Art. 21 NIS 2 · § 30 BSIG

NIS2-eisen: wat uw bedrijf moet invoeren

NIS2 vraagt om beveiligingsmaatregelen op tien gebieden, het melden van significante incidenten en registratie bij het BSI. De directie voert de maatregelen in en houdt er toezicht op. Hoe ver elke maatregel gaat, hangt af van de omvang en het risico van uw bedrijf.

Nu beginnen

Gesprek boeken

Beslist iemand anders? Eén pagina voor uw directie

Cory Hisey·Laufend geprüft

Programma's en lidmaatschappen

De eisen in één oogopslag

NIS 2 is een Europese richtlijn. In Duitsland zet de BSI-wet (BSIG) haar om in nationaal recht. Bedrijven die eronder vallen, heten daar “entiteiten”.

Beveiligingsmaatregelen op tien gebieden

De minimumlijst staat hieronder, elk gebied met een voorbeeld.

Art. 21 NIS 2 · § 30 BSIG

Meer hierover

Significante incidenten melden

In drie fasen aan het BSI, de eerste binnen 24 uur.

Art. 23 NIS 2 · § 32 BSIG

Meer hierover

Registreren bij het BSI

Eenmalig, via het portaal van het BSI. Verandert er iets, dan meldt u dat binnen twee weken.

Art. 3(4) NIS 2 · § 33 BSIG

Meer hierover

De directie

Zij voert de maatregelen in, houdt er toezicht op en volgt regelmatig trainingen. De richtlijn eist ook dat de directie de maatregelen goedkeurt.

Art. 20 NIS 2 · § 38 BSIG

Meer hierover

De tien maatregelen in eenvoudige woorden

Art. 21(2) NIS 2 noemt tien gebieden, in Duitsland § 30(2) BSIG. Dat is de minimumlijst. Voor elk gebied hebt u maatregelen nodig die bij uw bedrijf passen.

1

Risicoanalyse en beveiligingsbeleid

U schrijft op welke IT uw bedrijf nodig heeft en wat daarbij mis kan gaan. Daaruit volgt een beveiligingsbeleid: hoe uw bedrijf informatiebeveiliging regelt.

Bijvoorbeeld: Een lijst van uw systemen met een beoordeling per risico, en een beleid van een paar pagina's.

Art. 21(2)(a) · § 30(2) nr. 1

2

Incidenten afhandelen

U legt vast hoe u een incident ontdekt, indamt en oplost, en wie beslist.

Bijvoorbeeld: Een incidentplan met telefoonnummers en duidelijke verantwoordelijkheden.

Art. 21(2)(b) · § 30(2) nr. 2

3

Het bedrijf draaiende houden

Back-ups, herstel na een noodgeval en crisisbeheer.

Bijvoorbeeld: Een back-up waarvan u het terugzetten hebt uitgeprobeerd.

Art. 21(2)(c) · § 30(2) nr. 3

4

Beveiliging van de toeleveringsketen

U houdt rekening met de kwetsbaarheden van elke directe leverancier en met de kwaliteit van diens producten en beveiligingspraktijk (art. 21(3) NIS 2). Contracten zijn het gebruikelijke middel.

Bijvoorbeeld: In het contract met uw IT-dienstverlener staat dat hij incidenten aan u meldt.

Art. 21(2)(d) · § 30(2) nr. 4

5

Beveiliging bij aanschaf, ontwikkeling en onderhoud van IT

Beveiliging geldt al wanneer u IT koopt, wanneer u zelf ontwikkelt en bij onderhoud. Daar hoort bij dat u kwetsbaarheden verhelpt en er open mee omgaat, bijvoorbeeld met een adres waar anderen gevonden kwetsbaarheden kunnen melden.

Bijvoorbeeld: Beveiligingsupdates worden automatisch geïnstalleerd.

Art. 21(2)(e) · § 30(2) nr. 5

6

Doeltreffendheid beoordelen

U legt vast hoe u controleert of de maatregelen werken. De wet schrijft niet voor elke entiteit tests of audits voor.

