Welke cybersecurity maatregelen vereist NIS2?

in

NIS2 vereist dat organisaties tien minimale cybersecuritymaatregelen implementeren volgens artikel 21 van de richtlijn. Deze maatregelen omvatten risicobeheer, incidentafhandeling, bedrijfscontinuïteit, supplychainbeveiliging en cryptografie. De richtlijn verplicht organisaties om passende technische, organisatorische en operationele maatregelen te nemen die evenredig zijn aan de risico’s. Hieronder worden de belangrijkste vragen over NIS2-cybersecuritymaatregelen beantwoord.

Wat zijn de belangrijkste cybersecuritymaatregelen die NIS2 vereist?

NIS2 schrijft tien minimale beveiligingsmaatregelen voor die organisaties moeten implementeren. Deze maatregelen vormen de kern van de zorgplicht onder de Cyberbeveiligingswet en zijn gericht op het beschermen van netwerk- en informatiesystemen tegen cyberdreigingen.

De tien kernverplichtingen onder artikel 21 omvatten:

  • Risicoanalyse en beveiligingsbeleid voor informatiesystemen
  • Incidentafhandeling en respons op beveiligingsincidenten
  • Bedrijfscontinuïteit, back-upbeheer en disaster recovery
  • Beveiliging van de toeleveringsketen en leveranciersbeheer
  • Beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen
  • Beleid en procedures voor beoordeling van de effectiviteit van maatregelen
  • Basispraktijken voor cyberhygiëne en training
  • Beleid voor cryptografie en waar nodig encryptie
  • Beveiliging van personeel, toegangsbeleid en beheer van bedrijfsmiddelen
  • Multifactorauthenticatie en beveiligde communicatiesystemen

Het bestuur moet het beveiligingsbeleid vaststellen en minimaal jaarlijks evalueren. Bij significante incidenten of wijzigingen in activiteiten of risico’s is tussentijdse actualisatie verplicht.

Welke organisaties moeten voldoen aan de NIS2-cybersecurityeisen?

NIS2 is van toepassing op middelgrote en grote organisaties die actief zijn in aangewezen sectoren. De richtlijn maakt onderscheid tussen ‘essentiële’ en ‘belangrijke’ entiteiten, waarbij voor essentiële entiteiten strengere eisen en proactief toezicht gelden.

De criteria voor organisatiegrootte zijn helder gedefinieerd. Kleine mkb-organisaties met minder dan 50 werknemers en een omzet en balanstotaal tot 10 miljoen euro vallen buiten de scope. Middelgrote organisaties (50–250 medewerkers of omzet tussen 10–50 miljoen euro) en grote organisaties (meer dan 250 medewerkers of omzet boven 50 miljoen euro) die in aangewezen sectoren opereren, vallen wel onder de richtlijn.

Annex 1 bevat elf essentiële sectoren, waaronder energie, transport, financiële marktinfrastructuren, gezondheid, drinkwater, afvalwater, digitale infrastructuren, overheidsdiensten, ruimtevaart, ICT-servicebeheer (B2B) en bankieren. Grote organisaties in deze sectoren krijgen proactief toezicht van de bevoegde autoriteiten.

Annex 2 omvat belangrijke sectoren zoals post- en koeriersdiensten, afvalbeheer, de chemische industrie, voedselproductie en digitale aanbieders. Voor deze sectoren geldt reactief toezicht.

Hoe verschilt NIS2 van de oorspronkelijke NIS-richtlijn qua beveiligingseisen?

NIS2 brengt aanzienlijke verscherpingen aan ten opzichte van de oorspronkelijke NIS-richtlijn uit 2016. De scope is fors uitgebreid, de verplichtingen zijn concreter en de sancties zijn strenger.

De belangrijkste verschillen betreffen:

  • Uitgebreidere scope: NIS2 omvat meer sectoren en hanteert duidelijke criteria voor organisatiegrootte in plaats van aanwijzing door lidstaten.
  • Geharmoniseerde eisen: De tien minimale beveiligingsmaatregelen gelden uniform voor alle organisaties binnen de scope.
  • Bestuurlijke aansprakelijkheid: Het topmanagement wordt persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen.
  • Strengere meldplichten: Incidenten moeten binnen 24 uur worden gemeld, gevolgd door tussenrapportages en een eindrapport.
  • Hogere boetes: Sancties kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet.

Waar NIS1 veel ruimte liet voor interpretatie door lidstaten, biedt NIS2 een concreter kader met gedetailleerde verplichtingen die organisaties moeten implementeren.

Wat houdt risicobeheer in onder de NIS2-cybersecuritymaatregelen?

Risicobeheer onder NIS2 vereist dat organisaties een systematische aanpak hanteren voor het identificeren, analyseren en beheersen van cybersecurityrisico’s. Dit vormt de basis voor alle andere beveiligingsmaatregelen die de richtlijn voorschrijft.

De risicoanalyse moet dreigingen, kwetsbaarheden en potentiële impact in kaart brengen. Op basis daarvan implementeert de organisatie passende technische en organisatorische maatregelen die evenredig zijn aan de geïdentificeerde risico’s. Het Cbw NIS2 Control Framework, ontwikkeld door ADR en NOREA, biedt een praktisch hulpmiddel om inzicht te krijgen in de huidige staat van cyberweerbaarheid.

Een goed functionerende PDCA-cyclus (Plan-Do-Check-Act) helpt organisaties maatregelen systematisch te plannen, uit te voeren, te monitoren en bij te sturen. De managementsystematiek moet worden geïmplementeerd, waarbij de keuze voor de methodiek aan de organisatie is. Voor overheidsorganisaties is ISO 27001 verplicht gesteld via de BIO2.

Het risicobeheerproces is geen eenmalige exercitie. De evaluatie van risico’s en maatregelen moet periodiek plaatsvinden en bij significante wijzigingen in de organisatie of het dreigingslandschap.

Welke meldplichten gelden er voor cybersecurityincidenten onder NIS2?

NIS2 introduceert strikte meldplichten met duidelijke tijdlijnen voor het rapporteren van significante incidenten aan de bevoegde autoriteiten. Het niet naleven van deze meldplichten kan leiden tot aanzienlijke sancties.

De meldingsprocedure verloopt in drie fasen:

  • Eerste melding binnen 24 uur: een vroegtijdige waarschuwing met basisinformatie over het incident.
  • Tussenrapport binnen 72 uur: een gedetailleerdere beoordeling met informatie over de aard, ernst en impact van het incident.
  • Eindrapport binnen één maand: een volledige analyse, inclusief oorzaken, genomen maatregelen en grensoverschrijdende effecten.

Een incident is meldingsplichtig wanneer het significante operationele verstoringen of financiële verliezen kan veroorzaken, of wanneer het andere organisaties of personen kan treffen. De bevoegde autoriteit kan na ontvangst van de melding aanvullende informatie opvragen en ondersteuning bieden bij de incidentafhandeling.

Hoe kunnen organisaties zich praktisch voorbereiden op de NIS2-cybersecurityeisen?

Een gestructureerde voorbereiding op NIS2 begint met het vaststellen van de huidige situatie en het identificeren van verbeterpunten. Met de operationele deadlines in 2026 is tijdig starten essentieel om compliance te bereiken zonder overhaaste implementatie.

Een QuickScan vormt een laagdrempelig startpunt. In één dag worden kansen en knelpunten geïdentificeerd die aandacht vereisen in de IT-securityvolwassenheid van de organisatie. Na deze nulmeting kan een vervolgtraject worden bepaald op basis van de bevindingen.

Het stappenplan voor NIS2-voorbereiding omvat:

  • Gap-analyse uitvoeren: breng in kaart waar de organisatie staat ten opzichte van de NIS2-eisen.
  • Beleid en procedures opstellen: ontwikkel beveiligingsbeleid dat wordt vastgesteld door het bestuur.
  • Technische maatregelen implementeren: integreer maatregelen in dagelijkse werkzaamheden en processen.
  • Medewerkers trainen: zorg voor bewustwording en basispraktijken voor cyberhygiëne.
  • Supplychainrisico’s in kaart brengen: maak schriftelijke afspraken over beveiliging met leveranciers.

De maatregelen moeten structureel worden geïntegreerd in de cultuur en strategie van de organisatie. Periodieke controle zorgt voor continue uitvoering en beheersing van cybersecurityrisico’s.

Hoe helpt Hoek en Blok IT bij NIS2-cybersecuritymaatregelen?

Hoek en Blok IT ondersteunt organisaties bij het bereiken van NIS2-compliance met een pragmatische en betaalbare aanpak. De combinatie van technische expertise en auditervaring zorgt voor praktische oplossingen die aansluiten bij de specifieke situatie van de organisatie.

De dienstverlening voor NIS2-compliance omvat:

  • QuickScan en gap-analyse: nulmeting van de huidige IT-securityvolwassenheid en identificatie van verbeterpunten.
  • IT-audits en assurancerapportages: ISAE 3000-, ISAE 3402-verklaringen, SOC 2 en ISO 27001-ondersteuning.
  • Securityassessments en penetratietests: ethical hacking om kwetsbaarheden te identificeren voordat kwaadwillenden dat doen.
  • IT Security Officer as-a-Service: externe security-expertise zonder de kosten van een fulltime medewerker.
  • Securityawarenesstraining: medewerkers bewust maken van cyberdreigingen en veilig gedrag.
  • Ondersteuning bij beleid en procedures: ontwikkeling van documentatie die voldoet aan de NIS2-eisen.

Neem contact op voor een vrijblijvend adviesgesprek over de NIS2-voorbereiding van uw organisatie. De NOREA-gecertificeerde EDP-auditors van Hoek en Blok IT helpen u graag bij het versterken van uw cybersecuritypositie richting de deadlines van 2026.

Hoe werkt DORA?

in

DORA werkt als een Europees regelgevingskader dat financiële instellingen verplicht hun digitale operationele weerbaarheid aantoonbaar te maken. De verordening rust op vijf pijlers: ICT-risicomanagement, incidentmelding, weerbaarheidstesten, beheer van derde partijen en informatie-uitwisseling. Sinds 17 januari 2025 moeten organisaties volledig voldoen aan alle vereisten. In dit artikel beantwoorden we de meest gestelde vragen over DORA en wat dit betekent voor jouw organisatie.

