NIS2 is er: is uw MKB-maakbedrijf voldoende weerbaar?

Een cyberincident is niet uitsluitend een IT-probleem. Ransomware of een geslaagde phishingaanval kan klantcommunicatie, ontwerpen, calculaties, productieplanning, ERP, machines, voorraad- en financiële administratie onbereikbaar maken. Dat kan leiden tot een volledige of gedeeltelijke productiestilstand, omzetverlies, herstelkosten, aansprakelijkheid en reputatieschade.

Geldt de wet voor u?

Of uw organisatie rechtstreeks onder de Cyberbeveiligingswet valt, hangt af van uw activiteiten en omvang. De wet geldt voor organisaties in achttien kritieke of belangrijke sectoren. Daaronder vallen ook onderdelen van de MKB-maakindustrie, bijvoorbeeld bedrijven die bepaalde machines, elektrische apparatuur, transportmiddelen of IT-producten vervaardigen.

Als uitgangspunt geldt dat een onderneming in een aangewezen sector onder de wet kan vallen bij 50 of meer medewerkers, of bij een jaaromzet of balanstotaal van meer dan € 10 miljoen. U moet zelf beoordelen of uw bedrijf binnen de reikwijdte van de wet valt.

Maar ook wanneer uw bedrijf niet rechtstreeks NIS2-plichtig is, kan de impact groot zijn. Bedrijven die wél onder de Cyberbeveiligingswet vallen, moeten risico’s in hun toeleveringsketen beheersen. Daardoor kunnen zij hun leveranciers vragen stellen over digitale veiligheid en afspraken maken over passende maatregelen. Dit raakt ook kleinere MKB-maakbedrijven die leveren aan grotere klanten, hoofdaannemers, machinebouwers of andere NIS2-plichtige organisaties.

Via de NIS2-zelfevaluatie kan je snel toetsen of jouw bedrijf binnen de eisen van de Cbw valt: NIS2 Zelfevaluatie NL.

Van vragenlijst naar bewijs

Steeds meer opdrachtgevers willen niet alleen horen dat Cyberveiligheid binnen uw onderneming aandacht heeft; zij willen dit ook kunnen beoordelen. Denk aan vragen over multifactorauthenticatie, veilige en geteste back-ups, patchmanagement, toegangsrechten, bewustwording van medewerkers, incidentrespons en de beveiliging van uw eigen IT-leveranciers.

Samen Digitaal Veilig biedt hiervoor een laagdrempelige eerste stap. Via de gratis NIS2 Cyber Score kan een mkb-leverancier in ongeveer tien minuten een indicatieve zelfbeoordeling uitvoeren op techniek, processen, opleidingen en eventuele certificeringen. De uitkomst is een score van 1 tot 10, met een pdf die antwoorden, sterke punten en verbeterpunten per onderdeel bevat. Dit is geen certificering, maar wel een praktisch vertrekpunt voor het gesprek met klanten en voor het bepalen van verbeteracties.

Een belangrijk voordeel: klanten die met het platform werken, kunnen de score gebruiken in hun leveranciersbeoordeling. Dat kan voorkomen dat u voor iedere opdrachtgever opnieuw een andere vragenlijst moet invullen.

Wat moet u regelen?

Voor organisaties die rechtstreeks onder de Cyberbeveiligingswet vallen, gelden onder meer een zorgplicht, registratieplicht en meldplicht. De zorgplicht vraagt om passende, aantoonbare maatregelen op basis van de risico’s voor uw onderneming.

Voor ieder MKB-maakbedrijf zijn in ieder geval deze onderwerpen relevant:

• Breng kritieke systemen, data, machines en productieprocessen in kaart.
• Voer een risicoanalyse uit: wat gebeurt er als e-mail, ERP, CAD/CAM, planning of een productiesysteem uitvalt?
• Zorg voor veilige back-ups die gescheiden zijn opgeslagen én regelmatig op herstel worden getest.
• Richt multifactorauthenticatie in voor extern bereikbare accounts, beheerdersaccounts en kritieke applicaties.
• Houd software, systemen en machines waar mogelijk actueel met zorgvuldig patchmanagement.
• Beperk toegangsrechten tot wat medewerkers werkelijk nodig hebben; verwijder accounts direct bij uitdiensttreding.
• Train medewerkers regelmatig in het herkennen van phishing, ongebruikelijke betaalverzoeken en verdachte inlogmeldingen.
• Leg vast wie handelt, beslist en communiceert bij een cyberincident.
• Beoordeel uw IT-, cloud- en softwareleveranciers op hun rol en risico voor uw bedrijfscontinuïteit.
• Leg maatregelen, beslissingen, testen en verbeteringen vast; aantoonbaarheid wordt steeds belangrijker.

Cyberverzekering blijft belangrijk

Goede digitale beveiliging verkleint de kans op schade, maar voorkomt niet ieder incident. Het nieuws staat vol met hacks bij bedrijven die ook dachten het goed voor elkaar te hebben. Een cyberverzekering is daarom een noodzakelijke aanvulling op preventie en continuïteitsplanning — geen alternatief daarvoor.

Afhankelijk van de gekozen dekking kan een cyberverzekering ondersteuning bieden bij onder meer:

• Kosten van IT-forensisch onderzoek en herstel.
• Hulp bij incidentrespons en crisiscommunicatie.
• Herstel van data en systemen.
• Bedrijfsschade door productiestilstand.
• Aansprakelijkheid en privacy gerelateerde kosten.
• Juridische ondersteuning en eventuele kosten rond meldingen.

Welke dekking past, hangt onder meer af van uw omzet, afhankelijkheid van IT en productieautomatisering, klant- en leveranciersrelaties, aanwezige beveiligingsmaatregelen en contractuele verplichtingen.

Mevas helpt u vooruit

Cyberweerbaarheid is geen eenmalig IT-project, maar een bedrijfsrisico dat aandacht vraagt in de directiekamer, op de werkvloer én in de keten. Mevas helpt u om inzicht te krijgen in uw risico’s, prioriteiten te bepalen en de aansluiting tussen preventie, continuïteit en verzekering goed te organiseren.