NIS2 eist dat organisaties een expliciet beleid voeren voor het gebruik van cryptografie en encryptie als onderdeel van hun bredere zorgplicht. Concreet betekent dit dat encryptie een verplicht aandachtspunt is binnen het risicobeheer van elke organisatie die onder de richtlijn valt. De wet schrijft geen specifieke algoritmen voor, maar vereist wel dat encryptie passend en evenredig wordt ingezet op basis van een risicobeoordeling. In dit artikel beantwoorden we de meest gestelde vragen over NIS2 encryptie: van welke eisen gelden tot hoe je aantoonbaar compliant bent.
Welke soorten encryptie zijn verplicht onder NIS2?
NIS2 verplicht organisaties niet tot een specifieke encryptietechnologie of een specifiek algoritme, maar eist wel een gedocumenteerd beleid voor het gebruik van cryptografie en encryptie. Dit beleid moet aantonen dat encryptie risicogericht wordt toegepast op alle systemen en gegevens waarvoor dat gezien het risicoprofiel noodzakelijk is. De keuze voor een specifieke methode blijft de verantwoordelijkheid van de organisatie zelf.
In de praktijk betekent dit dat organisaties moeten nadenken over encryptie op meerdere niveaus:
- Encryptie van data in transit: gegevens die worden verstuurd via netwerken moeten worden beveiligd, bijvoorbeeld via TLS-protocollen voor webverkeer en e-mailcommunicatie.
- Encryptie van data at rest: opgeslagen gegevens op servers, laptops en opslagmedia moeten worden versleuteld, zeker wanneer het gaat om gevoelige of bedrijfskritische informatie.
- Sleutelbeheer: encryptie is alleen zo sterk als het beheer van de bijbehorende sleutels. NIS2 vereist indirect dat organisaties ook nadenken over wie toegang heeft tot sleutels en hoe deze worden beheerd en opgeslagen.
De NIS2-richtlijn koppelt encryptie nadrukkelijk aan het bredere pakket van NIS2 verplichtingen rondom toegangsbeveiliging en multi-factorauthenticatie. Encryptie staat dus niet op zichzelf, maar maakt deel uit van een samenhangende beveiligingsstrategie. Organisaties die al werken met erkende normen zoals ISO/IEC 27002 of de Baseline Informatiebeveiliging Overheid (BIO2) zullen merken dat een groot deel van de encryptie-eisen al in die kaders is opgenomen.
Voor welke organisaties gelden de NIS2-encryptie-eisen?
De NIS2 encryptie-eisen gelden voor alle organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, zowel essentiële als belangrijke entiteiten. In Nederland gaat het om meer dan 10.000 organisaties die direct onder de richtlijn vallen, en naar schatting 50.000 bedrijven in de toeleveringsketen die er indirect mee te maken krijgen.
Automatisch onder de wet vallen onder andere:
- Ministeries, diensten en agentschappen van de rijksoverheid
- Provincies, gemeenten en waterschappen
- Organisaties in sectoren zoals energie, transport, financiën, gezondheidszorg, drinkwater en digitale infrastructuur
- Zelfstandige bestuursorganen (ZBO’s) die onder de Kaderwet ZBO’s vallen
Voor private organisaties geldt naast de sectorindeling ook een omvangscriterium: middelgrote en grote ondernemingen in aangewezen sectoren vallen onder de wet. Kleine organisaties kunnen er ook onder vallen als zij een kritieke rol spelen in hun sector. Overheidsinstanties vormen een aparte categorie waarbij het omvangscriterium uitdrukkelijk niet van toepassing is.
Organisaties zijn zelf verantwoordelijk om te bepalen of zij onder de Cbw vallen. Hulpmiddelen hiervoor zijn de NIS2 Zelfevaluatietool via regelhulpenvoorbedrijven.nl en de Flowchart Registratieplicht van het NCSC. Twijfel je of jouw organisatie onder de wet valt? Dan is het verstandig dit tijdig te laten beoordelen, want de risico’s zijn er nu al.
