NIS2 voor kmo's
Wat de Europese cyberveiligheidsregels kunnen betekenen voor een kleiner bedrijf.
Ook wie er niet onder valt, krijgt ermee te maken
NIS2 is Europese regelgeving over cyberveiligheid die in Belgische wetgeving is omgezet. Ze legt organisaties in een reeks sectoren verplichtingen op rond beveiliging en het melden van incidenten. Veel kleinere bedrijven denken dat dit alleen grote spelers aangaat. Rechtstreeks klopt dat vaak, onrechtstreeks niet: wie levert aan een organisatie die onder de regels valt, krijgt vragen over zijn eigen beveiliging. Dit artikel schetst de grote lijnen.
Wat NIS2 in grote lijnen is
NIS2 is een Europese richtlijn die het niveau van cyberveiligheid in de Unie wil optrekken. Ze volgt een eerdere richtlijn op en geldt voor meer sectoren en meer organisaties dan haar voorganger. Elke lidstaat heeft ze in eigen wetgeving omgezet. In België is het Centrum voor Cybersecurity België de bevoegde instantie en het aanspreekpunt voor informatie. De regels vragen in essentie drie dingen van organisaties binnen het toepassingsgebied: passende maatregelen nemen om risico’s te beheersen, ernstige incidenten melden, en het bestuur verantwoordelijk maken voor het toezicht daarop.
Valt uw onderneming eronder?
Dat hangt af van de sector waarin u actief bent en van de omvang van uw onderneming. De regelgeving somt sectoren op en maakt een onderscheid tussen soorten entiteiten, met verplichtingen die daarvan afhangen. Voor bepaalde activiteiten speelt de grootte geen rol. De precieze criteria en eventuele registratieplicht leest u na bij het Centrum voor Cybersecurity België, en u toetst uw situatie best af met een juridisch adviseur. Ga niet af op een vuistregel van een leverancier. Wie beweert in één zin te weten of u eronder valt zonder uw activiteit te kennen, vereenvoudigt te sterk.
De toeleveringsketen: waarom klanten vragen stellen
Organisaties die onder de regels vallen, moeten ook de risico’s bij hun leveranciers in het oog houden. Daardoor krijgen kmo’s die zelf buiten het toepassingsgebied blijven vragenlijsten, contractclausules en soms audits van hun klanten. Hoe beveiligt u de toegang tot uw systemen? Hebt u back-ups en test u die? Hoe snel verwittigt u ons bij een incident? Wie daar geen onderbouwd antwoord op heeft, riskeert een opdracht te mislopen. Voor veel kmo’s is dit het meest tastbare gevolg van NIS2: geen verplichting van de overheid, maar een voorwaarde van de klant om te mogen blijven leveren.
Maatregelen die hoe dan ook zinvol zijn
Los van elke verplichting komen dezelfde basismaatregelen telkens terug. Weet welke systemen en gegevens u hebt en welke kritiek zijn. Beveilig de aanmelding met een tweede factor en geef mensen alleen de rechten die ze nodig hebben. Houd software actueel. Neem back-ups en test het terugzetten. Hou logboeken bij, zodat u na een incident kunt nagaan wat er gebeurde. Spreek af wie wat doet wanneer het misgaat. En maak medewerkers alert voor valse mails. Leg dat alles vast in een kort document. Bedrijfssoftware kan veel hiervan ondersteunen, maar ze vervangt de afspraken en de opvolging niet.
Kort samengevat
- 01NIS2 is Europese cyberveiligheidsregelgeving die in Belgisch recht is omgezet.
- 02Of u eronder valt hangt af van sector en omvang; toets dat af bij de officiële bron.
- 03Ook leveranciers van betrokken organisaties krijgen eisen via hun klanten.
- 04Basismaatregelen zoals sterke aanmelding, updates en geteste back-ups lonen altijd.
Drie vaste afspraken
- U kiest waar het draaitZelf hosten op uw eigen server of in een private cloud. Uw gegevens blijven onder uw controle, niet op een gedeeld platform.
- Maatwerk is niet duurderSoftware op maat kost bij ons niet meer dan standaardsoftware. Geen licentie per gebruiker, en u betaalt niet voor functies die u nooit opent.
- U bent baas over het eindproductWat we bouwen, is van u. U beslist wat er verandert en wanneer, zonder te wachten op de planning van een softwareleverancier.
Is uw bedrijf toe aan betere software?
Vijf vragen, één minuut. U krijgt meteen een eerlijk beeld, ook als het antwoord is dat u goed zit.
Uw basis zit goed.
Uw systemen doen wat ze moeten doen. Grote ingrepen zijn nu niet nodig. Eén gerichte verbetering of koppeling kan wel nog tijd opleveren: leg ze ons gerust voor.
Er lekt tijd weg.
U werkt, maar met omwegen: overtypen, zoeken, nakijken. Dat zijn precies de plekken waar een koppeling of een stuk software op maat het snelst iets oplevert. Laten we samen bekijken waar te beginnen.
Uw software houdt u tegen.
Uw bedrijf is zijn hulpmiddelen ontgroeid. Dat kost elke dag tijd en maakt u afhankelijk van enkele mensen. Een korte analyse toont waar de grootste winst zit en in welke volgorde u het aanpakt.
Veelgestelde vragen
Hoe weet ik zeker of mijn kmo onder NIS2 valt?
Door uw activiteit en omvang te toetsen aan de criteria in de Belgische wetgeving. Het Centrum voor Cybersecurity België publiceert daarover toelichting. Bij twijfel, bijvoorbeeld wanneer u in meerdere sectoren actief bent of deel uitmaakt van een groep, vraagt u een juridisch adviseur om bevestiging. Dit artikel geeft algemene informatie en is geen juridisch advies.
Mijn klant stuurt een vragenlijst over cyberveiligheid; wat nu?
Beantwoord ze eerlijk. Een mooier antwoord dan de werkelijkheid keert zich tegen u bij een incident. Gebruik de lijst als checklist: waar u nee moet antwoorden, ziet u meteen wat er te verbeteren valt. Vaak gaat het om haalbare punten zoals een tweede aanmeldfactor, gedocumenteerde back-ups en een afspraak over het melden van incidenten. Geef aan wat al geregeld is en wat gepland staat.
Kan software ervoor zorgen dat ik aan NIS2 voldoe?
Nee, niet op zichzelf. Software kan maatregelen technisch invullen, zoals rechtenbeheer, logging, versleuteling en centrale aanmelding. De regels gaan echter ook over organisatie: risico’s inschatten, verantwoordelijkheden toewijzen, incidenten afhandelen. In toepassingen die wij bouwen zitten die bouwstenen, en omdat ze op uw eigen server of in een private cloud draaien, kunt u zelf aantonen waar gegevens staan en wie erbij kan.