Maatregelen en conformiteitsbeoordeling: CyFun of ISO 27001

Wat artikel 30 vraagt

Essentiële en belangrijke entiteiten nemen passende en evenredige technische, operationele en organisatorische maatregelen om de risico’s voor hun netwerk- en informatiesystemen te beheren (art. 30, § 1). Bij de keuze houdt u rekening met de stand van de techniek, de relevante normen en de kosten, en met uw blootstelling aan risico’s, uw omvang en de mogelijke maatschappelijke en economische gevolgen van incidenten (art. 30, § 2).

De maatregelen omvatten minstens de volgende elf onderwerpen (art. 30, § 3):

1. beleid inzake risicoanalyse en beveiliging van informatiesystemen;
2. incidentenbehandeling;
3. bedrijfscontinuïteit, zoals back-upbeheer, noodplannen en crisisbeheer;
4. beveiliging van de toeleveringsketen;
5. beveiliging bij het verwerven, ontwikkelen en onderhouden van systemen, met respons op en bekendmaking van kwetsbaarheden;
6. beleid en procedures om de effectiviteit van de maatregelen te beoordelen;
7. basispraktijken van cyberhygiëne en opleiding;
8. cryptografie en, waar nodig, encryptie;
9. personeelsbeveiliging, toegangsbeleid en beheer van activa;
10. waar gepast multifactorauthenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatie;
11. een beleid voor de gecoördineerde bekendmaking van kwetsbaarheden.

Dat elfde punt staat niet als apart onderdeel in de opsomming van de Europese richtlijn. De Belgische wetgever heeft het expliciet toegevoegd. In de praktijk gaat het om een beschreven werkwijze voor kwetsbaarheden die externen, bijvoorbeeld onderzoekers, bij u melden, en om de manier waarop u die opvolgt.

Risicoanalyse en I.B.B.

Elke entiteit voert een risicoanalyse uit die alle gevaren omvat, dus niet alleen cyberaanvallen maar ook bijvoorbeeld brand of stroomuitval, en werkt op basis daarvan een informatiebeveiligingsbeleid uit, het I.B.B. (art. 30, § 5). Dat beleid moet minstens alle onderwerpen van de lijst hierboven behandelen. Stelt u vast dat u niet aan de maatregelen voldoet, dan neemt u onverwijld corrigerende maatregelen (art. 30, § 6).

Het I.B.B. is meer dan een formaliteit. De risicoanalyse bepaalt ook welk CyFun-niveau voor u passend is, en een conformiteitsbeoordelingsinstantie zal ernaar vragen.

De verplichte conformiteitsbeoordeling

Essentiële entiteiten moeten zich onderwerpen aan een regelmatige conformiteitsbeoordeling (art. 39). Ze kiezen tussen twee wegen:

• Beoordeling door een erkende instantie op basis van een referentiekader dat de Koning heeft vastgelegd (art. 39, eerste lid, 1°, en art. 40).
• Inspectie door het CCB (art. 39, eerste lid, 2°).

Het koninklijk besluit van 9 juni 2024 laat twee referentiekaders toe, die het hele netwerk- en informatiesysteem van de entiteit moeten dekken (art. 5 KB):

Belangrijke entiteiten mogen vrijwillig hetzelfde traject volgen (art. 41). Wie dat doet, wordt tot bewijs van het tegendeel geacht te voldoen aan artikel 30 (art. 42). Dat vermoeden van conformiteit geldt ook voor essentiële entiteiten die de weg via een erkende instantie kiezen.

De deadlines voor essentiële entiteiten

De termijnen lopen vanaf de inwerkingtreding van de wet op 18 oktober 2024, of vanaf de identificatie door het CCB (art. 22 en 23 KB).

Ongeacht de gekozen weg moeten essentiële en belangrijke entiteiten een continue verbetering kunnen aantonen (art. 23, § 3, KB). Een certificaat is dus geen eindpunt.

Een werkbare aanpak

1. Keuze van het kader: CyFun ligt dicht bij de wet en het CCB stelt de documentatie ter beschikking op Safeonweb@Work. ISO/IEC 27001 is interessant als u al gecertificeerd bent of internationale klanten heeft die erom vragen.
2. Risicoanalyse en niveau: bepaal het niveau dat bij uw risico’s past en motiveer schriftelijk als u als essentiële entiteit onder Essential blijft.
3. Gap-analyse: vergelijk uw huidige maatregelen met de controles van het gekozen kader.
4. Snelle winst: multifactorauthenticatie, geteste back-ups, patchbeheer en een werkende incidentprocedure.
5. I.B.B. en goedkeuring: leg beleid en maatregelen vast en laat de bestuursorganen ze goedkeuren.
6. Beoordeling: plan de audit bij een erkende instantie of bereid de inspectie door het CCB voor.

De NIS2-zelftest toont per onderwerp hoe ver u staat, en de wettekst vindt u in de Justel-databank.