NIS staat voor ‘Network and Information Security’ en heeft betrekking op cybersecurity. Het is een Europese richtlijn waarvan de kans groot is dat veel installateurs er nog nooit van gehoord hebben. Dat is ook niet zo raar, want de huidige richtlijn geldt in Nederland slechts voor 60 bedrijven die werkzaamheden verrichten voor de vitale infrastructuur van ons land.
Met NIS2 komt daar verandering in en krijgen vele duizenden bedrijven er mee te maken. Hélène Minderman van Techniek Nederland: ‘Ik schat dat het al gauw om meer dan 4.000 Nederlandse bedrijven zal gaan, waaronder veel installateurs. In de EU gaat het in totaal om zeker 160.000 bedrijven.’

Veiliger maken

NIS is bedoeld om Europa op cybersecuritygebied veiliger te maken. NIS geldt al sinds 2018 en is in Nederland geïmplementeerd in de WBNI, de Wet Beveiliging Netwerk- en Informatiesystemen. Deze wet geldt voor een groep zogeheten ‘aanbieders essentiële diensten’ en ‘digital service providers’. Dit zijn bedrijven die tot de vitale infrastructuur van ons land behoren of daar aan werken. Voor deze bedrijven geldt vooral een meldingsplicht als zij cybersecurity-incidenten waarnemen en ze dienen hun zaken aantoonbaar op orde te hebben.
Bij NIS2 wordt dat anders. Marcel Jutte, managing director van cybersecurityfirma Hudson Cybertec, legt uit: ‘NIS2 gaat een stuk verder dan NIS en stelt veel steviger eisen. Zo wordt de zorgplicht die al deels in NIS zit, flink uitgebreid. Dat betekent bijvoorbeeld dat er ook een verplichting komt om installaties of netwerken structureel te monitoren. Daarbij komt ook ketenaansprakelijkheid om de hoek kijken.’
‘Wat men met NIS2 beoogt, is dat de gehele keten van opdrachtgever tot opdrachtnemer en al diens onderaannemers, in elk project heel bewust gaat kijken naar de risico’s op het gebied van cybersecurity en deze voldoende vermindert. In deze gehele keten dient de kennis van cybersecurity dus flink opgeschroefd te worden. Daarbij voorziet de nieuwe richtlijn ook nog eens in de mogelijkheid dat de overheid in bepaalde gevallen, waar verplichtingen niet worden gevolgd, boetes kan opleggen.’
Bij NIS2 is de opdrachtgever heel duidelijk als eerste aan zet. Jutte: ‘De opdrachtgever van een installatie of een project dient in zijn opdracht of bestek duidelijk te specificeren aan welke eisen dit project moet voldoen. Naast eisen ten aanzien van bijvoorbeeld technische specificaties, prestaties of energiegebruik komen daar nu ook cybersecurity-eisen bij. Dat hoeft men niet zozeer te doen door heel specifiek technische security-eisen te beschrijven, maar wel door te verwijzen naar normen, zoals IEC 62443.’
IEC 62443 is een internationale reeks van normen die zich bezighoudt met cyberbeveiliging voor operationele technologie in automatiserings- en controlesystemen. De standaard is onderverdeeld in verschillende secties en beschrijft zowel technische als procesgerelateerde aspecten van cybersecurity van automatisering- en controlesystemen. Ook de manier waarop een bedrijf een installatie ontwerpt en daarin cybersecurity meeneemt wordt dus in deze norm beschreven.