NIS2 en backup: wat de wet van uw backups verwacht

Voor wie NIS2 geldt

De Europese NIS2-richtlijn is in België omgezet door de wet van 26 april 2024, met het Centrum voor Cybersecurity België (CCB) als toezichthouder. Ze geldt voor "essentiële" en "belangrijke" entiteiten in sectoren als energie, transport, gezondheidszorg, water, digitale infrastructuur, voeding, chemie, afval en productie van onder meer machines en voertuigen. De drempel ligt meestal bij middelgrote ondernemingen (50 werknemers of 10 miljoen euro omzet), maar toeleveranciers van een NIS2-entiteit krijgen de eisen vaak contractueel doorgeschoven.

Zelfs wie niet onder de wet valt, krijgt er dus mee te maken: via klanten, via verzekeraars, via aanbestedingen.

Wat artikel 21 over backup zegt

Artikel 21, lid 2 somt tien maatregelen op die elke entiteit moet nemen. Punt (c) luidt: bedrijfscontinuïteit, zoals back-upbeheer en noodvoorzieningenplannen, en crisisbeheer. Daarnaast zijn (a) risicoanalyse, (f) beleid en procedures om de doeltreffendheid van maatregelen te beoordelen en (h) cryptografie en versleuteling direct relevant voor backups.

Drie woorden doen het werk: beheer, noodvoorzieningen en doeltreffendheid beoordelen. Een backup hebben is niet genoeg. U moet kunnen tonen dat ze beheerd wordt (wie, hoe vaak, hoe lang bewaard), dat er een plan is om ermee te herstellen, en dat u regelmatig nagaat of dat plan werkt.

Hoe CyFun het vertaalt

Het CCB heeft het CyberFundamentals Framework (CyFun) gepubliceerd als praktische invulling, met de niveaus Basic, Important en Essential. Voor backup zijn vooral deze eisen van tel:

CyFun	Eis	Wat u moet kunnen tonen
PR.IP-4	Back-ups van informatie worden gemaakt, onderhouden en getest	planning, bewaartermijn, testresultaten per systeem
PR.DS-1	Data in rust is beschermd	versleuteling, en wie de sleutel heeft
PR.PT-5	Mechanismen voor veerkracht	onveranderlijke kopie, aparte locatie
RC.RP-1	Herstelplan wordt uitgevoerd tijdens of na een incident	een getest herstelplan met gemeten hersteltijden
DE.CM	Continue monitoring	meldingen bij mislukte backups en afwijkingen

Het niveau Important vraagt expliciet dat de integriteit van backups gecontroleerd wordt en dat backups offline of gescheiden van het netwerk bewaard worden. Het niveau Essential vraagt daarbovenop regelmatige hersteltests.

Wat een auditor wil zien

Een auditor leest geen beloftes. Hij wil per periode:

1. Welke systemen beschermd zijn, en hoe vaak.
2. Dat de backups geslaagd zijn, met datum en omvang.
3. Dat ze teruggezet zijn, door wie, wanneer, hoe lang het duurde.
4. Dat de opslag onveranderlijk is en waar ze staat.
5. Wie bij de sleutels kan.
6. Dat dit alles niet achteraf herschreven kan zijn.

Dat laatste punt is het lastigste. Een logboek in een spreadsheet bewijst niets. Een register dat alleen kan groeien, waarvan elke regel naar de vorige verwijst en dat dagelijks publiek verankerd wordt, wel.

Wat Zekura voor NIS2 doet

Zekura levert elk kwartaal een rapport per organisatie met precies die zes punten, in het Nederlands, Frans of Engels. Achteraan staat de normmapping: per vereiste uit NIS2 artikel 21(2)(c), ISO/IEC 27001:2022 A.8.13, CyFun PR.IP-4, DORA artikel 11 en 12 en GDPR artikel 32(1)(c) welk bewijs in het rapport staat en of de vereiste voldaan is, beoordeeld op de feiten van die periode. De sha256 van het rapport komt in de bewijsketen, die de auditor zonder Zekura kan narekenen.

Het rapport hoeft niet van ons te komen om bruikbaar te zijn: een auditor kan de ketenexport zelf controleren tegen het dagelijks gepubliceerde ankerpunt.

Een praktische checklist

• Staat vast welke systemen een backup krijgen, hoe vaak en hoe lang? Staat dat in een beleid dat een eigenaar ondertekend heeft?
• Is minstens één kopie onveranderlijk, met een bewaartermijn die uw risico dekt?
• Wordt elke backup automatisch geverifieerd, en elke week minstens één systeem echt teruggezet?
• Kent u uw werkelijke hersteltijd, gemeten en niet geschat?
• Krijgt iemand een melding als een backup mislukt of niet start, en wordt die melding bevestigd?
• Kunt u dit alles voor een willekeurig kwartaal van vorig jaar nog aantonen?

Wie op alle zes ja antwoordt, heeft het backupdeel van NIS2 op orde. Voor de rest van de keten (beleid, risicoanalyse, incidentmelding) werkt Zekura samen met Konforma, dat het compliance-dossier bijhoudt.

Veelgestelde vragen

Moet ik mijn backups melden aan het CCB?

Nee. U moet incidenten melden (binnen 24 uur een eerste melding, binnen 72 uur een update). Uw backups zijn wat u helpt om van zo'n incident te herstellen, en het bewijs dat u de maatregelen van artikel 21 genomen hebt.

Volstaat de backup van mijn IT-partner?

Als uw IT-partner u per kwartaal het bewijs levert, ja. Vraag ernaar. Een goede partner heeft het klaarliggen; Zekura is gebouwd zodat IT-partners dat voor elke klant automatisch kunnen.

Geldt dit ook voor Microsoft 365?

Ja. Uw mail en documenten vallen onder uw informatiebeveiliging, niet onder die van Microsoft. Lees de gids over Microsoft 365-backup.