Stoïk vertaalt NIS2-eisen naar checklist voor adviseurs en mkb
Met een gratis checklist wil cyberverzekeraar Stoïk adviseurs en mkb-bedrijven laten zien wat de Cyberbeveiligingswet in de praktijk van hen vraagt. De lijst zet de tien beveiligingsdomeinen uit de wet naast het eigen aanbod van Stoïk – en maakt ook duidelijk welke maatregelen een verzekeraar niet van een organisatie kan overnemen.
Sinds 15 augustus geldt de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn. Daarmee komt ook de verantwoordelijkheid van bestuurders voor cyberbeveiliging nadrukkelijker in beeld. De impact van de wet reikt verder dan de organisaties die er rechtstreeks onder vallen: ook mkb-bedrijven krijgen steeds vaker strengere beveiligingseisen van grotere klanten en partners in hun toeleveringsketen.
Voor adviseurs en hun klanten is de vraag vooral welke concrete maatregelen daaruit volgen. “Je koopt cyberweerbaarheid niet kant-en-klaar in een winkel”, zegt Robert Spaan (Country Manager Nederland bij Stoïk). “Eén tool of polis is niet genoeg om volledig NIS2-conform te zijn.”
Twee domeinen blijven bij de organisatie
Hoe ver een verzekeraar wél komt, laat de checklist per domein zien. Twee van de tien domeinen vult Stoïk rechtstreeks in: het gaat om incidentafhandeling en om cyberhygiëne en training.
Bij zes andere domeinen biedt het bedrijf ondersteuning: bij risicoanalyse en beveiligingsbeleid, bij bedrijfscontinuïteit, back-ups en crisisbeheer, bij veilige aankoop en kwetsbaarheidsbeheer, bij effectiviteitsbeoordeling, bij HR-beveiliging, toegangscontrole en assets en bij multifactorauthenticatie en beveiligde communicatie.
De twee overige domeinen, de beveiliging van de toeleveringsketen en het cryptografiebeleid, blijven de eigen verantwoordelijkheid van de organisatie en staan ook zo in de checklist. Juist via die keten krijgen veel mkb-bedrijven met de nieuwe eisen te maken.
“Bedrijven hebben doorlopend praktische begeleiding nodig: waar begin je, wat regel je zelf en waar helpt gespecialiseerde ondersteuning echt verder?” zegt Spaan. “Deze checklist is daar een concreet voorbeeld van. Je ziet waar een organisatie nu staat, welke stappen nog nodig zijn en waar Stoïk (in)direct kan ondersteunen.”
Melden binnen 24 uur
Voor incidentafhandeling, een van de twee domeinen die Stoïk rechtstreeks invult, stelt NIS2 harde termijnen. Organisaties moeten een incident snel detecteren, de schade beperken en herstellen. Binnen 24 uur volgt een vroegtijdige melding en waar van toepassing binnen 72 uur een uitgebreider verslag.
Stoïk speelt daarop in met beheerde beveiliging en incidentrespons, dag en nacht, en met hulpmiddelen om bij een incident doeltreffender te reageren. Die diensten vormen twee van de vijf pijlers van het model van het bedrijf, naast technisch risicobeheer, menselijke risicobeperking en de cyberverzekering zelf.
“Adviseurs en mkb-bedrijven krijgen steeds vaker te maken met risico’s op het snijvlak van verzekeringen, cybersecurity en regelgeving”, aldus Spaan. “Onze rol is om hen te helpen die wettelijke eisen te vertalen naar praktische en haalbare oplossingen.”
“Ook voor mkb-bedrijven die niet rechtstreeks onder de Cyberbeveiligingswet vallen, blijft aandacht voor cyberrisico’s essentieel. Cybercriminelen houden immers geen rekening met wettelijke verplichtingen of de omvang van een organisatie”, besluit Spaan.