Wat is DORA en waarom is deze wetgeving belangrijk?

De Digital Operational Resilience Act (DORA) is een Europese verordening die de digitale weerbaarheid van de financiële sector versterkt. Deze wetgeving beschermt financiële instellingen en hun klanten tegen cyberaanvallen, IT-storingen en andere digitale verstoringen die de continuïteit van financiële diensten kunnen bedreigen.

DORA maakt deel uit van het bredere EU-pakket voor digitale financiën, dat innovatie stimuleert terwijl risico’s worden beperkt. De wetgeving ontstond vanuit de erkenning dat financiële instellingen steeds afhankelijker worden van ICT-systemen en externe dienstverleners. Een verstoring bij één partij kan daardoor een kettingreactie veroorzaken met gevolgen voor de hele financiële sector.

Het belang van DORA ligt in het creëren van een uniform beschermingsniveau binnen de Europese financiële sector. Voorheen bestonden er versnipperde nationale regels, wat leidde tot onduidelijkheid en ongelijke bescherming. DORA biedt nu heldere, uniforme eisen die gelden in heel Europa. Dit zorgt voor eerlijke concurrentie tussen financiële instellingen en hun IT-leveranciers, terwijl consumenten beter beschermd worden doordat de continuïteit en veiligheid van klantgegevens worden gegarandeerd.

Voor welke organisaties geldt DORA?

DORA geldt voor een breed scala aan financiële entiteiten binnen de Europese Unie. Dit omvat banken, verzekeraars, herverzekeraars, beleggingsondernemingen, pensioenfondsen, betaalinstellingen en elektronische geldinstellingen. Ook beheerders van alternatieve beleggingsfondsen en instellingen voor collectieve belegging in effecten vallen onder de reikwijdte.

Belangrijk is dat DORA niet alleen geldt voor financiële instellingen zelf, maar ook voor kritieke ICT-dienstverleners in de keten. Dit betreft bedrijven die IT-systemen beheren, software ontwikkelen of data opslaan voor financiële instellingen. Specifiek vallen hieronder cloudcomputingproviders, softwareleveranciers en datacenters. De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en dat deze leveranciers daarom ook een rol spelen in de digitale weerbaarheid van de sector.

DORA hanteert het proportionaliteitsbeginsel. Dit betekent dat kleinere organisaties met minder complexe ICT-systemen aan minder strenge eisen hoeven te voldoen dan grote, systeemrelevante instellingen. De verplichtingen worden afgestemd op de omvang, het risicoprofiel en de complexiteit van de organisatie. Een nulmeting helpt om te begrijpen wat DORA concreet betekent voor jouw specifieke situatie.

Wat zijn de vijf kernpijlers van DORA?

DORA is gestructureerd rond vijf hoofdgebieden die samen een compleet raamwerk vormen voor digitale operationele weerbaarheid. Het NOREA DORA in Control Framework vertaalt deze vereisten naar 28 controledomeinen met specifieke beheersmaatregelen.

  • ICT-risicomanagement: Organisaties moeten een risicobeheerkader inrichten om digitale dreigingen te identificeren, beoordelen en beheersen. Dit omvat regelmatige risicobeoordelingen om systemen en data veilig te houden.
  • ICT-gerelateerde incidentmelding: Snelle opsporing en melding van IT-incidenten is verplicht om schade te beperken. Ernstige incidenten, zoals datalekken of cyberaanvallen, moeten binnen vastgestelde termijnen worden gemeld bij de toezichthouder.
  • Testen van digitale operationele weerbaarheid: Financiële instellingen moeten hun digitale weerbaarheid regelmatig testen. Dit omvat penetratietesten en andere vormen van beveiligingstesten om te verifiëren of maatregelen daadwerkelijk effectief zijn.
  • Beheer van ICT-risico’s bij derden: Strikt beheer van IT-dienstverleners is verplicht. Contractuele afspraken moeten digitale weerbaarheid waarborgen en externe leveranciers moeten voldoen aan gelijke beveiligingsstandaarden.
  • Informatie-uitwisseling: Actief delen van cyberdreigingsinformatie tussen financiële instellingen om sneller te reageren op nieuwe risico’s en de sector collectief veiliger te maken.

Wanneer treedt DORA in werking en wat zijn de deadlines?

DORA is op 16 januari 2023 officieel in werking getreden. Organisaties kregen vervolgens een implementatieperiode van twee jaar om hun processen, systemen en contracten aan te passen aan de nieuwe vereisten. Sinds 17 januari 2025 moeten alle organisaties die onder DORA vallen volledig compliant zijn.

De voorbereidingsperiode was bedoeld om organisaties de tijd te geven voor grondige implementatie. Dit omvatte het uitvoeren van gap-analyses, het aanpassen van ICT-beleid, het herzien van contracten met leveranciers en het opzetten van nieuwe procedures voor incidentmelding en weerbaarheidstesten.

Organisaties die nog niet volledig voldoen aan alle vereisten, moeten prioriteit geven aan het in kaart brengen van hun huidige situatie en het opstellen van een concreet actieplan. Toezichthouders verwachten dat organisaties aantoonbaar werken aan volledige compliance.

Hoe bereid je jouw organisatie voor op DORA-compliance?

Een effectieve DORA-voorbereiding begint met een nulmeting die inzicht geeft in de huidige situatie en de afstand tot volledige compliance. Deze gap-analyse vormt de basis voor een pragmatisch implementatieplan.

Concrete stappen voor DORA-voorbereiding:

  • Voer een grondige analyse uit van ICT-risico’s en kansen binnen jouw organisatie.
  • Ontwikkel of pas het ICT-risicomanagementbeleid aan conform DORA-normen.
  • Inventariseer alle contracten met ICT-dienstverleners en beoordeel uitbestedingsrisico’s.
  • Zet procedures op voor snelle detectie en melding van ICT-incidenten.
  • Plan regelmatige weerbaarheidstesten, waaronder penetratietesten.
  • Richt governance in met duidelijke verantwoordelijkheden voor digitale weerbaarheid.
  • Documenteer alle maatregelen zodat compliance aantoonbaar is voor toezichthouders.

Het is raadzaam om bestaande documentatie en processen als uitgangspunt te nemen. Organisaties die al werken met frameworks zoals ISO 27001 of SOC 2 hebben vaak een voorsprong, omdat veel beheersmaatregelen overlap vertonen met DORA-vereisten.

Wat zijn de gevolgen van niet-naleving van DORA?

Toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) zijn verantwoordelijk voor de handhaving van DORA in Nederland. Zij hebben de bevoegdheid om onderzoek te doen, aanwijzingen te geven en bij overtredingen sancties op te leggen.

De gevolgen van non-compliance kunnen aanzienlijk zijn. Naast financiële sancties en boetes kunnen toezichthouders eisen dat organisaties specifieke maatregelen treffen of bepaalde activiteiten staken totdat zij voldoen aan de vereisten. Dit kan directe impact hebben op de bedrijfsvoering.

Minstens zo belangrijk zijn de reputatierisico’s. Financiële instellingen die niet voldoen aan DORA kunnen het vertrouwen van klanten, partners en investeerders verliezen. In een sector waar vertrouwen essentieel is, kan reputatieschade langdurige gevolgen hebben voor de marktpositie.

Tijdige implementatie is daarom niet alleen een wettelijke verplichting, maar ook een strategische noodzaak voor organisaties die hun positie in de markt willen behouden en versterken.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt financiële instellingen en ICT-dienstverleners bij elke stap van hun DORA-implementatie. Met een pragmatische aanpak helpen we organisaties efficiënt te voldoen aan de vereisten, zonder onnodige administratieve lasten.

Concrete ondersteuning omvat:

  • Gap-analyses en nulmetingen: Grondige analyse van jouw huidige situatie ten opzichte van DORA-vereisten.
  • ICT-risicomanagementadvies: Ontwikkeling van een op maat gemaakt risicobeheerkader dat aansluit bij jouw organisatie.
  • Penetratietesten: Ethical hacking en weerbaarheidstesten door gecertificeerde specialisten.
  • Incidentmeldingsprocedures: Opzetten van processen voor snelle detectie en rapportage van IT-incidenten.
  • IT Security Officer as a Service: Doorlopende ondersteuning bij het waarborgen van digitale weerbaarheid.

Onze NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om jouw organisatie te helpen bij het aantonen van adequate procesbeheersing en risicobeheersing. Neem contact op voor een vrijblijvend gesprek over hoe wij jouw DORA-compliance kunnen ondersteunen.

Hoe implementeer je NIS2 in je organisatie?

in

NIS2 implementeren in je organisatie begint met een grondige analyse van je huidige cybersecuritypositie, gevolgd door het opstellen van een concreet verbeterplan met duidelijke prioriteiten. De richtlijn vereist dat middelgrote tot grote organisaties in kritieke sectoren hun risicobeheer, incidentmelding en bedrijfscontinuïteit structureel verbeteren vóór de operationele deadline in 2026. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-compliance en hoe je praktisch aan de slag gaat.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor jouw organisatie?

De NIS2-richtlijn is Europese cybersecuritywetgeving die organisaties in kritieke sectoren verplicht om hun digitale weerbaarheid structureel te verbeteren. Deze opvolger van de oorspronkelijke NIS-richtlijn heeft een aanzienlijk bredere reikwijdte en strengere eisen, waardoor meer organisaties direct te maken krijgen met complianceverplichtingen.

De achtergrond van NIS2 ligt in de toenemende dreiging van cyberaanvallen op essentiële diensten en infrastructuur. De Europese Unie wil met deze wetgeving een uniform hoog niveau van cybersecurity realiseren in alle lidstaten. Voor jouw organisatie betekent dit dat cybersecurity niet langer alleen een IT-aangelegenheid is, maar een bestuursverantwoordelijkheid wordt.

Een belangrijke consequentie van NIS2 is de persoonlijke aansprakelijkheid van bestuurders. Het topmanagement kan direct verantwoordelijk worden gehouden voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit maakt NIS2 fundamenteel anders dan eerdere regelgeving en vraagt om actieve betrokkenheid van de directie bij het implementatietraject.

Welke organisaties vallen onder de NIS2-richtlijn?

