Verplichtingen onder NIS2 in Ierland

Wat betekent NIS2 in Ierland concreet voor uw organisatie? Als u als essentiële entiteit of belangrijke entiteit wordt aangemerkt, krijgt u te maken met registratie, cyberbeveiligingsmaatregelen, meldplichten en bestuurlijke verantwoordelijkheden.

Wilt u eerst toetsen of u mogelijk binnen het toepassingsgebied van NIS2 Ierland valt? Gebruik dan de officiële online zelfevaluatietool van het NCSC.

1. Registratie van NIS2-entiteiten

In Ierland zullen organisaties die onder de NIS2-wetgeving vallen als essentiële of belangrijke entiteit zich moeten registreren. De NIS2-richtlijn is op dit moment nog niet volledig omgezet in nationale wetgeving. Zodra dit proces is afgerond, zal het National Cyber Security Centre (NCSC) een officieel registratieportaal beschikbaar stellen.

Als uw organisatie wordt aangemerkt als een essentiële of belangrijke entiteit (op basis van de criteria in het hoofdstuk NIS2-entiteiten), moet u de volgende informatie aanleveren bij het NCSC:

• Naam van de organisatie
• Adres en actuele contactgegevens van de entiteit, inclusief e-mailadressen en telefoonnummers
• IP-adresreeksen
• Sector en subsector
• Overzicht van EU-lidstaten waar de diensten worden geleverd die binnen het toepassingsgebied van de NIS2-wet vallen

Wijzigingen in deze gegevens moeten binnen twee weken worden doorgegeven.

Hoewel het registratieportaal nog niet beschikbaar is, biedt het NCSC wel een online zelfevaluatietool aan. Hiermee kunnen organisaties een eerste inschatting maken of zij binnen het toepassingsgebied van de NIS2-wet vallen. Deze tool is puur informatief en vervangt niet de officiële registratieprocedure.

Organisaties werden gevraagd om bovenstaande informatie uiterlijk op 17 januari 2025 aan te leveren. Aangezien de NIS2-richtlijn nog niet is omgezet in nationale wetgeving en het registratieportaal nog niet operationeel is, hoeven entiteiten zich voorlopig nog niet te registreren. Zodra de wetgeving is aangenomen, worden nieuwe deadlines en instructies gepubliceerd. Het registratieportaal zal pas beschikbaar zijn nadat de richtlijn officieel is omgezet in Ierse wetgeving.

CTA: Wilt u voorbereid zijn zodra registratie verplicht wordt? Plan dan een gesprek via onze contactpagina.

2. Cyberbeveiligingsmaatregelen

Als uw organisatie gecategoriseerd is als essentiële of belangrijke entiteit, betekent dit dat u verantwoordelijk bent voor het implementeren van passende technische en organisatorische maatregelen om de beveiliging van uw netwerk- en informatiesystemen te waarborgen. Deze cybersecuritybeheersmaatregelen betreffen minstens:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen
• Incidentenbeheer
• Bedrijfscontinuïteit, zoals back-upbeheer en noodherstel, en crisisbeheer
• Beveiliging van toeleveringsketen
• Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden
• Beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen
• Cyberhygiëne en opleiding op het gebied van cyberbeveiliging
• Beleid en procedures over cryptografie en in voorkomend geval encryptie
• Beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa
• Gebruik van multifactorauthenticatie of continue authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit, indien van toepassing

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de bovenstaande minimummaatregelen voor cyberbeveiliging uitgewerkt voor DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, onlinezoekmachines, platforms voor socialenetwerkdiensten en verleners van vertrouwensdiensten.

3. Meldplicht bij significante incidenten

Belangrijke en essentiële entiteiten zijn verplicht het nationale Computer Security Incident Response Team (CSIRT), zijnde CSIRT-IE, in kennis te stellen wanneer zich een significant incident voordoet. Daarnaast dienen zij ook de ontvangers van hun diensten op de hoogte te brengen indien het significant incident de verlening van de diensten betreffende de (sub)sectoren van bijlage I en II affecteert.

Een incident wordt als significant beschouwd wanneer:

• het incident heeft geleid of kan leiden tot ernstige verstoring van de dienstverlening of financiële verliezen voor de getroffen entiteit; of
• het incident andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door het veroorzaken van aanzienlijke materiële of immateriële schade.

Het significante incident wordt door de essentiële en belangrijke entiteit gemeld per e-mail aan info@ncsc.gov.ie of aan incident@ncsc.gov.ie in het geval van een cyber security incident bij de overheid, volgens de volgende procedure:

1. Binnen 24 uur: de entiteit dient een vroegtijdige waarschuwing in, met melding van vermoedelijke oorzaak en eventuele grensoverschrijdende gevolgen;
2. Binnen 72 uur: de entiteit communiceert een incidentenmelding die een informatie-update bevat en een initiële beoordeling van het incident. Voor aanbieders van vertrouwensdiensten geldt een termijn van 24 uur voor het indienen van een incidentenrapport;
3. Op verzoek van het bevoegde CSIRT dient de entiteit een tussentijds verslag in;
4. Uiterlijk 1 maand na de incidentenmelding dient de entiteit een eindverslag in met vermelding van:
   1. Een gedetailleerde beschrijving van het incident, alsook de ernst en de gevolgen ervan;
   2. Het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid;
   3. Toegepaste en lopende risicobeperkende maatregelen;
   4. De grensoverschrijdende gevolgen van het incident, indien van toepassing.
5. Indien het incident nog lopende is één maand na de incidentenmelding, dient de entiteit een voorgangsverslag in en binnen de maand na de afhandeling van het incident wordt een eindverslag ingediend.

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de criteria voor een significant incident bepaald voor DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, onlinezoekmachines, platforms voor sociale netwerkdiensten en verleners van vertrouwensdiensten. Deze bijzondere regels hebben voorrang op de nationale regels in het geval van tegenstrijdigheden.

Tot slot kunnen alle entiteiten, ongeacht of zij vallen binnen het toepassingsgebied van de NIS2-wet, vrijwillig (significante) incidenten, cyberdreigingen en bijna-incidenten melden bij het CSIRT-IE.

Meer informatie omtrent het melden van significante cyberincidenten vindt u hier.

4. Verantwoordelijkheden van het management

De bestuursorganen van essentiële en belangrijke entiteiten zijn verantwoordelijk voor de naleving van de NIS2-wet en dienen verschillende verplichtingen na te komen, waaronder:

• Goedkeuren van de beheersmaatregelen voor cyberbeveiliging en toezicht houden op de naleving ervan
• Volgen van training om over voldoende kennis en vaardigheden te beschikken om risico’s te kunnen identificeren en beheersmaatregelen en de impact ervan op hun diensten te kunnen beoordelen
• Voortdurend bijscholen van de werknemers van de cyber security entiteit op het gebied van cyber security

De bestuursorganen zijn aansprakelijk bij niet-naleving van de NIS2-wet.

5. Samenwerking met autoriteiten

Essentiële en belangrijke entiteiten dienen samen te werken met de nationale autoriteiten. Dit betreft het uitwisselen van informatie over de beveiliging van netwerk- en informatiesystemen, het rapporteren van incidenten en samenwerking met de inspectiedienst, enzovoort.

CTA: Wilt u gericht werken aan aantoonbare NIS2-compliance (zoals ISO/IEC 27001 of CyberFundamentals)? Neem contact op via de contactpagina.