NIS2 en de Cyberbeveiligingswet: checklist voor bedrijven in en rond de haven

Begin hier. Of de wet op u van toepassing is, hangt af van uw sector en de omvang van uw organisatie. Het NCSC legt dit uit op de pagina valt mijn organisatie onder de Cyberbeveiligingswet.

• De zelfevaluatie van de RDI ingevuld om te zien of uw organisatie onder de Cbw valt en of u essentieel of belangrijk bent.

  Zo weet u binnen een paar minuten welke verplichtingen voor u gelden. De NIS2-zelfevaluatie staat op regelhulpenvoorbedrijven.nl.

• Bij de omvangsbepaling ook partner- en verbonden ondernemingen meegeteld (medewerkers, omzet en balanstotaal).

  Volgens het NCSC tellen die mee, waardoor een kleine werkmaatschappij binnen een grotere groep toch onder de wet kan vallen.

• Als u onder de wet valt: uw organisatie geregistreerd via MijnNCSC en afgesproken wie wijzigingen bijhoudt.

  Registratie is verplicht en wijzigingen moet u volgens het NCSC binnen 14 dagen doorvoeren. Zie registreren voor de Cbw.

• Als u er niet zelf onder valt: nagegaan welke klanten wel onder de Cbw vallen en welke eisen zij aan u als leverancier kunnen stellen.

  Uw klanten in de haven moeten ook de risico's in hun toeleveringsketen beheersen en zullen u daar vroeg of laat naar vragen.

• De directie is eigenaar van cybersecurity en keurt de maatregelen goed.

  Volgens het NCSC moeten bestuurders de maatregelen goedkeuren en toezicht houden op de uitvoering; dit is geen taak die u alleen bij IT kunt neerleggen.

• Bestuurders hebben voldoende kennis van cyberrisico's, bijvoorbeeld via een training.

  De NCTV noemt cybersecuritytraining voor het bestuur als onderdeel van de bestuurlijke verantwoordelijkheid, en zonder basiskennis kunt u risico's niet goed afwegen.

• Cybersecurity staat periodiek op de agenda van het managementoverleg, met een vaste verantwoordelijke.

  Zo blijven risico's, incidenten en de voortgang van maatregelen zichtbaar voor wie erover beslist.

Meer hierover: Compliance en NIS2-ondersteuning

• Vastgelegd welke systemen en gegevens onmisbaar zijn voor uw dienstverlening, zoals planning, terminal- of warehousesystemen en e-mail.

  De zorgplicht is risicogebaseerd: u kunt alleen passende maatregelen kiezen als u weet wat u beschermt.

• Een risicoanalyse gemaakt en vastgelegd welke maatregelen u daarom neemt.

  "Maak een risicoanalyse" is de eerste van de tien zorgplichtmaatregelen die het NCSC noemt. Zie zorgplicht.

• Afgesproken wanneer u de risicoanalyse herhaalt, bijvoorbeeld jaarlijks en na grote wijzigingen.

  Nieuwe systemen, leveranciers of dreigingen veranderen uw risico's, en een analyse van jaren geleden zegt dan weinig.

• Inloggen op e-mail, cloud en toegang op afstand gebeurt met passkeys of multifactorauthenticatie.

  Het NCSC noemt passkeys als voorkeur en MFA waar dat nog niet kan, omdat passkeys in hoge mate bestand zijn tegen phishing.

• Er zijn back-ups die los staan van het netwerk, en terugzetten is recent getest.

  Bij ransomware of uitval bepaalt een werkende back-up hoe snel uw operatie weer draait.

• Updates voor besturingssystemen, software, firewalls en andere netwerkapparatuur worden volgens een vaste planning geïnstalleerd.

  Bekende kwetsbaarheden in niet-bijgewerkte systemen zijn een veelgebruikte ingang voor aanvallers.

• Belangrijke systemen leggen logboeken vast en iemand kijkt actief naar afwijkingen.

  Zonder logging en monitoring ontdekt u een incident vaak te laat, en kunt u achteraf niet vaststellen wat er is gebeurd.

• Accounts van vertrokken medewerkers en tijdelijke krachten worden direct ingetrokken en beheerrechten zijn beperkt.

  In een omgeving met ploegendiensten, uitzendkrachten en externe partijen blijven oude accounts anders snel openstaan.

Meer hierover: MFA, Back-up en disaster recovery, Security monitoring

Het NCSC beschrijft de meldplicht voor significante incidenten in drie stappen: een vroegtijdige waarschuwing binnen 24 uur, een volledige melding binnen 72 uur en een eindverslag binnen 1 maand na de melding. Melden gaat via het centrale meldpunt op MijnNCSC. Zie meldplicht voor de actuele regels en de drempels per sector.