Organisaties vallen onder NIS2 wanneer zij actief zijn in aangewezen sectoren én voldoen aan bepaalde omvangs- of omzetdrempels. De richtlijn maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten, waarbij voor essentiële entiteiten strengere toezichtseisen gelden.

De sectoren die onder NIS2 vallen, zijn uitgebreid ten opzichte van de vorige richtlijn. Essentiële sectoren omvatten onder andere:

  • Energie (elektriciteit, olie, gas, waterstof)
  • Transport (lucht, spoor, water, weg)
  • Gezondheidszorg
  • Drinkwater en afvalwater
  • Digitale infrastructuur
  • ICT-dienstverlening (B2B)
  • Overheid

Daarnaast zijn er belangrijke sectoren zoals post- en koeriersdiensten, afvalbeheer, chemie, voedselproductie en vervaardiging van bepaalde producten. De omvangsdrempels zijn doorgaans gebaseerd op minimaal 50 werknemers of een jaaromzet van meer dan 10 miljoen euro. Sommige organisaties vallen ongeacht hun omvang onder de richtlijn vanwege hun kritieke functie.

Wat zijn de belangrijkste verplichtingen onder NIS2?

De kernverplichtingen onder NIS2 richten zich op risicobeheer, incidentmelding, supply chain security, bedrijfscontinuïteit en governance. Organisaties moeten passende technische en organisatorische maatregelen implementeren die proportioneel zijn aan de risico’s.

Op het gebied van risicobeheer moet je organisatie een systematische aanpak hanteren voor het identificeren, analyseren en behandelen van cybersecurityrisico’s. Dit omvat het opstellen van een informatiebeveiligingsbeleid, een risicoregister en een duidelijke governance- en verantwoordingsstructuur voor informatiebeveiliging.

De incidentmeldingsplicht vereist dat significante incidenten binnen 24 uur worden gemeld aan de bevoegde autoriteit. Binnen 72 uur volgt een uitgebreidere melding en binnen een maand een eindrapport. Dit vraagt om heldere interne procedures en een goed functionerend incidentresponsproces.

Supply chain security krijgt nadrukkelijk aandacht in NIS2. Je bent verantwoordelijk voor het beoordelen van de cybersecuritypraktijken van je leveranciers en het contractueel vastleggen van beveiligingseisen. Bedrijfscontinuïteit en disaster recovery moeten formeel zijn ingericht, met regelmatige tests van de herstelcapaciteit.

Hoe begin je met een NIS2-implementatie in je organisatie?

Een NIS2-implementatie start met een nulmeting of gap-analyse om je huidige cybersecurityvolwassenheid in kaart te brengen. Deze analyse vergelijkt je bestaande maatregelen met de NIS2-vereisten en identificeert de ontbrekende elementen die je moet aanpakken.

Het implementatietraject kent doorgaans vijf fasen. In de eerste fase voer je een risicoanalyse uit en breng je je huidige situatie in kaart. De tweede fase richt zich op het bepalen van gewenste maatregelen, het vaststellen van verantwoordelijkheden en het uitvoeren van de gap-analyse. Dit resulteert in een informatiebeveiligingsbeleid, een concept-risicoregister en een overzicht van ontbrekende maatregelen.

Managementbetrokkenheid is cruciaal vanaf het begin. Gezien de persoonlijke aansprakelijkheid van bestuurders moet de directie actief betrokken zijn bij het vaststellen van prioriteiten en het vrijmaken van budget. Stel een projectteam samen met vertegenwoordigers uit IT, compliance, juridische zaken en de business.

Een realistisch implementatieplan houdt rekening met de beschikbare capaciteit en middelen. Prioriteer maatregelen op basis van risico en complexiteit en plan voldoende tijd in voor het documenteren van beleid en procedures. De beleidsafspraken die je vastlegt, kun je ook gebruiken om nieuwe leveranciers duidelijk te maken wat je van hen verwacht.

Welke deadlines gelden voor NIS2-compliance?

De NIS2-richtlijn had uiterlijk op 17 oktober 2024 omgezet moeten zijn in nationale wetgeving in alle EU-lidstaten. In Nederland loopt dit proces nog, waarbij de Cyberbeveiligingswet de nationale implementatie wordt. De eerste operationele deadlines voor organisaties beginnen in 2026.

Voor organisaties betekent dit concreet dat je niet moet wachten tot de wetgeving volledig is geïmplementeerd. De inhoudelijke eisen van NIS2 zijn bekend en je kunt nu al beginnen met het treffen van voorbereidingen. Organisaties die proactief aan de slag gaan, spreiden de inspanning en kosten over een langere periode.

Een praktische tijdlijn voor voorbereiding ziet er als volgt uit:

  • 2024-2025: Nulmeting uitvoeren, gap-analyse afronden, projectplan opstellen
  • 2025: Maatregelen implementeren, beleid en procedures documenteren
  • 2026: Operationele compliance bereiken, continue monitoring inrichten

Het is verstandig om ruim voor de deadline compliant te zijn. Implementatietrajecten kosten tijd en onverwachte vertragingen kunnen ervoor zorgen dat je de deadline niet haalt.

Wat zijn de risico’s en sancties bij non-compliance met NIS2?

Non-compliance met NIS2 kan leiden tot aanzienlijke administratieve boetes, persoonlijke aansprakelijkheid van bestuurders, reputatieschade en operationele risico’s. De sancties zijn bewust streng om naleving af te dwingen.

Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten gelden lagere maxima, maar deze zijn nog steeds substantieel. Toezichthouders krijgen ruime handhavingsbevoegdheden, waaronder het opleggen van bindende instructies en het uitvoeren van audits.

De persoonlijke aansprakelijkheid van bestuurders is een belangrijke verandering ten opzichte van eerdere regelgeving. Bestuurders kunnen persoonlijk verantwoordelijk worden gehouden wanneer de organisatie niet voldoet aan de risicomanagementeisen. Dit kan leiden tot tijdelijke ontheffing van managementfuncties.

Naast de directe sancties brengt non-compliance ook indirecte risico’s met zich mee. Klanten en partners stellen steeds vaker eisen aan de cybersecuritypositie van hun leveranciers. Aantoonbare compliance wordt daarmee een concurrentievoordeel, terwijl non-compliance kan leiden tot verlies van contracten en reputatieschade.

Hoe helpt Hoek en Blok IT bij NIS2-implementatie?

Hoek en Blok IT ondersteunt organisaties bij het complete NIS2-implementatietraject, van nulmeting tot aantoonbare compliance. Met een pragmatische en betaalbare aanpak helpen we je om de vereiste maatregelen effectief te implementeren, zonder onnodige administratieve last.

De ondersteuning van Hoek en Blok IT omvat:

  • NIS2-gap-analyse en nulmeting: inzicht in je huidige positie en de benodigde verbeteringen
  • ISAE 3000/3402-verklaringen en SOC 2: onafhankelijk bewijs van naleving voor toezichthouders en stakeholders
  • Penetratietests en security-assessments: technische toetsing van je beveiligingsmaatregelen
  • IT Security Officer as a Service: structurele ondersteuning bij het borgen van cybersecurity
  • Beleid en documentatie: opstellen van informatiebeveiligingsbeleid en procedures

ISAE-verklaringen en SOC 2 bieden zekerheid over de structurele uitvoering van maatregelen. Dit zijn verklaringen die aantonen in welke mate een organisatie aan internationaal erkende informatiebeveiligingsnormen voldoet, relevant voor aantoonbaarheid richting toezichthouders en klanten. Meer informatie over de specifieke NIS2-vereisten vind je op onze website.

Wil je weten hoe jouw organisatie ervoor staat en wat er nodig is voor NIS2-compliance? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden.

Hoe bereid je je voor op NIS2?

in

Voorbereiden op NIS2 begint met het begrijpen van de verplichtingen en het uitvoeren van een grondige gap-analyse van je huidige cybersecurityniveau. De NIS2-richtlijn treedt in Nederland per 1 juli 2026 in werking via de Cyberbeveiligingswet en stelt strengere eisen aan middelgrote en grote organisaties in essentiële sectoren. Bestuurders worden persoonlijk aansprakelijk voor non-compliance, wat tijdig handelen noodzakelijk maakt. In dit artikel beantwoorden we de belangrijkste vragen over NIS2-voorbereiding.

Wat is de NIS2-richtlijn en waarom is deze belangrijk voor jouw organisatie?

De NIS2-richtlijn (Network and Information Systems 2) is Europese wetgeving die de cyberbeveiliging en veerkracht van organisaties moet verbeteren. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn en breidt zowel de reikwijdte als de eisen significant uit. In Nederland wordt NIS2 geïmplementeerd via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb).

De groei in digitalisering heeft voor veel organisaties grote uitdagingen met zich meegebracht op het gebied van IT-beveiliging. Het mkb is steeds vaker doelwit van ransomware-aanvallen. De Europese Unie ziet NIS2 als een essentiële stap in het verbeteren van de cyberweerbaarheid.

NIS2 heeft drie hoofddoelen: het verhogen van de cyberweerbaarheid van organisaties die belangrijk zijn voor economie en samenleving, het gelijktrekken van cybersecurityregels binnen Europa en het versterken van de samenwerking tussen lidstaten. Organisaties die al onder de oorspronkelijke NIS-richtlijn vielen, moeten nu meer doen om hun netwerk- en informatiesystemen te beschermen.

Valt jouw organisatie onder de NIS2-richtlijn?

Of jouw organisatie onder NIS2 valt, hangt af van de sector waarin je actief bent en de omvang van je organisatie. Kleine mkb-organisaties met minder dan 50 werknemers én een omzet en balanstotaal onder 10 miljoen euro hoeven niet te voldoen aan de NIS2-verplichtingen.

NIS2 maakt onderscheid tussen essentiële entiteiten en belangrijke entiteiten. Essentiële sectoren omvatten onder andere energie, transport, bankwezen, gezondheidszorg, drinkwater en digitale infrastructuur. Belangrijke sectoren zijn bijvoorbeeld post- en koeriersdiensten, afvalverwerking, voedselproductie en digitale aanbieders.

Grote organisaties (meer dan 250 werknemers of een omzet boven 50 miljoen euro) in essentiële sectoren krijgen proactief toezicht. Middelgrote organisaties (50-250 werknemers) in deze sectoren vallen onder reactief toezicht. Beoordeel je eigen situatie door te kijken naar je sectorclassificatie, personeelsomvang en financiële omvang.

