Belangrijkste verplichtingen
Zorgplicht: passende beveiligingsmaatregelen
Art. 21 NIS2 vereist passende en evenredige risicobeheersmaatregelen: risicoanalyse en beveiligingsbeleid, incidentafhandeling, bedrijfscontinuïteit (back-ups/herstel), beveiliging bij ontwikkeling/onderhoud, effectiviteitsmeting, basale cyberhygiëne en versleuteling.
Toegangsbeheer en multifactorauthenticatie
Art. 21 NIS2 noemt toegangsbeheer, waaronder multifactorauthenticatie en accountbeheer, als onderdeel van de minimummaatregelen.
Gefaseerde meldplicht (24/72 uur)
NIS2 stelt een gefaseerde meldplicht voor significante incidenten: een vroegtijdige waarschuwing binnen 24 uur, een incidentmelding binnen 72 uur en een eindrapport binnen één maand aan de autoriteit/CSIRT.
Beveiliging van de toeleveringsketen
Art. 21 NIS2 regelt uitdrukkelijk de beveiliging van de toeleveringsketen, met inbegrip van de relaties met directe leveranciers; afnemers mogen deze verplichting contractueel doorleggen.
Bestuurlijke verantwoordelijkheid en scholing
Art. 20 NIS2 legt de verantwoordelijkheid bij het leidinggevend orgaan: het goedkeuren van maatregelen, toezien op de uitvoering, verplichte scholing en mogelijke aansprakelijkheid bij niet-naleving.
Registratie bij de bevoegde autoriteit
NIS2 vereist een registratiemechanisme; bepaalde digitale dienstverleners hebben een rechtstreekse registratieplicht. De Cyberbeveiligingswet bepaalt het contactpunt en de procedure.