Europees Parlement publiceert wet die bedrijfsleven strenge securityeisen oplegt

Het Europees Parlement heeft de tekst gepubliceerd van de NIS2-richtlijn. Die wet wordt over drie weken actief en verplicht Europese bedrijven die als vitale infrastructuur worden aangemerkt om bepaalde beveiligingsmaatregelen door te voeren.

Het Europees Parlement nam de richtlijn in november al aan, maar nu de definitieve tekst van de wet online staat, kan die over twintig dagen in werking treden. De NIS2-richtlijn is een verbeterde variant van de NIS-richtlijn uit 2016. Dat was de eerste Europabrede cybersecuritystrategie, maar de richtlijn is anno 2022 achterhaald, onder andere door ontwikkelingen tijdens de coronacrisis.

NIS staat voor Network and information security. De NIS-richtlijnen regelen welke bedrijven aan welke verplichte security-eisen moeten voldoen. Mede op basis van die NIS-eisen is in Nederland de Wet beveiliging netwerk- en informatiesystemen opgezet. De wet en de richtlijn schrijven voor wanneer een bedrijf tot 'vitale infrastructuur' wordt benoemd. Zulke vitale bedrijven moeten aan strenge beveiligingseisen voldoen en worden daar ook door het Nationaal Cyber Security Centrum op gecontroleerd en erbij geholpen.

Die regels stonden al opgenomen in de eerste NIS-richtlijn, maar die was achterhaald. De NIS2-richtlijn verbetert de wet op een paar punten. Zo komen er meer categorieën bij waar een bedrijf onder kan vallen. Onder de nieuwe verordening kunnen ook telecomnetwerken en andere communicatiediensten tot vitale infrastructuur worden geclassificeerd, maar ook bepaalde sociale netwerken. Ook bedrijven in de voedselindustrie en postdiensten kunnen zo worden aangemerkt. Het wordt met de nieuwe richtlijnen ook mogelijk om verschillende classificaties in te zetten. Naast vitale infrastructuur kunnen bepaalde bedrijven ook 'belangrijk' worden gemaakt. Die bedrijven hoeven dan niet aan cybersecuritynormen te voldoen, maar moeten wel verplicht melding maken van incidenten zoals hacks.

Met de NIS2-richtlijn kunnen lidstaten ook een nationale cybersecuritystrategie opstellen. Dat heeft Nederland al gedaan. Het kabinet presenteerde die in oktober al. Dat deed het vooruitlopend op de wet, maar ook vanuit een wens die door de regeringspartijen was afgesproken.

De nieuwe richtlijn scherpt daarnaast nog verschillende andere aspecten van de bestaande wetten aan. Het gaat dan bijvoorbeeld om eisen voor risicomanagement, wetten en regels rondom het gebruik van encryptie en een verplichting voor het afhandelen van datalekken.

De richtlijn wordt over twintig dagen van kracht. Europese lidstaten kunnen op basis van een richtlijn een eigen, wettelijke implementatie opzetten die voor hun land geldt, maar in tegenstelling tot een verordening is dat niet verplicht. De landen hebben daar 21 maanden de tijd voor.

Update: in dit artikel werd eerst gesproken over een verordening. Dat klopt niet; NIS2 is een richtlijn. Dat heeft een andere, niet-bindende juridische status. Het artikel is daarop aangepast.

Reacties (58)

De verordening wordt over twintig dagen van kracht. Europese lidstaten moeten op basis van een verordening verplicht een eigen, wettelijke implementatie opzetten die voor hun land geldt.

NIS2 is een richtlijn en geen verordening.
Verordeningen zijn zodra ze in werking treden direct wet overal in de Unie; richtlijnen moeten eerst in nationale wetgeving geimplementeerd worden.
Foute term; juiste invulling, dus.

Staat letterlijk ook zo aan de kop van de wetstekst:
"Richtlijn (EU) 2022/2555 van het Europees Parlement en de Raad"

[Reactie gewijzigd door R4gnax op 27 december 2022 19:40]

Het bedrijfsleven strenge regels voor security opleggen, helemaal voor! Bestaan die regels vanuit Europa ook voor de de lidstaten? Want je kan dat wel opleggen, maar eerst voor eigen deur vegen zou'k zo zeggen!