Wat zijn de belangrijkste verplichtingen onder NIS2?

NIS2 legt organisaties concrete verplichtingen op rondom risicobeheer, incidentmelding, supply chain security en governance. De kernverplichting is het implementeren van passende technische en organisatorische maatregelen om cybersecurityrisico’s te beheersen. Dit omvat maatregelen die het moeilijker maken voor hackers om toegang te krijgen tot systemen en gegevens.

De belangrijkste verplichtingen zijn:

  • Risicobeheermaatregelen: identificeren van kritieke systemen, uitvoeren van risicoanalyses en implementeren van beveiligingsmaatregelen
  • Incidentmeldingsplicht: ernstige cyberincidenten melden aan de nationale autoriteiten binnen vastgestelde termijnen
  • Supply chain security: beveiligingseisen stellen aan leveranciers en ketenpartners
  • Bedrijfscontinuïteit: zorgen voor back-upbeheer en herstelplannen
  • Governance-eisen: de directie moet cybersecurity actief besturen en monitoren

Belangrijk: als directie kun je persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Cybersecurity mag daarom niet enkel een feestje van de IT-afdeling zijn.

Welke deadlines gelden voor NIS2-compliance?

De NIS2-richtlijn treedt in Nederland per 1 juli 2026 in werking via de Cyberbeveiligingswet. Dit is de datum waarop organisaties moeten voldoen aan de gestelde eisen. De Europese richtlijn is in 2022 aangenomen en lidstaten hebben tot eind 2024 de tijd gekregen om nationale wetgeving op te stellen.

Hoewel de exacte Nederlandse wetgeving nog definitief moet worden vastgesteld, kun je het je als organisatie niet meer permitteren om achterover te leunen. De implementatie van adequate cybersecuritymaatregelen kost tijd, vaak 12 tot 18 maanden voor middelgrote organisaties. Begin daarom nu met de voorbereidingen.

Registratieverplichtingen bij de toezichthouder maken ook deel uit van de implementatie. Organisaties moeten zich tijdig registreren en aantonen dat zij aan de eisen voldoen. Wacht niet tot het laatste moment, want de capaciteit bij toezichthouders en externe adviseurs zal richting de deadline onder druk komen te staan.

Hoe begin je met de voorbereiding op NIS2?

Een pragmatische aanpak voor NIS2-implementatie bestaat uit vijf fasen. Start met het analyseren van je huidige situatie en werk toe naar structurele verbetering. Elke kleine stap is een verbetering en alle stappen samen zorgen ervoor dat je een volwassen niveau van veiligheid behaalt.

Fase 1: Analyseren van cyberrisico’s
Voer een business impact assessment uit om te bepalen voor welke applicaties maatregelen gewenst zijn. Een gap-analyse toont het verschil tussen de huidige en de gewenste situatie.

Fase 3: Opstellen van actieplan
Integreer maatregelen structureel in dagelijkse werkzaamheden, cultuur en strategie. Betrek de volledige organisatie, niet alleen IT.

Fase 5: Controleren en verbeteren
Analyseer incidenten, controleer maatregelen periodiek en documenteer de resultaten.

Welke sancties en boetes gelden bij niet-naleving van NIS2?

NIS2 introduceert een streng handhavingsregime met aanzienlijke boetes voor organisaties die niet voldoen aan de eisen. De maximale boetes verschillen tussen essentiële en belangrijke entiteiten en kunnen oplopen tot miljoenen euro’s.

Essentiële entiteiten riskeren boetes tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten kunnen boetes krijgen tot 7 miljoen euro of 1,4% van de wereldwijde jaaromzet.

Toezichthouders krijgen uitgebreide bevoegdheden, waaronder het uitvoeren van audits, het opvragen van informatie en het opleggen van bindende aanwijzingen. In Nederland wordt het toezicht ingericht via sectorale toezichthouders die proactief (voor essentiële entiteiten) of reactief (voor belangrijke entiteiten) controleren.

De persoonlijke aansprakelijkheid van bestuurders vormt een belangrijk nieuw element. Directieleden kunnen persoonlijk verantwoordelijk worden gehouden voor tekortkomingen in cybersecurity. Dit maakt NIS2-compliance een bestuurlijke prioriteit.

Hoe helpt Hoek en Blok IT bij NIS2-voorbereiding?

Hoek en Blok IT ondersteunt organisaties bij het pragmatisch en betaalbaar voorbereiden op NIS2-compliance. Met NOREA-gecertificeerde EDP-auditors en ethical-hackingexpertise biedt Hoek en Blok IT een compleet pakket aan diensten.

De dienstverlening voor NIS2 omvat:

  • NIS2-nulmeting en gap-analyse: inzicht in kwetsbaarheden binnen techniek, mensen en processen
  • Risico-assessments: identificatie van kroonjuwelen en documentatie in een risicoregister
  • IT-audits: ISAE 3000- en ISAE 3402-verklaringen voor aantoonbare procesbeheersing
  • Penetratietests: ethical hacking om kwetsbaarheden in systemen te identificeren
  • Security awareness-training: medewerkers bewust maken van cyberrisico’s
  • IT Security Officer as a Service: structurele ondersteuning bij cybersecuritygovernance

Na een nulmeting ontvang je een helder informatiebeveiligingsbeleid, een uitgebreid adviesrapport en een voorstel voor het beleggen van verantwoordelijkheden. Wil je ondersteuning bij het inrichten van cybersecurity en NIS2 binnen jouw organisatie? Neem contact op voor een vrijblijvend adviesgesprek.

Wat zijn de gevolgen van NIS2 non-compliance?

in

De gevolgen van NIS2-non-compliance zijn aanzienlijk en raken uw organisatie op meerdere fronten. Bij overtreding van de NIS2-richtlijn riskeert u boetes tot € 10 miljoen of 2% van de wereldwijde jaaromzet, persoonlijke aansprakelijkheid voor bestuurders, operationele beperkingen en reputatieschade. Met de deadline van 1 juli 2026 in zicht is het cruciaal om tijdig actie te ondernemen. In dit artikel beantwoorden we de belangrijkste vragen over de consequenties van non-compliance en hoe u deze kunt voorkomen.

Welke boetes en sancties gelden er bij NIS2-non-compliance?

De financiële sancties bij NIS2-non-compliance zijn opgedeeld in twee categorieën. Voor essentiële entiteiten (zoals energie, transport en gezondheidszorg) kunnen boetes oplopen tot € 10 miljoen of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Belangrijke entiteiten riskeren boetes tot € 7 miljoen of 1,4% van de wereldwijde jaaromzet.

Toezichthouders bepalen de hoogte van sancties op basis van verschillende factoren:

  • de ernst en duur van de overtreding
  • het aantal getroffen personen of systemen
  • de mate van verwijtbaarheid
  • eerdere overtredingen door de organisatie
  • de genomen maatregelen om schade te beperken

Naast geldboetes kunnen toezichthouders ook dwangsommen opleggen om naleving af te dwingen. Deze financiële druk maakt duidelijk dat de EU cyberbeveiliging serieus neemt en verwacht dat organisaties hun netwerk- en informatiesystemen adequaat beveiligen.

Wat is bestuurdersaansprakelijkheid onder de NIS2-richtlijn?

Onder NIS2 wordt het topmanagement persoonlijk aansprakelijk voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit betekent dat bestuurders niet langer kunnen volstaan met het delegeren van cybersecurity naar de IT-afdeling. Zij moeten de materie begrijpen en actief betrokken zijn bij het beveiligingsbeleid.

De nieuwe verantwoordelijkheden voor directieleden omvatten:

  • het goedkeuren van cybersecuritymaatregelen en het houden van toezicht op de implementatie
  • het verplicht volgen van cybersecuritytrainingen om risico’s te kunnen beoordelen
  • persoonlijke verantwoordelijkheid voor adequate risicobeheersing
  • aansprakelijkheid bij nalatigheid, ook als de uitvoering bij anderen ligt

Bij ernstige overtredingen kunnen bestuurders tijdelijk worden uitgesloten van leidinggevende functies. Deze persoonlijke consequenties maken NIS2-compliance tot een bestuurlijke prioriteit die rechtstreeks op de agenda van de directie thuishoort.

Welke operationele gevolgen heeft NIS2-non-compliance voor uw organisatie?

Non-compliance heeft directe gevolgen voor uw dagelijkse bedrijfsvoering. Toezichthouders kunnen verplichte audits opleggen, waardoor uw organisatie onder verscherpt toezicht komt te staan. Dit betekent extra administratieve lasten, kosten voor externe auditors en mogelijke verstoring van normale werkprocessen.

De praktische bedrijfsimpact omvat onder meer:

  • opschorting of intrekking van certificeringen en vergunningen
  • tijdelijke verboden op leidinggevende functies voor verantwoordelijke personen
  • verplichte herstelmaatregelen binnen strikte termijnen
  • verhoogde frequentie van inspecties en controles

Voor organisaties die afhankelijk zijn van bepaalde certificeringen of vergunningen kan dit de bedrijfscontinuïteit ernstig in gevaar brengen. Het is daarom verstandig om proactief te handelen in plaats van te wachten tot handhaving noodzakelijk wordt.

Hoe beïnvloedt NIS2-non-compliance uw reputatie en zakelijke relaties?

De indirecte gevolgen van non-compliance kunnen minstens zo ingrijpend zijn als de directe sancties. Klantvertrouwen staat op het spel wanneer bekend wordt dat uw organisatie niet voldoet aan Europese cybersecuritystandaarden. In een tijd waarin cyberaanvallen steeds vaker het nieuws halen, verwachten klanten dat hun gegevens adequaat worden beschermd.

Op zakelijk vlak ziet u de impact in verschillende gebieden:

  • uitsluiting bij aanbestedingen waar NIS2-compliance een vereiste is
  • verlies van zakelijke partners die alleen met compliant leveranciers werken
  • hogere verzekeringspremies of weigering van cyberverzekeringen
  • verminderde aantrekkelijkheid voor investeerders en financiers

Binnen de supply chain worden organisaties steeds kritischer op hun leveranciers. Het voldoen aan NIS2-normen versterkt juist het vertrouwen van klanten, partners en investeerders, omdat het aantoont dat uw bedrijf serieus bezig is met cybersecurity.

