ICT en Kengetallen 2023 | NIS2: kom in cyberactie

Met het invoeren van de NIS2-richtlijn moeten ook kleine mkb-bedrijven in 2023 voldoen aan nieuwe cybersecurityrichtlijnen. IT & Cybersecurity-consultant Stephan Hondong legt uit welke acties je als accountant moet ondernemen.

Met het invoeren van de nieuwe Europese richtlijn voor cybersecurity moet een groot aantal bedrijven, inclusief kleine mkb-bedrijven, in 2023 voldoen aan nieuwe cybersecurityrichtlijnen. Bovendien wordt de bestuursverantwoordelijkheid voor cybersecurity aangescherpt, waarbij niet alleen IT-managers en IT-partners verantwoordelijk zijn, maar ook de bestuurders zelf een cruciale rol spelen bij het toezicht op cyberveiligheid. Het niet-naleven van de wet- en regelgeving kan boetes opleveren die oplopen tot maximaal € 10 miljoen of 2% van de totale wereldwijde omzet.

NIS2-richtlijn

De NIS2-richtlijn is vanaf 16 januari 2023 van kracht en zal gaan gelden voor een groot deel van de Nederlandse organisaties. Daarnaast worden de eisen rondom cybersecurity een stuk strenger en wordt er vanaf 1 januari 2025 strenger gehandhaafd door het uitvoeren van inspecties door de Rijksinspectie Digitale Infrastructuur (RDI) en het Nationaal Cyber Security Centrum (NCSC). Als er wordt voldaan aan de NIS2-richtlijn, biedt de overheid hulp aan organisaties die te maken hebben met een cyberaanval. Hierbij is het belangrijk dat een organisatie vooraf de juiste voorbereidingen heeft getroffen en op 18 oktober 2024, het moment dat de richtlijn wordt omgezet naar nationale wetgeving, aantoonbaar voldoet aan de NIS2-richtlijn.

Voor welke organisaties

De NIS2-richtlijn richt zich op sectoren die al onder de eerste NIS-richtlijn vallen en op een aantal nieuwe sectoren. Het aantal organisaties dat onder de richtlijn valt, wordt dus groter en behoort tot de categorieën die in Tabel 1 staan beschreven.

Tabel 1 Essentiële en vitale entiteiten

Een belangrijk verschil met de eerste NIS-richtlijn is dat organisaties automatisch onder de NIS2-richtlijn vallen als zij actief zijn in een van de in een van de in tabel 1 genoemde sectoren en volgens de onderstaande criteria kunnen worden gekenmerkt als ’essentiële’ of ’belangrijke’ entiteit.

Van essentiële entiteiten wordt over het algemeen aangenomen dat het uitvallen van hun diensten een veel meer ontwrichtende impact heeft op de economie en samenleving dan het uitvallen bij belangrijke entiteiten. Essentiële entiteiten vallen onder een intensiever regime van toezicht, omdat zowel voor- als achteraf toezicht wordt gehouden op het naleven van de verplichtingen. Voor belangrijke entiteiten geldt een lichtere vorm van toezicht, die alleen achteraf plaatsvindt, bijvoorbeeld als er aanwijzingen zijn dat de wet niet is nageleefd of als er een incident heeft plaatsgevonden.

Accountants en de NIS2-richtlijn

Voor accountants is het cruciaal kennis rondom cybersecurity op peil te houden, zodat zij klanten kunnen begeleiden bij hun voorbereidingen op de NIS2-richtlijn. Daarnaast biedt het bijhouden van kennis en ontwikkeling op dit gebied kansen voor accountants om hun dienstverlening uit te breiden. De account is er echter niet verantwoordelijk voor dat de NIS2-richtlijn wordt nageleefd. Wel kan hij dienen als adviseur voor de organisatie en kan hij het juist implementeren en naleven van de NIS2-richtlijn waarborgen. Bijvoorbeeld door, in samenwerking met de organisatie, een eerste set aan maatregelen te treffen op basis van artikel 21 lid 2, dat eisen stelt ter voorbereiding op de meldplicht bij beveiligingsincidenten aan toezichthoudende autoriteiten. Een accountant kan dan onder andere adviseren bij:

•      Het uitvoeren van een risicobeoordeling om de kwetsbaarheden van de informatiebeveiliging van een organisatie te identificeren en aan te pakken.
•      Het implementeren van technische en organisatorische maatregelen.
•      Het opstellen van incident-responseprocedures.
•      Het beveiligen van gegevens, tussen leveranciers en dienstverleners.
•      Het waarborgen van de beschikbaarheid en integriteit van belangrijke systemen. Adequate beveiliging van de kritieke netwerkinfrastructuren is een vereiste.
•      Het aanstellen van een verantwoordelijke binnen de organisatie.
•      Governance.
•      Het testen van de aanwezige maatregelen en procedures om te controleren of deze voldoende bescherming bieden en waar nodig verbeteringen aanbrengen.
•      Een procedure om cyberincidenten te rapporteren aan bevoegde autoriteiten.

Een betrokken accountant heeft goed zicht op de bedrijfsprocessen binnen een organisatie en kan daardoor direct advies verschaffen over het implementeren van cybersecuritymaatregelen om zo te voldoen aan de NIS2-richtlijn. Daarbij vormt cybersecurity een belangrijk aspect van de jaarrekeningcontrole die accountants uitvoeren. Vanwege de stijgende trend in cyberaanvallen is het van cruciaal belang dat gevoelige informatie adequaat wordt beschermd tegen cyberdreigingen. Bij het opsporen van kwetsbaarheden en het treffen van passende maatregelen conform de NIS2-richtlijn, zijn de volgende aandachtspunten van belang:

•      Zijn alle systemen up-to-date?
•      Zijn de juiste toegangsrechten ingeregeld?
•      Maakt de organisatie gebruik van sterke wachtwoorden?
•      Worden financiële gegevens beschermd?
•      Worden er back-ups gemaakt en getest?
•      Zijn medewerkers erop getraind cyberrisico’s te herkennen?
•      Zijn er andere maatregelen aanwezig in het kader van cybersecurity?

Betrouwbare partner

In een wereld waarin cyberaanvallen steeds geavanceerder en grootschaliger worden, heeft de Europese Unie de NIS2-richtlijn geïntroduceerd om de cyberbeveiliging van essentiële en belangrijke sectoren te verbeteren. Als klanten van de accountant hieronder vallen, zijn zij verplicht de juiste maatregelen te nemen om zich te beschermen tegen cyberdreigingen. Dit is tevens verplicht om aantoonbaar te kunnen voldoen aan de meldplicht. De nieuwe richtlijn biedt kansen voor de accountant om de dienstverlening uit te breiden met advies en ondersteuning bij het naleven van de NIS2-richtlijn. Het is daarom van groot belang dat accountants zich bewust zijn van de risico’s van cyberaanvallen en hun kennis en inzicht in cybersecurity up-to-date houden. Zo blijft de accountant een betrouwbare partner voor klanten.

Stephan Hondong is IT & Cybersecurity consultant bij Van Oers accountancy & advies.

Deze bijdrage komt uit de tweede editie van het AV-magazine met het thema ICT en Kengetallen. Dit magazine is verschenen in juni 2023. Zie: https://www.accountancyvanmorgen.nl/kennisdoc/av2-2023-ict-en-kengetallen/