Bijvoorbeeld: Eens per jaar loopt de directie na wat werkte en wat niet.

Art. 21(2)(f) · § 30(2) nr. 6

7

Basistraining en bewustwording

Alle medewerkers leren de basis: verdachte e-mails herkennen, goede wachtwoorden kiezen, incidenten melden.

Bijvoorbeeld: Een korte training bij indiensttreding en een opfrisser eens per jaar.

Art. 21(2)(g) · § 30(2) nr. 7

8

Cryptografie

U legt vast waar en hoe u versleutelt.

Bijvoorbeeld: Laptops met versleutelde schijven, en e-mail alleen via versleutelde verbindingen.

Art. 21(2)(h) · § 30(2) nr. 8

9

Personeel, toegang en beheer van IT

Wie mag wat? Hoe krijgen nieuwe mensen hun toegang, en hoe verliezen vertrekkers die? Daar hoort een overzicht van uw IT bij.

Bijvoorbeeld: Op de laatste werkdag wordt alle toegang geblokkeerd.

Art. 21(2)(i) · § 30(2) nr. 9

10

Tweede factor en veilige communicatie

Inloggen met een tweede factor naast het wachtwoord, of met doorlopende controle of nog steeds dezelfde persoon werkt. Daarnaast beveiligde spraak, video en tekst en, waar nodig, een beveiligd kanaal voor noodgevallen.

Bijvoorbeeld: Een code uit een app bij het inloggen op e-mail en externe toegang.

Art. 21(2)(j) · § 30(2) nr. 10

Hoeveel is genoeg?

De wet vraagt om passende, evenredige en doeltreffende maatregelen (§ 30(1) BSIG). Wat evenredig is, hangt af van uw risico, uw omvang, de kosten, hoe waarschijnlijk en ernstig incidenten zouden zijn, en de gevolgen ervan voor anderen.

U legt vast wat u invoert (§ 30(1), derde zin, BSIG). De wet eist geen certificaat zoals ISO 27001. Het kan uw bewijs wel ondersteunen.

Wat “evenredig” precies betekent

Een voorbeeld

Een verzonnen bedrijf: een maker van bakkerijproducten met 120 medewerkers die aan de detailhandel levert. Industriële voedselproductie staat in bijlage 2 van de BSIG, dus het bedrijf is een belangrijke entiteit. Zo ziet zijn antwoord op drie van de tien gebieden eruit:

Toeleveringsketen: het bedrijf houdt een lijst bij van zijn dienstverleners, bijvoorbeeld voor voorraadbeheer, bewaking van de koeling en IT. In het IT-contract staat dat de dienstverlener incidenten meldt.

Tweede factor: voor e-mail en externe toegang heeft iedereen een code uit een app nodig.

Het bedrijf draaiende houden: recepturen en productieplannen worden dagelijks geback-upt. Eens per jaar probeert de IT het terugzetten uit.

Zo gaat het in de doorloop

In de doorloop op nisd2.eu wordt elk van de tien gebieden minstens één stap die u invult.

Naast elke stap staat de wet, in eenvoudige woorden uitgelegd.

Waar een document nodig is, ontstaat het uit uw antwoorden: beveiligingsbeleid, incidentresponsplan, bedrijfscontinuïteitsplan, cryptografiebeleid, beleid voor personeel, toegang en IT-middelen, en regels voor aanschaf, onderhoud en kwetsbaarheden.

Waar een lijst volstaat, houdt u een lijst bij: uw IT, uw leveranciers, uw back-ups, uw trainingen.

Besluit u een punt bewust niet in te voeren, dan schrijft u op waarom. Ook dat besluit ondertekent de directie.

Aan het eind keurt de directie de documenten goed in de app, ingelogd met een eigen account. Naam en datum staan daarna op elk document.

