NIS2: dat geldt toch niet voor ons?

“Wij vallen niet onder NIS2.” Het is een aanname die Roy Zwartjes en Raymond de Keijzer regelmatig tegenkomen bij ondernemers. De Europese cybersecurityrichtlijn wordt vooral gezien als iets voor grote organisaties en vitale sectoren. Maar volgens de IT Audit-specialisten van RSM schuilt juist daarin een gevaarlijke misvatting. Want ook bedrijven die niet rechtstreeks onder NIS2 vallen, kunnen er nadrukkelijk mee te maken krijgen. En wie denkt dat informatiebeveiliging al goed geregeld is, zou weleens bedrogen kunnen uitkomen.

“Je kunt zelf vinden dat NIS2 niet voor jouw organisatie geldt, maar vindt jouw belangrijkste klant dat ook?” Hij verwijst naar de regio Eindhoven, waar talloze ondernemingen direct of indirect verbonden zijn aan ASML. “Wanneer een grote organisatie aan strenge beveiligingseisen moet voldoen, gaat zij die eisen ook stellen aan leveranciers. Want als één schakel uitvalt, kan de hele keten daar last van hebben.”

Dat maakt NIS2 niet alleen een kwestie van wetgeving, maar ook van commercieel belang. Wie zijn informatiebeveiliging onvoldoende kan aantonen, loopt het risico dat opdrachtgevers aanvullende eisen stellen of uiteindelijk voor een andere leverancier kiezen. Niet iedere ketenpartner wordt daarmee automatisch NIS2-plichtig, maar de druk om cyberweerbaarheid aantoonbaar op orde te hebben neemt wel toe.

Een prachtig beveiligingsbeleid: maar van wie eigenlijk?

Het grootste misverstand zit volgens de specialisten misschien nog wel ergens anders: organisaties die ervan overtuigd zijn dat hun informatiebeveiliging goed geregeld is, zonder dat daadwerkelijk te kunnen onderbouwen. De Keijzer herinnert zich een recente beoordeling waarbij een onderneming een uitgebreid informatiebeveiligingsbeleid presenteerde. “Het zag er allemaal keurig uit. Alleen stond op het document niet de naam van de onderneming, maar die van de IT-leverancier. Dan vraag ik: is dit nu jullie beleid, of dat van jullie IT-dienstverlener?”

Bij verder doorvragen bleek dat de organisatie nauwelijks inzicht had in de onderliggende risicoafwegingen. En dat is volgens Zwartjes precies waar het misgaat. “Veel bedrijven besteden hun IT uit en denken dat daarmee ook de verantwoordelijkheid verdwijnt. Maar zo werkt het niet. Je moet zelf blijven beoordelen of je leverancier doet wat je van hem verwacht.” Een beveiligingsbeleid zonder gedegen risicoanalyse biedt dan vooral schijnzekerheid. Want hoe weet je welke maatregelen noodzakelijk zijn als je niet weet waar je grootste kwetsbaarheden zitten?

NIS2 maakt cybersecurity een bestuurskwestie

Misschien wel de belangrijkste verandering is dat bestuurders zich niet langer achter hun IT-afdeling kunnen verschuilen. NIS2 stelt expliciete eisen aan hun betrokkenheid en deskundigheid. Zij moeten begrijpen welke cyberrisico's de onderneming loopt, toezicht houden op de getroffen maatregelen en daarover verantwoording kunnen afleggen. “Je kunt een uitstekende ondernemer zijn, commercieel sterk en jarenlang succesvol,” stelt De Keijzer. “Maar dat betekent niet automatisch dat je voldoende verstand hebt van cyberrisico's. Terwijl je als bestuurder wel moet kunnen aantonen dat je de juiste afwegingen maakt.”

Die verantwoordelijkheid is niet vrijblijvend. De regelgeving voorziet in toezicht en mogelijke sancties. Onder bepaalde voorwaarden kan ook persoonlijke aansprakelijkheid van bestuurders aan de orde zijn. Volgens de specialisten is het daarom onverstandig om af te wachten hoe streng er daadwerkelijk wordt gehandhaafd.

Doe het niet voor Brussel, maar voor uzelf

Toch begrijpen Zwartjes en De Keijzer de terughoudendheid bij ondernemers. Na de AVG voelt NIS2 voor sommigen als de zoveelste verplichting vanuit Brussel. De gedachte dat handhaving uiteindelijk wel zal meevallen, ligt dan op de loer.

Maar volgens de specialisten wordt daarmee de verkeerde discussie gevoerd. Want cybercriminelen houden geen rekening met wetgeving. En een cyberaanval kan productieprocessen stilleggen, klantrelaties beschadigen of een complete toeleveringsketen ontregelen. “Of je nu wel of niet aan NIS2 moet voldoen, de cyberdreiging is er gewoon,” benadrukt Zwartjes. “Dus ook als je het niet voor Brussel of Den Haag doet, doe het dan in ieder geval voor jezelf.”

Van schijnzekerheid naar aantoonbare grip

Volgens RSM begint een goede voorbereiding niet met kostbare systemen of stapels procedures, maar met inzicht. Welke processen zijn cruciaal? Waar zitten de grootste risico's? En welke maatregelen zijn daadwerkelijk nodig om de continuïteit te waarborgen?

Vanuit IT Audit ondersteunt RSM organisaties met NIS2-nulmetingen, risicoanalyses, onafhankelijke beoordelingen en het praktisch inrichten van informatiebeveiliging en leveranciersmanagement. Geen standaardoplossingen, maar een aanpak die aansluit bij de onderneming. Want uiteindelijk draait NIS2 niet om het afvinken van verplichtingen, maar om het beschermen van de kroonjuwelen van uw organisatie.

Denkt u dat NIS2 niet voor uw onderneming geldt? Of vertrouwt u erop dat alles al goed geregeld is? Laat die aannames dan toetsen. Want de vraag is niet of u denkt dat u voorbereid bent, maar of u dat ook kunt aantonen.

Wat betekent NIS2 voor uw organisatie?

Wilt u weten waar uw organisatie staat op het gebied van NIS2 en informatiebeveiliging? Neem contact op met onze IT Audit-specialisten. We bespreken graag uw situatie en welke stappen nodig zijn.