Tien punten, op volgorde van wat het snelst helpt.
Er is geen officiële NIS2-checklist. De Cyberbeveiligingswet noemt in artikel 21, derde lid tien onderwerpen, van a tot en met j, en laat aan de organisatie zelf over wat passend is. Deze lijst volgt die tien.
De volgorde is niet die van de wet. Die somt op; deze lijst begint bij wat het minst kost en het meest scheelt. Een checklist die opent met cryptografiebeleid is een checklist die niemand afmaakt.
Val je hier zelf niet onder? Waarschijnlijk klopt dat. De wet geldt voor je opdrachtgever, en die moet zijn leveranciers beoordelen. Daarom krijg jij de vraag.
Een van de woorden hieronder niet meteen duidelijk? Drie veelgebruikte termen staan in gewone taal uitgelegd.
Staat er naast het wachtwoord een tweede stap op je mail en je bestanden?
Zonder tweede stap geeft één gestolen wachtwoord directe toegang. Dit is de maatregel die het meest tegenhoudt voor het minste geld.
Wat je doet: Zet het aan in Microsoft 365 of Google Workspace. Begin bij de accounts die anderen kunnen beheren; daar is geen speelruimte.
Weet iedereen bij wie hij een incident meldt, en hoe snel jij je opdrachtgever belt?
Je opdrachtgever heeft zelf 24 uur voor zijn eerste melding. Die klok begint als het bij jou misgaat, niet als hij het hoort.
Wat je doet: Zet op één A4 wie beoordeelt, wie beslist, wie belt en binnen hoeveel uur. Dat is genoeg om te beginnen.
Heeft iedereen een account op zijn eigen naam, en gaat dat er op zijn laatste dag af?
Bij een gedeeld account is achteraf niet te zien wie iets deed, en dat is precies wat je na een incident nodig hebt. Een account dat na vertrek open blijft staan is een openstaande deur, en bij je opdrachtgever is het zijn deur geworden.
Wat je doet: Vervang de gedeelde accounts, en maak een lijstje van wat er per vertrek moet worden ingetrokken. Leg de datum vast als het gebeurd is.
Heb je ooit geprobeerd een back-up daadwerkelijk terug te zetten?
Een back-up die nooit is teruggezet, is een aanname. Dat merk je op het moment dat je het niet wilt merken.
Wat je doet: Zet één map terug, noteer de datum en hoe lang het duurde. Dat is de proef, en die vastlegging is wat je opdrachtgever kan navragen.
Weet je wie updates installeert, en hoe snel na het uitkomen?
De meeste inbraken lopen via een lek waarvoor de reparatie al bestond. Uitstellen tot volgende week is precies dat gat.
Wat je doet: Wijs iemand aan, zet automatische updates aan waar het kan, en spreek een termijn af voor de rest.
Staat er op papier dat je IT-partij een incident binnen 24 uur bij je meldt?
Wat achter jou zit moet sneller zijn dan wat voor je ligt. Anders haal jij de termijn van je opdrachtgever niet.
Wat je doet: Neem het mee bij de eerstvolgende contractverlenging. Bestaande contracten hoef je niet open te breken.
Hebben je mensen dit jaar iets gehoord over nepmails en wachtwoorden?
De wet vraagt om opleiding, en je opdrachtgever vraagt of het is vastgelegd. Zonder handtekeningen is het niet gebeurd.
Wat je doet: Eén kwartier, één A4, en laat iedereen tekenen dat hij het heeft gelezen. Herhaal het jaarlijks.
Staat ergens op papier welke drie dingen bij jouw bedrijf de meeste schade zouden doen?
Dit is de maatregel waar het NCSC mee begint, want de andere negen horen hieruit te volgen. Zonder dit doe je maatregelen omdat ze op een lijstje staan, niet omdat ze bij jou iets afdekken.
Wat je doet: Schrijf drie dingen op die je werk stil zouden leggen of je opdrachtgever zouden raken, en waarom. Een half A4 is genoeg om te beginnen.
Staan de laptops op slot met BitLocker of FileVault?
Een gestolen laptop zonder versleuteling levert leesbare bestanden op. Met versleuteling levert hij niets op.
Wat je doet: Zet het aan. Op de meeste zakelijke laptops is het een instelling, geen project.
Staat er een moment in de agenda om dit opnieuw langs te lopen?
De wet verwacht een cyclus, geen eenmalig document. En je bedrijf van volgend jaar is niet je bedrijf van nu.
Wat je doet: Zet een herinnering over twaalf maanden. Dat is de hele maatregel.
Je opdrachtgever vraagt niet of je het hebt geregeld. Hij vraagt of je het kunt laten zien, want hij moet het zelf vastleggen. Daar is deze lijst niet genoeg voor: hij wil een stuk met jouw naam en KvK-nummer erop.
De gratis check loopt negen van deze punten met je langs en laat zien waar het bij jou openstaat. Twee minuten, geen betaalgegevens.
Doe de gratis checkVragen en antwoorden
- Is er een officiële NIS2-checklist?
- Nee. De Cyberbeveiligingswet schrijft geen lijst voor. Wat er wel ligt is artikel 21, derde lid, met tien onderwerpen van a tot j. Deze lijst volgt die tien, maar dan op volgorde van wat het minst kost en het meest scheelt.
- Moet ik als leverancier deze checklist afwerken?
- Van de wet niet: die geldt voor je opdrachtgever. Van je contract mogelijk wel. Hij moet zijn keten beoordelen, en jij bent een van zijn leveranciers.
- Hoe lang kost dit voor een bedrijf van twaalf man?
- De eerste vier punten zijn instellingen en afspraken; die doe je in een paar avonden. Punt 6 loopt mee met je contracten en kost dus geen extra tijd, alleen geduld.
- Wat als ik op de helft van de punten nee moet antwoorden?
- Dan is dat je antwoord aan je opdrachtgever, met erbij wanneer je het oppakt. Artikel 21, tweede lid vraagt om maatregelen die passen bij je omvang, niet om een perfecte score. Een inkoper die er tien per week leest, gelooft een lijst met alleen vinkjes toch niet.
- Heb ik hier ISO 27001 voor nodig?
- Nee. De wet noemt geen enkele norm bij naam. ISO 27001 is één manier om het aan te tonen, en voor de meeste toeleveranciers een dure manier voor iets wat ook op twee pagina's kan.