NIS2 is inmiddels wet in de meeste EU-lidstaten, DORA geldt voor de hele financiële sector en de AVG voor iedereen met persoonsgegevens. Allemaal willen ze zien dat back-ups, herstel en incidentafhandeling geregeld zijn, en dat je dat kunt laten zien.
Een kort overzicht voor de Europese Unie. Of je organisatie eronder valt, bepaal je zelf, samen met je toezichthouder of adviseur.
Energie, vervoer, zorg, drinkwater, digitale infrastructuur, maakindustrie, overheid en meer. Elke EU-lidstaat heeft zijn eigen wet, zoals de Cyberbeveiligingswet in Nederland en de NIS2-wetten in België en Duitsland.
Back-up en herstel: Artikel 21 noemt bedrijfscontinuïteit, zoals back-upbeheer en noodherstel, en crisisbeheer met name.
MSP’s en managed security providers vormen in NIS2 een eigen sector, in elke lidstaat.
Back-up en herstel: Je eigen continuïteit, en de vragen van elke klant die zijn toeleveringsketen moet controleren.
Banken, verzekeraars, beleggingsondernemingen en andere financiële instellingen in de hele EU. Van toepassing sinds 17 januari 2025.
Back-up en herstel: Back-upbeleid, procedures voor terugzetten en herstel, en grip op je ICT-leveranciers.
Artikel 32 vraagt overal in de EU om passende beveiliging van persoonsgegevens.
Back-up en herstel: Het vermogen om na een incident de beschikbaarheid van en toegang tot persoonsgegevens tijdig te herstellen.
De Baseline Informatiebeveiliging Overheid (versie 1.3, afgestemd op de Cbw) en de norm voor informatiebeveiliging in de zorg.
Back-up en herstel: Back-ups, continuïteit en beschikbaarheid van gegevens horen bij de maatregelen die je moet kunnen aantonen.
Van regel naar bewijs
Elk kader vraagt in eigen woorden om hetzelfde: dat je je data en systemen terugkrijgt, en dat je dat kunt aantonen. Kies een kader en zie welke onderdelen van onze dienst je dat bewijs leveren.
“Bedrijfscontinuïteit, zoals back-upbeheer en herstel na een noodgeval, en crisisbeheer”, plus de beveiliging van je toeleveringsketen.
Een back-upbeleid en geteste procedures voor terugzetten en herstel. Plus grip op de ICT-leveranciers waar je van afhankelijk bent.
“Het vermogen om bij een incident de beschikbaarheid van en de toegang tot persoonsgegevens tijdig te herstellen”, en een verwerker met wie je een overeenkomst hebt.
Nederlandse normen voor de overheid en de zorg. Back-ups, continuïteit, beschikbaarheid van patiëntgegevens en grip op leveranciers horen erbij.
Wij leveren maatregelen en bewijs. Of je organisatie voldoet, beoordeel je zelf of samen met je auditor of toezichthouder.
De details verschillen per lidstaat, de kern is overal hetzelfde.
| Verplichting | Wat het betekent | Waar Immutec helpt |
|---|---|---|
| Zorgplicht | Neem passende maatregelen voor je netwerk- en informatiesystemen, op basis van een risicoanalyse. | Onveranderbare back-ups buiten je netwerk, disaster recovery en geteste restores |
| Meldplicht | Vroegtijdige waarschuwing binnen 24 uur, melding binnen 72 uur, eindrapport binnen een maand. | Logs en een incidenttijdlijn uit je back-upgeschiedenis |
| Verantwoordelijkheid van het bestuur | Het bestuur keurt de maatregelen goed, houdt er toezicht op en volgt training. | Heldere rapportages en testresultaten die het bestuur begrijpt |
| Toeleveringsketen | Beoordeel de beveiliging van je leveranciers. | ISO 27001:2022-gecertificeerde leverancier, data in de EU, vastgelegde scope |
| Registratie | Registreer je bij de nationale toezichthouder als je organisatie eronder valt, in Nederland bij het NCSC. | Dit doe je zelf; wij vertellen je graag welke gegevens er meestal nodig zijn |
NIS2 maakt boetes mogelijk tot € 10 miljoen of 2% van de wereldwijde omzet voor essentiële entiteiten. Deze pagina is algemene informatie, geen juridisch advies. Controleer je eigen verplichtingen bij de officiële bronnen, bijvoorbeeld de NCSC-flyer over de Cyberbeveiligingswet en BIO2 versie 1.3.
Staat je vraag er niet bij? Bel ons op +31 (0)85 482 3400.
Geen enkele leverancier kan ervoor zorgen dat je aan de regels voldoet. Dat gaat over je hele organisatie. Wij regelen een belangrijk deel van de maatregelen, namelijk back-up en herstel, en geven je het bewijs om dat te laten zien.
Managed service providers zijn in NIS2 een aparte sector, dus de kans is groot. Controleer het bij je nationale toezichthouder; in Nederland heeft de overheid een zelfevaluatietool. En ook als je er niet onder valt, gaan je klanten ernaar vragen.
Ja. Je back-ups staan in onze eigen private cloud in een datacenter in Amsterdam.
Rapporten van hersteltests, het herstelplan met RPO en RTO per dienst, back-uplogs en, tijdens een incident, een tijdlijn uit je back-upgeschiedenis. Plus ons ISO 27001:2022-certificaat voor je leveranciersdossier.
We lopen je afspraken over back-up en herstel met je door en vertellen je eerlijk wat er nog ontbreekt voor NIS2, DORA of de AVG.