NIS2 voor MSP's en IT-dienstverleners

De Cyberbeveiligingswet raakt voor MSP's en IT-dienstverleners rechtstreeks. De sector staat in bijlage I van de wet, wat betekent dat organisaties die de omvangsgrens halen aantoonbaar hun digitale beveiliging op orde moeten hebben. Hieronder staat wat dat in deze sector concreet betekent.

Wie het betreft

Binnen deze sector gaat het om aanbieders van beheerde ICT-diensten en beheerde beveiligingsdiensten: systeembeheer, werkplekbeheer, netwerkbeheer, security operations.

Dit is de categorie die het vaakst wordt gemist. Beheert u ICT voor klanten, dan staat u in bijlage I, samen met energie en zorg. Veel IT-bedrijven zien zichzelf niet als kritieke infrastructuur en vallen er wel degelijk onder zodra ze 50 medewerkers of 10 miljoen omzet halen.

Essentiële of belangrijke entiteit

Grote organisaties in deze sector zijn essentiële entiteit: het zwaarste regime, met toezicht dat ook zonder aanleiding kan plaatsvinden. Middelgrote organisaties zijn belangrijke entiteit. Het verschil zit in het toezicht en in de maximale boete, niet in wat u moet regelen. Zie voor wie NIS2 geldt.

Welke systemen hieronder vallen

De wet gaat over netwerk- en informatiesystemen die u nodig heeft om uw dienst te leveren. In deze sector zijn dat in de praktijk onder meer:

• beheertools met toegang tot klantomgevingen
• monitoring- en ticketsystemen
• back-upomgevingen van klanten
• identiteits- en toegangsbeheer
• eigen kantoorautomatisering

Neem ze op in uw risicoanalyse, ook de systemen die door een leverancier beheerd worden. Uitbesteden verplaatst het werk, niet de verantwoordelijkheid.

De risico's die in deze sector het zwaarst wegen

U bent een sleutel tot veel deuren tegelijk

Wie uw beheertool binnenkomt, komt bij al uw klanten binnen. Aanvallers weten dat en richten zich daarom bewust op beheerpartijen. Meervoudige authenticatie op beheertoegang is hier geen aanbeveling maar het minimum.

Uw incident is het incident van uw klanten

Wordt u geraakt, dan moeten uw klanten die onder de wet vallen zelf binnen 24 uur melden. Dat kunnen zij alleen als u hen direct informeert. Leg die termijn contractueel vast.

Toegang die te ruim is

Beheeraccounts hebben vaak meer rechten dan nodig, en blijven bestaan nadat een klant is vertrokken. Periodieke controle van rechten is een van de eerste dingen waar een toezichthouder naar vraagt.

Waarom beheerpartijen een apart doelwit zijn

Een aanvaller die tijd steekt in het binnendringen van een gemiddeld bedrijf, bereikt één bedrijf. Bij een beheerpartij bereikt hij er honderd. Dat verklaart waarom aanvallen op beheertools en op de software die beheerders gebruiken de afgelopen jaren zo zijn toegenomen.

Praktisch betekent dat: uw eigen beveiliging is niet alleen uw zaak. Elke klant die onder de wet valt moet u beoordelen, en zal willen zien hoe u uw beheertoegang beschermt, hoe u wijzigingen vastlegt en binnen hoeveel tijd u meldt.

Uw klanten hebben u nodig om zelf te voldoen

Uw klanten moeten binnen 24 uur melden. Merken zij een incident dat bij u begon pas na een week, dan zijn zij in overtreding. Leg daarom in uw contracten vast binnen welke termijn u informeert, en wat u dan meestuurt. Dat is geen juridische formaliteit maar het verschil tussen een klant die kan voldoen en een klant die dat niet kan.

Van plicht naar propositie

De keerzijde is een kans. Uw klanten zoeken iemand die hen hierdoorheen helpt, en zij kijken als eerste naar u. Wie zijn eigen zaken op orde heeft en dat kan aantonen, kan datzelfde als dienst aanbieden.

