Bescherming van Kritieke Infrastructuur onder NIS2: Volledige Gids

Kort samengevat: NIS2 is de meest ingrijpende herziening in tien jaar van het regelgevingskader voor essentiële diensten. Deze gids beschrijft wat operators van kritieke infrastructuur moeten weten en doen om aan de nieuwe eisen te voldoen.

NIS2 verhoogt de lat voor de beveiliging van kritieke infrastructuur

Operators van kritieke infrastructuur zijn altijd al waardevolle doelwitten geweest voor statelijke actoren en cybercriminelen. Nu NIS2 volledig wordt gehandhaafd binnen de EU, heeft het regelgevingskader voor de bescherming van essentiële diensten zijn meest ingrijpende herziening in tien jaar ondergaan. Deze gids beschrijft wat operators van kritieke infrastructuur moeten weten en doen om aan de nieuwe eisen te voldoen.

Wat NIS2 definieert als kritieke infrastructuur

NIS2 verdeelt gedekte entiteiten in twee categorieën met verschillende verplichtingen:

Essentiële entiteiten (strengere eisen)

• Energie: Elektriciteit, olie, gas, waterstof, stadsverwarming
• Transport: Lucht-, spoor-, water- en wegtransportoperators
• Bankwezen & financiële marktinfrastructuur
• Gezondheidszorg: Ziekenhuizen, referentielaboratoria, fabrikanten van medische hulpmiddelen
• Drinkwatervoorziening & afvalwater
• Digitale infrastructuur: IXP's, DNS-aanbieders, TLD-registers, cloud computing, datacenters, CDN's
• ICT-dienstenbeheer (B2B)
• Openbaar bestuur
• Ruimtevaart

Belangrijke entiteiten (basiseisen)

• Post- en koeriersdiensten
• Afvalbeheer
• Productie van kritieke producten (chemicaliën, medische hulpmiddelen, elektronica)
• Voedselproductie en -distributie
• Digitale aanbieders (marktplaatsen, zoekmachines, sociale netwerken)

Vereiste technische beveiligingsmaatregelen

Artikel 21 van NIS2 specificeert minimale beveiligingsmaatregelen. Voor kritieke infrastructuur betekent dit concreet:

1. Risicoanalyse en beveiligingsbeleid

• Uitgebreide risicobeoordelingen die IT-, OT- en IoT-systemen omvatten
• Door de directie goedgekeurd informatiebeveiligingsbeleid
• Regelmatige herzieningscycli (minimaal jaarlijks, of na significante wijzigingen)
• Inventarisatie van assets die alle verbonden systemen dekt, inclusief operationele technologie

2. Incidentafhandeling

• Vroegtijdige waarschuwing binnen 24 uur aan het nationale CSIRT na detectie van een significant incident
• Incidentmelding binnen 72 uur met een eerste inschatting van ernst en impact
• Eindrapport binnen 1 maand met gedetailleerde beschrijving, hoofdoorzaak en mitigerende maatregelen
• 24/7-incidentresponscapaciteit voor essentiële entiteiten

3. Bedrijfscontinuïteit en crisisbeheer

• Back-up- en disaster-recoveryprocedures die minstens per kwartaal worden getest
• Crisisbeheerplannen specifiek voor cyberincidenten
• Redundantie voor kritieke systemen en diensten
• Afstemming met nationale crisisbeheerkaders

4. Beveiliging van de toeleveringsketen

• Beveiligingsbeoordeling van directe leveranciers en dienstverleners
• Contractuele beveiligingseisen voor derde partijen
• Monitoring van kwetsbaarheden in de toeleveringsketen
• Software Bill of Materials (SBOM) voor kritieke softwarecomponenten

Sectorspecifieke implementatie

Energiesector

Energieoperators staan voor unieke uitdagingen, waaronder:

• Verouderde SCADA-systemen met een levensduur van 20+ jaar en beperkte patchmogelijkheden
• Real-time beschikbaarheidseisen die onderhoudsvensters onmogelijk maken
• Netkoppeling die grensoverschrijdende aanvalsoppervlakken creëert
• Slimme-meterinfrastructuur die miljoenen nieuwe endpoints blootstelt

Gezondheidszorg

• Beveiliging van medische hulpmiddelen met implicaties voor patiëntveiligheid
• Interoperabiliteitseisen die conflicteren met netwerksegmentatie
• Bescherming van onderzoeksgegevens naast klinische systemen
• Ransomware-weerbaarheid met leven-of-doodgevolgen

Transport

• Veiligheidskritieke systemen die gecertificeerde beveiligingsoplossingen vereisen
• Beveiliging van connected-vehicle-infrastructuur (V2X)
• Bescherming van luchtverkeersbeheersystemen
• Maritiem cyberrisicobeheer (IMO-eisen die overlappen met NIS2)

Compliance-strategie voor kritieke infrastructuur

1. Scopebepaling: breng alle systemen, diensten en afhankelijkheden in kaart die onder NIS2 vallen
2. Gap-assessment: vergelijk de huidige beveiligingspositie met de eisen van artikel 21
3. OT-beveiligingsaudit: beoordeel specifiek operationele-technologieomgevingen
4. Kwetsbaarhedenbeheerprogramma: implementeer continue scanning over IT en OT
5. Opbouw van incidentrespons: zet 24/7-capaciteit op met vastgestelde meldingsprocedures
6. Beoordeling toeleveringsketen: evalueer kritieke leveranciers en leg dit contractueel vast
7. Testen en validatie: regelmatige penetratietests en crisisoefeningen
8. Documentatie: houd auditklaar bewijs bij van alle maatregelen