NIS2-uitvoeringsverordening — de concrete beveiligingseisen voor digitale aanbieders

Voor elf categorieën digitale dienstverleners heeft Brussel de open zorgplicht van NIS2 zelf ingevuld, met een bijlage vol concrete technische en methodologische eisen en met getalsmatige drempels voor de vraag wanneer een incident significant is en dus gemeld moet worden. De verordening werkt rechtstreeks: zij hoeft niet in Nederlands recht te worden omgezet en gaat vóór op de Nederlandse invulling. Voor Nederlandse cloud-, datacenter-, MSP- en MSSP-partijen is dit daarmee de meest concrete tekst die er over cyberbeveiliging bestaat — concreter dan de Cyberbeveiligingswet, die voor andere sectoren met open normen werkt.

Waarvoor is dit bedoeld

De zorgplicht van NIS2 is opzettelijk open geformuleerd, zodat elke sector haar op eigen wijze kan invullen. Voor digitale dienstverleners werkt dat niet: zij leveren grensoverschrijdend, en een eis die per lidstaat anders wordt uitgelegd levert elf verschillende nalevingsregimes op. Daarom stelt deze uitvoeringsverordening de technische en methodologische vereisten van de maatregelen van artikel 21, lid 2, van de NIS2-richtlijn voor deze groep zelf vast, samen met de criteria van artikel 23, lid 3, voor de vraag wanneer een incident significant is.

Voor wie

Artikel 1 noemt de relevante entiteiten: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud (CDN’s), aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, aanbieders van onlinezoekmachines, aanbieders van platforms voor socialenetwerkdiensten en verleners van vertrouwensdiensten. De verordening kent zelf geen omvangdrempel: zij geldt voor deze entiteiten voor zover zij op grond van de NIS2-richtlijn en de nationale omzetting essentiële of belangrijke entiteit zijn. Voor een Nederlands IT-bedrijf betekent dat in de praktijk: eerst de drempeltoets van de Cyberbeveiligingswet, en als die wordt gehaald geldt deze verordening in plaats van de Nederlandse uitwerking.

Wat er niet onder valt

Andere sectoren die onder NIS2 vallen — energie, vervoer, zorg, vervaardiging, overheid en de rest — vallen buiten deze verordening en volgen de nationale invulling. IT-bedrijven die de omvangdrempel van de Cyberbeveiligingswet niet halen, vallen er evenmin onder, al kunnen zij de eisen via contracten van hun afnemers alsnog tegenkomen. De verordening vervangt Uitvoeringsverordening (EU) 2018/151, die onder de oude NIS-richtlijn gold.

Wat je moet doen

De vereisten uit de bijlage aantoonbaar toepassen, en de significantiedrempels kennen, zodat duidelijk is wanneer de meldklok van 24 uur gaat lopen. Artikel 2 voegt daar een proportionaliteitsregel aan toe: entiteiten zorgen voor een beveiligingsniveau dat past bij hun blootstelling aan risico, hun omvang en de waarschijnlijkheid en ernst van incidenten. Waar de bijlage formuleringen gebruikt als ‘waar passend’, ‘indien van toepassing’ of ‘voor zover haalbaar’, en een entiteit besluit een eis niet toe te passen, moet zij haar motivering vastleggen.

Hoe de bijlage is opgebouwd

De bijlage loopt langs de onderwerpen beveiligingsbeleid, risicobeheer, incidentenbehandeling, bedrijfscontinuïteit en crisisbeheer, beveiliging van de toeleveringsketen, beveiliging bij verwerving, ontwikkeling en onderhoud, patchbeheer, beoordeling van de doeltreffendheid van de maatregelen, netwerkbeveiliging, bescherming tegen kwaadaardige software, cyberhygiëne en opleiding, cryptografie, personeelsbeveiliging, toegangsbeheer, beheer van bedrijfsmiddelen en fysieke beveiliging.

Wat er concreet wordt geëist

Enkele voorbeelden uit de bijlage. Het beveiligingsbeleid wordt ten minste jaarlijks geëvalueerd en door de bestuursorganen goedgekeurd, en ten minste één persoon rapporteert rechtstreeks aan het bestuur. Het risicobeheerkader bevat risicocriteria en tolerantieniveaus en wordt jaarlijks geactualiseerd. Bij incidentafhandeling horen logging en monitoring van netwerkverkeer, gebruikersacties en authenticatie, gesynchroniseerde tijdsbronnen om logs te kunnen correleren, en een vooraf bepaalde bewaartermijn. De bedrijfscontinuïteitsanalyse legt maximaal toelaatbare uitvalduur en herstelpunten vast; back-ups worden getest. Er wordt regelmatig getest met penetratietests en kwetsbaarheidsscans, ook bij wijzigingen en upgrades. Multifactorauthenticatie wordt toegepast bij toegang op afstand, bij gevoelige informatie en bij accounts met verhoogde rechten. Er is een inventaris van bedrijfsmiddelen met ten minste identificatiecode, eigenaar, beschrijving, locatie en type. En de fysieke beveiliging omvat brandmelding en -bestrijding, brandoefeningen en -inspecties, overspanningsbeveiliging en noodstroom.

