De tweede Network and Information Security, NIS2, richtlijn is wellicht de belangrijkste beveiligingsmaatregel die Europa ooit heeft genomen. De 27 Europese lidstaten hebben nog tot 17 oktober om te voldoen aan de nieuwe, strengere standaarden. Tegen die tijd moeten organisaties in de EU hun beveiliging aanzienlijk versterken, en zullen ze veel minder tijd krijgen om cyberaanvallen te melden.

Niet alleen de inhoud van NIS2 is ambitieus, ook de reikwijdte ervan. Waar NIS1 in sommige landen slechts op een duizendtal entiteiten van toepassing was, hebben we het bij NIS2 al snel over tienduizenden. Ook de straffen worden strenger. Zo worden bedrijfsleiders persoonlijk verantwoordelijk gehouden bij slecht beheer, een ongeziene primeur.

Elke maatregel heeft natuurlijk voor en tegenstanders, en NIS2 vormt hierop geen uitzondering. Sommigen stellen dat een te streng kader innovatie in de weg zal staan. Anderen beweren juist dat de nieuwe regelgeving investeringen in cybersecurity zal stimuleren. Maar waarover iedereen het eens is, is dat onze organisaties dringend behoefte hebben aan een duidelijk kader. Generatieve ai zorgt voor een ongekende explosie van steeds geavanceerdere aanvallen. Zo ontdekten onderzoekers van Palo Alto Networks onlangs een aanval waarbij 2,5 terabytes aan data werd gestolen in minder dan veertien uur. Bedrijven moeten duidelijk weerbaarder worden. Die veerkracht moet van meet af aan worden ingebouwd en een inherent onderdeel van de bedrijfscultuur vormen.

Sancties

Wat onder felle discussie staat, is de strengheid van het wettelijk kader, met name de sancties. Bedrijven willen straffen vermijden en zullen daardoor misschien minder durven innoveren, zo luidt de argumentatie. Dit valt te begrijpen, vooral met de opkomst van veelbelovende ai technologieen. NIS2 laat echter ook ruimte voor nieuwe ontwikkelingen die de capaciteit en veiligheid van it systemen verbeteren.

Deze versturen we 3-4x per jaar.