jou.
Wat als mijn organisatie onder NIS2 valt?
Het begint met een risicoanalyse. Op basis daarvan neem je passende maatregelen, zowel technisch als organisatorisch. Daarnaast registreer je je organisatie in het entiteitenregister via MijnNCSC.
Het bestuur van je organisatie speelt hierin een belangrijke rol: dat is verantwoordelijk voor het goedkeuren van de maatregelen en het toezicht op de uitvoering.
Binnen hoeveel uur moet ik een incident melden?
Deze vraag zorgt het vaakst voor verrassing. Er gelden drie termijnen: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindverslag binnen een maand.
Melden doe je via het meldpunt op MijnNCSC. Daarna zijn zowel het CSIRT als de toezichthouder op de hoogte. Wie de melding moet doen en wat erin moet staan, roept meestal meteen de volgende vraag op. In onze Incidentmeldprocedure ontdek je precies de termijnen en de stappen die nodig zijn voor het melden van een incident.
En wat als mijn organisatie niet onder de wetgeving valt?
Deze vraag krijgen we bijna net zo vaak, en het antwoord is voor veel van onze klanten het meest relevant. Het NCSC zegt het zelf: de wet legt toeleveranciers geen verplichtingen op, maar heeft wel invloed op ze. Organisaties die wél onder de wet vallen, moeten namelijk hun ketenrisico's beheersen.
In de praktijk merk je dat aan vragenlijsten, nieuwe contractbepalingen of een opdrachtgever die wil weten hoe jij een incident afhandelt. Lever je diensten of ICT-onderdelen voor de systemen van zo'n organisatie, of heb je directe toegang tot die systemen? Dan komen die vragen vroeg of laat ook bij jou terecht.
En daar zit een kans. Wie dit op orde heeft voordat de vragen komen, zorgt ervoor dat zijn organisatie goed is voorbereid.
