Belangrijk vs essentieel vs KRITIS: hetzelfde werk, andere gevolgen

§31 - Aanvalsdetectiesystemen (Angriffserkennungssysteme)

U hebt een systeem nodig dat uw netwerk de klok rond bewaakt en lopende aanvallen kan opmerken of kan vaststellen dat iemand al is binnengedrongen. In de praktijk betekent dit het inzetten van een SIEM (Security Information and Event Management): software die logs van elke server, firewall en endpoint verzamelt, correleert en alarm slaat bij anomalieën. Het moet zowel patroonherkenning ALS anomaliedetectie gebruiken, niet alleen signatures. De meeste ondernemingen besteden dit uit aan een managed SOC (Security Operations Center), wat doorgaans 5.000-15.000 EUR per maand kost. Gewone NIS2-entiteiten kunnen toe met basismonitoring - KRITIS-exploitanten uitdrukkelijk niet.

§33(2) - Uitgebreide registratie bij het BSI

Bovenop de standaardregistratie (naam, sector, contact) moeten KRITIS-exploitanten het BSI precies meedelen welke kritieke dienst ze leveren (bijv. 'drinkwatervoorziening voor 200.000 personen'), welke kritieke componenten ze gebruiken, de fysieke locatie van de installatie en een 24/7-contactpersoon die op elk uur bereikbaar is. Voorzieningscijfers moeten jaarlijks worden gemeld - het BSI gebruikt deze om te controleren of u nog steeds boven de KRITIS-drempel zit (vastgelegd in BSI-KritisV, bijv. 500.000 bediende personen voor water, 104 MW voor elektriciteit).

§39 - Verplicht compliancebewijs elke 3 jaar (Nachweispflicht)

Elke 3 jaar moet u proactief auditresultaten, beveiligingsrapporten of certificeringen bij het BSI indienen die aantonen dat u alle §30-maatregelen en de §31-aanvalsdetectie naleeft. Het BSI hoeft u niet op te zoeken - u komt naar hen toe. Stelt het BSI tekortkomingen vast, dan vaardigt het bindende herstelbevelen met termijnen uit en verlangt het bewijs dat u de problemen hebt verholpen. Zie het als een verplichte ISO-certificeringscyclus, alleen is de auditor hier de overheid. Eerste termijn: december 2028 (5 jaar voor ziekenhuizen: december 2030).

Kan mijn onderneming zowel belangrijk als essentieel zijn?

Nee. De categorieën sluiten elkaar uit op grond van §28 BSIG. Voldoet u aan de drempel voor essentieel (250+ medewerkers of >50M omzet in een Bijlage I-sector), dan bent u essentieel. Voldoet u aan de drempel voor belangrijk maar niet aan die voor essentieel, dan bent u belangrijk. KRITIS is een deelverzameling van essentieel - KRITIS-exploitanten worden automatisch als essentieel geclassificeerd, met daarbovenop aanvullende verplichtingen.

Ik ben een belangrijke entiteit. Hoef ik minder complianceswerk te doen?

Nee. De 10 categorieën beveiligingsmaatregelen in §30(2) BSIG gelden identiek voor zowel belangrijke als essentiële entiteiten. Het enige verschil is de handhaving: het BSI houdt proactief toezicht op essentiële entiteiten (steekproefsgewijze controles) en reactief op belangrijke entiteiten (alleen na aanwijzingen voor non-compliance). Maar de maatregelen zelf, de termijnen van de meldplicht en de bestuurdersaansprakelijkheid zijn allemaal gelijk.

Hoe weet ik of ik KRITIS ben?

De KRITIS-classificatie is vastgelegd in de BSI-KritisV-verordening, op basis van specifieke voorzieningsdrempels: 500.000 bediende personen voor water, 104 MW geïnstalleerd vermogen voor elektriciteit, 30.000 klinische opnames per jaar voor ziekenhuizen, enz. Als de uitval van uw infrastructuur de openbare voorziening op die schaal niet rechtstreeks zou verstoren, bent u geen KRITIS. De meeste middelgrote ondernemingen zijn geen KRITIS - zij zijn belangrijke of essentiële entiteiten.

Wat gebeurt er als ik mijn entiteitsclassificatie verkeerd inschat?

De classificatie bepaalt de intensiteit van het toezicht en de maximale boetes, niet wat u moet implementeren. Als u alle 10 categorieën maatregelen implementeert (waar NISD2 u doorheen leidt), bent u compliant, ongeacht de classificatie. Het risico van een verkeerde classificatie is dat u uw blootstelling aan toezicht onderschat - denken dat het BSI u niet zal controleren, terwijl het dat wel kan.

Maakt CIR 2024/2690 onderscheid tussen belangrijke en essentiële entiteiten?

Nee. De CIR geldt voor specifieke entiteitstypen (cloudaanbieders, DNS-aanbieders, managed service providers, enz.), ongeacht of ze als belangrijk of essentieel zijn geclassificeerd. De technische vereisten in de CIR zijn voor beide categorieën identiek.