Wat u moet regelen

De verplichtingen zijn voor elke sector gelijk: registreren, voldoen aan de zorgplicht en incidenten melden.

• Registratie in het entiteitenregister, binnen drie maanden. Zie hoe registreren werkt.
• Zorgplicht: de tien verplichte maatregelen, toegepast op uw eigen risico's. Zie de tien maatregelen.
• Meldplicht: eerste melding binnen 24 uur, aanvulling binnen 72 uur, eindrapport binnen een maand. Zie de meldplicht.
• Bestuursverantwoordelijkheid: het bestuur keurt de aanpak goed en volgt zelf een training.

Toezicht en handhaving

Het toezicht ligt bij de Rijksinspectie Digitale Infrastructuur. Boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde omzet voor essentiële entiteiten, en tot 7 miljoen of 1,4 procent voor belangrijke entiteiten. Zie boetes en handhaving.

Normen die in deze sector meespelen

ISO 27001 is voor MSP's de gangbare route, omdat klanten er sowieso om vragen. Zie wat ISO 27001 is.

Uw leveranciers en uw klanten

Beveiliging van de toeleveringsketen is een van de tien verplichte maatregelen. U moet uw leveranciers beoordelen, en dat vastleggen. U zit aan beide kanten: u bent zelf plichtig en u bent de leverancier die door uw klanten beoordeeld wordt. Reken op vragenlijsten van elke klant die onder de wet valt.

Waar u begint

• Stel vast of u onder de wet valt en in welke categorie: doe de gratis check
• Registreer u, dat is een administratieve handeling van een uur
• Regel eerst de meldketen: wie beslist, wie meldt, binnen 24 uur
• Doe een risicoanalyse op de systemen hierboven en leg de uitkomst vast
• Werk de tien maatregelen af volgens een plan met data erbij

Veelgestelde vragen

Val ik onder NIS2 als ik in beheerde ICT-diensten actief ben?

Alleen als u ook de omvangsgrens haalt: 50 medewerkers of meer dan 10 miljoen euro jaaromzet. Blijft u daaronder, dan valt u er in de regel buiten, tenzij een van de uitzonderingen op u van toepassing is.

Wat is het verschil tussen essentiële en belangrijke entiteit in deze sector?

De plichten zijn nagenoeg gelijk. Het verschil zit in het toezicht, dat bij essentiële entiteiten ook zonder aanleiding plaatsvindt, en in de hoogte van de maximale boete.

Heb ik een certificaat nodig?

Nee. De wet vraagt geen certificaat maar bewijs dat u passende maatregelen neemt. Een certificaat helpt bij dat aantonen. Zie NIS2 versus ISO 27001.

Wij besteden onze ICT volledig uit, geldt het dan nog voor ons?

Ja. De plicht ligt bij uw organisatie, ook als het werk elders gebeurt. U moet uw leverancier beoordelen en contractueel vastleggen wat hij regelt en binnen welke termijn hij u informeert bij een incident.

Wat gebeurt er als wij een incident te laat melden?

Te laat melden is een zelfstandige overtreding, los van het incident. Meld daarom liever vroeg en onvolledig; de aanvulling na 72 uur is er juist voor de details.

Wij zijn een IT-bedrijf van 20 man, vallen wij eronder?

Waarschijnlijk niet vanuit de omvangsgrens: onder 50 medewerkers en onder 10 miljoen euro omzet valt u er in de regel buiten. Uw klanten die er wel onder vallen zullen u wel beoordelen.

Wat moet er in ons contract staat over incidenten?

Minimaal: binnen welke termijn u meldt, via welk kanaal, welke informatie u meestuurt en wie bij uw klant het aanspreekpunt is. Zonder die afspraken kan uw klant zijn eigen meldplicht niet halen.