Het bedrijfsleven strenge regels voor security opleggen, helemaal voor! Bestaan die regels vanuit Europa ook voor de de lidstaten?

Ik zou zeggen, lees de wetstekst van de richtlijn eens door:

Artikel 2 - Toepassingsgebied
[..]
2. Deze richtlijn is ook van toepassing op entiteiten van het in bijlage I of II bedoelde soort, ongeacht hun omvang, wanneer:
[..]
f) de entiteit een overheidsinstantie is:
i) van de centrale overheid zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht, of
ii) op regionaal niveau zoals gedefinieerd door een lidstaat overeenkomstig het nationale recht, die, na een risicobeoordeling, diensten verleent waarvan de verstoring aanzienlijke gevolgen kan hebben voor kritieke maatschappelijke of economische activiteiten.

Inderdaad! Dit hebben we waarschijnlijk te danken aan SD in het Europees Parlement. Renew Europe ( RE ) handelt juist vaker in het belang van grote bedrijven.

Opvallend dat Social Media als kritieke sector gezien is.

"Aanbieders van platforms voor socialenetwerkdiensten"

Neem sociale media eens weg en kijk dan eens wat de reactie van de bevolking zal zijn. Voor heel veel mensen is dat een cruciaal onderdeel van de samenleving geworden. Of dat wenselijk is, is een andere vraag.

In principe is er niets mis met social media als concept of dienst. Het feit dat veel mensen geen krant of verkiezingsprogrammas meer lezen en af gaan op wat ze op social media zien is niet de schuld van social media. Het is natuurlijk best wel gek dat als ik op Facebook het tegenovergestelde schrijf van wat een politieke partij in hun programma heeft staan er mensen zullen zijn die geloven wat ik schrijf.

K weet t niet hoor, maar sinds de opkomst van internet is het een stuk makkelijker geworden partij standpunten en programma’s na te lezen.
Fysieke kranten zijn niet perse beter dan Socmed

De comment sectie hier op tweakers valt ook onder social media.

Dat is waar maar ik denk niet dat tweakers onder NIS2 gaat vallen.

Er worden natuurlijk dingen als Twitter, Facebook, whatsapp en telegram bedoeld.

het gaat dus om een communicatiekanaal. Net zoals kranten, TV etc.

[Reactie gewijzigd door Buntuhein op 28 december 2022 08:41]

Het is een soort van communicatie infrastructuur. Het wordt als vitaal gezien omdat verlies van controle erover grote schade op kan leveren. Denk bijvoorbeeld aan verspreiding van vijandelijke propaganda.

Een lekker controversieel voorbeeld: Twitter. Volgens de ene doorgeslagen groep was het in handen van 'de vijand'. Volgens de andere doorslagen groep is het nu in handen van 'de vijand'.

[Reactie gewijzigd door locke960 op 27 december 2022 17:18]

Of, even omdenken, dat bij verlies van controle er over een belangrijk communicatiekanaal voor het verspreiden van propaganda verloren gaat.

Nou wil ik de boodschappen van de EU niet direct als propaganda bestempelen, maar de boodschappen zijn wel vaak gekleurd

Alle boodschappen zijn gekleurd. Ook wat jij net hier hebt geschreven.

"Het is een soort van communicatie infrastructuur. Het wordt als vitaal gezien omdat verlies van controle erover grote schade op kan leveren. Denk bijvoorbeeld aan verspreiding van vijandelijke propaganda."

Mmm - ik denk eerder Whatsapp groepjes:
Ben wel eens benieuwd wat er aan Whatsapp groepjes (en vergelijkbaar) leeft om de overdracht te regelen bij de wisseling van de wacht. Zoals bijvoorbeeld in ziekenhuizen of electriciteitsbedrijven.

Om nog maar niet te denken aan zoiets als TikTok...

