NIS2: ook voor wie er net niet onder valt.

Je valt eronder als je organisatie actief is in een van de achttien aangewezen sectoren en middelgroot of groot is: in de regel vanaf vijftig medewerkers of een jaaromzet van meer dan tien miljoen euro. Voor sommige diensten geldt de wet ongeacht de omvang. De Rijksoverheid heeft een zelfevaluatie waarmee je het zelf nagaat. Bij twijfel raadpleeg je een jurist.

Klanten die onder de wet vallen, vragen hun leveranciers hoe toegang is beveiligd, of systemen worden bijgewerkt, of er back-ups zijn en hoe snel een incident wordt gemeld. Meestal komt het als vragenlijst bij een contractverlenging. Kun je de antwoorden onderbouwen met wat er werkelijk is ingericht, dan is het snel afgehandeld. Wij helpen de lijst invullen op basis van je eigen omgeving.

Technisch gaat het om maatregelen die elk bedrijf al zou moeten hebben: tweestapsverificatie, actuele software, een back-up buiten het netwerk die is getest, een beheerde firewall, vastgelegde rechten en een manier om incidenten op te merken. De wet schrijft geen producten voor, maar eist dat de maatregelen passen bij het risico en dat je ze kunt aantonen.

Wij kunnen de technische maatregelen inrichten en vastleggen, en dat is een groot deel van het werk. Voldoen aan de wet vraagt daarnaast om een risicoanalyse, beleid, een meldprocedure en betrokkenheid van de directie. Dat deel is aan de organisatie zelf, met hulp van een jurist of adviseur. We zeggen dus niet dat we je compliant maken; we doen de techniek.