Waarom de vragenlijsten binnenkomen
NIS2 is vanaf oktober 2024 via nationale wetgeving in de hele EU in werking getreden. De richtlijn geldt voor energie, transport, bankwezen, zorg, water, digitale infrastructuur, overheid, productie van bepaalde goederen, voeding, digitale aanbieders en meer, en verplicht organisaties onder de richtlijn de beveiliging van de toeleveringsketen te beheersen: de beveiliging van hun directe leveranciers en dienstverleners te beoordelen. De praktische vorm van die beoordeling is een vragenlijst, en die gaat naar elke leverancier met toegang tot de systemen of gegevens van de organisatie.
Wat een vragenlijst naar NIS2-model vraagt
De richtlijn somt de maatregelen op die entiteiten onder de richtlijn moeten nemen, en de vragenlijsten volgen die lijst: risicoanalyse en beveiligingsbeleid; incidentafhandeling; bedrijfscontinuïteit, back-ups en crisisbeheer; beveiliging van de toeleveringsketen, dus vragen over uw eigen leveranciers; beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, inclusief de afhandeling van kwetsbaarheden; hoe u de effectiviteit van uw maatregelen beoordeelt; cyberhygiëne en training; cryptografie; personeelsbeveiliging en toegangsbeheer; en meerfactorauthenticatie en beveiligde communicatie.
De incidentvragen zijn de onderscheidende. Een entiteit onder de richtlijn moet binnen 24 uur nadat zij een significant incident heeft opgemerkt een vroegtijdige waarschuwing aan haar autoriteit geven, dus zij zal vragen of u haar snel genoeg informeert, via welk kanaal, en met welke informatie. Heb een antwoord klaar met een tijd en een contactpersoon met naam.
Antwoorden als leverancier
Antwoord zoals bij elke beveiligingsvragenlijst: de controle, de eigenaar, de frequentie, het bewijs. Twee toevoegingen winnen het vertrouwen van NIS2-beoordelaars. Ten eerste een duidelijke toezegging over incidentmelding: “wij informeren getroffen klanten binnen X uur na bevestiging van een incident dat hun gegevens raakt, per e-mail aan de opgegeven beveiligingscontactpersoon, met een vervolgbericht binnen 72 uur”. Ten tweede uw eigen leverancierslijst: de verplichting van de klant volgt de keten, dus men zal vragen wie uw hosting-, e-mail- en AI-leveranciers zijn en hoe u ze beoordeelt.
Dezelfde antwoorden, één kopje extra
De maatregelen die NIS2 opsomt, overlappen vrijwel volledig met de controles van ISO 27001 en het beveiligingscriterium van SOC 2. Een bibliotheek met één goedgekeurd antwoord per controle beantwoordt ook een NIS2-vragenlijst; wat verandert is de nadruk op melding, continuïteit en leveranciers. Responsemate stelt elke vragenlijst op uit die ene bibliotheek en toont waar uw antwoorden mager zijn, wat bij NIS2 meestal de rijen over melding en leveranciers zijn. Hoe de kennisbank antwoorden actueel houdt.
Veelgestelde vragen
Geldt NIS2 voor ons als wij een kleine softwareaanbieder zijn?
Meestal niet rechtstreeks. NIS2 geldt voor essentiële en belangrijke entiteiten in de genoemde sectoren boven een omvangsdrempel. Maar als uw klanten eronder vallen, moeten zij het risico beheersen dat u vormt, en hun vragenlijst is hoe ze dat doen. Buiten NIS2 vallen bespaart u de vragenlijst niet.
Wat vraagt een NIS2-vragenlijst dat andere niet vragen?
Meer over incidentmelding (kunt u de klant snel genoeg informeren zodat die zijn eigen vroegtijdige waarschuwingsplicht van 24 uur haalt), over bedrijfscontinuïteit en crisisbeheer, en over uw eigen leveranciers, omdat de richtlijn de keten volgt.