NIS2 is een Europese cybersecurity-richtlijn die bedrijven verplicht om hun digitale weerbaarheid op orde te brengen. Ook als jouw organisatie niet rechtstreeks onder de richtlijn valt, is het verstandig om de basismaatregelen door te voeren: ze beschermen je website, e-mail en klantgegevens tegen uitval en misbruik. Dit artikel legt uit wat NIS2 inhoudt, voor wie het relevant is en welke concrete stappen je kunt nemen.
Wat is NIS2?
NIS2 staat voor de herziene Netwerk- en Informatiebeveiligingsrichtlijn van de Europese Unie. Het doel van deze richtlijn is om organisaties beter te beschermen tegen cyberdreigingen zoals datalekken, ransomware en uitval van digitale diensten. De richtlijn stelt eisen aan risicobeheer, incidentmelding en de verantwoordelijkheid van bestuurders voor digitale veiligheid.
Waar eerdere regelgeving zich vooral richtte op grote, kritieke sectoren, is de reikwijdte van NIS2 breder. Dat betekent dat meer organisaties te maken krijgen met verplichtingen rond cybersecurity, ook middelgrote bedrijven en toeleveranciers van essentiële diensten.
Voor wie is dit relevant?
Niet elke ondernemer valt direct onder de formele verplichtingen van NIS2. Of je organisatie eronder valt, hangt af van je sector en omvang. Toch is de richtlijn in de praktijk voor veel meer bedrijven relevant dan het op het eerste gezicht lijkt:
- Bedrijven die rechtstreeks onder de richtlijn vallen, moeten aantoonbaar beleid voeren op het gebied van cybersecurity.
- Toeleveranciers en partners van deze bedrijven krijgen vaak eisen opgelegd via contracten, ook als ze zelf niet direct onder de richtlijn vallen.
- Elke ondernemer die online zaken doet, heeft baat bij de onderliggende principes: een veilige website, beveiligde e-mail en een werkend herstelplan bij incidenten.
Kortom: ook zonder wettelijke verplichting is het verstandig om je digitale basis op orde te brengen volgens de uitgangspunten van NIS2.
Welke maatregelen horen bij NIS2?
De richtlijn vraagt om een risicogebaseerde aanpak van cybersecurity. In de praktijk komt dat neer op een aantal herkenbare bouwstenen:
- Risicobeheer: in kaart brengen welke systemen en gegevens kwetsbaar zijn, en daar maatregelen op afstemmen.
- Toegangsbeveiliging: sterke wachtwoorden, waar mogelijk tweestapsverificatie en beperkte toegangsrechten.
- Versleutelde verbindingen: gebruik van SSL/TLS voor websites en beveiligde protocollen voor e-mail.
- Back-ups en herstelplan: regelmatige, geteste back-ups zodat je snel kunt herstellen na een incident.
- Incidentregistratie: bijhouden wat er gebeurt bij storingen of aanvallen, zodat je kunt leren en melden waar nodig.
- Ketenverantwoordelijkheid: ook de beveiliging van leveranciers en dienstverleners meewegen.
Concrete stappen voor je website en hosting
Voor websitebeheerders en ondernemers vertaalt NIS2 zich vooral naar praktische hygiëne op het gebied van hosting, e-mail en domeinbeheer. Onderstaande stappen geven een concreet startpunt.
Breng je digitale omgeving in kaart
Noteer welke websites, domeinen, mailboxen en koppelingen je gebruikt, en wie daar toegang toe heeft. Zonder overzicht is risicobeheer niet mogelijk.
Controleer SSL en beveiligingsinstellingen
Zorg dat elke website standaard via HTTPS draait en dat certificaten automatisch worden vernieuwd. Bij webhosting met gratis SSL hoef je hier zelf niet naar om te kijken.
Beveilig je zakelijke e-mail
Zorg voor correcte SPF-, DKIM- en DMARC-records, zodat spoofing en phishing via jouw domein worden tegengegaan. Dit is onderdeel van goede zakelijke e-mail.
Regel automatische back-ups
Zorg dat je website en e-mail dagelijks worden geback-upt, en test regelmatig of een herstel ook daadwerkelijk werkt.
Controleer domeinbeheer en eigenaarschap
Zorg dat domeinnamen op naam van de juiste organisatie staan, met actuele contactgegevens en vergrendeling tegen ongewenste overdracht.
Leg beleid en afspraken vast
Documenteer wie verantwoordelijk is voor beveiliging, wat er gebeurt bij een incident en hoe je toeleveranciers beoordeelt op digitale veiligheid.
In het Plesk-controlepaneel van je hosting vind je vaak al direct instellingen voor SSL, back-ups en e-mailbeveiliging terug, zodat je deze basismaatregelen snel kunt controleren of activeren.
Veelgestelde vragen
Valt mijn bedrijf automatisch onder NIS2?
Dat hangt af van je sector en de omvang van je organisatie. Twijfel je, raadpleeg dan een juridisch adviseur of je brancheorganisatie voor een concrete beoordeling.
Is NIS2 alleen relevant voor grote bedrijven?
Nee. Ook kleinere bedrijven die onderdeel zijn van een keten met grotere organisaties krijgen vaak eisen opgelegd via contracten of inkoopvoorwaarden.
Volstaat een SSL-certificaat en back-up als ik niet onder de richtlijn val?
Dat is een goede basis, maar risicobeheer, toegangsbeveiliging en een incidentproces horen ook bij een volwassen beveiligingsaanpak, ongeacht of je formeel verplicht bent.
Wat gebeurt er als ik niets doe?
Zonder basismaatregelen loop je een groter risico op datalekken, uitval en imagoschade, en kun je bij een incident lastiger aantonen dat je zorgvuldig hebt gehandeld.
Waar kan ik terecht met vragen over mijn hostingomgeving?
Voor vragen over SSL, back-ups of e-mailbeveiliging kun je terecht in de kennisbank of bij de support van je hostingprovider.
Conclusie
NIS2 draait om het structureel beheersen van digitale risico’s: weten wat je hebt, het beveiligen van toegang en verbindingen, zorgen voor back-ups en een herstelplan, en verantwoordelijkheid nemen voor je hele digitale keten. Ook zonder directe verplichting is het verstandig deze basis op orde te brengen voor je website, e-mail en domeinen.