Uitvoeringsverordening (EU) 2024/2690 (CIR): wie zij bindt en wat zij eist
Uitvoeringsverordening (EU) 2024/2690 van de Commissie, kortweg de CIR, legt in detail vast hoe bepaalde digitale aanbieders de tien NIS2-beveiligingsmaatregelen invoeren, en wanneer een incident bij hen significant is. Zij geldt rechtstreeks in elk EU-land, maar alleen voor elf soorten aanbieders, zoals cloud, datacenters en beheerde diensten. Voor elk ander bedrijf is zij niet de maatstaf, alleen een mogelijk naslagwerk.
Wie de verordening bindt
Artikel 1 noemt elf soorten entiteiten. De verordening noemt ze de “relevante entiteiten”.
Art. 1 en 16 Uitvoeringsverordening (EU) 2024/2690
- DNS-dienstverleners
- TLD-namenregisters
- Aanbieders van cloudcomputingdiensten
- Aanbieders van datacentrumdiensten
- Aanbieders van netwerken voor de levering van inhoud
- Aanbieders van beheerde diensten
- Aanbieders van beheerde beveiligingsdiensten
- Aanbieders van onlinemarktplaatsen
- Aanbieders van onlinezoekmachines
- Aanbieders van platforms voor socialenetwerkdiensten
- Verleners van vertrouwensdiensten
Het is een verordening, geen richtlijn. Daarom geldt zij in elk EU-land zonder nationale wet. Zij werd op 18 oktober 2024 in het Publicatieblad gepubliceerd en trad 20 dagen later in werking.
Of zo'n aanbieder überhaupt onder NIS2 valt, bepalen de richtlijn en de nationale wet, in Duitsland § 28 BSIG. De verordening zegt alleen hoe hij de maatregelen precies invoert.
Wat de bijlage eist
De bijlage heeft 13 punten. Elk punt hoort bij een onderdeel van art. 21(2) NIS 2 en bevat genummerde afzonderlijke eisen.
Nr. 1
Beleid inzake de beveiliging van netwerk- en informatiesystemen
Een beleidsdocument dat de directie minstens eens per jaar beoordeelt, plus duidelijke rollen en verantwoordelijkheden.
Nr. 2
Risicobeheerbeleid
Risico's identificeren, beoordelen en behandelen. De resultaten worden minstens eens per jaar beoordeeld.
Nr. 3
Incidentenbehandeling
Incidenten detecteren, registreren, indelen, afhandelen en evalueren.
Nr. 4
Bedrijfscontinuïteit en crisisbeheer
Noodplannen, back-ups en redundantie, crisisbeheer.
Nr. 5
Beveiliging van de toeleveringsketen
Een beleid voor de relaties met directe leveranciers en een register van die leveranciers.
Nr. 6
Verwerving, ontwikkeling en onderhoud
Beveiliging bij de aankoop en ontwikkeling van systemen, wijzigingen, tests, updates en de omgang met kwetsbaarheden.
Nr. 7
Doeltreffendheid beoordelen
Vastleggen hoe u nagaat of de maatregelen werken.
Nr. 8
Cyberhygiëne en training
Basisregels voor iedereen, bewustwording en training, ook voor de directie.
Nr. 9
Cryptografie
Een beleid voor versleuteling, met sleutelbeheer.
Nr. 10
Beveiliging van personele middelen
Verantwoordelijkheden, screening waar passend, en procedures bij vertrek en functiewijziging.
Nr. 11
Toegangsbeheersing
Toegangsrechten, bevoorrechte accounts, identificatie, authenticatie en, waar passend, meerdere factoren (nr. 11.7).
Nr. 12
Beheer van bedrijfsmiddelen
Een inventaris van systemen en bedrijfsmiddelen, hun indeling en hun hantering.
Nr. 13
Omgevings- en fysieke beveiliging
Bescherming tegen uitval van voorzieningen, brand en water, gecontroleerde fysieke toegang.
Ook hier geldt evenredigheid: risico, omvang en de waarschijnlijkheid en ernst van incidenten tellen mee (art. 2(2)). Zegt de bijlage “waar passend” en past een aanbieder een eis niet toe, dan legt hij op begrijpelijke wijze vast waarom.
Wanneer een incident significant is
Voor de relevante entiteiten legt de verordening vast wanneer een incident significant is en dus gemeld moet worden. Artikel 3 geldt voor hen allemaal: bijvoorbeeld een direct financieel verlies van meer dan 500.000 EUR of 5 procent van de jaaromzet, als dat lager is, het weglekken van bedrijfsgeheimen, of een geslaagde, vermoedelijk kwaadwillige toegang die een ernstige verstoring van de bedrijfsvoering kan veroorzaken.
Doen zich binnen zes maanden minstens twee incidenten met dezelfde kennelijke oorzaak voor die samen de drempel voor financieel verlies halen, dan tellen ze samen als significant (artikel 4).
De artikelen 5 tot 14 leggen drempels per soort aanbieder vast. Een voorbeeld: een clouddienst die langer dan 30 minuten volledig onbereikbaar is (artikel 7). Gepland onderhoud telt niet mee.
Art. 3 tot 14 Uitvoeringsverordening (EU) 2024/2690 · Art. 23(3) NIS 2
Hoe zij zich verhoudt tot de Duitse BSIG
Voor de elf soorten aanbieders gaat de verordening voor op de maatregelen in § 30 BSIG (§ 30(3) BSIG).