Begin aan het eerste gebied in de doorloop

Significante incidenten melden

Een significant beveiligingsincident meldt u in drie fasen bij het BSI (§ 32 BSIG, art. 23 NIS 2). De termijnen lopen vanaf het moment dat u ervan hoort.

24 uur

Vroegtijdige waarschuwing

Of het incident vermoedelijk komt door een aanval of een onrechtmatige handeling, en of het andere landen kan raken.

72 uur

Incidentmelding

Een eerste beoordeling van ernst en gevolgen, met sporen van de aanvallers (indicators of compromise) als die er zijn.

1 maand

Eindrapport

Een maand na de incidentmelding: wat er gebeurde, de waarschijnlijke oorzaak en wat u eraan hebt gedaan.

De meldplicht in detail

Wie controleert, en wanneer?

Exploitanten van kritieke installaties

Zij tonen hun maatregelen aan bij het BSI, via audits, inspecties of certificeringen. De eerste keer op een datum die het BSI vaststelt, op zijn vroegst drie jaar nadat zij als exploitant gelden, daarna elke drie jaar (§ 39 BSIG). Ook moeten zij systemen voor aanvalsdetectie gebruiken (§ 31(2) BSIG).

Essentiële entiteiten

Geen vaste controlecyclus. U legt vast wat u invoert (§ 30(1) BSIG). Het BSI kan controleren en audits door onafhankelijke instanties opleggen (§ 61(1) en (5) BSIG). Bewijs kan het op zijn vroegst vanaf 6 december 2028 opvragen (§ 61(3) en (4) BSIG).

Belangrijke entiteiten

U legt vast wat u invoert. Het BSI controleert alleen als feiten erop wijzen dat u § 30, § 32 of § 38(3) BSIG niet naleeft (§ 62 BSIG).

Wat als bewijs kan dienen

Interne of externe auditrapporten
Certificeringen, zoals ISO 27001 of BSI IT-Grundschutz
Uw documentatie: risicobeoordeling, ingevoerde maatregelen en de controle of ze werken

Een certificaat volgens ISO 27001 of IT-Grundschutz helpt, maar dekt de BSIG niet automatisch af. De wet kan verder gaan dan de reikwijdte van een certificering.

Leveranciers

Voor de toeleveringsketen betekent dit:

U houdt rekening met de kwetsbaarheden van elke directe leverancier en met de kwaliteit van diens producten en beveiligingspraktijk, ook bij de ontwikkeling (art. 21(3) NIS 2).
U spreekt beveiligingseisen af met leveranciers waar dat past, meestal in het contract. De toelichting bij de wet noemt contracten als voorbeeld.
Alleen voor de digitale aanbieders die onder Uitvoeringsverordening (EU) 2024/2690 vallen: zij volgen op geplande momenten wijzigingen in de beveiligingspraktijk van hun leveranciers (punt 5.1.6 van de bijlage).

Bronnen

Richtlijn (EU) 2022/2555 (NIS 2), art. 3, 20, 21 en 23 (eur-lex.europa.eu)
BSI-wet (BSIG), §§ 30, 31, 32, 33, 38, 39, 61 en 62 (gesetze-im-internet.de/bsig_2025)
BSIG, bijlage 2, nr. 4 productie, verwerking en distributie van levensmiddelen
Uitvoeringsverordening (EU) 2024/2690, art. 3 en punt 5.1.6 van de bijlage
Wetsvoorstel van de Duitse regering voor de NIS2UmsuCG, Bundestag-Drucksache 21/1501, toelichting bij § 30

In de praktijk

Waar dit in de begeleide doorloop terugkomt

De begeleide doorloop maakt hier stappen van die u invult, met de wet bij elke stap uitgelegd. Open een stap om het scherm te zien, ingevuld voor een verzonnen bedrijf.

De doorloop zelf is in het Duits en het Engels.

Risk Management
Write down what your company has
A list of the processes, software and devices you work with.
Incident Handling
Plan what happens in an incident
Who decides, whom you call, how you reach each other.
Effectiveness Assessment
Record the management review
Management checks whether the measures work and approves your documents.