NIS2 komt eraan: Tijd voor een brede blik op risico's
De tijd dat cyberveiligheid draaide om alleen digitale dreigingen en datalekken is voorbij. De nieuwe NIS2-richtlijn dwingt organisaties om veel breder te kijken. Want ook fysieke toegang tot je systemen, zwakke schakels in je keten en kwetsbaarheden in operationele technologie vormen serieuze risico’s. De dreiging komt allang niet meer alleen via je e-mailserver of verouderde software. Soms is het een koelcontainer met een slecht beveiligde sensor, een ingehuurde monteur met toegang tot je machinepark, of een leverancier met achterstallige updates. Deze realiteit vraagt om een all hazards approach: een fundamenteel andere manier van denken over beveiliging. En dat raakt niet alleen de IT-afdeling: het raakt je hele organisatie én je hele keten.
Wessel van den Bosch
Business Process Manager
Waarom de all hazards approach essentieel is
De NIS2-richtlijn introduceert een brede risicoaanpak: de all hazards approach. Dat betekent dat je als organisatie niet meer wegkomt met enkel antivirussoftware en een securitybeleid in een map.
Je moet álle risico’s inventariseren en beheersen – van IT tot OT, van IoT tot fysieke toegang.
Voorbeelden van risico’s die onder de all hazards aanpak vallen:
-
IT-risico’s:
-
Ransomware-aanvallen die je bedrijfsvoering stilleggen
-
Onveilige API-koppelingen in je EDI-omgeving
-
Software die niet wordt geüpdatet
-
-
OT-risico’s:
-
Aanvallen op digitale productielijnen of industriële machines
-
Sabotage van water- of energiebeheer op afstand
-
-
IoT-risico’s:
-
Onbeveiligde sensoren in de voedselketen
-
Slimme thermostaten of camera’s als ongecontroleerde toegangspoort
-
-
Fysieke risico’s:
-
Een gevonden USB-stick die malware installeert
-
Leveranciers die onbewust toegang krijgen tot je systemen
-
Slechte toegangscontrole tot gevoelige apparatuur
-
Als je deze domeinen niet meeneemt, ontstaat er schijnveiligheid – en dat is precies wat NIS2 wil doorbreken.
Jouw leveranciers: nog steeds de zwakste schakel
We blijven het zeggen. En met reden. De meeste beveiligingsincidenten ontstaan niet in je eigen kantoor, maar buiten je muren. Leveranciers, onderaannemers, cloudpartners, transporteurs: allemaal krijgen ze – vaak zonder dat je het echt doorhebt – toegang tot je data, systemen of infrastructuur.
Maar als zij hun beveiliging niet op orde hebben, ben jij alsnog kwetsbaar.
Voorbeelden:
-
Een koeltransportbedrijf met een slecht beveiligde IoT-sensor
-
Een softwareleverancier met verouderde OT-componenten
-
Een SaaS-partner met zwakke wachtwoorden of ongeteste updates
De NIS2 maakt duidelijk: ketenrisico’s zijn jouw verantwoordelijkheid. Je moet weten wie je leveranciers zijn, wat zij doen, en hoe veilig zij werken.
Wat vraagt de NIS2 van jouw organisatie?
De NIS2-richtlijn is niet alleen een set eisen, het is een oproep tot volwassen cyberweerbaarheid. Wat je concreet moet doen:
-
Voer een brede risicoanalyse uit:
IT, OT, IoT en fysieke risico’s horen allemaal thuis in je beoordeling. -
Breng je keten in kaart:
Welke leveranciers hebben toegang tot welke systemen of processen? -
Beoordeel leveranciers actief:
Hebben ze hun beveiliging op orde? Kunnen ze dit aantonen? -
Stel passende maatregelen op:
Op basis van jouw branche, rol en ketenverantwoordelijkheid. -
Zorg voor structureel toezicht en governance:
Beveiliging is geen project, maar een continu proces.
Conclusie: NIS2 is geen bedreiging maar een kans
De NIS2-richtlijn is geen blok aan je been, maar een kans. Een kans om de digitale én fysieke veiligheid van je organisatie naar een hoger niveau te tillen. Een kans om écht grip te krijgen op je risico’s en niet te vertrouwen op schijnzekerheid. Een kans om je leveranciers te versterken in plaats van ze je zwakke plek te laten zijn. En bovenal: een kans om minder risico te lopen. Voor je klanten, je medewerkers én de maatschappij die op jouw continuïteit vertrouwt.
NIS2 = verantwoordelijkheid nemen. Voor je organisatie. En voor je keten.