Een cyberincident begint zelden met een spectaculair technisch lek. Vaker is een phishingmail voldoende, ontbreekt een kritieke update of blijkt een account nog toegang te hebben terwijl een medewerker al uit dienst is. De toekomstige eisen voor NIS2-compliance vragen organisaties daarom niet alleen om betere techniek, maar vooral om aantoonbare regie op digitale veiligheid.
Voor ondernemers en praktijkhouders is dat een wezenlijk verschil. U hoeft niet ieder technisch detail zelf te kennen. U moet wel kunnen laten zien dat risico's serieus worden bestuurd, dat verantwoordelijkheden helder zijn en dat u snel en doordacht kunt handelen als er iets gebeurt.
Waarom NIS2 verder gaat dan een technische check
NIS2 is de Europese richtlijn voor netwerk- en informatiesystemen. Het doel is simpel: organisaties die maatschappelijk of economisch belangrijk zijn, moeten beter bestand zijn tegen cyberdreigingen. De Nederlandse uitwerking legt vast welke organisaties precies onder de wet vallen en hoe toezicht, registratie en meldingen worden ingericht.
De richtlijn kijkt nadrukkelijk naar de hele organisatie. Beveiliging is dus niet alleen een taak van de IT-leverancier of systeembeheerder. Bestuurders en directie krijgen een actieve verantwoordelijkheid. Zij moeten cyberrisico's begrijpen, passende maatregelen laten nemen en toezicht houden op de uitvoering. Bij onvoldoende voorbereiding kunnen gevolgen ontstaan voor de bedrijfsvoering, aansprakelijkheid en reputatie.
Dat klinkt zwaar, maar het is ook praktisch. Een organisatie die haar IT-omgeving kent, processen heeft vastgelegd en incidenten oefent, herstelt doorgaans sneller. Juist dat maakt continuïteit minder afhankelijk van één persoon, één wachtwoord of één leverancier.
Voor wie zijn de toekomstige eisen voor NIS2-compliance relevant?
NIS2 richt zich in hoofdzaak op middelgrote en grote organisaties in aangewezen sectoren, waaronder energie, zorg, digitale dienstverlening, transport, productie en bepaalde publieke diensten. Of uw organisatie onder de wettelijke verplichting valt, hangt af van de sector, omvang, rol in de keten en de nationale regels. Ga daarom niet alleen af op uw aantal medewerkers.
Ook wanneer NIS2 niet rechtstreeks op uw organisatie van toepassing is, kan de richtlijn wel degelijk gevolgen hebben. Grotere klanten en leveranciers die wél onder NIS2 vallen, zullen hogere eisen stellen aan hun ICT-partners. Denk aan afspraken over toegang, back-ups, incidentmelding, onderaannemers en herstel na een storing. Cyberveiligheid wordt daarmee steeds vaker een voorwaarde om zaken te doen.
Wat betekent dit voor mondzorgpraktijken?
Een zelfstandige tandarts- of orthodontiepraktijk valt niet automatisch onder NIS2. Toch is afwachten geen verstandige strategie. Praktijken werken met gevoelige patiëntgegevens, digitale röntgenbeelden, agenda's, declaratiesystemen en apparatuur die dagelijks beschikbaar moet zijn. Een ransomware-aanval of langdurige internetstoring raakt dan direct de zorgverlening.
Bovendien verwachten patiënten, ketenpartners en toezichthouders dat persoonsgegevens zorgvuldig worden beschermd. De AVG blijft hiervoor leidend, terwijl NIS2 de aandacht voor aantoonbare cyberweerbaarheid vergroot. De maatregelen overlappen vaak: toegangsbeheer, beveiligde back-ups, bewustwording bij medewerkers en een plan voor incidenten zijn in beide gevallen verstandig.
Dit zijn de belangrijkste NIS2-eisen
De precieze invulling kan per organisatie verschillen, maar de kern is duidelijk: u moet risico's beheersen voordat er schade ontstaat en gecontroleerd kunnen reageren wanneer dat toch gebeurt.
Risicobeheer dat aansluit op uw dagelijkse werk
Een algemeen beveiligingsbeleid in een map is niet genoeg. U moet weten welke systemen bedrijfskritisch zijn, welke gegevens daarin staan, wie toegang heeft en wat de gevolgen zijn als ze uitvallen. Voor een praktijk zijn dat bijvoorbeeld het patiëntendossier, de telefonie, de internetverbinding, werkplekken en de koppelingen met externe systemen.
Daarna bepaalt u passende maatregelen. Denk aan multifactorauthenticatie, waarbij naast een wachtwoord een extra controle nodig is, tijdige updates, versleuteling van apparaten en gescheiden gebruikersaccounts. Welke maatregel voorrang krijgt, hangt af van uw risico. Een organisatie met veel externe toegang heeft andere aandachtspunten dan een locatie met verouderde netwerkapparatuur.
