Nieuwe Europese wetgeving voor cyberveiligheid is aangenomen of aanstaande. Een van die wetten is NIS2, de Network Information Security 2 richtlijn. Wat houdt die in en wat zijn de verplichtingen voor bestuurders?

In de afgelopen artikelen besteden we aandacht aan de verschillende facetten van het ambitieuze plan van de Europese Unie voor een digitaal decennium, digital decade. Het digitaal decennium gaat over een visie op een digitale maatschappij met een menselijke maat en veel nieuwe en vernieuwde stukken wetgeving. In dit artikel gaan we in op de, hernieuwde, cyberbeveiligingsrichtlijn.

Network Information Security, NIS, en het grotere geheel

De Network Information Security 2 richtlijn, hierna: de NIS2, is 17 oktober van dit jaar van kracht gegaan. De NIS2 is de Europese wetgeving voor cyberveiligheid. Het doel is het verbeteren van de digitale weerbaarheid van bedrijven. In januari 2023 startte de implementatietermijn van 21 maanden om de richtlijn om te zetten naar nationale wetgeving. Nederland heeft de deadline niet gehaald. Sinds 17 oktober van dit jaar is de NIS2 zelf wel officieel van kracht.

De Cyberbeveiligingswet, de naam van de Nederlandse implementatiewet van de NIS2, wordt waarschijnlijk pas eind 2025 van kracht, of misschien zelfs pas begin 2026. Zolang de nationale wet niet van kracht is hoeven organisaties niet aan de verplichtingen te voldoen, maar kunnen ze wel gebruik maken van de rechten die de NIS2 verleent. Wat houdt die wet in? De NIS2 stelt meer eisen, onder meer aan bestuurders. In dit artikel ga ik dieper in op deze richtlijn en de verplichtingen met betrekking tot het bestuur.

Arnoud Engelfriet had het in een eerder artikel voor Emerce ook al over de NIS2. Daarin kwam vooral naar voren dat Cyber en weerbaarheid een van de acht hoofdthema s is van de Digital Decade. De NIS2 is namelijk onderdeel van het wetgevingsprogramma dat door de EU is opgetuigd. De EU heeft om de fysieke, digitale en economische weerbaarheid van Europese lidstaten ten aanzien van deze dreigingen te versterken eind 2022 twee richtlijnen aangenomen, de Critical Entities Resilience Directive, CER, en de Network and Information Security Directive, NIS2. De CER zich focust zich op fysieke veiligheid en de NIS2 op digitale veiligheid.

De NIS2 in het kort

De NIS2 heeft als doel het verbeteren van de digitale weerbaarheid van bedrijven en organisaties binnen de Europese lidstaten. Deze wetgeving moet leiden tot een hoger niveau van informatiebeveiliging en cyberveiligheid bij private en publieke organisaties. De voorloper van de NIS2 is in Nederland in 2016 geimplementeerd, in de Wet beveiliging netwerk en informatiesystemen, Wbni.

Deze versturen we 3-4x per jaar.