Blog 4 van 9

Met de invoering van de NIS2-richtlijn worden bedrijven uitgedaagd om hun digitale en economische weerbaarheid te versterken. De richtlijn wordt momenteel omgezet naar nationale wetgeving: de Cyberbeveiligingswet. Deze nieuwe wet vereist dat bedrijven zorgplichtmaatregelen treffen om hun bedrijfscontinuïteit te waarborgen bij cyberincidenten en -aanvallen. In deze blog bespreken we welke stappen bedrijven kunnen nemen om te voldoen aan een aantal NIS2-zorgplichtmaatregelen, namelijk:

• Risicoanalyse en beveiliging van informatiesystemen
• Maatregelen op het gebied van bedrijfscontinuïteit, zoals backup-beheer en noodvoorzieningenplannen
• Incidentenbehandeling

Hoe kan BPSOLUTIONS bedrijven ondersteunen bij het implementeren van deze zorgplichtmaatregelen?

Opstellen van een Business Continuïteit Plan (BCP)

Een Business Continuity Plan (BCP) is essentieel om de bedrijfscontinuïteit te waarborgen. Dit plan beschrijft hoe een bedrijf moet handelen tijdens en na een crisis om de impact op kritieke bedrijfsprocessen te minimaliseren. Een goed BCP moet minimaal de volgende onderdelen bevatten:

• Contactgegevens van verantwoordelijke personen
• Revisielog
• Doel en scope van het BCP
• Instructies voor activering en deactivering
• Service Level Agreements (SLA) voor belangrijkste processen
• Verwijzingen naar gerelateerde plannen zoals Disaster Recovery en Crisis Management
• Draaiboeken met gedetailleerde procedures inclusief checklists en diagrammen
• Overzicht van uitgevoerde testen en verwijzing naar testresultaten
  
  

Om tot een effectief BCP te komen, zijn de volgende stappen noodzakelijk:

Risicoanalyse en Business Impact Analyse

1. Risicoanalyse (RA): Identificeert potentiële incidenten die een gevaar kunnen vormen voor het bedrijf, de realiteit van deze dreigingen, kritieke bedrijfsfuncties en processen, prioritering, en benodigde mitigerende maatregelen.
2. Business Impact Analyse (BIA): Bepaalt de financiële en operationele impact van verstoringen van kritieke functies en processen. De BIA inventariseert interne en externe IT-systemen, applicaties, en onderlinge afhankelijkheden. Het doel is om SLA’s te bepalen waarin de maximum tolerable downtime (MTD) en maximum tolerable data loss (MTDL) van de kritieke processen en diensten worden vastgelegd.
   
   
   

Bepalen van MTDL en MTD

• MTDL (Maximum Tolerable Data Loss): De hoeveelheid data/transacties die verloren mag gaan voordat dit negatieve gevolgen heeft voor het bedrijf. MTDL is gecorreleerd aan Recovery Point Objective (RPO).
• MTD (Maximum Tolerable Downtime): De maximale tijd dat een business functie of service uit de lucht mag zijn zonder negatieve consequenties. Voor de MTD zijn Incident Response Time (IRT), Recovery Time Objective (RTO), en Operational Resumption Time (ORT) belangrijk.

IT Disaster Recovery Plan, Emergency Response Plan en Crisis Management Plan

Een effectief BCP bestaat uit meerdere specifieke plannen:

1. IT Disaster Recovery Plan (DRP): Richt zich op IT-continuïteit en beschrijft procedures om IT-verstoringen snel te verhelpen. Het plan omvat rollen, taken en verantwoordelijkheden, incidentrespons, en activatie- en fallbackplannen.
2. Crisis Management Plan (CMP): Beschrijft criteria voor het activeren van het BCP, de hiërarchische structuur van betrokkenen, rapportage tijdens en na het incident, en het communicatieplan.
3. Emergency Response Plan (ERP): Ook wel Incident Response Plan genoemd, beschrijft de procedures, taken en rolverdeling bij een calamiteit.

Testen en Oefenen

Nieuwe IT-systemen en risico's kunnen leiden tot belangrijke wijzigingen in bestaande processen. Daarom is het cruciaal om het BCP actueel te houden en minimaal jaarlijks te toetsen. Regelmatig testen en oefenen van herstelprocedures zorgt ervoor dat betrokken medewerkers bekend raken met de procedures en dat genomen maatregelen voldoen aan de eisen van de NIS2-richtlijn.

Backup Strategie

Een veilige en betrouwbare backup strategie is essentieel, vooral gezien de toename van ransomware-aanvallen gericht op het versleutelen van backups. Enkele belangrijke maatregelen zijn:

• 3-2-1 backup regel: Drie datakopieën, op twee verschillende media, waarvan één op een locatie die volledig geïsoleerd is.
• Toegang & beveiliging: Versleutel backup data om te voorkomen dat onbevoegden data kunnen inzien bij verlies of diefstal.
• Backup schema: Bepaal backup retentie en frequentie op basis van data-classificatie en risicoprofiel.
• Backup monitoring: Monitor en controleer backups regelmatig.
• Restore: Voer regelmatig restore-tests uit om de beschikbaarheid en betrouwbaarheid van de backups te verifiëren.

Conclusie

Met de invoering van de NIS2-richtlijn wordt het steeds belangrijker voor bedrijven om een robuust Business Continuity Plan op te stellen en te onderhouden. BPSOLUTIONS kan bedrijven ondersteunen bij het implementeren van deze maatregelen om te voldoen aan de eisen van NIS2 en de digitale weerbaarheid te versterken.

Heeft u hulp nodig bij het opstellen of verbeteren van uw Business Continuity Plan? Neem contact op met Stefan Folkerts voor deskundige ondersteuning en advies. Of ga voor meer informatie naar onze website over NIS 2 

Wil je op de hoogte blijven van al het nieuws omtrent de NIS2-richtlijnen? Meld je dan hier aan voor onze NIS2-nieuwsbrief.

.Wil je ook onze andere blogs over NIS2 lezen?
Blog 1: NIS2 De actuele Europese beveiligingsnorm voor organisaties
Blog 2: BPSOLUTONS bereidt zich voor op NIS2: Een stap vooruit in Cybersecurity
Blog 3: NIS2 Compliance: Een strategische aanpak voor IT Security & Conitnuïteit