door Evelien Callewaert
In maart 2019 zette ons land eindelijk de Europese richtlijn over de bestrijding van cyberaanvallen om in een eigen wetgeving. Bijna een jaar na de deadline ging de nieuwe wet eindelijk van kracht. Ons land werd het afgelopen jaar dan ook meermaals op de vingers getikt. De nieuwe wetgeving, beter gekend als de NIS-wet of cybersecuritywet, verplicht bepaalde bedrijven om zich voortaan expliciet te wapenen tegen cyberaanvallen.
Uit recent onderzoek blijkt dat 71 procent van de Belgische bedrijven de afgelopen 12 maanden een cyberincident kende. Dat zijn er een pak meer dan het jaar ervoor. Niet alleen de frequentie, maar ook de impact van de aanvallen wordt steeds groter. Denk maar aan de vliegtuigonderdelenproducent Asco waar de productie dagenlang stillag, of aan de industriële bakkerij Ranson die duizenden euro’s moest betalen om opnieuw te kunnen werken. Bovendien blijken niet enkel grote ondernemingen het mikpunt te zijn, maar worden ook steeds meer middelgrote ondernemingen het slachtoffer van cyberaanvallen.
De Europese Unie vaardigde daarom een richtlijn uit waarbij heel wat ondernemingen voortaan verplicht worden om zich te beveiligen tegen cyberaanvallen. Deze richtlijn werd in België omgezet in de NIS-wet of Cybersecuritywet en is de eerste wet in ons land die bedrijven verplicht om zich te beschermen tegen mogelijke cyberaanvallen.
Bedrijven die de wetgeving niet naleven kunnen zowel administratieve als strafrechtelijke boetes opgelegd krijgen. De boetes kunnen oplopen tot 50.000 euro (te vermenigvuldigen met 8) of een gevangenisstraf tot een jaar. Er zijn ook administratieve sancties mogelijk tot 200.000 euro.
De NIS-wet is enerzijds van toepassing op bedrijven die essentiële diensten aanbieden in specifieke sectoren zoals onder andere transport, financiën, gezondheidszorg en energie. Deze bedrijven zullen expliciet aangeduid worden door de sectorale overheid. Anderzijds vallen ook bepaalde digitale dienstverleners onder de wetgeving. In tegenstelling tot de aanbieders van essentiële diensten worden de digitale dienstverleners niet expliciet aangeduid. Aanbieders van digitale diensten moeten zelf onderzoeken of ze al dan niet onder de wet vallen. Concreet gaat het om volgende digitale diensten:
Bent u volgens de NIS-wetgeving een digitale dienstverlener? Dan moet u een aantal technische en organisatorische maatregelen nemen. Wij zetten ze kort op een rij.
Stel een Data Protection Officer (DPO) aan
Elke digitale dienstverlener die onder het toepassingsgebied van de NIS-wetgeving valt, dient een DPO aan te stellen. Er wordt hier een link gelegd met de GDPR-wetgeving. Daar waar de GDPR een focus legt op de bescherming van persoonsgegevens, legt de NIS de focus op de beveiliging van systemen, infrastructuur en gegevens in het algemeen.
Meld incidenten zo snel mogelijk en neem beveiligingsmaatregelen
Indien uw onderneming gezien wordt als een middelgrote onderneming volgens de Europese KMO-definitie, moet u een aantal specifieke beveiligingsmaatregelen nemen. Het gaat hierbij onder andere om de fysieke beveiliging van uw data en informatiesystemen, systematische controles op de beveiliging en het zorgen voor een toegangscontrole. De te nemen beveiligingsmaatregelen werden vastgelegd in een Verordening van de Europese Unie.
Daarnaast bent u als middelgrote onderneming verplicht om incidenten te melden wanneer die aanzienlijke gevolgen hebben voor de dienstverlening. Ook hier wordt een link gelegd met de GDPR-wetgeving. Waar de meldplicht onder GDPR beperkt blijft tot incidenten met persoonsgegevens, gaat het bij de NIS-wetgeving over alle incidenten die de dienstverlening ernstig in het gedrang brengen.
Vraagt u zich af of de NIS-wetgeving op uw onderneming van toepassing is? Wenst u begeleiding om op een pragmatische manier te voldoen aan de NIS-wetgeving? Contacteer onze specialisten via cyber@vdl.be of neem contact op met onze partner clipeum via frederik.vervoort@clipeum.be.
Evelien Callewaert
Senior Advisor Legal evelien.callewaert@vdl.be
Disclaimer
Bij onze adviezen baseren wij ons op de huidige wetgeving, interpretaties en rechtsleer. Dit verhindert niet dat de administratie deze kan betwisten of dat bestaande interpretaties kunnen wijzigen.
Lees onze laatste inzichten en nieuwsberichten om op de hoogte te blijven van veranderingen in jouw sector.