NIS2-checklist: de tien elementen van de zorgplicht, en het bewijs dat erbij hoort

Eerst: één managementsystematiek

Volgens artikel 6 van het Cyberbeveiligingsbesluit hanteert u een managementsystematiek om aantoonbaar aan de zorgplicht te voldoen. U legt rollen, verantwoordelijkheden en bevoegdheden vast en scheidt conflicterende rollen zoveel mogelijk. Het bestuur keurt de maatregelen goed (artikel 24).

Het besluit schrijft geen norm voor en verlangt geen certificaat; de toelichting noemt een managementsysteem voor informatiebeveiliging zoals de ISO 27000-reeks als voorbeeld. Alleen voor essentiële entiteiten in de sector overheid, waterschappen uitgezonderd, maakt de sectorregeling ISO 27001 verplicht. Werkt u al met zo'n systeem, dan hangt u de tien elementen daaraan op in plaats van ernaast.

a. Risicoanalyse en beveiligingsbeleid

Beleid inzake risicoanalyse en beveiliging van informatiesystemen, uitgewerkt in de artikelen 6 en 7 van het besluit. Dat vraagt een methodiek voor risicomanagement met criteria voor risicoacceptatie, een overzicht van de risico's en de beveiligingseisen die daaruit volgen. Het bewijs:

• Een vastgesteld, gedateerd beveiligingsbeleid en een beleid voor risicomanagement.
• De methodiek en de criteria waarmee u bepaalt welk risico aanvaardbaar is.
• Een actueel risico-overzicht, met de beveiligingseisen die u daaruit heeft afgeleid.

b. Incidentenbehandeling

Uitgewerkt in artikel 8 van het besluit: vastgelegde rollen en procedures voor het detecteren, analyseren, afhandelen, documenteren, rapporteren van en leren van incidenten, het monitoren van relevante gebeurtenissen, en logbestanden die gedurende een vooraf bepaalde periode worden bewaard en beschermd tegen ongeautoriseerde wijziging. Hoe u meldt, staat in de meldplicht in drie stappen. Het bewijs:

• Een incidentbeleid met procedures en namen bij de rollen.
• De ingestelde bewaartermijn van logbestanden en hoe die tegen wijziging zijn beschermd.
• Een incidentregister, inclusief wat u van elk incident heeft geleerd.

c. Bedrijfscontinuïteit en crisisbeheer

Uitgewerkt in artikel 9: een continuïteitsbeleid, een bedrijfscontinuïteitsplan, een herstelplan en een plan voor crisisbeheer, die allemaal periodiek worden getest. Back-ups worden gemaakt en de betrouwbaarheid ervan wordt periodiek geverifieerd. Het bewijs:

• De drie plannen, vastgesteld en gedateerd.
• Verslagen van hersteltests van back-ups.
• Verslagen van oefeningen met het crisisplan, met de verbeterpunten.

d. Toeleveringsketen

Rechtstreekse leveranciers en dienstverleners vallen binnen uw zorgplicht. U weegt per leverancier de specifieke kwetsbaarheden, de kwaliteit van producten en beveiligingspraktijken en de veilige ontwikkelprocedures (artikel 21, vierde lid). Artikel 10 van het besluit vraagt beleid over uw afhankelijkheden en een periodieke toets of rechtstreekse leveranciers aan uw beveiligingseisen voldoen. Het bewijs:

• Een overzicht van leveranciers en de afhankelijkheden die de beveiliging raken.
• Per rechtstreekse leverancier een beoordeling, en de datum van de laatste controle.
• De beveiligingseisen zoals die in contracten zijn opgenomen.

e. Verwerving, ontwikkeling en onderhoud

Beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden. Artikel 11 vraagt beveiligingseisen bij de inkoop van software, hardware en diensten, waar van toepassing procedures voor veilige ontwikkeling, en procedures voor onderhoud met ten minste configuratiebeheer en wijzigingsbeheer. Het bewijs:

