NIS2 schrijft geen specifiek monitoringhulpmiddel voor, maar verplicht essentiële en belangrijke entiteiten wel om incidenten af te handelen (artikel 21) en significante incidenten binnen 24 uur, 72 uur en een maand te melden (artikel 23). In de praktijk moet u dus zien wat er op uw netwerk gebeurt en daar bewijs van bewaren. Deze checklist maakt van die twee artikelen elf concrete stappen voor het IT-team van een middelgrote organisatie.
Voor wie dit geldt
NIS2 — Richtlijn (EU) 2022/2555 — geldt voor middelgrote en grote organisaties in de sectoren van de bijlagen I en II (energie, vervoer, gezondheidszorg, digitale infrastructuur, productie van bepaalde goederen, levensmiddelen, afvalbeheer en andere), en voor sommige entiteiten ongeacht hun omvang. Een middelgrote onderneming heeft volgens de EU-definitie 50 of meer werknemers of meer dan 10 miljoen euro jaaromzet of balanstotaal.
Elke lidstaat past NIS2 toe via een eigen wet — bijvoorbeeld de Cyberbeveiligingswet in Nederland en de gewijzigde Poolse wet op het nationale cyberbeveiligingssysteem (KSC). Controleer reikwijdte, registratie en het CSIRT waaraan u meldt daarom bij uw nationale autoriteit.
Wat de richtlijn echt vraagt
- Artikel 21 vraagt om „passende en evenredige technische, operationele en organisatorische maatregelen”. Op de lijst staan onder meer incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen en beleid om de effectiviteit van de maatregelen te beoordelen.
- Artikel 23 vraagt om een vroegtijdige waarschuwing binnen 24 uur nadat u kennis krijgt van een significant incident, een incidentmelding binnen 72 uur en een eindverslag binnen een maand na de melding.
Een termijn van 24 uur haalt u niet voor een incident dat u niet hebt opgemerkt. Daar komt netwerkmonitoring in beeld.
De checklist
- Bevestig uw status. Stel vast of u een essentiële of een belangrijke entiteit bent, welke nationale autoriteit toezicht houdt en welk CSIRT uw meldingen ontvangt.
- Breng in kaart wat u moet beschermen. Maak een lijst van de netwerksegmenten en assets waarop de betrokken diensten draaien — ook OT, gebouwinstallaties en externe locaties, niet alleen het kantoor-LAN.
- Maak elk segment zichtbaar. Een SPAN- of TAP-poort, of een sensor op een host, in elk segment. Kijk naar oost-westverkeer tussen interne hosts, niet alleen naar de rand: de meeste aanvallen bewegen na de eerste voet aan de grond lateraal verder.
- Let op gedrag dat aan een incident voorafgaat. C2-beaconing, interne scans, laterale beweging en ongebruikelijk uitgaand datavolume zijn stappen die in het verkeer zichtbaar worden voordat er data vertrekt.
- Dek versleuteld verkeer af zonder het te breken. Tijdstippen, volumes, bestemmingen en de TLS-handshake verraden beaconing en exfiltratie zonder dat iets wordt ontsleuteld — en zo is de monitoring zelf onder de AVG ook beter te verantwoorden.
- Bewaak OT passief. Lees industriële protocollen vanaf een mirrorpoort; benader PLC's of SCADA-apparatuur nooit actief.
- Bepaal wie wanneer naar meldingen kijkt. Leg de procedure voor incidentafhandeling vast: wie triageert, binnen welke tijd, en wie een incident significant mag verklaren. Een melding die uitlegt waarom ze afging, wordt sneller opgepakt dan een melding die dat niet doet.
- Bewaar het bewijs. Voor elk incident: de meldingen, de beslissingen van analisten, een tijdlijn en de genomen maatregelen — in een auditlog dat u aan een auditor of een CSIRT kunt overhandigen.
- Bewaak de meldtermijnen. Start de termijnen van artikel 23 zodra u kennis krijgt van een significant incident, en oefen de vroegtijdige waarschuwing van 24 uur minstens één keer voordat u die nodig hebt.
- Bescherm de monitoringgegevens. Netwerkmetadata bevatten IP-adressen, die persoonsgegevens kunnen zijn. Weet waar uw leverancier ze opslaat, sluit een verwerkersovereenkomst volgens artikel 28 AVG en beoordeel de leverancier als onderdeel van uw toeleveringsketen.
- Controleer of het werkt. Test detectie en melding regelmatig en leg het resultaat vast: artikel 21 vraagt om beleid om de effectiviteit van uw maatregelen te beoordelen.
Waar NetSenX past
NetSenX is een Network Detection and Response-platform (NDR) voor middelgrote organisaties in de EU dat aanvallen herkent aan het gedrag van het netwerk, elke melding in begrijpelijke taal uitlegt en klantgegevens in de EU houdt. Van deze checklist dekt het de stappen 3 tot en met 9: één agent op een SPAN- of TAP-poort bewaakt een heel segment, elke melding noemt de netwerkkenmerken achter de score, OT-protocollen worden vanaf het Pro-abonnement passief gelezen, en elk incident wordt gevolgd langs de termijnen van artikel 23. De NIS2-plichten blijven bij uw organisatie: een hulpmiddel ondersteunt ze, maar vervult ze niet.
Het Free-abonnement bewaakt tot 3 apparaten zonder kosten; Business dekt voor € 249 per maand tot 100 apparaten. Bekijk de abonnementen en prijzen van NetSenX, de pagina over NIS2-netwerkmonitoring of NetSenX vergeleken met andere NDR-leveranciers.
Bronnen
- Richtlijn (EU) 2022/2555 (NIS2), EUR-Lex — artikelen 2, 21 en 23, bijlagen I en II
- Aanbeveling 2003/361/EG van de Commissie over de definitie van kmo's, EUR-Lex
- Europese Commissie — stand van de omzetting van NIS2
- NCSC — Cyberbeveiligingswet (NIS2)
- Biznes.gov.pl — NIS2 in Polen en de KSC-wet
Geschreven door het NetSenX Team bij TriStiX S.L. Dit artikel is algemene informatie en geen juridisch advies. Vragen: info@netsenx.com.