Maar los daarvan... worden interessante tijden...😊
Ik weet niet hoe het werkt met zoiets als een "Europese richtlijn": wat wordt er nu precies verwacht van de lidstaten? En binnen hoeveel tijd? 🤔

Zeker als ik kijk naar artikel 21 - "Maatregelen voor het beheer van cyberbeveiligingsrisico’s" en met name lid 2c, 2d en 2j. Waarin min-of-meer wordt gesteld dat een calamiteitenplan en een ZeroTrust invulling ook van toepassing is voor leveranciers en dienstverleners...😏

[Reactie gewijzigd door Airw0lf op 27 december 2022 18:01]

Twitter is vooral controversieel gespind. Als je het nuchter bekijkt dan is er niet al te veel gebeurd. Het platform zou ondertussen al 20 keer dood zijn en alleen nog maar rechts-radicale meningen verspreiden. Dat is niet het geval. Het hebben van een vastgestelde identiteit lijkt me een goed idee. Je kunt niet meer anoniem iets posten en je zult je voor posts ook moeten verantwoorden. Wellicht wel naïef gedacht door Musk dat hiermee alle problemen opgelost kunnen worden. Je hebt zowel aan de linker als ook aan de rechterzijde van politieke spectrum mensen die helemaal van het padje af zijn en die geef je hoe dan ook beiden een podium. Ik kijk soms met bevreemding naar de huidige maatschappij, waar de schreeuwers het kennelijk voor het zeggen hebben gekregen en er geen redelijk midden meer lijkt te bestaan.

Gezien de Amerikaanse verkiezingen nogal beïnvloed werden door social media is dat niet verbazingwekkend.

Social media is voor het gros van de mensen tegenwoordig dé nieuwsbron en dé waarheid.

Daarnaast heeft het natuurlijk een belangrijke functie bij incidenten e.d., voor het snel delen van beelden (al dan niet wenselijk) maar ook voor hulpdiensten om snel inzicht te krijgen van een situatie.

Gezien de Amerikaanse verkiezingen nogal beïnvloed werden door social media

Dat geloof ik niet.
Wat is het verschil tussen op social media lezen dat kandidaat X de allerbeste is tov alle andere media incl de website v/d kandidaat. Dat is ook allemaal super gekleurd nieuws. X gaat echt niet verkondigen dat Y ook wel wat goed doet.

Iets met massale direct marketing en data mining: https://nl.wikipedia.org/wiki/Cambridge_Analytica

Opvallend dat Social Media als kritieke sector gezien is.

Veel mensen laten een hoop persoonlijke gegevens achter op andermans computers. Er worden dan ook nog eens hele persoonlijkheidsprofielen mee gemaakt.

Als sociale medianetwerken als cruciaal worden gezien is vrijwel alles cruciaal. De website van de banketbakker, app nagelstudio en het reservering systeem van de kapper. Dit begint bizar te worden. Het is echt zo jammer dit want de EU heeft veel toegevoegde waarde in het leven van mensen gehad maar dit soort zaken hollen wel draagvlak uit voor de EU en dat kan nog wel eens gevaarlijk worden als we een diepe recessie ingaan,

Hoeveel impact heeft de website van de bakker op wat mensen gaan stemmen?

Zowel de website van de bakker of Facebook hebben nooit aantoonbaar stemgedrag beïnvloed. Dat sommigen trachten dit te doen is niet hetzelfde als het ook succesvol doen.

Je hebt nooit van het "Cambridge analytica" schandaal gehoord neem ik aan?

Ik heb het schandaal zeer nauwkeurig bestudeerd en de poging was er maar er valt niet de conclusie te trekken dat het ook effect heeft gehad.

Er waren simpelweg geen meetpunten omdat niet te verifiëren was wie voor wat gestemd heeft omdat dat niet wordt geregistreerd.

Tsja, kiesgeheim is wel lastig als je keihard wetenschappelijk bewijs eist.
Het is alleen ook geen bewijs dat het hele concept van verkiezingsbeinvloeding via microtargeting van social media profielen niet bestaat of effectief is.

We kunnen dat zonder bewijs gewoon aannemen maar daar kies ik niet voor. Ik wil verifieerbare data.

Je kan het wel beargumenteren want we weten ook data micro targeting reclame werkt (wat ook gewoon beïnvloeden is) maar stemmen vind ik toch iets anders dan coca cola drinken vandaar dat ik mijn oordeel nog reserveer.

