NIS2 Letland: wat betekent het voor uw organisatie?

Wat betekent dit voor mijn bedrijf?

1. Registratie

Elke entiteit dient middels een zelfbeoordeling te bepalen of die binnen het toepassingsgebied van de Letse cybersecurity wet valt. Het ministerie van Defensie voorziet hiervoor de NKDL-test, een online tool die u begeleidt door belangrijke factoren zoals de sector en de omvang van de entiteit. Uiterlijk op 1 april 2025 dient de entiteit het NCSC op de hoogte te stellen over de categorisatie als essentiële of belangrijke entiteit door middel van een registratieformulier. Volgende informatie dient u als essentiële of belangrijke entiteit aan het NCSC te bezorgen:

• Naam en gegevens van de entiteit
• Sector
• Statutair adres
• Lijst van essentiële en belangrijke diensten die worden verleend
• Actuele contactgegevens van de entiteit/bestuurder
• Lijst van landen waar de entiteiten diensten verleent
• IP-adresbereik

Verdere informatie omtrent de registratie van uw entiteit, kan u hier raadplegen.

2. Beheersmaatregelen

Elke entiteit dient de risico’s op het gebied van cybersecurity in kaart te brengen en na te gaan welke gevolgen die kunnen hebben voor de vertrouwelijkheid, integriteit en beschikbaarheid van haar informatiesystemen. Op basis van deze analyse moet aan elk informatiesysteem een categorie worden toegekend: A (verhoogde beveiliging), B (basisbeveiliging) of C (minimale beveiliging). Dit gebeurt volgens de werkwijze die is vastgelegd in de verordening.

Als uw organisatie gecategoriseerd is als essentiële of belangrijke entiteit, betekent dit dat u verantwoordelijk bent voor het implementeren van passende technische en organisatorische maatregelen om de beveiliging van uw netwerk- en informatiesystemen te waarborgen.

Zoals eerder vermeld, heeft Letland de NIS2-richtlijn reeds omgezet in nationale wetgeving, maar is er vertraging bij de vaststelling van de verordeningen van het kabinet van ministers waarin de specifieke technische en organisatorische cyberbeveiligingsvereisten worden vastgelegd.

Dit wil echter niet zeggen dat u vandaag nog niets kan ondernemen op vlak van de implementatie van beheersmaatregelen. Aangeraden is om alvast van start te gaan met het implementeren van de minimum set van beheersmaatregelen die opgenomen is in de NIS2-richtlijn:

• Beleid voor risicoanalyse en beveiliging van informatiesystemen
• Incidentenbeheer
• Bedrijfscontinuïteit en crisisbeheer
• Beveiliging van toeleveringsketen
• Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, met inbegrip van de respons op en bekendmaking van kwetsbaarheden
• Beleid en procedures om de effectiviteit van maatregelen voor het beheer van cyberbeveiligingsrisico’s te beoordelen
• Cyberhygiëne en opleiding op het gebied van cyberbeveiliging
• Beleid en procedures over het cryptografie en in voorkomend geval encryptie
• Beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van activa
• Wanneer gepast, meerstapsverificatie, beveiligde communicatie en beveiligde noodcommunicatiesystemen binnen de entiteit
• Beleid voor de gecoördineerde bekendmaking van kwetsbaarheden

Verder dient u als essentiële of belangrijke entiteit een cybersecurity manager aan te duiden die verantwoordelijk is voor de implementatie en monitoring van de cyber security maatregelen. De vereisten waaraan deze cybersecurity manager dient te voldoen, wordt bepaald door het kabinet.

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de bovenstaande minimummaatregelen voor cyberbeveiliging uitgewerkt voor DNS -dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten.

3. Rapportageverplichting van significante incidenten

Belangrijke en essentiële entiteiten zijn verplicht de toezichthoudende autoriteiten in kennis te stellen wanneer zich een significant incident voordoet. Daarnaast dienen zij ook de ontvangers van hun diensten op de hoogte te brengen indien het significant incident de uitvoering van de diensten uit artikel 20 en 21 van de Letse cybersecurity wet affecteert.