Vanaf wanneer gelden de NIS2-sancties en hoe verloopt de handhaving?

NIS2 treedt vanaf 1 juli 2026 in werking in Nederland. Dit betekent dat organisaties die onder de reikwijdte van de richtlijn vallen, vóór deze datum hun cyberbeveiligingsmaatregelen op orde moeten hebben. De richtlijn wordt in Nederland geïmplementeerd via de Cyberbeveiligingswet (Cbw) en het Cyberbeveiligingsbesluit (Cbb).

Het handhavingsproces kent verschillende elementen:

  • registratieplicht bij de aangewezen toezichthouder
  • meldingsverplichtingen bij significante cyberincidenten
  • reguliere en onaangekondigde inspecties door toezichthouders
  • escalerende sancties bij herhaalde overtredingen

De urgentie neemt toe naarmate de deadline nadert. Veel organisaties onderschatten de tijd die nodig is om volledig compliant te worden. Een implementatietraject van 12 tot 18 maanden is geen uitzondering, wat betekent dat uitstel nu al risicovol is.

Hoe voorkomt u NIS2-non-compliance in uw organisatie?

Tijdige voorbereiding is de sleutel tot succesvolle NIS2-compliance. Begin met een gap-analyse om te beoordelen hoe goed uw organisatie voorbereid is op de nieuwe eisen. Een nulmeting geeft inzicht in de huidige status van uw cybersecuritymaatregelen en identificeert potentiële kwetsbaarheden.

Praktische stappen om compliant te worden:

  • voer een risicobeoordeling uit van uw netwerk- en informatiesystemen
  • stel een cybersecuritybeleid op dat voldoet aan de NIS2-vereisten
  • implementeer technische en organisatorische beveiligingsmaatregelen
  • zorg voor adequate incidentrespons- en herstelplannen
  • train medewerkers en bestuurders in cybersecurity awareness
  • documenteer alle maatregelen als bewijs van compliance

Het belang van documentatie wordt vaak onderschat. Toezichthouders willen niet alleen zien dat u maatregelen heeft genomen, maar ook dat u kunt aantonen hoe en wanneer. Een gestructureerde aanpak met duidelijke vastlegging versterkt uw positie bij eventuele controles.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het volledige NIS2-compliancetraject met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde auditors combineren technische expertise met auditervaring om uw organisatie aantoonbaar compliant te maken.

Concrete dienstverlening voor NIS2-compliance:

  • NIS2-gap-analyse en nulmeting: beoordeling van uw huidige cybersecuritypositie en identificatie van verbeterpunten
  • IT-audits en ISAE-verklaringen: onafhankelijke assurance over uw procesbeheersing en risicobeheersing
  • penetratietests en securityassessments: praktische toetsing van uw technische beveiliging
  • IT Security Officer as a Service: continue ondersteuning bij de implementatie en het onderhoud van beveiligingsmaatregelen
  • securityawarenesstraining: de bewustwording bij medewerkers en bestuurders vergroten

Wilt u weten hoe uw organisatie ervoor staat en welke stappen nodig zijn voor NIS2-compliance? Neem contact op met Hoek en Blok IT voor een vrijblijvend adviesgesprek en ontdek hoe u tijdig aan de vereisten kunt voldoen.

Wat is de deadline voor DORA-compliance?

in

De deadline voor DORA-compliance is 17 januari 2025. Vanaf deze datum moeten alle financiële entiteiten en kritieke ICT-dienstverleners volledig voldoen aan de Digital Operational Resilience Act. Dit betekent dat organisaties niet alleen maatregelen moeten hebben geïmplementeerd, maar ook moeten kunnen aantonen dat deze effectief werken. In dit artikel beantwoorden we de belangrijkste vragen over de DORA-deadline en wat dit betekent voor jouw organisatie.

Wat is de officiële deadline voor DORA-compliance?

De officiële deadline voor DORA-compliance is 17 januari 2025. Vanaf deze datum moeten financiële instellingen en hun kritieke ICT-dienstverleners aantoonbaar voldoen aan alle vereisten van de Digital Operational Resilience Act. Het is belangrijk om het verschil te begrijpen tussen de inwerkingtreding en de toepassingsdatum van deze Europese verordening.

DORA is op 16 januari 2023 in werking getreden. Dit markeerde het startpunt van een overgangsperiode van twee jaar waarin organisaties zich konden voorbereiden op volledige compliance. De toepassingsdatum van 17 januari 2025 betekent dat toezichthouders vanaf dat moment actief kunnen handhaven en organisaties moeten kunnen aantonen dat zij digitaal weerbaar zijn.

Anders dan bij sommige andere regelgeving is er geen uitstel of gefaseerde invoering. Alle DORA-vereisten gelden gelijktijdig vanaf de deadline. Organisaties moeten dus niet alleen maatregelen hebben geïmplementeerd, maar ook kunnen bewijzen dat deze maatregelen in de praktijk effectief werken.

Voor welke organisaties geldt de DORA-deadline?

DORA geldt voor een breed scala aan financiële entiteiten binnen de Europese Unie. Dit omvat banken, verzekeraars, beleggingsondernemingen, pensioenfondsen, crypto-activadienstverleners en betalingsinstellingen. Daarnaast vallen kritieke ICT-dienstverleners die diensten leveren aan deze financiële sector onder de reikwijdte van DORA.

De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners. Daarom moeten ook cloudcomputingproviders, softwareleveranciers en datacenters die kritieke diensten leveren aan de financiële sector voldoen aan DORA-vereisten. Dit betekent dat de impact van DORA veel verder reikt dan alleen traditionele financiële instellingen.

Specifiek vallen onder DORA:

  • Kredietinstellingen en banken (inclusief Less Significant Institutions)
  • Verzekeraars en herverzekeraars
  • Beleggingsondernemingen en vermogensbeheerders
  • Pensioenfondsen en pensioenuitvoeringsorganisaties
  • Crypto-activadienstverleners
  • Betalingsinstellingen en elektronischgeldinstellingen
  • Kritieke ICT-dienstverleners aan bovengenoemde entiteiten

Wat moet er geregeld zijn vóór de DORA-deadline?

Vóór de DORA-deadline moeten organisaties vijf kernpijlers hebben geïmplementeerd: ICT-risicobeheer, ICT-incidentenbeheer en rapportage, digitale operationele weerbaarheidstests, beheer van ICT-risico’s bij derden en informatie-uitwisseling. Elke pijler vereist specifieke maatregelen en documentatie.

ICT-risicobeheer vereist het inrichten van een risicobeheerkader om digitale dreigingen te beheersen en klantgegevens te beschermen. Dit omvat regelmatige risicobeoordelingen om systemen en data veilig te houden.

ICT-incidentenbeheer vereist snelle opsporing en melding van IT-incidenten om schade te beperken. Organisaties moeten processen hebben voor het detecteren, classificeren en rapporteren van significante incidenten aan toezichthouders.

Digitale weerbaarheidstests moeten regelmatig worden uitgevoerd om te voldoen aan toezichthouder- en klanteisen. Voor grotere instellingen geldt de verplichting tot Threat-Led Penetration Testing (TLPT).

Derdenbeheer behelst strikt beheer van IT-dienstverleners om continuïteit en veiligheid te waarborgen. Contractuele afspraken moeten digitale weerbaarheid garanderen.

Informatie-uitwisseling vereist het actief delen van cyberdreigingsinformatie om sneller te kunnen reageren op nieuwe risico’s.

Wat zijn de gevolgen als je de DORA-deadline mist?

Het missen van de DORA-deadline kan leiden tot handhavingsmaatregelen door toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM). Deze instanties hebben de bevoegdheid om sancties op te leggen, waaronder substantiële boetes en verhoogd toezicht op de bedrijfsvoering.

Naast directe sancties brengt non-compliance ook indirecte risico’s met zich mee. Organisaties die niet kunnen aantonen digitaal weerbaar te zijn, lopen een verhoogd risico op onaangename verrassingen tijdens toekomstige toezichtsinspecties. Reputatieschade bij klanten, partners en stakeholders kan langdurige gevolgen hebben voor de marktpositie.

Daarnaast kan non-compliance leiden tot:

  • Verhoogde frequentie van toezichtsinspecties
  • Verplichte verbetertrajecten onder toezicht
  • Beperkingen op bepaalde bedrijfsactiviteiten
  • Verlies van vertrouwen bij zakelijke partners en klanten
  • Hogere kosten voor een latere compliance-inhaalslag

Hoe begin je met DORA-compliance als de deadline nadert?

Begin met een gap-analyse om te bepalen waar jouw organisatie staat ten opzichte van de DORA-vereisten. Een baseline assessment helpt bij het identificeren van hiaten en het vaststellen van een solide basis voor structurele digitale weerbaarheid. Gebruik hierbij een maturitymodel om de huidige status van controls te beoordelen.

Het DNB Good Practices-framework voor informatiebeveiliging biedt een praktisch referentiekader. Level 3 (Defined) wordt beschouwd als het minimale niveau voor aantoonbare DORA-compliance, waarbij de opzet van beheersmaatregelen gedocumenteerd en op een gestructureerde wijze geïmplementeerd is.

Praktische stappen voor een snelle start:

  • Voer een gap-analyse uit tegen de vijf DORA-pijlers
  • Prioriteer de grootste risico’s en compliance-hiaten
  • Stel een realistisch implementatieplan op met duidelijke mijlpalen
  • Zorg voor intern draagvlak bij bestuur en management
  • Wijs voldoende budget en resources toe
  • Identificeer welke externe expertise nodig is

Betrek vanaf het begin het bestuur bij het DORA-traject. Zij dragen de eindverantwoordelijkheid voor compliance en moeten geïnformeerde beslissingen kunnen nemen over prioriteiten en investeringen.

Welke DORA-vereisten hebben de langste doorlooptijd?

Threat-Led Penetration Testing (TLPT), contractaanpassingen met ICT-leveranciers en het opzetten van een robuust incidentmeldingsproces zijn de meest tijdrovende DORA-onderdelen. Deze activiteiten verdienen directe prioriteit, gezien de benodigde doorlooptijd en de afhankelijkheden van externe partijen.

