NIS2-readinesspakket: een scopecheck, een gaprapport over de tien beveiligingsmaatregelen van artikel 21 en je basisbeleid, binnen 10 werkdagen opgesteld op basis van jouw antwoorden

Aanbieders van cloudcomputingdiensten, datacenterdiensten, managed services en managed securityservices staan allemaal in bijlage I, en de richtlijn noemt software as a service als een van de cloudcomputingdienstmodellen. Voor deze aanbieders is het land dat toezicht op je houdt het land waar je besluiten over cyberbeveiligingsmaatregelen hoofdzakelijk worden genomen. De scopecheck legt je diensten naast deze definities.

Dat kan. Op grond van artikel 21, lid 2, onder d, moeten de bedrijven waarop NIS2 van toepassing is de beveiliging van hun toeleveringsketen beheersen, inclusief hun directe leveranciers. Daarom leggen zij beveiligingseisen op aan leveranciers die niet onder de richtlijn vallen. Misschien blijkt uit de scopecheck dat je niet onder de richtlijn valt. Het pakket wordt dan het bewijsdossier waar die klanten om vragen: schriftelijke beleidsdocumenten en een gaprapport dat je kunt laten zien.

Beleid voor risicoanalyse en beveiliging van informatiesystemen; incidentafhandeling; bedrijfscontinuïteit, zoals back-ups en disaster recovery, en crisisbeheer; beveiliging van de toeleveringsketen; beveiliging bij de aanschaf, ontwikkeling en het onderhoud van systemen, inclusief de omgang met kwetsbaarheden en de openbaarmaking ervan; beoordeling van de effectiviteit van de maatregelen; basale cyberhygiëne en training; cryptografie en, waar passend, versleuteling; beveiliging van personeel, toegangsbeheer en assetbeheer; en multifactorauthenticatie en beveiligde communicatie, waar passend.

Op grond van artikel 23 wordt een significant incident in fasen gemeld aan je CSIRT of nationale autoriteit: een vroegtijdige waarschuwing binnen 24 uur nadat je ervan op de hoogte bent, een incidentmelding binnen 72 uur en een eindverslag uiterlijk één maand na de melding. De procedure in het pakket beschrijft wie beslist, wie meldt en wat elke melding bevat. Wil je een volledig incidentresponseplan laten schrijven en daarna met je team laten testen? Dan doet het incidentresponseplan met tabletopoefening dat voor € 690, eenmalig betaald.

Op grond van artikel 20 keurt het bestuursorgaan de beveiligingsmaatregelen goed, houdt het toezicht op de invoering ervan en kan het aansprakelijk worden gesteld voor overtredingen. De leden moeten bovendien een training volgen. De samenvatting van één pagina geeft het bestuursorgaan de uitkomst van de scopecheck en de belangrijkste gaps, en het trainingsbeleid regelt de eigen training van het orgaan.

Dat hangt af van je land, en de scopecheck beschrijft de stappen voor jouw land. In Italië registreren bedrijven zich op grond van wetsbesluit 138/2024 elk jaar tussen 1 januari en 28 februari op het platform van het nationale cyberbeveiligingsagentschap (ACN). In Duitsland vereist de BSI-wet registratie bij het Bundesamt für Sicherheit in der Informationstechnik (BSI) binnen drie maanden nadat je voor het eerst onder de wet valt, via het portaal van het BSI.

EU-landen moesten hun wetgeving uiterlijk 17 oktober 2024 vaststellen en vanaf 18 oktober 2024 toepassen, en ze deden dat op verschillende momenten. Op de dag van oplevering controleren we de geldende wetgeving in jouw land en de pagina's van de bevoegde autoriteit, en de scopecheck verwijst ernaar. Is een nationale wet nog niet in werking getreden, dan staat dat in de scopecheck en gaan we uit van de richtlijn.

Bij overtredingen van artikel 21 of 23 moet elk land boetes mogelijk maken van ten minste 10 miljoen euro of 2% van de totale wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is, voor essentiële entiteiten, en van ten minste 7 miljoen euro of 1,4%, afhankelijk van welk bedrag hoger is, voor belangrijke entiteiten. De nationale wet bepaalt de exacte bedragen.

Nee. We stellen de scopecheck en de documenten op uit je antwoorden en de gepubliceerde teksten. We zijn geen advocatenkantoor, we testen je systemen niet en we certificeren niets. Je eigen juridisch adviseur of de nationale autoriteit heeft het laatste woord over de scope, en het pakket maakt je op zichzelf niet compliant.

Je antwoorden worden gelezen door AI-modellen van aanbieders in de Verenigde Staten, onder commerciële voorwaarden waarbij de aanbieder er niet op traint. AIGROW traint geen AI-modellen op jouw gegevens. Deze doorgiften volgen de standaardcontractbepalingen die de Europese Commissie in 2021 heeft vastgesteld en die in onze verwerkersovereenkomst zijn opgenomen. Wij verwijderen je antwoorden, eventuele documenten en onze werkbestanden 30 dagen na oplevering, of eerder als je erom vraagt.

Binnen 10 werkdagen na je volledige antwoorden. Heeft een autoriteit of klant het pakket eerder nodig, mail dan vóór je betaalt naar hello@aigrow.gg. Dan laten we je weten of we die datum kunnen halen.