NIS2 Terminology Glossary
229 termen uit NIS2, de BSIG en de CRA, in gewone woorden. Waar een cursus de term gebruikt, ziet u de les en de zin.
De definities komen uit de woordenlijsten van onze cursussen. Dezelfde teksten verschijnen wanneer u ergens in de wiki met de muis over een term gaat. Een term met een Duitse naam wordt ook onder die naam vermeld en verwijst naar de Engelse vermelding, omdat de EU-teksten en onze cursussen de Engelse term gebruiken. Waar wij de bepaling kennen waarop een definitie berust, staat die onder de tekst vermeld.
#
- § 30 BSIG: Cybersecurity measures
- Ook genoemd: §30 BSIG: Cybersecurity Measures
- The central provision of NIS2 in German law. Lists ten categories of cybersecurity risk management measures that all in-scope entities must implement. Covers risk assessment, incident handling, business continuity, supply chain security, secure development, effectiveness assessment, training, cryptography, access control, and multi-factor authentication. The measures must be 'appropriate, proportionate and effective': not gold-plated, but genuine.
- §30 BSIG
- § 32 BSIG: Incident reporting
- Ook genoemd: §32 BSIG: Incident Reporting
- De verplichte meldcascade voor incidenten. Wanneer zich een significant incident voordoet: vroegtijdige waarschuwing aan het BSI binnen 24 uur nadat u er kennis van heeft genomen, incidentmelding binnen 72 uur, een tussentijds verslag als het BSI erom vraagt, en een eindverslag uiterlijk één maand na de incidentmelding van 72 uur (in plaats daarvan een voortgangsverslag als het incident nog loopt). Elke fase heeft specifieke inhoudelijke vereisten. Late of ontbrekende meldingen zijn afzonderlijke overtredingen met eigen sanctiebepalingen (§65(2) nr. 4 en 5 BSIG).
- §32 BSIG
- § 33 BSIG: Registration obligation
- Ook genoemd: §33 BSIG: Registration Obligation
- The legal obligation for all in-scope entities to register with the BSI. You provide entity information, sector classification, cybersecurity contact details, and IP address ranges. Non-registration is a standalone violation punishable by fines up to €500,000, separate from any penalties for failing to implement actual security measures.
- §33 BSIG
- § 38 BSIG: Implementation and oversight duty
- Ook genoemd: §38 BSIG: Management Responsibility
- De bepaling die het leidinggevend orgaan verplicht de risicobeheermaatregelen die §30 BSIG vereist te implementeren en toezicht te houden op de implementatie ervan (§38(1) BSIG), en regelmatig opleidingen over cyberbeveiligingsrisico's te volgen (§38(3) BSIG). De plicht om die maatregelen goed te keuren is vastgelegd in Art. 20(1) NIS 2; §38(1) zelf noemt implementeren en toezicht houden. Een schending van de plichten tot implementatie en toezicht maakt de leiding jegens het bedrijf aansprakelijk voor verwijtbaar veroorzaakte schade, volgens de vennootschapsrechtelijke regels voor de rechtsvorm ervan (§38(2) BSIG). Of het bedrijf van dergelijke vorderingen afstand kan doen, hangt af van dat vennootschapsrecht; §38 zegt daar niets over. Dit is de paragraaf die de aandacht van directeuren trekt.
- §38(1)-(3) BSIG
- §30 BSIG: Cybersecurity Measures
- zie § 30 BSIG: Cybersecurity measures
- §32 BSIG: Incident Reporting
- zie § 32 BSIG: Incident reporting
- §33 BSIG: Registration Obligation
- zie § 33 BSIG: Registration obligation
- §38 BSIG: Management Responsibility
- zie § 38 BSIG: Implementation and oversight duty
A
- aansprakelijkheid
- zie Civil liability
- aanzienlijk incident
- zie Significant incident
- Access control
- Ook genoemd: toegangscontrole
- Het beleid en de mechanismen die beperken wie toegang kan krijgen tot systemen en gegevens.
Mensen en toegang: (g) cyberhygiëne en personeelstraining, (h) cryptografiebeleid, (i) personeelsbeveiliging, toegangscontrole en activabeheer, en (j) multifactorauthenticatie en beveiligde communicatie.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- access review
- Een periodieke controle van wie toegang heeft tot wat, om rechten te verwijderen die niet meer nodig zijn.
- Actively exploited vulnerability
- Een kwetsbaarheid in uw product waarvoor betrouwbaar bewijs bestaat dat een kwaadwillende actor deze zonder toestemming van de systeemeigenaar in een systeem heeft misbruikt (Artikel 3(42) CRA). De aanleiding voor de meldplicht in Artikel 14(1) CRA, die begint met een vroegtijdige waarschuwing binnen 24 uur (Artikel 14(2)(a)). Te onderscheiden van een openbaar gemaakte maar nog niet misbruikte kwetsbaarheid.
De verplichting ontstaat bij een actively exploited vulnerability, een kwetsbaarheid die een kwaadwillende actor op dit moment zonder toestemming gebruikt tegen echte systemen.
CRA SBOM Grondslagen, Les 3.2: Keeping Your SBOM Current and Monitoring for Vulnerabilities. Ook in: Les 0.1- acts of war
- Een uitsluitingscategorie geactiveerd wanneer een aanval wordt toegeschreven aan een staat of door de staat gesponsorde actor.
De zaak Mondelez bewijst het patroon: zelfs een polis van honderd miljoen dollar kan worden geweigerd op grond van één enkele uitsluitingsclausule wanneer de verzekeraar besluit dat de aanval kwalificeert als een oorlogshandeling.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen- Administrative fine
- Ook genoemd: boete, geldboete
- De straf die de toezichthouder het bedrijf oplegt op grond van Artikel 34 van de NIS2-richtlijn.