TLPT vereist gespecialiseerde expertise en moet worden uitgevoerd volgens strikte protocollen. Het plannen, uitvoeren en rapporteren van dergelijke tests kan maanden in beslag nemen, vooral als organisaties nog geen ervaring hebben met deze vorm van ethisch hacken.

Contractaanpassingen met ICT-leveranciers zijn vaak complex en tijdrovend. Externe leveranciers moeten voldoen aan dezelfde beveiligingsstandaarden als de financiële instelling zelf. Onderhandelingen over nieuwe contractvoorwaarden, exitstrategieën en auditrechten kunnen lang duren, vooral bij grote internationale leveranciers.

Het incidentmeldingsproces vereist niet alleen technische implementatie, maar ook training van medewerkers en afstemming met toezichthouders over meldingsformaten en termijnen.

Geef deze onderdelen voorrang in je implementatieplan en start zo snel mogelijk met de voorbereidingen.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van DORA-implementatie met een pragmatische en resultaatgerichte aanpak. Met NOREA-gecertificeerde EDP-auditors en ruime ervaring in de financiële sector biedt het bureau diepgaande kennis van sectorvereisten en DORA-compliance.

Concrete dienstverlening omvat:

  • DORA gap-assessments om te bepalen welke risico’s of maatregelen nog nodig zijn voor voldoende digitale weerbaarheid
  • IT-audits om compliance met regelgevende vereisten te beoordelen
  • Security-assessments en penetratietests, inclusief ondersteuning bij TLPT-trajecten
  • Implementatiebegeleiding bij het opzetten van ICT-risicobeheerkaders conform DORA-normen
  • IT Security Officer as a Service voor organisaties die behoefte hebben aan structurele ondersteuning
  • Monitoringstructuren die zichtbaarheid bieden op de periodieke uitvoering van maatregelen en hun effectiviteit

Wil je weten waar jouw organisatie staat en hoe je de DORA-deadline haalt? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden.

Wat zijn de DORA-vereisten?

in

De DORA-vereisten omvatten vijf kernpijlers die financiële entiteiten verplichten hun digitale operationele weerbaarheid aantoonbaar te versterken. Deze Europese verordening stelt eisen aan ICT-risicobeheer, incidentenrapportage, weerbaarheidstesten, beheer van ICT-derdepartijrisico’s en informatie-uitwisseling. Sinds 17 januari 2025 moeten organisaties kunnen aantonen dat zij voldoende maatregelen hebben geïmplementeerd én dat deze effectief werken. In dit artikel beantwoorden we de belangrijkste vragen over DORA en de praktische implementatie ervan.

Wat is DORA en waarom is deze wetgeving belangrijk?

DORA (Digital Operational Resilience Act) is Europese wetgeving die de digitale weerbaarheid van financiële instellingen versterkt door uniforme eisen te stellen aan de beveiliging van netwerk- en informatiesystemen. De verordening beschermt tegen cyberaanvallen en andere verstoringen die financiële diensten kunnen onderbreken en is sinds 17 januari 2025 volledig van toepassing.

De achtergrond van DORA ligt in de toenemende afhankelijkheid van de financiële sector van ICT-systemen en externe dienstverleners. Voorheen verschilden de nationale regelgevingen sterk, wat leidde tot versnippering en onduidelijkheid. DORA maakt deel uit van het EU-pakket voor digitale financiën, dat innovatie en concurrentie stimuleert terwijl risico’s worden beperkt.

De wetgeving richt zich specifiek op twee doelstellingen: het vergroten van digitale operationele veerkracht bij financiële instellingen en het beperken van uitbestedingsrisico’s aan derde dienstverleners. Een uniform regelgevingskader in de EU vermindert dubbele regels en zorgt voor eerlijke concurrentie tussen financiële instellingen en hun IT-leveranciers.

Voor welke organisaties gelden de DORA-vereisten?

DORA geldt voor een breed scala aan financiële entiteiten, waaronder banken, verzekeraars, beleggingsondernemingen, betalingsinstellingen en pensioenfondsen. Daarnaast vallen kritieke ICT-dienstverleners die diensten leveren aan deze financiële instellingen onder het toepassingsgebied, zoals cloudcomputingproviders, softwareleveranciers en datacenters.

Het proportionaliteitsbeginsel speelt een belangrijke rol bij de toepassing van DORA. Dit betekent dat de vereisten variëren afhankelijk van de omvang, complexiteit en het risicoprofiel van de organisatie. Kleinere instellingen hoeven niet dezelfde uitgebreide maatregelen te treffen als grote systeemrelevante banken, maar moeten wel aan de basisvereisten voldoen.

IT-serviceorganisaties die diensten verlenen aan financiële instellingen binnen de EU moeten hun beveiligingsmaatregelen en operationele processen aanpassen om te voldoen aan DORA-eisen. De wetgeving erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en dat deze leveranciers daarom een rol spelen in de digitale weerbaarheid van de sector.

Wat zijn de vijf kernpijlers van DORA?

DORA rust op vijf hoofdgebieden die samen een compleet raamwerk vormen voor digitale operationele weerbaarheid. Elke pijler bevat specifieke verplichtingen die organisaties moeten implementeren en waarvan zij de effectiviteit moeten kunnen aantonen.

  • ICT-risicobeheer: een robuust raamwerk voor het identificeren, classificeren en beheersen van ICT-risico’s, inclusief governance en bestuurlijke verantwoordelijkheid.
  • ICT-gerelateerde incidentenrapportage: verplichte melding van ernstige ICT-incidenten bij de toezichthouder volgens vastgestelde criteria en termijnen.
  • Testen van digitale operationele weerbaarheid: regelmatige weerbaarheidstesten en geavanceerde penetratietesten om de effectiviteit van beveiligingsmaatregelen te verifiëren.
  • Beheer van ICT-derdepartijrisico’s: strikt beheer van IT-dienstverleners om continuïteit en veiligheid te waarborgen, ook bij afhankelijkheid van externe partijen.
  • Informatie-uitwisseling: mogelijkheden voor het delen van dreigingsinformatie tussen financiële entiteiten om de collectieve weerbaarheid te versterken.

Hoe moet ICT-risicobeheer volgens DORA worden ingericht?

DORA vereist een robuust ICT-risicobeheerframework dat begint bij het bestuur. Het management is verantwoordelijk voor het vaststellen van de risicotolerantie, het goedkeuren van beleid en het waarborgen van adequate middelen voor ICT-beveiliging. Deze bestuurlijke betrokkenheid is geen formaliteit, maar een kernvereiste.

De praktische invulling omvat de identificatie en classificatie van alle ICT-assets, continue monitoring van dreigingen en kwetsbaarheden, en het implementeren van passende beschermingsmaatregelen. Organisaties moeten een op maat gemaakt risicobeheerkader ontwikkelen dat voldoet aan DORA-normen en aansluit bij organisatiespecifieke behoeften.

Het framework moet aantoonbaar effectief zijn. Dit betekent dat de opzet van controlemaatregelen gedocumenteerd en geïmplementeerd moet zijn op een gestructureerde en geformaliseerde wijze, waarbij de vereiste effectiviteit aantoonbaar is en wordt getest. Organisaties die streven naar aantoonbare DORA-compliance richten zich minimaal op dit niveau van volwassenheid.

Welke incidenten moeten onder DORA worden gemeld?

Onder DORA moeten financiële entiteiten ernstige ICT-gerelateerde incidenten melden bij de toezichthouder. De classificatie van incidenten gebeurt op basis van vastgestelde criteria, waaronder de impact op de continuïteit van dienstverlening, het aantal getroffen klanten, de duur van de verstoring en de geografische spreiding.

De meldtermijnen zijn strikt gedefinieerd. Bij een ernstig incident moet een initiële melding binnen een korte termijn plaatsvinden, gevolgd door tussentijdse updates en een eindrapport. Het rapportageformat is gestandaardiseerd om consistente informatieverstrekking aan toezichthouders mogelijk te maken.

Drempelwaarden bepalen wanneer een incident als ‘ernstig’ wordt aangemerkt. Factoren zoals financiële impact, reputatieschade en de kritieke aard van getroffen systemen spelen hierbij een rol. Organisaties moeten interne processen inrichten om incidenten snel te detecteren, te classificeren en indien nodig te melden.

Welke testen zijn verplicht onder DORA?

DORA schrijft twee categorieën testen voor: reguliere weerbaarheidstesten en geavanceerde threat-led penetration testing (TLPT). Reguliere testen omvatten kwetsbaarheidsscans, netwerkbeveiligingsbeoordelingen en scenariogebaseerde tests die minimaal jaarlijks moeten plaatsvinden.

TLPT is een geavanceerde testvorm waarbij externe, gekwalificeerde testers realistische aanvalsscenario’s simuleren op basis van actuele dreigingsinformatie. Deze testen zijn verplicht voor significante financiële entiteiten en moeten door onafhankelijke partijen worden uitgevoerd. De frequentie en scope worden bepaald door de toezichthouder.

De methodologie van testen moet gedocumenteerd zijn en de resultaten moeten leiden tot concrete verbeteracties. Organisaties moeten kunnen aantonen dat geïdentificeerde kwetsbaarheden zijn aangepakt en dat de effectiviteit van beveiligingsmaatregelen periodiek wordt geëvalueerd.

Hoe bereid je jouw organisatie voor op de DORA-deadline?

Een effectieve DORA-voorbereiding begint met een gap-analyse om te bepalen welke risico’s nog bestaan of welke maatregelen nog nodig zijn om voldoende digitale weerbaarheid te bereiken. Deze baselinemeting helpt organisaties lacunes te identificeren en een solide basis te leggen voor structurele compliance.

Prioritering van acties is essentieel. Focus op de gebieden met de grootste risico’s of waar de meeste verbeteringen nodig zijn. Betrek stakeholders uit verschillende disciplines: IT, compliance, riskmanagement en het bestuur moeten gezamenlijk werken aan de implementatie.

Veelvoorkomende uitdagingen zijn het gebrek aan documentatie van bestaande processen, onduidelijke verantwoordelijkheden en beperkte capaciteit. Een pragmatische aanpak zonder onnodige administratieve lasten helpt organisaties efficiënt te voldoen aan DORA-vereisten. Stel een projectstructuur op met duidelijke mijlpalen en verantwoordelijken, en monitor de voortgang regelmatig.