• Er is een incidentresponsplan met wie wat doet, wie beslist en wie u extern belt.

  Tijdens een incident is er geen tijd om rollen en telefoonnummers uit te zoeken.

• Vastgelegd wie beoordeelt of een incident significant is en wie de melding doet binnen de termijnen.

  De eerste termijn is kort, dus de beslissing om te melden moet ook buiten kantoortijden genomen kunnen worden.

• Het plan is minstens een keer geoefend, bijvoorbeeld met een tafeloefening rond een ransomware-scenario.

  Een oefening laat zien waar het plan hapert voordat het echt nodig is.

• Er is een plan om bij uitval van IT door te werken en systemen in een vaste volgorde te herstellen.

  Voorbereiding op uitval is een van de zorgplichtmaatregelen, en in een 24/7-haven kost stilstand direct geld.

Het NCSC geeft aan dat toeleveranciers niet rechtstreeks onder de Cbw vallen, maar dat Cbw-organisaties maatregelen van hun directe leveranciers kunnen verlangen. Zie de Cyberbeveiligingswet en toeleveranciers.

• Een overzicht gemaakt van leveranciers die toegang hebben tot uw systemen of ICT-diensten en -componenten leveren.

  Dat zijn volgens het NCSC precies de leveringsrelaties waarbij een Cbw-organisatie maatregelen kan vragen.

• Beveiligingsafspraken met belangrijke leveranciers vastgelegd in contract of SLA, inclusief melden van incidenten.

  Wat niet op papier staat, kunt u bij een incident of audit niet afdwingen of aantonen.

• Beveiliging is een vast onderdeel bij de inkoop van nieuwe systemen en diensten.

  Eisen stellen bij de start is eenvoudiger dan achteraf verbeteren bij een leverancier die al is ingebed.

• Als u zelf leverancier bent: een overzicht klaar van uw eigen beveiligingsmaatregelen dat u met klanten kunt delen.

  Het NCSC raadt toeleveranciers aan proactief het gesprek met klanten aan te gaan en inzichtelijk te maken wat al geregeld is.

In de haven hangen kranen, poorten, weegbruggen, koelcontainers en procesinstallaties steeds vaker aan een netwerk. Die operationele technologie (OT) vraagt om een andere aanpak dan kantoorcomputers.

• Een overzicht van alle OT- en IoT-apparaten die aan een netwerk hangen, met eigenaar en leverancier.

  Wat u niet kent, kunt u niet beveiligen of bijwerken.

• OT-systemen zitten in een apart netwerksegment met alleen de verbindingen naar kantoor-IT die echt nodig zijn.

  Zo kan een besmette laptop op kantoor niet zomaar doorwerken naar systemen die de operatie aansturen.

• Toegang op afstand voor onderhoud door leveranciers loopt via een beveiligde, gelogde verbinding die alleen openstaat wanneer nodig.

  Permanente onderhoudsverbindingen zijn een bekende en vaak vergeten ingang tot OT-omgevingen.

Meer hierover: Firewall en netwerkbeveiliging

• Alle medewerkers, ook op de werkvloer en in ploegendienst, krijgen regelmatig uitleg over phishing en veilig werken.

  Veel aanvallen beginnen met een e-mail of telefoontje, en iedereen met een account is een mogelijk doelwit.

• Medewerkers weten hoe en bij wie ze een verdachte e-mail of situatie direct melden.

  Een snelle interne melding is vaak het verschil tussen een poging en een incident.

• U volgt dreigingsinformatie voor de havensector, bijvoorbeeld via Ferm Zeehavens of het NCSC.

  Ferm Zeehavens is het samenwerkingsverband voor cyberweerbaarheid in de Nederlandse zeehavens, waaronder de haven van Rotterdam, en deelt onder meer dreigingsinformatie.

Meer hierover: Security awareness

• Uw risicoanalyse, gekozen maatregelen en verantwoordelijkheden zijn op één plek vastgelegd.

  Een toezichthouder of klant wil kunnen zien wat u doet, niet alleen horen dat het geregeld is.

• U controleert periodiek of de maatregelen werken, bijvoorbeeld met een interne check, audit of test.

  Het beoordelen van de effectiviteit van maatregelen is een van de tien zorgplichtmaatregelen van het NCSC.

• Incidenten en bijna-incidenten worden vastgelegd, met wat u ervan hebt geleerd.

  Zo kunt u later aantonen hoe u heeft gehandeld en voorkomt u dat hetzelfde opnieuw gebeurt.