Wat is een CSIRT en welke rol speelt het bij NIS2?

Een CSIRT, of Computer Security Incident Response Team, is een gespecialiseerd team dat organisaties helpt bij het detecteren, analyseren en afhandelen van cybersecurityincidenten. Onder de NIS2-richtlijn speelt het CSIRT een centrale rol: het vormt de brug tussen een incident op de werkvloer en de wettelijke meldplicht richting toezichthouders. Of je nu een eigen CSIRT opzet of gebruikmaakt van een externe partij, de NIS2 maakt duidelijk dat georganiseerde incidentrespons geen optie meer is, maar een verplichting. In dit artikel beantwoorden we de meest gestelde vragen over CSIRT en NIS2.

Wat doet een CSIRT concreet bij een cyberincident?

Een CSIRT is het team dat in actie komt zodra er een beveiligingsincident plaatsvindt. Het team detecteert het incident, beoordeelt de ernst en omvang, coördineert de respons en zorgt voor herstel en documentatie. Concreet fungeert een CSIRT als het operationele commandocentrum tijdens een cyberaanval of een datalek.

De taken van een CSIRT volgen doorgaans een vaste volgorde:

1. Detectie en triage: het incident wordt geïdentificeerd en gecategoriseerd op ernst.
2. Inperking: de verspreiding van de dreiging wordt gestopt, bijvoorbeeld door systemen te isoleren.
3. Analyse: de oorzaak en impact worden onderzocht.
4. Herstel: getroffen systemen en data worden hersteld naar een veilige toestand.
5. Rapportage: het incident wordt intern en, indien vereist, extern gemeld.
6. Evaluatie: er worden lessen getrokken om herhaling te voorkomen.

Naast het reageren op incidenten heeft een CSIRT ook een proactieve rol. Het team monitort dreigingen, voert kwetsbaarheidsanalyses uit en adviseert het management over risico’s. Juist die combinatie van reactief en proactief handelen maakt een CSIRT waardevol voor organisaties die vallen onder de beveiligingsvereisten van NIS2.

Welke organisaties vallen onder de NIS2-richtlijn?

De NIS2-richtlijn is van toepassing op middelgrote en grote organisaties in sectoren die als essentieel of belangrijk worden aangemerkt. In Nederland wordt NIS2 omgezet in de Cyberbeveiligingswet (CBW), die naar verwachting in het tweede kwartaal van 2026 in werking treedt. De reikwijdte is aanzienlijk breder dan die van de oorspronkelijke NIS1-richtlijn.

Organisaties worden ingedeeld in twee categorieën:

• Essentiële entiteiten: grote organisaties in sectoren zoals energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur en financiële dienstverlening.
• Belangrijke entiteiten: middelgrote organisaties in dezelfde sectoren, plus aanvullende sectoren zoals ICT-dienstverlening, voedselproductie, logistiek en afvalverwerking.

Als vuistregel geldt: organisaties met meer dan 50 medewerkers of een jaaromzet boven de 10 miljoen euro in een aangewezen sector vallen waarschijnlijk onder de NIS2. Maar ook kleinere organisaties die onderdeel zijn van de keten van NIS2-plichtige partijen, kunnen indirecte verplichtingen hebben. Leveranciers en ICT-dienstverleners die kritieke diensten leveren aan essentiële entiteiten worden steeds vaker aangesproken op hun eigen cybersecurityniveau.

Wat is de meldplicht onder NIS2 en hoe werkt die?

De meldplicht onder NIS2 verplicht organisaties om significante cybersecurityincidenten binnen strikte termijnen te melden bij de bevoegde nationale autoriteit. Een incident is significant als het de continuïteit van diensten ernstig verstoort of aanzienlijke financiële of maatschappelijke schade veroorzaakt.

De meldprocedure verloopt in drie stappen:

1. Vroegtijdige waarschuwing (binnen 24 uur): een eerste melding zodra een significant incident is vastgesteld, ook als nog niet alle details bekend zijn.
2. Incidentmelding (binnen 72 uur): een uitgebreidere melding met een initiële beoordeling van ernst, impact en vermoedelijke oorzaak.
3. Eindrapport (binnen een maand): een volledig rapport met een gedetailleerde analyse, genomen maatregelen en aanbevelingen voor de toekomst.

In Nederland is het Nationaal Cyber Security Centrum (NCSC) de centrale autoriteit voor essentiële entiteiten. Voor belangrijke entiteiten zijn sectorspecifieke toezichthouders aangewezen. Een goed functionerend CSIRT is onmisbaar om deze termijnen te halen, omdat het team de benodigde informatie verzamelt, analyseert en rapporteert.

Moet elke organisatie een eigen CSIRT opzetten?

Nee, NIS2 verplicht organisaties niet om een eigen intern CSIRT op te richten. Wat de richtlijn wel vereist, is dat je beschikt over aantoonbare capaciteit voor incidentrespons. Dat kan via een intern team, maar ook via een externe dienstverlener of een gedeeld CSIRT binnen een sector of keten.