Wanneer is een incident significant

Artikel 3 geeft de algemene criteria. Een incident is in elk geval significant als het directe financiële verliezen veroorzaakt van meer dan 500.000 euro of vijf procent van de jaaromzet — het laagste van de twee bedragen geldt — of als het heeft geleid tot het uitlekken van bedrijfsgeheimen, tot overlijden of tot ernstige gezondheidsschade, of als het gaat om een geslaagde, kwaadwillige en ongeoorloofde toegang die de dienstverlening heeft verstoord. Daarnaast gelden de drempels per categorie uit de artikelen 5 tot en met 14.

Terugkerende incidenten tellen op

Artikel 4 bepaalt dat incidenten die op zichzelf niet significant zijn, samen als één significant incident gelden wanneer zij binnen zes maanden ten minste twee keer voorkomen, dezelfde kennelijke oorzaak hebben en gezamenlijk de drempel voor directe financiële verliezen halen. Een reeks kleine storingen met dezelfde grondoorzaak kan dus alsnog meldplichtig worden.

De drempels per categorie

Voor cloudcomputingdiensten (artikel 7), CDN’s (artikel 9) en beheerde diensten en beheerde beveiligingsdiensten (artikel 10) geldt hetzelfde stramien: volledige onbeschikbaarheid van meer dan dertig minuten, of beperkte beschikbaarheid van meer dan een uur die meer dan vijf procent van de gebruikers of meer dan een miljoen gebruikers raakt, of kwaadwillige aantasting van opgeslagen gegevens, of aantasting van de integriteit bij dezelfde gebruikersaantallen. Voor DNS-dienstverleners (artikel 5) ligt de grens op onbeschikbaarheid van meer dan dertig minuten, een responstijd van meer dan tien seconden gedurende meer dan een uur, of aantasting van de gegevensintegriteit bij meer dan één procent van de beheerde domeinnamen. Voor registers voor topleveldomeinnamen (artikel 6) telt elke volledige onbeschikbaarheid mee. Voor datacentrumdiensten (artikel 8) gaat het om volledige onbeschikbaarheid, beperkte beschikbaarheid van meer dan een uur, en gecompromitteerde fysieke toegang.

Marktplaatsen, zoekmachines en sociale netwerken

Voor onlinemarktplaatsen (artikel 11), onlinezoekmachines (artikel 12) en socialenetwerkplatforms (artikel 13) is de maatstaf niet de duur maar het bereik: volledige of beperkte onbeschikbaarheid die meer dan vijf procent van de gebruikers in de Unie of meer dan een miljoen gebruikers raakt, kwaadwillige aantasting van opgeslagen gegevens, of aantasting van de integriteit bij dezelfde aantallen.

Vertrouwensdiensten apart

Voor verleners van vertrouwensdiensten gelden in artikel 14 strengere drempels: onbeschikbaarheid van meer dan twintig minuten, of cumulatief meer dan een uur per week; beperkte beschikbaarheid die meer dan één procent van de gebruikers of vertrouwende partijen raakt of meer dan tweehonderdduizend van hen; gecompromitteerde fysieke toegang tot ruimten met beperkte toegang; en aantasting van de gegevensintegriteit bij meer dan 0,1 procent van de gebruikers of vertrouwende partijen, of bij meer dan honderd van hen. Volgens de overwegingen is die aparte behandeling ingegeven door het grensoverschrijdende karakter van deze diensten.

Verhouding tot de Cyberbeveiligingswet

Artikel 4 van het Cyberbeveiligingsbesluit stelt precies deze categorieën vrij van de artikelen 6 tot en met 18 van dat besluit — de Nederlandse uitwerking van de zorgplicht — omdat de uitvoeringsverordening voor hen rechtstreeks geldt. Registratieplicht, meldroute, bestuursverplichtingen en handhaving lopen wél gewoon via de Cyberbeveiligingswet. Nederlandse cloud-, datacenter-, MSP- en MSSP-partijen hebben dus twee teksten nodig: deze verordening voor de inhoud van de maatregelen, en de Cbw voor de procedure eromheen.

Toezicht NL

De Rijksinspectie Digitale Infrastructuur is voor digitale infrastructuur, beheer van ICT-diensten en digitale aanbieders de toezichthouder; het NCSC is het CSIRT en het meldpunt. De verordening zelf wijst geen toezichthouder aan: dat doet de nationale wet.

Boete

De verordening bevat geen eigen sanctiebepalingen. Handhaving verloopt via de nationale omzetting van NIS2, in Nederland hoofdstuk 15 van de Cyberbeveiligingswet, waarvan de maximumbedragen niet te achterhalen waren.