Kreeg u een NIS2-vragenlijst?

Waarom u die krijgt

De NIS2-richtlijn verplicht de entiteiten die eronder vallen hun toeleveringsketen te beveiligen (artikel 21, lid 2, punt d). Ze moeten rekening houden met de specifieke kwetsbaarheden van elke directe leverancier en met de kwaliteit van diens cyberbeveiligingspraktijken (artikel 21, lid 3). De vragenlijst is hoe uw klant dat doet. Ze krijgen betekent niet dat de richtlijn op u van toepassing is.

Wat u gevraagd wordt

Vragenlijsten volgen bijna altijd de tien maatregelen van artikel 21, lid 2. Per maatregel: wat er het best op antwoordt.

1. a

   Risicoanalyse en beveiligingsbeleid

   Een informatiebeveiligingsbeleid en een risicoanalyse, ook korte.

2. b

   Afhandeling van incidenten

   Een procedure: wie een incident opmerkt, wie beslist, wie de klant verwittigt en hoe snel.

3. c

   Continuïteit, back-ups en crisisbeheer

   Uw back-upbeleid en herstelplan, met de datum van de laatste test.

4. d

   Leveranciers en de toeleveringsketen

   De lijst van uw subverwerkers, met hun doel en regio.

5. e

   Bouwen en onderhouden van systemen, inclusief kwetsbaarheden

   Hoe u patches toepast, en hoe iemand u een kwetsbaarheid kan melden.

6. f

   Hoe u nagaat dat de maatregelen werken

   Wat u controleert en hoe vaak: jaarlijkse review, audit, penetratietest.

7. g

   Basishygiëne en opleiding

   Uw basisregels (updates, wachtwoorden, phishing) en de opleiding van het personeel.

8. h

   Cryptografie

   Wat versleuteld is, onderweg en in rust, en hoe.

9. i

   Personen, toegang en activa

   Wie toegang heeft tot wat, hoe toegang wordt verleend en ingetrokken, en uw inventaris van middelen.

10. j

    Authenticatie en beveiligde communicatie

    Waar multifactorauthenticatie verplicht is, en welke communicatiemiddelen u gebruikt.

Het antwoordsjabloon volgt deze tien maatregelen, één onderdeel per maatregel. Vertrek van het antwoordsjabloon

Eén keer antwoorden, niet per klant

Dezelfde vragenlijst komt terug, van een andere klant en in een ander formaat. Publiceer uw antwoorden en documenten op een trust center: u stuurt een link in plaats van een spreadsheet in te vullen. Wat niet openbaar mag zijn, opent alleen op verzoek, en elke versie blijft gedateerd.

Valt u zelf onder NIS2?

Dat hangt af van uw sector en uw omvang, en elke lidstaat zet de richtlijn op zijn manier om. In België biedt het Centrum voor Cybersecurity België (CCB) een NIS2-toepassingstest aan: dat is de bron om te raadplegen.