ISOPlanner™ wordt vertrouwd door 600+ bedrijven
Ondersteuning voor 50+ normen
Risicobeoordeling en maatregelen vastgelegd op één plek, met eigenaar en status.
Incidentregistratie met de termijnen erin verwerkt, zodat de klok niet handmatig bewaakt wordt.
Rapportage die aan de directie te tonen is, zonder dat iemand die eerst moet samenstellen.
Bewijsvoering verzameld op het moment dat het werk gebeurt, niet achteraf.
Dezelfde beheersmaatregelen hergebruikt richting ISO 27001.
Organisaties moeten hun eigen risicobeoordelingen uitvoeren en passende, gedocumenteerde maatregelen nemen om de diensten die zij leveren en de informatie die zij verwerken te beschermen. Een mondelinge toezegging is niet voldoende. ISOPlanner™ bevat een vooraf geconfigureerd risicoregister met alle NIS2-beheersmaatregelen, zodat elke maatregel wordt bijgehouden, gedocumenteerd en beschikbaar is voor de toezichthouder.
U beoordeelt de risico's voor uw netwerk- en informatiesystemen en neemt passende maatregelen. De maatregelenlijst in de wet is een minimum, geen volledige opsomming: wat passend is, hangt af van uw risicoprofiel.
Wat ISOPlanner™ doet
De risicobeoordeling en de maatregelen staan op één plek, elk met een eigenaar en een status. Omdat "passend" van uw eigen risicoprofiel afhangt, legt u per maatregel vast waarom u die keuze maakt en waarom een andere maatregel niet nodig is. Die onderbouwing is precies wat een toezichthouder opvraagt, en die staat er dan al. Alles in uw eigen Microsoft 365-omgeving, onder uw eigen toegangsbeheer.
Incidenten die essentiële diensten ernstig verstoren, moeten binnen 24 uur na ontdekking worden gemeld bij de bevoegde toezichthouder en het CSIRT. Een volledige melding volgt binnen 72 uur en een eindrapport binnen één maand. ISOPlanner™ bevat een incidentresponsworkflow, die elke fase bijhoudt en de vereiste meldingsregistraties genereert.
Organisaties die onder de wet vallen, registreren zich bij de overheid. Dat loopt via mijn.ncsc.nl.
Wat ISOPlanner™ doet
Registreren doet u zelf bij het NCSC. Dat neemt ISOPlanner™ niet over, en dat hoort ook niet. Wat de software wel doet, is de onderbouwing vasthouden: op welke sectorlijst u uitkomt, aan welke drempel u toetst, wie dat heeft vastgesteld en op welke datum. Verandert er iets in uw organisatie waardoor de registratie moet worden bijgewerkt, dan staat die verplichting als taak met een termijn in hetzelfde systeem, in plaats van in iemands hoofd.
Organisaties die onder de richtlijn vallen, staan onder toezicht van een onafhankelijke toezichthouder. Het doel van de richtlijn is om cybersecurityverantwoordelijkheid te harmoniseren in de EU-lidstaten en hun toeleveringsketens. ISOPlanner™ slaat alle compliancedocumentatie op in SharePoint, waar toezichthouders bewijsmateriaal rechtstreeks kunnen inzien zonder handmatige export of voorbereiding.
Een significant incident meldt u binnen 24 uur als eerste melding, gevolgd door een uitgebreidere melding binnen 72 uur en een eindrapport daarna.
Wat ISOPlanner™ doet
De termijnen zitten in de incidentregistratie verwerkt. Vanaf het moment dat u een incident vastlegt, loopt de klok zichtbaar mee en ziet u welke melding wanneer moet volgen. Wie de melding heeft gedaan en wat er is gemeld, staat bij het incident zelf. Het eindrapport schrijft u daarmee uit wat er tijdens het incident is bijgehouden, in plaats van het achteraf te reconstrueren uit mailboxen en chatberichten.
NIS2-naleving legt een solide basis voor ISO 27001. De risicobeoordelingen, gedocumenteerde maatregelen en het leverancierstoezicht, die je voor NIS2 hebt ingericht, sluiten direct aan op de ISO 27001-vereisten. ISOPlanner™ koppelt NIS2-beheersmaatregelen automatisch aan ISO 27001-controles, zodat je bestaande implementatie meegaat wanneer je klaar bent voor certificering.
Dit is het onderdeel dat het vaakst wordt onderschat. De RDI stelt het zo: "Het bestuur is eindverantwoordelijk voor governance en risicobeheersing." De wet maakt het mogelijk om bestuurders persoonlijk te beboeten of een last onder dwangsom op te leggen. Compliance is daarmee geen onderwerp dat uitsluitend bij IT belegd kan worden.
