NIS2 en crisismanagement: wat is de relatie?
NIS2 crisismanagement voorbereiding is voor steeds meer Nederlandse organisaties een urgente verplichting. De Europese NIS2-richtlijn (Network and Information Security Directive 2) — in Nederland geïmplementeerd via de Wet beveiliging netwerk- en informatiesystemen (Wbni) — stelt aanzienlijk strengere eisen aan cyberveiligheid én bedrijfscontinuïteit voor organisaties in essentiële en belangrijke sectoren.
Crisismanagement raakt NIS2 op drie concrete plekken: de verplichting tot incidentrespons (artikel 21: risicobeheer), de meldplicht bij incidenten (initiële melding binnen 24 uur) en de bestuurlijke aansprakelijkheid voor naleving. Bestuurders van NIS2-entiteiten kunnen persoonlijk aansprakelijk worden gesteld bij aantoonbaar gebrekkige voorbereiding.
Welke organisaties vallen onder NIS2?
NIS2 maakt onderscheid tussen essentiële entiteiten (groot: >250 medewerkers of >€50 miljoen omzet) en belangrijke entiteiten (middelgroot: >50 medewerkers of >€10 miljoen omzet) in aangewezen sectoren:
- Energie (elektriciteit, gas, olie, warmte, waterstof)
- Transport (luchtvaart, spoor, water, wegvervoer)
- Bankwezen en financiële marktinfrastructuur
- Gezondheidszorg
- Drinkwater en afvalwater
- Digitale infrastructuur en ICT-dienstverlening
- Overheid (centrale en regionale overheid)
- Ruimtevaart
- Post- en koeriersdiensten, afvalbeheer, chemie, voeding en meer (Annex II)
Wat verplicht NIS2 op het gebied van crisismanagement?
1. Risicobeheersmaatregelen (art. 21)
Organisaties moeten passende technische, operationele en organisatorische maatregelen treffen. Op crisismanagementvlak betekent dit: een gedocumenteerd incidentresponsplan, aangewezen verantwoordelijken, geteste herstelprocedures en een crisiscommunicatieprotocol.
2. Incidentmeldplicht (art. 23)
Bij significante incidenten geldt een getrapt meldproces: initiële melding binnen 24 uur bij het CSIRT of de toezichthoudende autoriteit, gevolgd door een gedetailleerde melding binnen 72 uur en een eindrapport binnen een maand. Dit vereist een goed functionerend crisisteam dat snel en accuraat kan rapporteren.
3. Bestuurlijke aansprakelijkheid (art. 20)
Het management moet maatregelen goedkeuren, toezicht houden op de uitvoering en wordt geacht voldoende kennis van risico’s en beheersmaatregelen te hebben. Onwetendheid is geen excuus. Bestuurders die NIS2-verplichtingen systematisch veronachtzamen kunnen persoonlijk aansprakelijk worden gesteld en tijdelijk worden uitgesloten van leidinggevende functies.
Hoe helpt de Crisismanagement-Academie bij NIS2-compliance?
NIS2 Gap Analyse
Wij brengen in kaart waar uw organisatie nu staat ten opzichte van de NIS2-vereisten op crisismanagementvlak: incidentresponsplan, crisisteamstructuur, meldprocedures, oefenprogramma en bestuurderskennis. De analyse resulteert in een geprioriteerd actieplan.
NIS2 Bestuurdersworkshop
Een gerichte halvedagsessie voor directie en toezichthoudende organen. Na afloop begrijpen bestuurders hun persoonlijke aansprakelijkheid, kunnen ze de juiste vragen stellen aan hun organisatie en zijn ze aantoonbaar geïnformeerd — relevant bij eventuele toezichtsonderzoeken.
Incidentrespons Training & Oefening
Wij trainen uw crisisteam in NIS2-conforme incidentrespons: van eerste detectie en escalatie tot meldprocedures en externe communicatie. Via realistische crisissimulaties oefenen teams onder druk, zodat de meldtermijnen van 24 en 72 uur ook in de praktijk haalbaar zijn.
Crisisplan NIS2-proof maken
Wij toetsen uw bestaande crisisplan aan NIS2-vereisten en vullen ontbrekende elementen aan: escalatieprotocollen, meldformulieren, communicatiesjablonen en documentatieverplichtingen.
NIS2-deadlines en toezicht
De Wbni is per 16 oktober 2024 van kracht. Toezicht wordt uitgeoefend door sector-specifieke toezichthouders (RDI voor digitale infrastructuur, DNB voor financiën, IGJ voor zorg, etc.). Organisaties die nog niet compliant zijn, lopen risico op corrigerende maatregelen en publicatie van niet-naleving.
Aan de slag met NIS2 crisismanagement?
Neem contact op voor een vrijblijvende intake. Wij helpen u snel inzicht te krijgen in uw NIS2-positie en concrete vervolgstappen te bepalen.