7.3.5.2 Beveiliging van essentiële diensten

Een organisatie is een aanbieder van een essentiële dienst in de zin van de NIB-richtlijn als de door haar aangeboden dienst van essentieel belang is voor de instandhouding van kritieke maatschappelijke en/of economische activiteiten, als deze dienst afhankelijk is van netwerk- en informatiesystemen en als een incident de dienstverlening aanzienlijk kan verstoren.1 Lidstaten moeten aanwijzen welke aanbieders met een vestiging op hun grondgebied aanbieders van essentiële diensten in de zin van de NIB-richtlijn zijn.2 Alleen publieke of private entiteiten die werkzaam zijn in de energiesector, de vervoerssector, de bancaire sector, de gezondheidssector, of zich richten op de infrastructuur voor de financiële markt, de levering en distributie van drinkwater of de digitale infrastructuur kunnen als een essentiële dienstverlener worden gekwalificeerd. De Nederlandse wetgever heeft geen aanbieders van essentiële dienstverleners aangewezen in de gezondheidssector.3

Op grond van de NIB-richtlijn dienen lidstaten essentiële dienstverleners te verplichten tot het treffen van passende en evenredige technische en organisatorische maatregelen om de risico’s te beheersen voor de beveiliging van de netwerk- en informatiesystemen die zij bij hun activiteiten gebruiken. Met deze maatregelen moeten de dienstverleners een beveiligingsniveau waarborgen dat, gezien de stand van de techniek, op het risico is afgestemd.4 Lidstaten dienen verder te verzekeren dat de aanbieders passende maatregelen treffen om de gevolgen van beveiligings­incidenten voor de gebruikte netwerken en systemen te voorkomen en te minimaliseren. Deze maatregelen dienen ertoe de continuïteit van de dienstverlening te waarborgen.5 Omdat de NIB-richtlijn minimum­harmonisatie beoogt te bewerkstelligen, mogen lidstaten ook strengere beveiligingseisen opleggen.6

Lidstaten die beveiligingseisen voor essentiële dienstverleners vormgeven, kunnen hierbij richtsnoeren van de NIB-samenwerkingsgroep in acht nemen (maar zijn hiertoe niet verplicht).7 Volgens deze richtlijnen moeten de beveiligingsmaatregelen de volgende kenmerken hebben:

De richtlijnen gaan ook in op de typen beveiligingsmaatregelen die getroffen zouden moeten worden om een hoog beveiligingsniveau te waarborgen. Daarbij noemt het allereerst een risico- en ecosysteemmanagement. In dit kader dienen essentiële dienstverleners voortdurend analyses uit te voeren om nieuwe risico’s te achterhalen en te onderzoeken of de getroffen maatregelen nog effectief zijn. Ook moeten ze alle belanghebbenden in kaart brengen, zodat duidelijk wordt wat de rol van de dienstverlener is en in hoeverre belanghebbenden afhankelijk zijn van hun diensten. Verder moet aandacht worden besteed aan de beveiliging van de IT-architectuur, het onderhoud van deze beveiliging, de regulering van de toegang tot de IT-infrastructuur en de fysieke beveiliging van de systemen. Ook moeten de dienstverleners beveiligingsaanvallen en -incidenten detecteren, bijhouden, analyseren en moet er een plan zijn om met incidenten om te gaan. Tot slot zullen ze moeten kijken naar de veerkracht van de dienstverlening, wat betekent dat er een plan moet zijn om met crisissituaties om te gaan en om de dienstverlening zo snel mogelijk te herstellen als zij wordt aangetast.9