Wat zijn de gevolgen van niet-naleving van NIS2-encryptienormen?
Organisaties die niet voldoen aan de NIS2-encryptienormen riskeren aanzienlijke boetes en reputatieschade. Essentiële entiteiten kunnen boetes krijgen tot maximaal 10 miljoen euro of 2% van hun wereldwijde jaaromzet, terwijl voor belangrijke entiteiten boetes tot 7 miljoen euro of 1,4% van de jaaromzet gelden. Bovendien kan het senior management persoonlijk aansprakelijk worden gesteld bij ernstige overtredingen.
Naast financiële sancties zijn er ook operationele gevolgen. Wanneer een datalek of cyberincident plaatsvindt waarbij encryptie ontbrak of onvoldoende was, moet dit gemeld worden bij de nationale autoriteiten. De meldprocedure onder de Cbw bestaat uit drie stappen:
- Vroegtijdige waarschuwing: eerste melding binnen 24 uur na ontdekking van het incident.
- Vervolgmelding: aanvullende informatie binnen 72 uur na de eerste melding.
- Eindverslag: een gedetailleerde beschrijving van het incident, de ernst en de gevolgen, uiterlijk één maand na de eerste melding.
Toezicht op de naleving wordt uitgeoefend door de Rijksinspectie Digitale Infrastructuur (RDI) voor de overheidssector en sectorspecifieke toezichthouders voor andere sectoren. Het ontbreken van een aantoonbaar encryptiebeleid wordt gezien als een tekortkoming in de zorgplicht, wat bij een inspectie of incident direct tot handhavingsmaatregelen kan leiden.
Hoe toont een organisatie aan dat encryptie NIS2-compliant is?
Een organisatie toont NIS2-compliance op het gebied van encryptie aan door een gedocumenteerd cryptografiebeleid te hebben dat is gebaseerd op een actuele risicobeoordeling, en door aantoonbaar te maken dat dit beleid in de praktijk wordt gevolgd en periodiek wordt geëvalueerd. Documentatie en aantoonbaarheid zijn hierbij sleutelwoorden.
Concreet betekent dit:
- Een schriftelijk cryptografiebeleid: dit beleid beschrijft welke encryptiestandaarden worden gebruikt, voor welke systemen en gegevens, en hoe sleutelbeheer is geregeld.
- Een risicoanalyse als basis: de keuze voor encryptie moet voortvloeien uit een risicobeoordeling die aantoont welke gegevens en systemen bescherming nodig hebben en op welk niveau.
- Technische verificatie: via een penetratietest of vulnerability scan kan worden vastgesteld of de encryptie-implementatie in de praktijk ook daadwerkelijk werkt zoals bedoeld.
- Aansluiting op erkende normen: organisaties die werken volgens ISO/IEC 27002 of BIO2 kunnen aantonen dat hun encryptiebeleid voldoet aan internationaal erkende standaarden, wat de bewijslast bij toezicht sterk vereenvoudigt.
- Periodieke evaluatie: encryptiestandaarden verouderen. Een compliant organisatie evalueert haar cryptografiebeleid regelmatig en past het aan wanneer nieuwe risico’s of technologieën dat vereisen.
Voor overheidsorganisaties geldt de BIO2 als normatieve invulling van de zorgplicht. Naleving van BIO2 dekt een groot deel van de NIS2-encryptie-eisen af en vormt daarmee het logische startpunt voor aantoonbare compliance.
Wat is het verschil tussen NIS2-encryptie-eisen en AVG-verplichtingen?
NIS2 en de AVG stellen beide eisen aan encryptie, maar vanuit een fundamenteel ander perspectief. De AVG richt zich op de bescherming van persoonsgegevens en verplicht encryptie als technische maatregel om datalekken te voorkomen of de impact ervan te beperken. NIS2 heeft een bredere scope en richt zich op de weerbaarheid van netwerk- en informatiesystemen als geheel, waarbij encryptie één van de verplichte onderdelen is van het risicobeheer.