Het schijnt dat velen al zonder harde cijfers een conclusie hebben. In de politieke arena is dit ook niet noodzakelijk dus tja.

Er is ook nog iets als een grijs gebied: je kan best zorgen hebben en voorzichtig zijn met dingen waarvan vermoedens bestaan dat ze kwalijk zijn zonder dat alles geverifieerd is.

We kunnen dat zonder bewijs gewoon aannemen maar daar kies ik niet voor. Ik wil verifieerbare data.

in combinatie met

Tsja, kiesgeheim is wel lastig als je keihard wetenschappelijk bewijs eist.

is júist het argument om beleid te bepalen op basis van iets anders dan direct wetenschappelijk bewijs. Want het zal er nooit zijn zoals je zelf al aangeeft. Terwijl het wel een potentieel zeer wezenlijk probleem kan zijn. Dan kun je wat mij betreft beter het voorzorgsprincipe toepassen. Anders kunnen allerlei machtige partijen proberen een bak invloed uit te oefenen op de politiek en kunnen we er nooit wat aan doen. Want er is geen bewijs.

Ik ben zelf ook vrij wetenschappelijk ingesteld (1 onderzoek maakt nog geen hypothese, het bestaan van placebo, observer/research bias enzovoort). Maar als wetenschap geen optie blijkt te zijn dan moet je iets anders.

Vrij logisch. Je kan natuurlijk niet een nulmeting uitvoeren voor een keiharde conclusie.

Wat wel duidelijk is, is dat gericht targeten van (des)informatie op bepaalde groeperingen, uitstekend werkt voor het bepalen van de opinie.

Dat desinformatie invloed kan hebben op mensen betwist ik niet.

Wat ik betwist is of het stemgedrag kan beïnvloeden omdat het bewijs dat ik gezien heb onvoldoende is.

> Wat ik betwist is of het stemgedrag kan beïnvloeden omdat het bewijs dat ik gezien heb onvoldoende is.

The Big Lie:USA, vaccinaties/reptillians:FvD, Take back control:Brexit, etc. Mensen pikken deze bedenkelijke onzin vooral op via social media.

Gezien dat juist de sites zijn waar je ongemerkt gevolgd wordt waar vervolgens profielen van je gemaakt worden en stem/politieke advertenties op los gelaten worden, best veel...

Je redeneert dit niet vanuit een security perspectief, maar vanuit een maatschappelijk perspectief. Een banketbakker, nagelstudio en kapper leveren hun diensten nog wel aan de maatschappij als hun digitale kanalen niet beschikbaar zijn. Ook is de data die deze bedrijven bezitten vanuit privacy oogpunt maar matig interessant.

Downtime van social media is vervelend en in sommige gevallen zelfs maatschappij-ontwrichtend als dit lang genoeg aanhoudt. Datalekken of -diefstal zijn bizar schadelijk voor de gemiddelde Europeaan.

Wat doet dit ook? Al deze regelgeving maakt het onmogelijk kleine startups met een beter business model ooit te concurreren met de gevestigde partijen omdat die niet miljoenen hebben om aan compliance uit te geven.

Ik heb het idee dat de EU soms concurrentie wil bevorderen door allerlei regelgeving maar het tegelijkertijd ook onmogelijk maakt voor een partij die niet mega kapitaalkrachtig is ook in het veld te roeren.

Een gemiddelde compliance officer bij het bedrijf waar ik werkte (vrij groot) kost 160k en je hebt erg veel nodig. Hoe meer complexe en dure regelgeving hoe beter het is voor meta, tiktok etc.

Als je de wettekst had gelezen, had je gezien dat de NIS2 alleen/meestal van toepassing is op wat de EU omschrijft als middelgrote organisaties. Een startup is dus al flink aan het groeien met benodigd kapitaal, voordat de NIS2 uberhaupt van toepassing wordt. Is het in deze een drempel? Ja, maar niet zo groot als jij schetst.

Dus:

• >50 medewerkers
• >10 miljoen EUR jaaromzet/balans

Menig sociaal media startup is daar al snel boven maar nog steeds een dwerg vergelijking met meta.

