Op 3 december 2021 zijn de EU-ministers akkoord gegaan met een herziening van de Europese richtlijn Netwerk- en Informatiebeveiliging (NIB2).
De onderhandelingen over de exacte inhoud van NIB2 zijn nog niet afgerond. Toch is het aannemelijk dat de werkingssfeer van NIB2 fors breder gaat zijn dan de huidige richtlijn. Ook uw bedrijf kan straks vallen onder NIB2 en dat heeft consequenties voor uw cybersecurity(beleid).
De NIB-richtlijn (EU Richtlijn 2016/1148) heeft tot doel meer eenheid en samenhang te brengen op het terrein van netwerk- en informatiebeveiliging teneinde de digitale weerbaarheid binnen Europa te vergroten en de gevolgen van cyberincidenten voor de maatschappij en economie te verkleinen. Een zéér actueel onderwerp.
De NIB-richtlijn brengt met zich dat aanbieders van essentiële diensten of digitale diensten worden verplicht om passende maatregelen te nemen om hun netwerk- en informatiesystemen te beveiligen. Ook moeten ernstige cyberincidenten verplicht worden gemeld.
Onder de huidige NIB-richtlijn is door de Rijksoverheid een beperkt aantal sectoren als essentieel aangemerkt, zoals banken, drinkwater- en energievoorziening. Onder digitale dienstverleners vallen bijvoorbeeld onlinemarktplaatsen en zoekmachines. Er geldt overigens een uitzondering voor kleine bedrijven (minder dan 50 medewerker en minder dan 10 miljoen euro balanstotaal of jaaromzet).
Op basis van het huidige voorstel tot herziening van de NIB-richtlijn zullen 16 sectoren worden gebracht onder de werkingssfeer. Hierbij geldt dat de Rijksoverheid niet meer kan aanwijzen welke essentiële diensten vallen onder NIB2. De sectorale aanwijzing vindt plaats in de bijlagen van NIB2 en maakt onderscheid tussen essentiële en belangrijke entiteiten.
Sectoren die (mogelijk) straks vallen onder NIB2 zijn levensmiddelenproducten en -distributeurs, post- en koersdiensten, maakindustrie en meer. De uitzondering voor kleine bedrijven blijft wel van kracht.
Het CBS heeft een lijst met (sub)sectoren onder NIB2 gepubliceerd die raadpleegbaar is.
