Niet overdrijven met cyberveiligheid

Het NIS2 Quality Mark is officieel in Europa gelanceerd. Met dit keurmerk kan het mkb in Europa voldoen aan de Europese NIS2-cybersecuritywetgeving. Zonder te overdrijven, zodat het de positie van het mkb in de toeleverketen waarborgt. Ook na de invoering van de wet die, naar verwachting, per 1 juli 2025 in Nederland van kracht wordt.

Het NIS2 Quality Mark, ontwikkeld door de Nederlandse Stichting Kwaliteitsinnovatie geeft mkb-bedrijven in Europa een praktische oplossing om te voldoen aan de nieuwe Europese NIS2-regels. “Bedrijven met meer dan 50 medewerkers of een omzet boven de 10 miljoen euro moeten volgens artikel 21.2d van de NIS2-richtlijn hun directe toeleveranciers screenen op digitale veiligheid,” aldus Michel Dutrée, voorzitter van de Stichting Kwaliteitsinnovatie.

Directe toeleveranciers

De wet verplicht niet alleen NIS2-organisaties om te voldoen aan strenge cybersecurity-eisen, maar ook om toezicht te houden op de digitale veiligheid van hun directe toeleveranciers. De NIS2-wetgeving heeft als doel de digitale en economische weerbaarheid van vitale sectoren binnen de EU te versterken. NIS2-organisaties die niet voldoen, riskeren boetes en aansprakelijkheid. Voor hun leveranciers betekent dit dat zij hun cybersecurity aantoonbaar op orde moeten hebben om contracten te behouden. NIS2-organisaties mogen immers geen zaken doen met leveranciers die niet voldoen aan de regelgeving.

“Dit legt extra druk op zowel grote als kleine bedrijven in de keten. Om bijvoorbeeld als (mkb-)leverancier orders te blijven ontvangen, moet je aantoonbaar digitaal veilig zijn. Het gevaar bestaat dat je op aandringen van een klant of opdrachtgever onnodig zware eisen opgelegd krijgt. Ons keurmerk voorkomt dat met een gestandaardiseerde aanpak die in heel Europa toepasbaar is. Met het NIS2 Quality Mark zorg je ervoor dat je niet overkwalificeert en biedt het de zekerheid dat je niet ondergekwalificeerd bent.”

Aantoonbare cyberveiligheid

“NIS2-organisaties kunnen het NIS2 Quality Mark opnemen in hun inkoopvoorwaarden en certificering vragen van hun leveranciers”, legt Dutréé uit. “Mkb-bedrijven kunnen met een NIS2-certificaat aantonen dat hun cyberveiligheid op orde is. Veel mkb’ers realiseren zich nog niet dat ze indirect onder de NIS2-wetgeving vallen. Het kunnen aantonen van digitale veiligheid bevordert samenwerking binnen sectoren en is cruciaal om te voldoen aan de regelgeving en verdere groei en handel te waarborgen.”

Transport en Logistiek Nederland (TLN) en Samen Digitaal Veilig, een samenwerkingsverband van 83 brancheorganisaties die samen 140.000 bedrijven bereiken, adopteren het keurmerk. Esmé Rijs van TLN:  “Onze transportbedrijven opereren door heel Europa. Het zou volstrekt onwerkbaar zijn als transporteurs in Italië andere normen moeten volgen dan in Duitsland, en weer andere in Nederland. Dat zou leiden tot een wirwar aan vragenlijsten, normen, keurmerken en regels. Het is daarom veel beter om te voldoen aan één norm die geaudit kan worden, zodat je het NIS2-certificaat als bewijs aan al je (Europese) klanten kunt laten zien.”

Drie certificeringsniveaus

Peter Noordhoek, directeur-secretaris van de Stichting Kwaliteitsinnovatie, licht de meerwaarde van het keurmerk toe: “Met het NIS2 Quality Mark kunnen mkb-bedrijven aantonen dat zij voldoen aan de wettelijke eisen. Het keurmerk biedt drie certificeringsniveaus – QM10, QM20 en QM30 – waarmee bedrijven hun cybersecuritycapaciteit kunnen opbouwen zonder onnodige complexiteit of grote investeringen.”

Dynamisch

Noordhoek benadrukt dat de norm dynamisch is en voortdurend wordt aangepast aan nieuwe dreigingen, zoals de inzet van kunstmatige intelligentie (AI) bij cyberaanvallen: “Dit maakt het keurmerk toekomstbestendig en flexibel in een steeds veranderend digitaal landschap. De kracht van het NIS2 Quality Mark ligt in de samenwerking tussen verschillende branches en experts. Het keurmerk is ontwikkeld in nauwe samenwerking met cybersecurity-experts en tien toonaangevende brancheorganisaties.