Wat ISOPlanner™ doet
Een bestuur kan alleen verantwoordelijkheid nemen voor wat het kan zien. De rapportage is opgezet om aan de directie te tonen zonder dat iemand die eerst in elkaar zet: welke risico's er open staan, welke maatregelen achterlopen, wie eigenaar is en wat er sinds de vorige rapportage is veranderd. En omdat het bewijs wordt vastgelegd op het moment dat het werk gebeurt, is die rapportage een weergave van hoe het er werkelijk voor staat en geen momentopname die voor de vergadering is gemaakt.
01.
Wat is het verschil tussen essentiële en belangrijke entiteiten onder NIS2?
NIS2 maakt een onderscheid tussen essentiële en belangrijke entiteiten op basis van sector en omvang, zoals vastgelegd in Artikel 3. Essentiële entiteiten (zoals energiebedrijven, waterinfrastructuur en digitale infrastructuur) vallen onder strenger toezicht en kunnen boetes oplopen tot €10 miljoen of 2% van de wereldwijde jaaromzet. Belangrijke entiteiten kennen lagere maximumboetes van €7 miljoen of 1,4% van de omzet. ISOPlanner™ helpt u vaststellen in welke categorie uw organisatie valt.
02.
Welke beveiligingsmaatregelen vereist Artikel 21 van NIS2?
Artikel 21 van NIS2 verplicht organisaties een reeks technische en organisatorische maatregelen te implementeren, waaronder risicoanalyse, incidentafhandeling, bedrijfscontinuïteit, beveiliging van de toeleveringsketen, toegangscontrole en meervoudige authenticatie (MFA). De vereisten zijn risicogebaseerd en moeten in verhouding staan tot de omvang en het belang van de entiteit. ISOPlanner™ helpt u de NIS2-vereisten te structureren en te documenteren.
03.
Wat zijn de NIS2-meldingstermijnen voor incidenten?
Artikel 23 van NIS2 schrijft een driestappenrapportage voor. Significante incidenten moeten binnen 24 uur na ontdekking als vroegtijdige melding worden doorgegeven aan de bevoegde autoriteit. Binnen 72 uur volgt een gedetailleerder incidentrapport. Uiterlijk één maand na het incident dient een eindrapport te worden ingediend. ISOPlanner™ ondersteunt u bij het documenteren en bijhouden van incidenten conform deze termijnen.
04.
Hoe pakt NIS2 de beveiliging van de toeleveringsketen aan?
NIS2 verplicht organisaties de beveiligingsrisico’s in hun toeleveringsketen te beoordelen en te beheersen. Dit betekent dat u de beveiligingspraktijken van leveranciers en dienstverleners moet evalueren en contractuele beveiligingsvereisten moet vastleggen. ISOPlanner™ bevat een leveranciersregister waarmee u risicobeoordelingen bijhoudt en de NIS2-vereisten voor ketenbeveiliging kunt aantonen.
05.
Wat zijn de sancties bij niet-naleving van NIS2?
NIS2 introduceert persoonlijke aansprakelijkheid voor bestuurders bij ernstige nalatigheid. Essentiële entiteiten riskeren boetes tot €10 miljoen of 2% van de wereldwijde jaaromzet. Voor belangrijke entiteiten liggen de maximumboetes op €7 miljoen of 1,4% van de omzet. Nationale toezichthouders kunnen ook tijdelijke schorsingen of publieke mededelingen opleggen. ISOPlanner™ helpt u uw naleving aantoonbaar te maken om deze risico’s te beperken.
06.
Hoe verhoudt NIS2 zich tot ISO 27001?
De beveiligingsvereisten van Artikel 21 van NIS2 overlappen in grote mate met de beheersmaatregelen uit Annex A van ISO 27001. Organisaties met een ISO 27001-certificering zijn daarmee al grotendeels op weg om aan de NIS2-vereisten te voldoen. Een formele cross-mapping tussen beide kaders maakt duidelijk welke NIS2-verplichtingen al worden gedekt en welke aanvullende maatregelen nodig zijn. ISOPlanner™ ondersteunt deze geïntegreerde aanpak.
07.
Welke sectoren vallen binnen de reikwijdte van NIS2?
NIS2 geldt voor entiteiten in sectoren van hoge kritikaliteit: energie, transport, bankwezen, financiële marktinfrastructuur, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, ICT-dienstverlening, ruimtevaart en overheidsdiensten. Daarnaast gelden verplichtingen voor andere kritische sectoren zoals post- en koeriersdiensten, afvalbeheer, chemische producten, levensmiddelen en digitale aanbieders. ISOPlanner™ helpt u uw sectorclassificatie en bijbehorende verplichtingen te bepalen.
Log in to your ISOPlanner™ workspace, or start a free trial.
Log in Start your free trial