Voor veel middelgrote organisaties is het opzetten van een volledig intern CSIRT financieel en operationeel niet haalbaar. Een realistisch alternatief is het uitbesteden van incidentrespons aan een gespecialiseerde ICT-partner of het aansluiten bij een nationaal of sectoraal CSIRT. Wat telt, is dat de capaciteit er is, de processen zijn vastgelegd en de verantwoordelijkheden helder zijn belegd.

Ongeacht de gekozen vorm moet je als organisatie minimaal het volgende hebben geregeld:

• Een gedocumenteerd incident response plan
• Duidelijke rollen en escalatielijnen bij een incident
• Afspraken over hoe en wanneer er gemeld wordt
• Periodieke oefening en evaluatie van de responsprocessen

Welke sancties staan er op het niet naleven van NIS2?

Organisaties die niet voldoen aan de NIS2-verplichtingen riskeren aanzienlijke boetes en bestuurlijke maatregelen. Voor essentiële entiteiten kunnen boetes oplopen tot 10 miljoen euro of 2% van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor belangrijke entiteiten geldt een maximum van 7 miljoen euro of 1,4% van de omzet.

Naast financiële sancties introduceert NIS2 ook persoonlijke aansprakelijkheid voor bestuurders. Dat betekent dat directeuren en leden van het managementteam individueel verantwoordelijk kunnen worden gehouden als zij aantoonbaar hebben nagelaten adequate cybersecuritymaatregelen te treffen. Toezichthouders krijgen bovendien ruimere bevoegdheden om audits uit te voeren, corrigerende maatregelen op te leggen en in ernstige gevallen tijdelijk de uitoefening van leidinggevende functies te verbieden.

De sancties zijn bewust zwaar neergezet om organisaties te prikkelen cybersecurity structureel te borgen, en niet pas actie te ondernemen nadat er iets misgaat.

Hoe bereid je je organisatie voor op NIS2-compliance?

Voorbereiding op NIS2-compliance begint met inzicht: weet je of je organisatie onder de richtlijn valt, en wat je huidige beveiligingsniveau is ten opzichte van de vereisten. Vanuit dat startpunt werk je stap voor stap naar aantoonbare naleving.

Een praktische aanpak omvat de volgende stappen:

1. Scope bepalen: stel vast of je organisatie als essentiële of belangrijke entiteit wordt aangemerkt.
2. Nulmeting uitvoeren: breng de huidige staat van informatiebeveiliging in kaart ten opzichte van de NIS2-vereisten.
3. Risicoanalyse opstellen: identificeer de grootste dreigingen en kwetsbaarheden voor jouw organisatie.
4. Technische en organisatorische maatregelen treffen: denk aan toegangsbeheer, encryptie, patchmanagement en ketenbeveiliging.
5. Incident response plan opstellen: zorg dat rollen, processen en meldprocedures zijn vastgelegd en geoefend.
6. Bestuurders trainen: NIS2 vereist aantoonbare kennis bij het bestuur over cyberrisico’s en hun eigen verantwoordelijkheden.
7. Doorlopend monitoren en evalueren: compliance is geen eenmalig project, maar een continu proces.

Vergeet ook de keten niet. NIS2 legt organisaties de verplichting op om te borgen dat ook hun leveranciers en partners voldoen aan adequate beveiligingsnormen. Goed ICT-beheer en heldere contractuele afspraken met ketenpartners zijn daarbij essentieel.

Hoe Puur ICT helpt met NIS2-compliance en CSIRT-gereedheid

NIS2 is voor veel organisaties een complexe opgave, zeker als er geen eigen CISO of securityteam aanwezig is. Wij helpen je als Microsoft 365-specialist en gecertificeerde ICT-dienstverlener stap voor stap naar aantoonbare naleving. Concreet bieden we:

• Nulmeting en scopebepaling: we brengen in kaart of jouw organisatie onder NIS2 valt en waar de grootste hiaten zitten.
• Technische beveiligingsmaatregelen: van toegangsbeheer en encryptie tot monitoring, volledig ingericht binnen het Microsoft-ecosysteem.
• Incident response planning: we helpen je een werkend incident response plan op te stellen, inclusief heldere meldprocedures.
• Bestuurderstraining en cyber awareness: onze trainingen maken bestuurders aantoonbaar bekwaam op het gebied van cyberrisico’s en hun wettelijke verantwoordelijkheden.
• Doorlopend beheer en rapportage: we monitoren, rapporteren en adviseren proactief, zodat je altijd weet waar je staat.

Wil je weten of jouw organisatie klaar is voor NIS2 en hoe Puur ICT je daarbij kan ondersteunen? Neem contact met ons op voor een vrijblijvend gesprek. We helpen je graag op weg, in begrijpelijke taal en met een aanpak die past bij jouw organisatie.

Gerelateerde artikelen

• Welke technische maatregelen zijn verplicht in Microsoft 365 onder NIS2 (Cyberbeveiligingswet)?
• Wat is het verschil tussen NIS2 en de AVG?
• Hoe automatiseer je handmatige processen in je Microsoft 365-omgeving?
• Waar begin je als je organisatie nog niets heeft geregeld voor NIS2?
• Wat is een betere manier om documenten te delen en samen te bewerken zonder dat je door versies heen rolt?