AVG: persoonsgegevens centraal
Onder de AVG is encryptie een aanbevolen technische maatregel om persoonsgegevens te beschermen. Als bij een datalek blijkt dat de betrokken gegevens versleuteld waren, kan dit de meldplicht en de ernst van de overtreding beïnvloeden. De AVG kijkt dus naar encryptie als middel om schade aan betrokkenen te beperken.
NIS2: systeemweerbaarheid centraal
NIS2 gaat verder dan persoonsgegevens. De richtlijn vereist encryptiebeleid voor alle bedrijfskritische informatie en systemen, ongeacht of het persoonsgegevens betreft. De focus ligt op het waarborgen van de continuïteit, vertrouwelijkheid en integriteit van dienstverlening. Encryptie is hier een onderdeel van een breder pakket aan beveiligingsmaatregelen, samen met toegangsbeheer, multi-factorauthenticatie en supply chain security.
In de praktijk overlappen de eisen elkaar gedeeltelijk: wie voldoet aan de NIS2-encryptie-eisen, voldoet doorgaans ook aan de AVG-vereisten op dit punt. Maar de omgekeerde redenering gaat niet altijd op. Een organisatie die alleen persoonsgegevens versleutelt maar geen breder cryptografiebeleid heeft, voldoet aan de AVG maar niet aan NIS2. Het is dus verstandig om beide kaders samen te bezien en een geïntegreerde aanpak te kiezen.
Hoe Q-Cyber helpt met NIS2 encryptie en compliance
NIS2 encryptie-eisen begrijpen is één ding, maar ze correct implementeren en aantoonbaar maken is een ander verhaal. Q-Cyber begeleidt organisaties door het volledige NIS2-traject, van beleid tot technische verificatie.
Wat wij concreet voor jouw organisatie doen:
- Gap-analyse: we brengen in kaart waar jouw huidige encryptiebeleid tekortschiet ten opzichte van de NIS2-eisen en BIO2.
- Beleidsschrijving op maat: we schrijven een cryptografiebeleid dat aansluit op jouw risicoprofiel en voldoet aan de wettelijke vereisten, via onze compliance en beleid dienstverlening.
- Technische toetsing: via pentests en vulnerability scans toetsen we of de encryptie-implementatie in de praktijk werkt zoals bedoeld.
- Virtueel CISO: via Continuous-Q® bieden we doorlopende begeleiding door een team van specialisten, zodat jouw organisatie structureel compliant blijft.
- Bestuurderstrainingen: we verzorgen trainingen zodat ook de politieke of bestuurlijke leiding de NIS2-verplichtingen begrijpt en kan sturen op naleving.
Q-Cyber werkt volledig onafhankelijk, zonder binding aan softwarepartijen of leveranciers. Dat betekent dat het advies dat je krijgt altijd in jouw belang is, niet in dat van een technologiepartner. Wil je weten hoe jouw organisatie er nu voor staat op het gebied van NIS2 encryptie? Neem contact op en we kijken samen naar de volgende stap.
Gerelateerde artikelen
- Is iedere critical CVE ook daadwerkelijk kritiek voor jouw organisatie?
- Hoe bescherm je je bedrijf tegen zero-day aanvallen?
- Hoe bewijs je aan een toezichthouder dat je NIS2-compliant bent?
- Wat is SIEM en heb je het nodig als mkb?
- Hoe bereken je de ROI van cybersecurity-investeringen?
- Hoe voorkom ik dat ik opnieuw word gehackt?
- Hoeveel bedrijven hebben te maken met cybercriminaliteit?
- Wat is black box pentesten?
- Wat is een white hat hacker
- Welke certificeringen zijn er voor pentesters?