Hoe helpt Hoek en Blok IT bij DORA-compliance?

Hoek en Blok IT ondersteunt organisaties bij elke stap van de DORA-implementatie met een pragmatische en resultaatgerichte aanpak. De NOREA-gecertificeerde EDP-auditors combineren diepgaande kennis van de financiële sector met praktische ervaring in IT-beveiliging.

De dienstverlening omvat:

  • DORA-gap-assessments om te bepalen welke maatregelen nog nodig zijn voor voldoende digitale weerbaarheid
  • IT-audits om compliance met regelgevende vereisten te beoordelen
  • Penetratietesten en ethical hacking om de effectiviteit van beveiligingsmaatregelen te verifiëren
  • Ondersteuning bij implementatie van DORA-maatregelen om geïdentificeerde lacunes te dichten
  • IT Security Officer as a Service voor continue monitoring en borging van DORA-compliance
  • Opzetten van monitoringstructuren die zichtbaarheid bieden op de periodieke uitvoering van maatregelen en hun effectiviteit

Wilt u weten hoe uw organisatie ervoor staat op het gebied van DORA-compliance? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over uw specifieke situatie en de mogelijkheden voor ondersteuning bij uw DORA-implementatie.

De hack uitgelegd #2: Odido

in , , , ,

Begin 2026 werd Nederland opgeschrikt door een grootschalig datalek bij telecomprovider Odido. Miljoenen klantgegevens kwamen in handen van cybercriminelen en werden later deels openbaar gemaakt. Opvallend aan deze casus: er was geen sprake van een geavanceerde softwarekwetsbaarheid of zero-day exploit.

Lees meer

Wat zijn de belangrijkste NIS2 vereisten?

in

De NIS2-richtlijn verplicht organisaties om passende cybersecuritymaatregelen te treffen op het gebied van risicobeheer, incidentmelding, bedrijfscontinuïteit en supply chain security. Nederlandse organisaties moeten uiterlijk op 1 juli 2026 aan deze vereisten voldoen. Bestuurders worden persoonlijk aansprakelijk voor non-compliance, wat de urgentie voor een adequate voorbereiding vergroot. In dit artikel beantwoorden we de belangrijkste vragen over de NIS2-vereisten en wat jouw organisatie moet doen.

Wat houdt de NIS2-richtlijn precies in en waarom is deze belangrijk?

De NIS2-richtlijn is Europese cybersecuritywetgeving die de digitale weerbaarheid van essentiële en belangrijke sectoren moet versterken. Deze richtlijn vervangt de oorspronkelijke NIS-richtlijn uit 2016 en breidt de reikwijdte aanzienlijk uit. Het doel is om de EU digitaal en economisch weerbaarder te maken tegen de groeiende dreiging van cyberaanvallen.

De urgentie voor Nederlandse organisaties is groot. NIS2 treedt op 1 juli 2026 in werking in Nederland. Dit betekent dat organisaties die onder de reikwijdte vallen, hun cyberbeveiligingsmaatregelen vóór deze datum op orde moeten hebben. De deadline valt aan het einde van Q2 2026, wat organisaties een duidelijk tijdsbestek geeft voor hun compliancetraject.

De coronacrisis heeft de digitalisering in een stroomversnelling gebracht. Cybercriminelen worden steeds slimmer en agressiever. Recente berichten tonen aan dat hackers, met name uit Rusland en China, aanzienlijk hogere bedragen eisen van Nederlandse bedrijven. In bepaalde sectoren zijn deze bedragen gestegen tot boven de miljoen euro. Deze ontwikkeling maakt duidelijk waarom strengere cybersecuritywetgeving noodzakelijk is.

Welke organisaties vallen onder de NIS2-richtlijn?

Organisaties vallen onder NIS2 op basis van de sector waarin ze actief zijn en hun omvang. De richtlijn maakt onderscheid tussen essentiële entiteiten (zoals energie, transport, gezondheidszorg en drinkwater) en belangrijke entiteiten (zoals post- en koeriersdiensten, afvalbeheer en voedselproductie). Middelgrote en grote organisaties in deze sectoren zijn verplicht om aan de vereisten te voldoen.

De omvangcriteria bepalen of een organisatie als middelgroot of groot wordt aangemerkt. Middelgrote organisaties hebben doorgaans tussen de 50 en 250 werknemers of een omzet tussen 10 en 50 miljoen euro. Grote organisaties overschrijden deze drempels.

Ten opzichte van de oorspronkelijke NIS-richtlijn is de reikwijdte fors uitgebreid. Waar de eerste versie zich vooral richtte op grote bedrijven die belangrijk zijn voor de maatschappij (zoals energie- en waterbedrijven), omvat NIS2 veel meer sectoren. Staat jouw branche niet op de lijst? Dan kun je in theorie rustig achteroverleunen, maar in de praktijk is dat niet de beste keuze. De gemiddelde schade van een hack bedroeg in 2022 al 270.000 euro.

Wat zijn de kernvereisten voor risicobeheer onder NIS2?

NIS2 verplicht organisaties tot het implementeren van passende en evenredige technische, operationele en organisatorische maatregelen voor risicobeheer. Deze maatregelen moeten de risico’s voor netwerk- en informatiesystemen beheersen en de impact van incidenten minimaliseren.

De kernvereisten omvatten:

  • Risicoanalyse en beveiligingsbeleid: het identificeren van cyberbeveiligingsrisico’s en het vaststellen van passend beleid
  • Incidentafhandeling: procedures voor het detecteren, analyseren en afhandelen van beveiligingsincidenten
  • Bedrijfscontinuïteit en disaster recovery: maatregelen om de continuïteit van diensten te waarborgen
  • Supply chain security: beveiliging van de toeleveringsketen en relaties met leveranciers
  • Technische maatregelen: netwerk- en informatiebeveiliging, toegangscontrole en encryptie

Een pragmatische aanpak voor implementatie bestaat uit vijf fasen. De eerste fase betreft het analyseren van cyberrisico’s, waarbij IT-middelen worden geïnventariseerd en een risicoanalyse wordt uitgevoerd. De tweede fase richt zich op het bepalen van maatregelen via een business impact assessment. Vervolgens wordt een actieplan opgesteld en uitgevoerd, waarna maatregelen structureel worden geïntegreerd in de dagelijkse werkzaamheden. De laatste fase betreft het controleren en verbeteren door incidenten te analyseren en maatregelen periodiek te toetsen.

Hoe werkt de meldplicht voor cyberincidenten onder NIS2?

Onder NIS2 geldt een strikte meldplicht voor significante cyberincidenten. Organisaties moeten incidenten melden aan de bevoegde autoriteit (in Nederland het NCSC of sectorale toezichthouders) volgens vastgestelde termijnen. Deze meldplicht zorgt voor betere informatiedeling en een snellere respons op grootschalige cyberdreigingen.

De termijnen voor incidentmelding zijn als volgt:

  • Binnen 24 uur: vroege waarschuwing met een eerste indicatie van het incident
  • Binnen 72 uur: volledige incidentmelding met een beoordeling van de ernst en impact
  • Binnen één maand: eindrapport met een gedetailleerde analyse en de genomen maatregelen

Niet elk beveiligingsincident hoeft gemeld te worden. De meldplicht geldt voor incidenten die een significante impact hebben op de dienstverlening, zoals incidenten die leiden tot aanzienlijke operationele verstoringen of financiële verliezen. Organisaties moeten daarom interne procedures hebben om incidenten te classificeren en te bepalen of melding verplicht is.

Wat betekent bestuurdersaansprakelijkheid onder de NIS2-richtlijn?

NIS2 legt expliciet verantwoordelijkheid bij het bestuur van organisaties. Bestuurders kunnen persoonlijk aansprakelijk worden gesteld voor non-compliance met cybersecurityrisicomanagementmaatregelen. Dit betekent dat cybersecurity niet langer alleen een IT-aangelegenheid is, maar een bestuurlijke verantwoordelijkheid.

Bestuurders moeten aantonen dat zij voldoende kennis en vaardigheden hebben om de gevolgen van informatiebeveiligingsrisico’s te beoordelen. Daarom verplicht NIS2 dat bestuur en werknemers regelmatig scholing volgen om cyberbeveiligingsrisico’s te herkennen en te voorkomen. Het bestuur stelt het beveiligingsbeleid vast, herziet dit periodiek en borgt dat het personeel op de hoogte is en handelt in overeenstemming met het beleid.

De sancties bij overtredingen zijn aanzienlijk. Boetes kunnen oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet voor essentiële entiteiten. Als directie kun je namelijk persoonlijk aansprakelijk worden gesteld voor de gevolgen van een hack. Is cybersecurity nu nog vooral het domein van IT? Dan is dit het moment om daar verandering in te brengen.

Welke stappen moet je nemen om NIS2-compliant te worden?

NIS2-compliance bereik je door een gestructureerde aanpak te volgen. Begin met vast te stellen of jouw organisatie onder de richtlijn valt en welke specifieke vereisten van toepassing zijn. Vervolgens kun je gericht werken aan de implementatie van de benodigde maatregelen.

Een praktisch stappenplan:

  • Gap-analyse uitvoeren: bepaal het verschil tussen de huidige situatie en de NIS2-vereisten
  • Risicobeoordeling opstellen: identificeer en beoordeel de cyberbeveiligingsrisico’s voor jouw organisatie
  • Beveiligingsmaatregelen implementeren: tref passende technische en organisatorische maatregelen
  • Incidentresponsplan ontwikkelen: zorg voor procedures om incidenten te detecteren en af te handelen
  • Supply chain beoordelen: evalueer de beveiliging van leveranciers en partners
  • Documentatie op orde brengen: leg beleid, procedures en maatregelen vast

Organisaties hebben een security officer nodig vanuit de eigen organisatie. Een externe IT-beheerder kan helpen bij technische aspecten, maar niet bij het totaalplaatje. Je hebt een partij nodig die het voor je opzet en daarbij ondersteunt. Veel zaken zitten in de details en daar heb je echt de juiste expertise voor nodig. Zie NIS2 als een verandertraject dat continu aandacht verdient, niet als een afgebakend project met een kop en een staart.

Hoe helpt Hoek en Blok IT bij NIS2-compliance?