Een beginnende machinebouwer moet ook gewoon aan de EN-619 voldoen. Wat maakt het in dit geval anders?

Probleem is dat EN-619 vrij eenvoudig is vergelijking met het voldoen aan european anti-trust en nu security regulations. Kijk maar wat een compliance officer kost in vergelijking met iemand die kennis heeft van EC bijvoorbeeld. Soms kosten de laatste wel 300% meer.

Voor banken/verzekeraars hebben we ook een groot complex web aan regelgeving in de vorm van Basel 3 en Solvency 2 maar het verschil is dat we daar nieuwe kleine spelers willen weren en meer consolidatie nastreven. Bij Tech willen we juist meer spelers en concurrentie en daarom maken we veel regeltjes maar die regels houden de zittende klasse juist steviger in het zadel.

Het gaat hier niet om het beschikbaar houden van de sociale media.
Meer om het onbeschikbaar houden van de massale gebruikersgegevens voor onbevoegden.
En om het onbeschikbaar te houden als massaal propagandakanaal voor onbevoegden. Het probleem dat iedereen op zijn eigen kanaal/ pagina onzin de wereld in kan spuien is al groot genoeg, maar beheersbaar omdat iedereen meerdere kanalen kan raadplegen, maar wanneer onbevoegden meerdere als betrouwbaar aangemerkte kanalen voor hun eigen doeleinden kunnen kapen heb je een groot probleem.

Dan ben je je peilen op de verkeerde doelwitten aan het schieten. Dan had de EU eerder een vordering in het leven kunnen roepen dat onderwijs in EU landen aantoonbaar kritisch denken over informatie moet bevorderen (alle informatie van alle bronnen).

Het gaat er juist om dat voorkomen moet worden dat de kanalen die jij als kritisch denker zorgvuldig hebt uitgezocht om een afgewogen mix informatie te krijgen, niet door een derde gekaapt kunnen worden om je van meerdere kanten met dezelfde misinformatie te bombarderen.

Stel je volgt voor de verkiezingen de Facebook-pagina's van alle deelnemende politieke partijen en van de grootste politieke duiders en commentatoren, van links tot rechts, van mainstream tot niche. Daardoor heb je een bepaald beeld gevormd waaruit voor jou een partij X een voorkeer heeft gekregen. Dan gebeurt er iets onverwachts, en als fervent Facebook-beest volg jij al je kanalen om te kijken wie dat volgens jou het best oppakt. Maar zonder het te wetenzijn een aantal van de door jou als betrouwbaar beoordeelde pagina's overgenomen door iemand die een bepaalde agenda heeft. Daardoor geven die kanalen in de eigen stijl van die kanalen en iets verwrongen beeld van een aantal partijen en als gevolg daarvan stel jij jouw voorkeur bij. Dat zal waarschijnlijk niet van de uiterste linkerkant naar de uiterste rechterkant (of andersom) zijn, maar dat kan wel van party X naar partij Y in hetzelfde politieke spectrum zijn, waar die ander, die de misinformatie verspreidt, invloed heeft.
Die beïnvloeding wordt misschien na een paar dagen al duidelijk, maar wanneer dat pas na de verkiezingen is, dat is het leed al geschied.

Een Europese verordening heeft een rechtstreekse werking, en is dus in alle lidstaten direct geldig, in tegenstelling tot hoe het in het artikel wordt beschreven. De gegeven beschrijving past wel bij een Europese richtlijn.

Staat toch correct in het artikel? De verordening is nu gepubliceerd en wordt daardoor binnen 3 weken actief in heel de unie.