Aantoonbare betrokkenheid van directie en bestuur
NIS2 maakt cyberveiligheid een managementonderwerp. De directie hoeft geen technische configuraties te beoordelen, maar moet wel besluiten over risico's, budget, prioriteiten en verantwoordelijkheden. Regelmatige rapportages helpen daarbij: welke risico's zijn openstaand, werken de back-ups, zijn updates uitgevoerd en welke incidenten of afwijkingen waren er?
Leg ook vast wie mag beslissen bij een ernstig incident. Als de praktijksoftware niet beschikbaar is, wilt u niet op dat moment nog bespreken wie leveranciers belt, patiënten informeert of bepaalt of systemen tijdelijk van het netwerk gaan. Heldere rollen voorkomen kostbare vertraging.
Incidenten snel herkennen, beperken en melden
NIS2 kent strakke termijnen voor ernstige incidenten. In grote lijnen wordt een vroege waarschuwing binnen 24 uur verwacht, gevolgd door een uitgebreidere melding binnen 72 uur en later een eindrapportage. De Nederlandse procedure kan de details verder invullen. Niet elk incident is meldingsplichtig, maar u moet wel kunnen beoordelen wanneer een storing of aanval ernstig genoeg is.
Dat vraagt om meer dan een telefoonnummer voor noodgevallen. Zorg dat meldingen van medewerkers worden opgepakt, logbestanden beschikbaar zijn en contactgegevens van kritieke leveranciers actueel blijven. Oefen ten minste een realistisch scenario, zoals een versleutelde server, een uitgevallen internetverbinding of een gestolen laptop. Dan wordt zichtbaar waar uw plan nog gaten heeft.
Beveiliging van leveranciers en de keten
Uw veiligheid hangt mede af van partijen die software, cloudopslag, telefonie, apparatuur of beheer leveren. NIS2 legt daarom nadruk op ketenbeveiliging. U hoeft niet iedere leverancier op dezelfde manier te beoordelen. De leverancier van uw kernapplicatie of back-upomgeving verdient vanzelfsprekend meer aandacht dan een partij met beperkte toegang.
Maak concrete afspraken over beveiliging, ondersteuning, incidentmelding en gegevensverwerking. Vraag ook hoe een leverancier omgaat met updates, toegangsrechten en continuïteit. Belangrijk is dat u weet welke partijen toegang hebben tot uw omgeving en dat die toegang wordt ingetrokken zodra deze niet meer nodig is.
Van losse maatregelen naar blijvende controle
Veel organisaties hebben al delen van de basis op orde: antivirussoftware, een firewall, back-ups en misschien een jaarlijks overleg met de IT-partner. De uitdaging zit meestal in samenhang en bewijs. Werken de back-ups daadwerkelijk? Is herstel getest? Staat er een actuele lijst van apparaten en accounts? En is duidelijk welke risico's de directie heeft geaccepteerd?
Begin daarom met een nulmeting. Breng systemen, gegevens, leveranciers, toegangsrechten en bestaande beveiligingsmaatregelen in kaart. Koppel daar een beknopt verbeterplan aan met eigenaar, prioriteit en deadline. Kies eerst maatregelen die zowel de kans op schade als de hersteltijd aanzienlijk verlagen.
Vier acties verdienen vrijwel altijd snel aandacht:
- activeer multifactorauthenticatie voor e-mail, beheeraccounts en externe toegang;
- test of u gegevens en systemen daadwerkelijk uit een back-up kunt herstellen;
- verwijder oude accounts en beperk beheerdersrechten tot medewerkers die ze nodig hebben;
- leg een incidentprocedure vast en oefen deze met directie, medewerkers en ICT-partners.
Kies voor regie, niet voor papierwerk
NIS2-compliance is geen project dat u afvinkt en vervolgens vergeet. Het is een manier van werken waarin techniek, mensen en afspraken elkaar versterken. Voor organisaties zonder eigen IT-afdeling is het verstandig om die regie niet versnipperd te organiseren. Eén partner die netwerk, werkplekken, cloud, telefonie en beveiliging overziet, kan afwijkingen eerder signaleren en sneller schakelen.
TéGéTèl helpt organisaties en mondzorgpraktijken om die vertaalslag praktisch te maken: van inzicht in risico's naar beheersbare maatregelen, duidelijke rapportage en ondersteuning wanneer de continuïteit onder druk staat. De beste eerste stap is vaak eenvoudig: plan een gesprek over uw huidige omgeving, benoem waar u afhankelijk van bent en laat toetsen welke verbeteringen nu het meeste verschil maken.