Geen dik theoretisch verhaal over wetsartikelen. Gewoon een eerlijk antwoord op wat er in de praktijk anders wordt.

[list] In het kort

• Onder de NIS2 vallen is geen papieren exercitie: het raakt echt hoe je met beveiliging omgaat, niet alleen hoe je het vastlegt.
• Maatregelen komen zowel uit techniek (zoals toegang, back-ups, monitoring) als uit organisatie (rollen, procedures, verantwoordelijkheid).
• Veel bedrijven doen al een deel van wat er nodig is: back-up, MFA, updates tellen mee, maar meestal niet compleet.
• Voor de productievloer verandert er meestal weinig direct, tenzij productiesystemen aan het netwerk hangen.
• Compliant zijn en veilig zijn zijn niet hetzelfde: compliant is een ondergrens, veilig is waar je naartoe werkt.

Val je onder de NIS2, dan is de meest gestelde vraag niet "wat moet erbij", maar "verandert er nu echt iets, of is dit vooral papierwerk erbij". Het eerlijke antwoord: allebei, maar niet in de verhouding die de meeste mensen verwachten.

[question] Is dit vooral een papieren exercitie, of verandert er ook echt iets in hoe we werken?

Beide, maar de nadruk ligt op het echte werk, niet op het papier. Een deel van de NIS2-voorbereiding gaat over vastleggen: wie is verantwoordelijk, welke afspraken gelden, hoe wordt een incident behandeld. Maar dat papier is alleen waardevol als het klopt met wat er daadwerkelijk gebeurt. Vastleggen dat je back-ups test terwijl dat in de praktijk niet gebeurt, lost niets op. Dat is precies het soort schijnveiligheid waar we niet in geloven.

Papier dat niet klopt met de praktijk, is geen compliance. Dat is een risico met een mooi kaftje.

[key] Welk type maatregelen wordt in NIS2-kaders meestal genoemd: techniek, proces, of allebei?

Allebei, en ze hangen samen. Aan de technische kant gaat het om dingen als toegangsbeheer, MFA, monitoring en back-ups, bekend terrein als je hier al mee bezig bent. Aan de organisatorische kant gaat het om rollen en verantwoordelijkheden: wie is aanspreekpunt bij een incident, wie neemt beslissingen, hoe wordt er intern en extern gecommuniceerd. Techniek zonder organisatie eromheen werkt niet structureel. En andersom is een mooi proces zonder de juiste techniek eronder net zo leeg.

[check] Hoeveel van wat wij al doen (back-up, MFA, updates) telt hier eigenlijk al in mee?

Een deel, vaak meer dan bedrijven zelf denken. Als je al werkt met MFA, structurele back-ups en een update-regime, heb je al een basis staan die richting NIS2 wijst. Wat meestal ontbreekt, is niet de losse maatregel zelf, maar de samenhang eromheen: is het overal consistent toegepast, is het vastgelegd, en is er een plan voor als het misgaat. De losse bouwstenen zijn er vaak al. Het is de structuur eromheen die meestal nog moet groeien.

[wrench] Merkt de productievloer hier iets van, of blijft dit een kantoor-aangelegenheid?

Dat hangt af van hoeveel productiesystemen aan het netwerk hangen. Blijft alles op de vloer volledig gescheiden van kantoorautomatisering, dan merkt de productie vaak weinig direct. Zodra machines, sensoren of besturingssystemen wél verbonden zijn met het bredere netwerk, is dat precies het soort koppeling waar NIS2-achtige eisen naar kijken. Dan is het verstandig om die koppeling expliciet mee te nemen, in plaats van aan te nemen dat het "gewoon IT" is.

[warning] Wat is het verschil tussen "compliant zijn" en "veilig zijn", is dat hetzelfde?

Nee, en dat is een misverstand dat we vaak tegenkomen. Compliant zijn betekent dat je voldoet aan een vastgestelde ondergrens van eisen. Veilig zijn is breder: het gaat om daadwerkelijk goed beschermd zijn tegen de risico's die voor jouw bedrijf relevant zijn, ook als die niet één-op-één in een wettelijke eis staan. Een bedrijf kan compliant zijn en toch kwetsbaar, als het zich puur richt op afvinken. Andersom kan een bedrijf dat structureel aan veiligheid werkt, vaak zonder veel extra moeite ook compliant blijken te zijn, omdat de basis al goed staat.

[clock] Tot slot

Onder de NIS2 vallen betekent niet dat alles overhoop moet, maar ook niet dat het met een setje documenten is opgelost. Het raakt zowel techniek als organisatie, en de bouwstenen die je vaak al hebt (back-up, MFA, updates) tellen mee, mits ze consistent zijn en kloppen met de praktijk. Het doel is niet compliant zijn om compliant te zijn. Het doel is veilig zijn, waarbij compliance een logisch gevolg is, niet het eindpunt.

Wil je weten hoe dit voor jullie situatie ligt?

Plan een afspraak met Marcel

Wil je eerst weten waar jullie nu staan?

Doe de ICT Quickscan →

Vraag een Cyber Threat Assessment aan →