Een incident wordt volgens de NIS2-richtlijn als significant beschouwd wanneer het:  

• een ernstige operationele verstoring van de diensten of financiële verliezen voor de betrokken entiteit heeft veroorzaakt of kan veroorzaken; of 
• andere natuurlijke of rechtspersonen heeft getroffen of kan treffen door aanzienlijke materiële of immateriële schade te veroorzaken’ 

Het significante incident wordt door de essentiële en belangrijke entiteit telefonisch of via mail gemeld bij CERT.LV volgens volgende procedure: 

1. onmiddellijk en binnen de 24 uur nadat zij kennis heeft gekregen van het significante incident, dient de entiteit  een vroegtijdige waarschuwing in, met melding van vermoedelijke oorzaak en eventuele grensoverschrijdende gevolgen; 
2. onmiddellijk en binnen de 72 uur nadat zij kennis heeft gekregen van het significante incident, communiceert de entiteit een incidentenmelding dat een informatie update bevat en een initiële beoordeling van het incident;
3. op verzoek van het bevoegde CSIRT dient de entiteit een tussentijds verslag in;
4. Uiterlijk 1 maand na de incidentenmelding dient de entiteit een eindverslag in met vermelding van: 
   
   • Een gedetailleerde beschrijving van het incident, alsook de ernst en de gevolgen ervan; 
   • Het soort bedreiging of de grondoorzaak die waarschijnlijk tot het incident heeft geleid; 
   • Toegepaste en lopende risicobeperkende maatregelen; 
   • De grensoverschrijdende gevolgen van het incident, indien van toepassing.
5. Indien het incident nog lopende is een maand na de incidentenmelding, dient de entiteit een voorgangsverslag in en binnen de maand na de afhandeling van incident wordt een eindverslag ingediend. 

De Europese Commissie heeft in de uitvoeringsverordening 2024/2690 de criteria voor een significant incident bepaald voor DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, aanbieders van datacentrumdiensten, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten, aanbieders van beheerde beveiligingsdiensten, aanbieders van onlinemarktplaatsen, van onlinezoekmachines en van platforms voor socialenetwerkdiensten, en verleners van vertrouwensdiensten. Deze bijzondere regels hebben voorrang op de nationale regels in het geval van tegenstrijdigheden. 

Tot slot kunnen alle entiteiten, ongeacht  of zij vallen binnen het toepassingsgebied van de cybersecurity wet vrijwillig (significante) incidenten, cyberdreigingen en bijna-incidenten melden. 

4. Verplichtingen en verantwoordelijkheden van het management

De bestuursorganen van essentiële en belangrijke entiteiten zijn verantwoordelijk voor de naleving van de cybersecurity wet en dienen verschillende verplichtingen na te komen waaronder:

• Aanduiden van een cyber security manager die de implementatie van de cyber securitymaatregelen coördineert en superviseert, voor 1 oktober 2025;
• Goedkeuren van de beheersmaatregelen voor cyberbeveiliging
• Volgen van training om over voldoende kennis en vaardigheden te beschikken om risico’s te kunnen identificeren en beheersmaatregelen en de impact ervan op hun diensten te kunnen beoordelen, minstens eenmaal per kalenderjaar
• Voortdurend bijscholen van de werknemers van de cyber security entiteit op het gebied van cyber security

De bestuursorganen zijn aansprakelijk bij niet-naleving van de Letse cybersecurity wet.

5. Samenwerking met autoriteiten

Essentiële en belangrijke entiteiten dienen samen te werken met de nationale autoriteiten. Betreft het uitwisselen van informatie over de beveiliging van netwerk- en informatiesystemen, rapporteren van incidenten, samenwerking met de inspectiedienst enzovoort.