NIS2 Litouwen: wat u moet weten!

Wat betekent dit voor mijn bedrijf?

1. Registratie (Art. 11, 13, 19)

De registratie van de cyber security entiteiten wordt in Litouwen gecoördineerd door het Nationaal Cyber Security Centrum (NKSC) onder het ministerie van Defensie. Het NKSC dient uiterlijk op 17 april 2025 een lijst op te stellen waarin entiteiten die aangemerkt worden als belangrijk of essentieel opgenomen worden. Hiervoor wordt gebruik gemaakt van de algemene en bijzondere criteria van essentiële en belangrijke entiteiten zoals beschreven in artikel 11 van de wet. De entiteiten die in het register worden opgenomen, worden hierover in kennis gesteld. Daarnaast kan ook via het NKSC platform nagegaan worden of uw entiteit geregistreerd staat als cyber security entiteit.

2. Beheersmaatregelen implementeren

Als uw organisatie binnen het toepassingsgebied van de NIS2-wet valt, betekent dit dat u verantwoordelijk bent voor het implementeren van passende technische en organisatorische maatregelen om de beveiliging van uw netwerk- en informatiesystemen te waarborgen. Deze maatregelen worden beschreven in het regeringsbesluit:

• Aanwijzen van een cyber security manager en andere verantwoordelijken voor cyber security
• Beleid voor risicoanalyse en beveiliging van informatiesystemen
• Incidentenbeheer
• Bedrijfscontinuïteit en crisisbeheer
• Beveiliging van toeleveringsketen
• Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden
• Beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen
• Cyberhygiëne en opleiding op het gebied van cyberbeveiliging
• Beleid en procedures over het cryptografie en in voorkomend geval encryptie
• Beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa
• Wanneer gepast, meerstapsverificatie, beveiligde communicatie en beveiligde noodcommunicatiesystemen binnen de entiteit
• Beleid voor de gecoördineerde bekendmaking van kwetsbaarheden

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de bovenstaande minimummaatregelen voor cyberbeveiliging uitgewerkt voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten.

3. Rapporteringsverplichting incidenten (Art. 18)

Belangrijke en essentiële entiteiten zijn verplicht het nationale CSIRT, in Litouwen betreft dit NKSC, in kennis te stellen indien zich een significant incident voordoet. Naast het NKSC, dienen zij ook de ontvangers van hun diensten op de hoogte te brengen indien het significant incident de verlening van de diensten betreffende de (sub)sectoren van bijlage I en II affecteert.

Een significant incident wordt volgens de NIS2-wet gedefinieerd als ‘elk incident dat significante gevolgen heeft voor de verlening van een van de diensten in de sectoren of deelsectoren van de bijlagen I en II van de wet en dat:

• een ernstige operationele verstoring van een van de diensten in de sectoren of deelsectoren van de bijlagen I en II of financiële verliezen voor de betrokken entiteit heeft veroorzaakt of kan veroorzaken; of
• andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken’

Het significante incident wordt door de cyberentiteit gemeld aan het NKSC volgens volgende procedure:

1. onverwijld en binnen de 24 uur nadat zij kennis heeft gekregen van het significante incident, dient de entiteit via het notificatieplatform van NKSC een vroegtijdige waarschuwing in, met melding van vermoedelijke oorzaak en eventuele grensoverschrijdende gevolgen;
2. onverwijld en binnen de 72 uur nadat zij kennis heeft gekregen van het significante incident, communiceert de entiteit een incidentenmelding dat een informatie-update bevat en een initiële beoordeling van het incident;
3. op verzoek van NKSC dient de entiteit een tussentijds verslag in;
4. Uiterlijk 1 maand na de incidentenmelding dient de entiteit een eindverslag in met vermelding van:
   
   1. 1. Een gedetailleerde beschrijving van het incident, alsook de ernst en de gevolgen ervan;
      2. Het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;
      3. Toegepaste en lopende risicobeperkende maatregelen;
      4. De grensoverschrijdende gevolgen van het incident, indien van toepassing.
5. Indien het incident nog lopende is een maand na de incidentenmelding, dient de entiteit een voorgangsverslag in en binnen de maand na de afhandeling van incident wordt een eindverslag ingediend.

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de criteria voor een significant incident bepaald voor DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten. Deze bijzondere regels hebben voorrang op de nationale regels in het geval van tegenstrijdigheden.

Tot slot kunnen alle entiteiten, ongeacht of zij vallen binnen het toepassingsgebied van de NIS2-wet vrijwillig (significante) incidenten, cyberdreigingen en bijna-incidenten melden bij het NKSC via het notificatieplatform.

Meer informatie omtrent het Cyber Security Informatiesysteem kan u raadplegen via de website van het NKSC.

4. Verplichtingen en verantwoordelijkheden management

De bestuursorganen van entiteiten die vallen binnen het toepassingsgebied van de NIS2-wet dienen aan enkele verplichtingen te voldoen:

• Aanduiden van een cyber security manager en/of security officer die de implementatie van de cyber security-maatregelen coördineert en superviseert, en andere verantwoordelijken voor cyberbeveiliging;
• Volgen van training om over voldoende kennis en vaardigheden te beschikken om risico’s te kunnen identificeren en beheersmaatregelen en de impact ervan op hun diensten te kunnen beoordelen, en dit minstens tweejaarlijks;
• Voortdurend bijscholen van de werknemers van de cyber security entiteit op het gebied van cyber security;
• Goedkeuren van de beheersmaatregelen voor cyberbeveiliging;

De bestuursorganen zijn aansprakelijk bij niet-naleving van de NIS2-wet.

5. Samenwerken met autoriteiten

NIS2-entiteiten dienen samen te werken met de nationale autoriteiten. Betreft het uitwisselen van informatie over de beveiliging van netwerk- en informatiesystemen, rapporteren van incidenten, samenwerking met de inspectiedienst enzovoort.