Uitvoeringsregels voor NIS2 stellen technische vereisten vast voor digitale-infrastructuurentiteiten

Uitvoeringsverordening (EU) 2024/2690 van de Commissie van 17 oktober 2024 stelt de technische en methodologische vereisten vast van de risicobeheersmaatregelen uit NIS2 voor entiteiten in de digitale sector — aanbieders van DNS-diensten, TLD-registers, cloudcomputing, datacenters, contentdeliverynetwerken, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, onlinemarktplaatsen, zoekmachines, sociale netwerken en verleners van vertrouwensdiensten. De bijlage bestrijkt de volledige set beheersmaatregelen: beveiligingsbeleid, risicobeheer, incidentafhandeling, bedrijfscontinuïteit en crisisbeheer, ketenbeveiliging, veilige verwerving, technische beveiligingsmaatregelen, cryptografie, fysieke beveiliging en HR- en toegangsbeheer. Ook wordt bepaald wanneer een incident 'significant' en daarmee meldingsplichtig is, aan de hand van concrete criteria zoals directe financiële schade boven EUR 500 000 of 5% van de jaaromzet, duur van dienstonderbrekingen die per dienstsoort verschilt, aangetaste integriteit of vertrouwelijkheid van gegevens door kwaadwillig handelen, drempels voor gebruikersimpact, schade aan gezondheid of leven, en succesvolle onbevoegde toegang met een vermoedelijk kwaadwillig karakter.

Voor de digitale sector volstaat een beroep op 'passende maatregelen' niet langer: de bijlage is een toetsbare basislijn van beheersmaatregelen en de incidentdrempels zijn getallen, geen inschattingen. Logica voor incidentclassificatie die vóór deze verordening is geschreven, sluit niet aan op de drempels die toezichthouders nu hanteren.

De genoemde categorieën digitale infrastructuur en digitale aanbieders, overal waar zij klanten in de EU bedienen — in de praktijk is het beveiligingsteam eigenaar van de koppeling aan de bijlage en het incidentresponsteam van de nieuwe significantiedrempels.