Hoek en Blok IT ondersteunt organisaties bij het behalen van NIS2-compliance met een pragmatische en betaalbare aanpak. De NOREA-gecertificeerde EDP-auditors combineren technische expertise met auditervaring om jouw organisatie doelgericht te begeleiden.

De dienstverlening omvat:

  • NIS2-nulmeting en gap-analyse: inzicht in waar jouw organisatie staat en wat er nog moet gebeuren
  • IT-securityassessments en penetratietests: identificeren van kwetsbaarheden en bedreigingen
  • Ondersteuning bij risicobeoordeling en implementatie van maatregelen
  • IT Security Officer as-a-Service: structurele ondersteuning zonder fulltime aanstelling
  • Security awareness-training voor medewerkers en bestuurders

Wil je weten hoe jouw organisatie ervoor staat op het gebied van NIS2? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek of vraag direct een nulmeting aan.

Wat zijn de verplichtingen voor incidentmelding onder DORA?

in

Onder DORA moeten financiële instellingen ernstige ICT-gerelateerde incidenten melden aan de bevoegde toezichthouder via een gestructureerd, driefasig proces. De initiële melding moet binnen 24 uur plaatsvinden, gevolgd door een tussentijdse rapportage binnen 72 uur en een eindrapportage binnen één maand. Deze meldingsplicht geldt voor incidenten die kritieke diensten verstoren, grote aantallen klanten treffen of significante economische impact hebben. Hieronder vind je antwoorden op de belangrijkste vragen over DORA-incidentmelding.

Wat houdt de incidentmeldingsplicht onder DORA precies in?

De Digital Operational Resilience Act (DORA) verplicht financiële instellingen om ernstige ICT-gerelateerde incidenten te melden bij hun bevoegde toezichthouder. Een ernstig ICT-gerelateerd incident is een verstoring die aanzienlijke negatieve gevolgen heeft voor de digitale operationele weerbaarheid van de organisatie. Deze meldingsplicht is vastgelegd in artikel 19 van DORA en geldt voor banken, verzekeraars, beleggingsondernemingen, betaaldienstverleners en hun kritieke IT-dienstverleners.

Het verschil met bestaande meldplichten, zoals de AVG, is significant. Waar de AVG zich richt op datalekken die persoonsgegevens betreffen, focust DORA specifiek op operationele verstoringen van ICT-systemen binnen de financiële sector. DORA erkent dat financiële instellingen vaak afhankelijk zijn van externe IT-dienstverleners en dat deze leveranciers daarom ook een rol spelen in de digitale weerbaarheid van de sector.

De Europese wetgever heeft DORA geïntroduceerd omdat de financiële sector bijzonder kwetsbaar is voor cyberaanvallen en ICT-verstoringen. Een uniform regelgevingskader in de EU vermindert versnippering en dubbele regels door heldere, uniforme eisen in heel Europa te stellen.

Welke ICT-incidenten moet je onder DORA melden?

Niet elk ICT-incident valt onder de meldingsplicht. DORA hanteert specifieke classificatiecriteria om te bepalen of een incident als ernstig kwalificeert. De beoordeling vindt plaats op basis van meerdere factoren die samen het totaalbeeld vormen.

De belangrijkste classificatiecriteria zijn:

  • Impact op kritieke diensten: verstoort het incident diensten die essentieel zijn voor klanten of de financiële markt?
  • Aantal getroffen klanten: hoeveel klanten ondervinden directe gevolgen van het incident?
  • Geografische spreiding: raakt het incident meerdere lidstaten of regio’s?
  • Duur van de verstoring: hoe lang duurt de onderbreking van dienstverlening?
  • Economische impact: wat zijn de directe en indirecte financiële gevolgen?
  • Reputatieschade: leidt het incident tot significante schade aan het vertrouwen in de organisatie?

Naast ernstige incidenten kent DORA ook de categorie significante cyberdreigingen. Dit zijn dreigingen die nog niet tot een incident hebben geleid, maar wel het potentieel hebben om ernstige schade te veroorzaken. Organisaties moeten een incidentmanagementproces implementeren dat detectie, beheer en rapportage van ICT-incidenten omvat, inclusief detectie en monitoring van cyberdreigingen en anomalieën.

Binnen welke termijnen moet je een incident melden onder DORA?

DORA schrijft een driefasig meldingsproces voor met strikte termijnen. Elke fase heeft een specifiek doel en vereist andere informatie. Het naleven van deze termijnen is essentieel voor compliance.

Fase 1: initiële melding binnen 24 uur
Binnen 72 uur na de initiële melding volgt een uitgebreidere rapportage. Hierin geef je een update over de status, de genomen maatregelen en een verfijnde impactanalyse. Als de situatie significant wijzigt, kunnen aanvullende tussentijdse meldingen vereist zijn.

Fase 3: eindrapportage binnen één maand
Uiterlijk één maand na het incident lever je een volledige eindrapportage op. Deze bevat de rootcauseanalyse, alle getroffen maatregelen, de totale impact en de lessen die zijn geleerd voor toekomstige preventie.

Hoe ziet het DORA-incidentmeldingsproces er stap voor stap uit?

Een effectief incidentmeldingsproces begint lang voordat een incident plaatsvindt. Organisaties moeten duidelijke rollen en verantwoordelijkheden toewijzen voor verschillende incidentscenario’s en contactlijsten opstellen met interne functies en externe stakeholders die betrokken zijn bij ICT-operaties en beveiliging.

Het volledige proces verloopt als volgt:

  1. Detectie: het incident wordt geïdentificeerd via monitoring, meldingen van medewerkers of externe signalen.
  2. Classificatie: beoordeel of het incident voldoet aan de criteria voor een ernstig ICT-incident.
  3. Interne escalatie: informeer de verantwoordelijke personen volgens de escalatieprocedure.
  4. Documentatie: leg alle relevante informatie vast voor de melding en latere analyse.
  5. Initiële melding: dien binnen 24 uur de eerste melding in bij de toezichthouder.
  6. Incidentrespons: voer maatregelen uit om de impact te beperken en diensten te herstellen.
  7. Stakeholdercommunicatie: informeer getroffen klanten en andere relevante partijen.
  8. Tussentijdse rapportage: lever binnen 72 uur de uitgebreide statusupdate.
  9. Rootcauseanalyse: onderzoek de onderliggende oorzaak van het incident.
  10. Eindrapportage: dien binnen één maand het volledige rapport in.

Wat zijn de gevolgen als je niet voldoet aan de DORA-meldingsplicht?

Niet-naleving van de DORA-meldingsplicht kan serieuze consequenties hebben. Toezichthouders zoals De Nederlandsche Bank (DNB) en de Autoriteit Financiële Markten (AFM) hebben handhavingsbevoegdheden gekregen om compliance af te dwingen.

De mogelijke gevolgen omvatten:

  • Administratieve boetes: toezichthouders kunnen aanzienlijke boetes opleggen bij niet-naleving.
  • Aanvullende toezichtmaatregelen: verscherpt toezicht of aanwijzingen om processen te verbeteren.
  • Reputatieschade: publieke bekendmaking van overtredingen kan het vertrouwen van klanten schaden.
  • Bestuurlijke aansprakelijkheid: bestuurders kunnen persoonlijk verantwoordelijk worden gehouden.

DORA vraagt om aantoonbaarheid, niet alleen om beleid. Het gaat erom dat je kunt laten zien dat je in control bent. Een assuranceverklaring, bijvoorbeeld op basis van ISAE 3000, kan een manier zijn om naleving aantoonbaar te maken richting toezichthouders en ketenpartners.

Hoe bereid je jouw organisatie voor op DORA-incidentmelding?

Een gedegen voorbereiding is essentieel om tijdig en correct te kunnen melden wanneer zich een incident voordoet. Veel organisaties denken DORA wel op orde te hebben, maar worstelen juist met details en aantoonbaarheid. Een nulmeting is een logisch startpunt om vast te stellen of DORA daadwerkelijk is geïmplementeerd.

Concrete voorbereidingsstappen zijn:

  • Detectiesystemen opzetten: implementeer monitoring voor anomalieën, cyberdreigingen en kwetsbaarheden.
  • Incidentresponsprocedures ontwikkelen: documenteer het volledige proces van detectie tot eindrapportage.
  • Verantwoordelijken aanwijzen: bepaal wie welke rol heeft bij verschillende incidentscenario’s.
  • Contactlijsten opstellen: zorg voor actuele contactgegevens van interne en externe stakeholders.
  • Personeel trainen: zorg dat medewerkers weten hoe ze incidenten herkennen en melden.
  • Meldingsprocessen testen: oefen regelmatig met simulaties om knelpunten te identificeren.
  • Documentatie op orde brengen: zorg dat alle processen aantoonbaar zijn vastgelegd.

DORA is primair een governance- en organisatievraagstuk, niet alleen een IT-thema. Bestuurlijke verantwoordelijkheid en de inrichting van de second line zijn cruciaal voor succesvolle implementatie.

Hoe helpt Hoek en Blok IT bij DORA-incidentmelding?

Hoek en Blok IT ondersteunt organisaties bij het opzetten en implementeren van DORA-compliant incidentmeldingsprocessen. Met een pragmatische aanpak helpen de NOREA-gecertificeerde EDP-auditors bij het vertalen van de complexe DORA-vereisten naar werkbare processen voor jouw organisatie.

De specifieke diensten omvatten:

  • Nulmeting en gap-analyse: beoordeling van de huidige situatie ten opzichte van de DORA-vereisten.
  • Incidentmeldingsprocedures: ontwikkeling van procedures die voldoen aan de driefasige meldingsstructuur.
  • Security-assessments: verbetering van de detectiecapaciteit door penetratietests en vulnerability assessments.
  • IT Security Officer as a Service: doorlopende ondersteuning bij compliance en incidentmanagement.
  • Classificatiebegeleiding: ondersteuning bij het beoordelen of incidenten meldingsplichtig zijn.
  • Assuranceverklaringen: ISAE 3000-verklaringen om naleving aantoonbaar te maken.

Wil je weten hoe jouw organisatie ervoor staat op het gebied van DORA-incidentmelding? Neem contact op met Hoek en Blok IT voor een vrijblijvend gesprek over de mogelijkheden.