" Europese lidstaten moeten op basis van een verordening verplicht een eigen, wettelijke implementatie opzetten die voor hun land geldt. "

Dit is de beschrijving van een richtlijn.
een verordening zou bij het van kracht gaan direct al gelden voor de Europese burgers

Een verordering heeft ook altijd een periode tussen de publicatie en het actief worden. Iedere lidstaat is bij een verordening verplicht die op dezelfde manier te implementeren en uit te voeren, in tegenstelling tot een richtlijn die het einddoel vaststelt. Meestal is de periode om de verordening te implementeren twee jaar. Een goed voorbeeld is de Algemene Verordening Gegevensbescherming. De AVG is in mei 2016 in werking getreden, gepubliceerd dus. Organisaties en de overheid kregen tot 25 mei 2018 de tijd om hun bedrijfsvoering met de AVG in overeenstemming brengen. De UAVG, onze nationale wetgeving die de AVG in Nederland in de wet vast legt, is van 16 mei 2018. Het verschil met een richtlijn is de vrijheid die er is qua implementatie. Maar hij gaat dus niet direct in als hij gepubliceerd wordt, het “in werking treden” betekent nog niet dat hij ook direct in de nationale wetgeving vastgelegd is. Het betekent dat de overgangsperiode begint.

Een verordering heeft ook altijd een periode tussen de publicatie en het actief worden. Iedere lidstaat is bij een verordening verplicht die op dezelfde manier te implementeren en uit te voeren, in tegenstelling tot een richtlijn die het einddoel vaststelt.

Incorrect. Een verordening is direct wet.

Een verordening kan wel op bepaalde vlakken ruimte open laten voor lidstaten om deze op lidstatelijk niveau in of aan te vullen. In zo'n geval is er sprake van een aanvullende implementatie- of uitvoeringswet die enkel over deze door de verordening open gelegde punten gaat.

Dit in tegenstelling tot een richtlijn. Een richtlijn moet in volledigheid getransponeerd worden in nationale wetgeving, waarbij er sprake is van verschillende niveau's van harmonisatie die door een richtlijn afgedwongen kunnen worden. Dwz. de richtlijn kan stellen in hoeverre; op welke vlakken; en op welke wijze de omzetting af mag wijken van wat er verbatim in de richtlijn geduid wordt.

UAVG, onze nationale wetgeving die de AVG in Nederland in de wet vast legt, is van 16 mei 2018.

De UAVG is de "Uitvoeringswet Algemene Verordening Gegevensbescherming" en is in Nederland de uitvoeringswet die invulling geeft aan de open ruimte die de AVG/GDPR nog laat. Het is niet - op geen enkele manier - een nationale implementatie van de artikelen van de AVG/GDPR zelf.

[Reactie gewijzigd door R4gnax op 27 december 2022 19:43]

In de bron link wordt ook gesproken over een richtlijn "RICHTLIJN (EU) 2022/2555 VAN HET EUROPEES PARLEMENT EN DE RAAD".
Ook moeten de lidstaten zelf nog implementatiehandelingen verrichten omdat er sprake is van een richtlijn "
1. Uiterlijk op 17 oktober 2024 gaan de lidstaten over tot de vaststelling en bekendmaking van de noodzakelijke bepalingen om aan deze richtlijn te voldoen. Zij stellen de Commissie daarvan onmiddellijk in kennis.
Zij passen die bepalingen toe met ingang van 18 oktober 2024."

Dat werd een keertje tijd.....

In PDF-formaat: https://eur-lex.europa.eu...=CELEX:32022L2555&from=NL

Waarom staart iedereen zich dood op de passage social media? Wat ik veel belangrijker vind is dat er nu eindelijk richtlijnen zijn om energieproductie, energiedistributiebedrijven, drinkwater, afvalwaterbedrijven en dit soort bedrijven te dwingen iets aan beveiliging te gaan doen.

Vanuit het voorkomen van chaos standpunt mis ik de afvalverwerkers en infrastructuur. Als een hacker in staat zou zijn om de hele afvalverwerking van bijvoorbeeld Noord-Holland plat te leggen is het binnen 4 weken niet meer uit te houden (vooral als het een beetje warm is.

Infrastructuur idem, de chaos als je alle bruggen midden in de spits kunt openen, treinen tot stilstand kunt brengen of alle stoplichten op groen kunt zetten. Als ik er aan denk krijg ik al nachtmerries.

De big 4’s met hun excel sheets zullen nu nog een extra flesje opentrekken!

Velen van ons op dit forum zullen er ook niet slechter van worden. Het is praktisch gegarandeerde werkgelegenheid voor ICTers.

Goed voor onze branche.