Eindelijk duidelijkheid NIS2 maatregelen

In artikel 21 lid. 3 van de Cyberbeveiligingswet, de Nederlandse invoeringwet voor de NIS2,  worden een tiental passende maatregelen op hoofdlijnen genoemd die de basis vormen van compliance. Denk aan verantwoordelijkheden voor bestuurders (art. 24) en zaken als risicoanalyses, incidentafhandeling en melding, bedrijfscontinuïteit, meer aandacht voor informatiebeveiliging binnen het ketenbeheer, netwerkbeveiliging en meldplicht van incidenten, naleving van beleid en normen én ICT maatregelen voor een betere cyberhygiëne.
Deze tien hoofdmaatregelen zijn tot nu onderwerp van discussie geweest. Welke detail maatregelen uit de Annex A van de ISO27001:2022  komen overeen met de verplichtingen van de NIS2? Dit heeft geleid tot behoorlijk verschillende visies. Niet vreemd dat dit is gebeurd, want deze hoofdmaatregelen waren het enige houvast voor alle organisaties die een traject wilden of moesten starten om aan de verplichtingen van de NIS2 te voldoen.

Met het uitkomen van de consultatieversies van de AmvB Cyberbeveiligingsbesluit en de bijhorende nota van toelichting én de concept Ministeriële regeling uitwerking zorgplicht is er licht aan het einde van de NIS2 tunnel. In deze drie documenten is duidelijk aangegeven welke detail maatregelen uit de Annex A overeenkomen met  de eisen van de NIS2!

In het verleden leidde de onduidelijkheid tot uiteenlopende schattingen in scope en dus ook te reserveren budget om aan de verplichtingen te kunnen voldoen. Deze documenten geven (eindelijk) een duidelijk antwoord op alle vragen tot nu toe. De kennisexperts van Samoerai hebben op basis van deze documenten een definitie kunnen maken van de detail maatregelen uit de Annex A die overeenkomen met de verplichtingen van NIS2. Het gaat in de basis om 31 maatregelen. Dit is goed nieuws! 

Dit geeft ook direct duidelijkheid voor organisaties die de NIS2 in combinatie met andere (verplichte) normen willen implementeren zoals de ISO27001, NEN7510, BIO2, SURF kader etc. De verplichte detail maatregelen voor de NIS2 komen overeen met een deelverzameling van deze frameworks, naast een aantal NIS2 specifieke onderdelen. En traject om te voldoen aan bv de NEN7510 kan daarbij gecombineerd worden met een traject om te voldoen aan de NIS2. Er hoeft dan niet voor iedere norm een apart traject opgestart te worden, deze overlappen elkaar en vullen elkaar aan. Dus twéé vliegen in één klap!