“NIS 2 toepassen is niet hetzelfde als vakjes aanvinken bij de aankoop van software! ”

De NIS2-richtlijn beperkt zich niet tot een simpele lijst van producten en diensten. Via CSM Approve biedt Cyber Security Management een totaalbenadering, van het product via de integratie tot en met de evaluatie. Het resultaat is een ‘NIS2score’ voor het hele traject.

Het gaat er niet langer om simpelweg nieuwe procedures en tools op het bestaande te stapelen. In tegenstelling tot andere regelgevingsprojecten dwingt NIS2 ons om het heft weer in eigen handen te nemen door mijlpalen vast te stellen. Het gaat er dus voor zowel de manager van een MKB-bedrijf als de CIO van een belangrijke organisatie om een realistisch traject te volgen, om een regelgevingsverplichting om te zetten in een strategische hefboom.

„NIS 2 legt een middelen- en resultatenverplichting op het gebied van veerkracht op, en geen technologische boodschappenlijst! Het uiteindelijke doel is het verminderen van cyberrisico’s en het waarborgen van de bedrijfscontinuïteit.”

Volgens Nicolas Locoge, ondersteuner van het voorzitterschap van het directiecomité, SPF Kanselarij van de premier, kan het reduceren van NIS2 tot een reeks producten zonder overkoepelende logica een vals gevoel van veiligheid creëren en tegelijkertijd het IT-beheer complexer maken.

Van hulpmiddel naar veerkrachtstrategie

Hoewel een product of dienst een middel kan zijn om aan de nalevingsvereisten te voldoen, beoordeelt NIS2 de algehele beveiligingspositie. De certificering van een hulpmiddel garandeert dus niet dat het correct is geconfigureerd, dat het personeel is opgeleid of dat het bedrijf effectief kan reageren in geval van een IT-crisis.

Met andere woorden: wanneer een bedrijf zich tot leveranciers of dienstverleners op het gebied van IT en cyberbeveiliging wendt om zijn NIS 2-project uit te voeren, is het niet alleen op zoek naar een tool, maar wil het een algemene strategie voor naleving en veerkracht opbouwen.

„NIS2 stelt de beveiliging van de toeleveringsketen centraal in de vereisten”, voegt Peter Braem, CEO van Cyber Security Management, toe.

Het bedrijf zoekt naar zeer specifieke garanties en competenties op basis van verschillende belangrijke pijlers: expertise op het gebied van regelgeving en begeleiding, veiligheidsgaranties die eigen zijn aan de dienstverlener, technische tools voor bescherming en detectie, veerkracht en incidentbeheer, maar ook bewustmaking en opleiding. »

Bovendien kan NIS2 een langdurig traject zijn, constateren de twee experts. En dat is meer methodologisch dan technisch. De richtlijn vereist een formalisering en een prioritering van de prioriteiten. Dat begint met weten wat men doet, hoe men het doet, waarom men het doet en hoe men het aantoont.

Vandaar het idee om de competenties en expertise van gespecialiseerde partners op één platform te bundelen. Dat is CSM Approve.

Sinplify, een Belgisch platform voor cyberbeveiligingscompliance, heeft zich bij het project aangesloten met zijn op AI gebaseerde analysetool. De Belgische start-up maakt het mogelijk om alle compliancegegevens te centraliseren, de voortgang op het gebied van best practices te volgen en moeiteloos professionele rapportages te genereren.

De regie weer in eigen handen nemen door mijlpalen vast te stellen

Het aanbod van CSM Approve is bedoeld als totaaloplossing, van de eerste productselectie tot de beoordeling van de voortgang van het project op basis van best practices uit verschillende referentiekaders.

„Het gaat er niet meer om simpelweg nieuwe procedures en tools op het bestaande te stapelen, zoals veel puur technische dienstverleners momenteel voorstellen“, benadrukt Nicolas Locoge.

De aanpak is hier holistisch. En terecht. In tegenstelling tot andere regelgevingsprojecten dwingt NIS2 ons om de regie weer in eigen handen te nemen door mijlpalen vast te stellen en een realistisch traject te volgen. En uiteindelijk om wat als een beperking kan lijken, om te zetten in een strategische hefboom. »

In feite dwingt NIS 2 een andere kijk op risico af. NIS 2 zegt niet: „u moet deze of gene firewall of dit of dat EDR-instrument aanschaffen”, maar schrijft voor dat elke organisatie haar eigen risico’s moet beoordelen op basis van haar sector, haar infrastructuur en haar specifieke bedreigingen, en bestuursmaatregelen moet invoeren die in verhouding staan tot deze risico’s.

„Het aanschaffen van tientallen beveiligingsprogramma’s zonder overkoepelende logica kan een vals gevoel van veiligheid creëren en tegelijkertijd het IT-beheer complexer maken”, vult Peter Braem aan.

In feite is „overtechnologisering“ een valkuil.Het verzamelen van cyberbeveiligingsproducten zonder een duidelijke strategie voor risicobeperking brengt verschillende problemen met zich mee, zoals achtergrondruis, integratieproblemen en niet te vergeten onnodige kosten – het budget wordt besteed aan licenties in plaats van aan opleiding of organisatorische audits.

Het initiatief is uniek

In dit kader wil Cyber Security Management het grootste portfolio van Europese, en dus soevereine, oplossingen aanbieden. Dit gebeurt met name via de catalogus van Hexastrust – uitsluitend Europees – die meer dan 160 ANSSI-gecertificeerde producten (ISO/IEC 15408) telt die van rechtswege geldig zijn in België en Luxemburg. Wat de dienstverlening betreft, vermelden we de aanwezigheid van Advens, een dienstverlener die deskundig en gekwalificeerd is voor begeleiding bij de naleving van NIS 2 en in staat is het volledige spectrum te bestrijken: kadering en maturiteitsdiagnose, governance en risicobeheer, beveiliging van de toeleveringsketen, technische en operationele implementatie…

Het spreekt voor zich dat CSM Approve in de loop van de tijd nog verder zal worden uitgebreid. Het project van het initiatief werd vorige week voorgesteld tijdens de Assises de la cybersécurité in Monaco; het vond daar veel weerklank. En terecht, het initiatief is uniek.

Nicolas Locoge concludeert: „De toepassing van NIS 2 is niet het afvinken van een lijstje met aan te schaffen apparatuur. Het gaat erom het algemene cybervolwassenheidsniveau van het bedrijf te verhogen, zodat bij een onvermijdelijke aanval de impact op de bedrijfsactiviteiten minimaal is. Het product is een hulpmiddel, het verminderen van het risico is het doel!“