Voor geen enkel ander bedrijf geldt zij. Hun maatregelen worden getoetst aan § 30 BSIG. De Commissie heeft nog geen uitvoeringshandeling voor alle entiteiten vastgesteld (§ 30(4) BSIG).
Volgens § 44(2) BSIG geldt de IT-Grundschutz van het BSI alleen voor instanties van de federale overheid als naleving van § 30. Voor bedrijven kan zij het werk structureren, maar zij is geen wettelijk erkend bewijs.
§ 30(3) en (4) · § 44(2) BSIG
Wat dit betekent bij 50 tot 150 medewerkers
De meeste bedrijven van deze omvang, zoals producenten, levensmiddelenbedrijven of afvalbedrijven, horen bij geen van de elf soorten. De verordening bindt hen niet. Zij toetsen hun maatregelen aan § 30 BSIG.
U kunt de verordening lezen als naslagwerk als u wilt zien hoe een maatregel er in detail uitziet. Dat is geen plicht.
Is uw bedrijf echter een IT-dienstverlener die de systemen van zijn klanten exploiteert of beheert, dan kan het een aanbieder van beheerde diensten zijn. Dan geldt de verordening rechtstreeks voor u.
Een voorbeeld
Twee verzonnen bedrijven met elk 90 medewerkers.
Een maker van verpakkingsmachines: machinebouw staat in bijlage 2 van de BSIG, dus het bedrijf is een belangrijke entiteit. De verordening bindt het niet. Het beoordeelt zijn beveiligingsbeleid in een ritme dat het zelf vastlegt.
Een IT-dienstverlener die servers, netwerken en werkplekken voor 200 klanten beheert: hij is een aanbieder van beheerde diensten. De verordening geldt rechtstreeks voor hem.
Voor de IT-dienstverlener betekent dit onder meer: de directie beoordeelt het beveiligingsbeleid minstens eens per jaar, de risicobeoordeling wordt minstens eens per jaar beoordeeld, en de toegang tot zijn systemen gebruikt waar passend meerdere factoren.
Heeft hij een incident, dan toetst hij de drempels in de artikelen 3 en 10 van de verordening voordat hij beslist of hij meldt.
Zo gaat het in de doorloop
De doorloop op nisd2.eu dekt wat de BSIG van elke entiteit vraagt, en kent de aanbieders waarvoor de verordening geldt.
Elk van de tien gebieden in § 30(2) BSIG wordt minstens één stap die u invult.
De stap over het beveiligingsbeleid zegt dat het beleid bij de aanbieders waarvoor de verordening geldt minstens eens per jaar wordt beoordeeld.
Staat uw bedrijf geregistreerd onder digitale infrastructuur, beheer van ICT-diensten of digitale aanbieders, dan blijft elke eis voor u open met de details van de verordening, ook als de doorloop het deel heeft afgerond dat elke entiteit verschuldigd is.
Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account.
Veelgestelde vragen
Wat is CIR 2024/2690?
Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024. Voor elf soorten digitale aanbieders legt zij de technische en methodologische eisen van de maatregelen in art. 21(2) NIS 2 vast en bepaalt zij wanneer een incident bij hen significant is.
Geldt de verordening voor mijn bedrijf?
Alleen als het een van de elf soorten uit artikel 1 is, zoals cloud, datacenter of beheerde diensten, en volgens de nationale wet onder NIS2 valt. Voor niemand anders geldt zij.
Moet de verordening in nationaal recht worden omgezet?
Nee. Als verordening geldt zij rechtstreeks in elk EU-land. In Duitsland geeft de BSIG haar voorrang voor de betrokken aanbieders (§ 30(3) BSIG).
Hoeveel punten heeft de bijlage?
13. Ze volgen de onderdelen a tot j van art. 21(2) NIS 2. Toegangsbeheersing (nr. 11) bevat bijvoorbeeld multifactorauthenticatie (nr. 11.7).
Volstaat een ISO 27001-certificaat?
De verordening steunt onder meer op ISO/IEC 27001 en 27002 (overwegingen). Een certificaat vervangt haar eisen echter niet. Toets elke eis van de bijlage afzonderlijk.
Bronnen
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024, PB L, 2024/2690, 18 oktober 2024, EUR-Lex
- Richtlijn (EU) 2022/2555 (NIS 2), art. 21 en 23, EUR-Lex
- BSI-wet (BSIG) §§ 28, 30, 44, gesetze-im-internet.de/bsig_2025
In de praktijk
Waar dit in de begeleide doorloop terugkomt
De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.
De doorloop zelf is in het Duits en het Engels.
Risk Management
Write the security policy
A short policy that management approves.
Authentication & Communications
Record where a second factor protects
For each program on your list: password alone, or with a second factor.
Supply Chain Security
Write down who works for you
A list of your suppliers and service providers.
Wat de doorloop kost
€ 4.800 netto per jaar, excl. btw
30 dagen geld terugOp factuur, betaling binnen 30 dagen. Opzeggen in de eerste 30 dagen: factuur geannuleerd of geld terug.
Begeleide NIS 2 implementatie, stap voor stap
Een geschiedenis van wijzigingen en goedkeuringen, om aan uw toezichthouder te tonen
Deadlines en herinneringen per vereiste
Beveiligingsvragenlijst voor uw leveranciers
Export naar PDF of CSV, op elk moment
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
