NIS2-trainingen voor ICT-bedrijven
De Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2) stelt nieuwe eisen aan ICT-bedrijven, en in 2024 wisten veel van hen niet waar ze moesten beginnen. In 2024 zette David den Heijer via Services2xs, samen met de partners Foxnet Cybersecurity, Qarebase en Limpens Advies, een tweedaagse NIS2-training op. Deelnemers gingen niet naar huis met een map vol theorie, maar met hun eigen handboek, hun eigen risicoanalyse en een ISMS dat ze zelf bijhouden.
- Opdrachtgever
- Services2xs, met Foxnet Cybersecurity, Qarebase en Limpens Advies als mede-organiserende partners
- Periode
- februari – juni 2024
- Rol
- Mede-organisatie van de trainingen en van het ISMS als dienst
- Techniek
- NIS2 / Cyberbeveiligingswet, ISMS, PDCA-cyclus, risicomanagement (bowtie), NIS2 vs. ISO 27001
Situatie
De NIS2-richtlijn moest uiterlijk 17 oktober 2024 in nationaal recht zijn omgezet. In Nederland gebeurt dat met de Cyberbeveiligingswet. Voor ICT-bedrijven gaat het daarbij om meer dan de juiste securitytools. Het gaat om zorgplicht, meldplicht, beschikbaarheid, integriteit en vertrouwelijkheid, en om bestuurders die verantwoordelijk zijn. Veel kleinere ICT-bedrijven hadden geen idee hoe ze dat in hun eigen organisatie moesten regelen.
Aanpak
Services2xs organiseerde de trainingen samen met Foxnet Cybersecurity, Qarebase en Limpens Advies. Het team koos voor een training die vooral praktisch is. Geen technische cursus, maar een route naar NIS2-gereedheid met de organisatorische maatregelen voorop. Per bedrijf doen twee mensen mee, zodat het werk verdeeld kan worden. In februari 2024 lag de agenda klaar. Op 15 maart volgde een proefdag, voorbereid alsof het een echte training was.
Op 26 april 2024 was trainingsdag 1, in Lisse. Die dag ging over de wetgeving (NIS2 en AVG), over wat een ISMS is en over de PDCA-cyclus. Daarna volgden de opbouw van het NIS2-handboek voor de ICT-branche, risicomanagement in theorie en praktijk met een eigen risico-inventarisatie, en de vergelijking tussen NIS2 en ISO 27001. Deelnemers kregen huiswerk mee: het handboek aanpassen aan de eigen organisatie. Op 24 mei was er een webinar om de voortgang te bespreken. Ook waren er extra Teamssessies voor wie vastliep. Op 21 juni 2024 volgde trainingsdag 2, met een NIS2-update, uitwerking van de risico's met de bowtiemethode, het koppelen van taken en rapportages aan het handboek en een demo van een interne audit.
Wat er is gebouwd
- Een tweedaagse NIS2-/Cyberbeveiligingswet-training met agenda, hand-outs en huiswerkopdrachten.
- Een NIS2-handboek met beleidstemplates voor de ICT-branche, zo opgezet dat deelnemers ze met weinig aanpassingen kunnen gebruiken.
- Een ISMS (managementsysteem voor informatiebeveiliging) als dienst, waarin elk bedrijf zijn eigen handboek, taken, risicoanalyses en interne audits bijhoudt.
- Begeleiding tussen de trainingsdagen via een webinar en Teamssessies, en nazorg van maximaal vier uur per bedrijf.
- Een NIS2-module en een managementsysteem voor informatiebeveiliging als losse dienst voor ICT-partners.
Resultaat
- De eerste NIS2-training ging op 26 april 2024 van start; trainingsdag 2 volgde op 21 juni 2024.
- Deelnemers werkten aan hun eigen directieverklaring, gedragscode ICT, cybersecuritybeleid en back-upbeleid en -procedure.
- Elk deelnemend bedrijf had daarmee zijn eigen ISMS, waarin het NIS2-werk als doorlopend proces verder gaat.
Wat dit voor u betekent
Valt uw organisatie onder de Cyberbeveiligingswet (de Nederlandse uitwerking van NIS2), of vragen uw klanten ernaar? 020 ICT helpt u de organisatorische kant op orde te brengen: risicoanalyse, beleid, procedures en een ISMS dat u zelf bijhoudt. Zo wordt NIS2 een doorlopend proces in plaats van een stapel papier.
Meer over deze dienst: Interim IT-manager / virtuele CIO