• Beveiligingseisen in inkoop- en aanbestedingsstukken.
• Vastgelegde configuraties en een wijzigingslog.
• Een procedure voor het afhandelen en bekendmaken van kwetsbaarheden.

f. De effectiviteit beoordelen

Beleid en procedures om te beoordelen of de maatregelen werken. Artikel 18 vraagt een periodieke evaluatie van de doeltreffendheid en de effecten in de praktijk, schriftelijk vastgelegd, en aanpassing waar dat nodig is. Gerichte waarschuwingen over kwetsbaarheden of dreigingen beoordeelt u en legt u ook vast (artikel 17). Zonder dit element worden de andere negen beweerd in plaats van aangetoond. Het bewijs:

• Gedateerde evaluaties of interne audits, met de bevindingen.
• De acties die op die bevindingen zijn gevolgd.
• Een vastlegging van ontvangen waarschuwingen en wat u ermee heeft gedaan.

g. Cyberhygiëne en opleiding

Artikel 12 vraagt dat medewerkers, voor zover relevant voor hun functie, zich bewust zijn van de risico's en basispraktijken van cyberhygiëne toepassen, en dat wie een beveiligingsrol heeft regelmatig wordt opgeleid. Voor bestuurders gelden aparte eisen in artikel 24. Het bewijs:

• Een bewustwordingsprogramma met deelname per medewerker.
• Een overzicht van wie een beveiligingsrol heeft, met de gevolgde opleidingen.

h. Cryptografie

Artikel 13 vraagt beleid en procedures over het gebruik van cryptografie, waarin ten minste staat in welke gevallen u cryptografie inzet, welke typen encryptie u gebruikt en hoe, wie verantwoordelijk is voor de implementatie en wie voor het sleutelbeheer. Het bewijs:

• Een cryptografiebeleid dat die vier punten beantwoordt.
• Een vastlegging van het sleutelbeheer: wie, welke sleutels, welke termijnen.

i. Personeel, toegang en assets

Drie artikelen werken dit uit. Artikel 14 vraagt dat u medewerkers met beveiligingsrollen aanwijst, die aanwijzing periodiek evalueert en betrouwbaarheidseisen stelt waar dat passend is. Artikel 15 vraagt beleid voor logische en fysieke toegang en een periodieke controle van identiteiten, authenticatiemiddelen en autorisaties. Artikel 16 vraagt een classificatie van assets, regels voor aanvaardbaar gebruik en een volledige, actuele inventaris. Het bewijs:

• Een toegangsbeleid en gedateerde controles van rechten.
• Een volledige, actuele inventaris van assets, met classificatie.
• De aanwijzing van beveiligingsrollen en de betrouwbaarheidseisen die daarbij horen.

j. Authenticatie en beveiligde communicatie

Wanneer gepast: multifactor- of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatie binnen de organisatie. Omdat de wet 'wanneer gepast' zegt, telt hier vooral de onderbouwde afweging. Het crisisplan beschrijft volgens artikel 9 waar passend ook de noodcommunicatie. Het bewijs:

• Een overzicht van waar multifactorauthenticatie geldt, en de reden waar dat niet zo is.
• De afgesproken beveiligde communicatiemiddelen, ook voor noodsituaties.

Waar u begint

Begin bij element a. Volgens artikel 7 volgen de beveiligingseisen uit het risico-overzicht, en de artikelen 10 en 11 verwijzen voor leveranciers en inkoop weer naar die eisen. Zonder risico-overzicht hangen de andere elementen in de lucht.

Kijk daarna per element niet of een maatregel bestaat, maar of u hem kunt aantonen: is het beleid vastgesteld en gedateerd, is er een verslag van de laatste test of controle? Het grootste verschil tussen 'bestaat' en 'aantoonbaar' bepaalt de volgorde. Element f sluit de cirkel: met een periodieke evaluatie blijft het bewijs actueel.