NIS2 gaat over risico’s. Zorgen dat RISICO’S worden aangepakt. Alle berichten daarover zeggen. “Start met een risicoanalyse”. Met de implementatie van de NIS2 richtlijn wordt het belang van cybersecurity in de keten groter dan ooit. Organisaties moeten niet alleen hun eigen IT-veiligheid waarborgen, maar ook rekening houden met de risico’s van leveranciers. Een verstoorde keten kan leiden tot ernstige fysieke gevolgen, zoals het niet ontvangen van essentiële producten en diensten, wat jouw bedrijfsprocessen enorm kan beïnvloeden. Hier staat een concreet stappenplan om jouw kroonjuwelen en ketenbeveiliging te beschermen.
Stap 1 – Bepaal wat je wilt beschermen
De basis van elke beveiligingsstrategie is het in kaart brengen van je ‘kroonjuwelen’: alles wat cruciaal is voor jouw bedrijf. Maak een lijst met volgende punten als leidraad:
- Digitale gegevens: klantgegevens, unieke ontwerpen, specifieke kennisproducten, recepturen of productkenmerken.
- Fysieke assets: productielijnen, voorraad, of machines.
- Bedrijfsinformatie: financiële gegevens, omzetgegevens of gegevens van medewerkers.
- Reputatie: het vertrouwen van klanten en partners in jouw bedrijf.
- Door jouw kroonjuwelen duidelijk te identificeren, kun je effectief bepalen wat prioriteit heeft in je beveiligingsmaatregelen.
Stap 2 – Identificeer de risico’s
Met een goed beeld van je kroonjuwelen kun je risico’s in kaart brengen. De Cyberbeveiligingswet, waarin de NIS2 richtlijn wordt geïmplementeerd, kent volgens het Memorie van Toelichting een benadering die alle gevaren omvat (all hazard) en heeft tot doel om netwerk- en informatiesystemen en de fysieke omgeving daarvan te beschermen tegen gebeurtenissen die de veiligheid en beveiliging van die systemen kunnen aantasten.
Maak een lijst en denk aan enkele veelvoorkomende risico’s zoals:
- Digitale kwetsbaarheden: zoals datalekken, ransomware of phishing.
- Fysieke verstoringen: denk aan leveranciers die niet leveren, omdat ze zelf stilliggen door een cyberaanval, met als gevolg dat jouw productie stilvalt.
- Menselijke fouten: zoals een medewerker die per ongeluk belangrijke data verwijdert.
- Compliance risico’s: niet voldoen aan regelgeving zoals NIS2, wat kan leiden tot aansprakelijkheid, boetes en reputatieschade.
Concrete fysieke risico’s:
- Het niet ontvangen van kritieke grondstoffen of producten, zoals unieke verpakkingen of onderdelen.
- Verstoringen in transportketens die leiden tot productieverlies.
Er zijn verschillende methoden om risico’s te identificeren:
- Interne analyse: kijk naar eerdere incidenten, zoals stroomstoringen of dataverlies.
- Externe hulp: schakel experts in, zoals consultants of auditors, om risico’s te ontdekken die je zelf over het hoofd ziet.
- Wetgeving: controleer of jouw bedrijfsvoering voldoet aan relevante regelgeving, zoals AVG en NIS2.
Stap 3 – Analyseer de gevonden risico’s. En noteer het risico: per punt Laag, medium, hoog.
Niet alle risico’s zijn even groot. Om te bepalen welke acties nodig zijn, analyseer je de kans en de impact van elk risico. Methoden voor risicoanalyse:
- Kwalitatief: gebruik termen zoals ‘Laag’, ‘Medium’ of ‘Hoog’ om de kans en gevolgen te beoordelen.
- Kwantitatief: maak gebruik van cijfers en statistieken om de financiële impact of waarschijnlijkheid te berekenen. Bijvoorbeeld: hoe vaak heeft een leverancier in het verleden niet geleverd door een verstoring?
- Combineer beide methoden om een compleet beeld te krijgen. Dit helpt je te prioriteren in de volgende stap.
Stap 4 – Besluit wat je gaat doen en noteer dat ook
Met de risico’s en hun impact in kaart kun je gerichte maatregelen nemen. Gebruik een risicomatrix om je keuzes te structureren:
- Accepteren: kleine risico’s met een lage impact kun je accepteren.
- Oplossen: beperk risico’s met een grote kans of gevolgen door maatregelen te nemen, zoals back-ups of het versterken van beveiliging.
- Overdragen: schuif risico’s door naar derden, bijvoorbeeld via verzekeringen.
- Stoppen: beëindig activiteiten met onacceptabele risico’s.
- Ketenbeveiliging als prioriteit
Met NIS2 wordt de ketenbeveiliging een cruciaal aandachtspunt. Het is belangrijk om samen te werken met leveranciers om hun beveiligingsstandaarden te waarborgen. Dit verkleint niet alleen de risico’s voor jouw bedrijf, maar versterkt ook de gehele supply chain. Overweeg hierbij:
- Het opvragen van certificaten zoals de NIS2 Quality Mark om de compliance van leveranciers te controleren. Dit is speciaal gemaakt om gestandaardiseerd je leveranciers te laten aantonen dat ze veilig werken. Leveranciers die het NIS2 QM halen werken gestructureerd aan veiligheid en krijgen een audit voordat ze het NIS2 QM certificaat ontvangen.
- Het opstellen van duidelijke afspraken in contracten over beveiligingseisen.
- Regelmatig audits uit te voeren bij cruciale leveranciers.
Conclusie
De NIS2 richtlijn vraagt om een proactieve aanpak van cybersecurity, waarbij zowel je eigen organisatie als je supply chain centraal staat. Door je kroonjuwelen te beschermen, risico’s te analyseren en samen te werken met betrouwbare gecertificeerde leveranciers, zorg je ervoor dat jouw bedrijfsprocessen optimaal blijven functioneren, zelfs in tijden van crisis.
Start vandaag nog met het implementeren van deze stappen om jouw bedrijf toekomstbestendig te maken.
Download: uitgebreid voorbeeld risicoanalyse voor een Food productiebedrijf.