Artikel 34 van de NIS2-richtlijn stelt de maximale bestuurlijke boete voor essentiële entiteiten vast op het hogere van tien miljoen euro of twee procent van de totale wereldwijde jaarlijkse omzet.
NIS2 Managementtraining, Les 1.3: Sancties en het bestuursverbod- All-hazards approach
- Het beginsel uit Artikel 21(2) dat uw plicht elke bedreiging van de systemen omvat, niet alleen cyberaanvallen, dus ook fysieke, omgevingsgerelateerde en menselijke bedreigingen.
Artikel 21(2) vereist risicobeheer "op basis van een all-hazards benadering die tot doel heeft netwerk- en informatiesystemen en de fysieke omgeving van die systemen te beschermen tegen incidenten."
NIS2 Managementtraining, Les 1.10: All-hazards benadering en stand van de techniek- Appropriate and proportionate
- De maatstaf in Artikel 21(1) NIS 2 voor cyberbeveiligingsmaatregelen. Zij moeten bij het risico passen en op de omvang van de entiteit zijn afgestemd (§30(1) BSIG voegt 'doeltreffend' toe). Een plan dat u nooit heeft getest, is moeilijk te verdedigen als passend, omdat Artikel 21(2)(f) procedures vereist om te beoordelen of maatregelen werken.
It uses the appropriate and proportionate rule in Article 21(1) NIS 2 and the testing rule in CIR 2024/2690 Annex Section 4.1.
NIS 2 Tabletop Exercise Training, Les 3.1: Annual Cadence, Final Quiz, and Attestation- Article 21(2)(g) NIS 2
- De bepaling van de richtlijn die basispraktijken voor cyberhygiëne en cyberbeveiligingstraining vereist. De rechtsgrondslag voor de rolspecifieke training die de attestation van deze cursus dekt.
The PDF you receive at the end of this course is proof that you completed role-specific cybersecurity training under Article 21(2)(g) NIS 2 for the facilitator role.
NIS 2 Tabletop Exercise Training, Les 3.1: Annual Cadence, Final Quiz, and Attestation- Asset
- Alles waarvan het bedrijf afhankelijk is om te functioneren - mensen, processen, cloudabonnementen, gebouwen en IT-hardware.
Deze les behandelt wat "bedrijfsmiddel" betekent onder NIS2 en waarom de inventaris van die bedrijfsmiddelen de basis is waarop alle andere beveiligingsmaatregelen rusten.
NIS2 Managementtraining, Les 2.2: Wat is een bedrijfsmiddel?- Asset inventory
- Ook genoemd: assetinventaris
- De bijgehouden lijst van alle bedrijfsmiddelen, actueel gehouden naarmate het bedrijf verandert; de basis waarop alle andere beveiligingsmaatregelen steunen.
De volledige lijst ervan wordt de bedrijfsmiddeleninventaris genoemd en moet actueel worden gehouden - een inventaris die vorig jaar klopte en sindsdien niet is bijgewerkt, is al een tekortkoming.
NIS2 Managementtraining, Les 2.2: Wat is een bedrijfsmiddel?- Asset management
- Ook genoemd: assetbeheer
- Het proces van het identificeren, registreren en beheren van alle IT-bedrijfsmiddelen waarvan het bedrijf afhankelijk is.
Mensen en toegang: (g) cyberhygiëne en personeelstraining, (h) cryptografiebeleid, (i) personeelsbeveiliging, toegangscontrole en activabeheer, en (j) multifactorauthenticatie en beveiligde communicatie.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- assetbeheer
- zie Asset management
- assetinventaris
- zie Asset inventory
- Attestation
- De gedateerde pdf die u van deze cursus krijgt wanneer u klaar bent. Bewijs van rolspecifieke cyberbeveiligingstraining op grond van Artikel 21(2)(g) NIS 2 voor de rol van facilitator. Niet hetzelfde als de training van het leidinggevend orgaan op grond van Artikel 20(2).
Wanneer u slaagt, genereert het platform een gedateerde PDF attestatie.
CRA SBOM Grondslagen, Les 4.1: Final Assessment. Ook in: NIS 2 Tabletop Exercise Training, Les 0.1; Les 0.1- Attribution
- De handeling van het identificeren van wie achter een aanval zit; bepaalt of oorlogshandelingsclausules van toepassing zijn en of sanctiewetgeving wordt geactiveerd.
Stel voor de oorlogshandeling-clausule specifiek drie vragen: hoe wordt "vijandige of oorlogsachtige handeling" gedefinieerd in deze polis, wat gebeurt er als attributie onduidelijk is, en wat is het officiële standpunt van de verzekeraar over aan staten gelieerde ransomware-groepen.
NIS2 Managementtraining, Les 4.4: Veelvoorkomende polisuitsluitingen om op te letten. Ook in: Les 4.5; Les 4.6- audit rights
- Contractuele clausules die u het recht geven de beveiligingsmaatregelen van een leverancier te inspecteren.
Drie: contractuele clausules, incidentmelding zodat ze u snel informeren wanneer ze zijn gehackt, een beveiligingsbasislijn, en auditrechten zodat u of een gemachtigde hun werk kan controleren.
NIS2 Managementtraining, Les 2.9: Maatregel 4: Beveiliging van de toeleveringsketen. Ook in: Les 3.9- Audit trail
- Ook genoemd: audittrail
- De chronologische registratie van wat bekend was, wanneer en door wie; de reden waarom het verbergen van iets zelden werkt.
- §30(1) sentence 3 BSIG, §61 BSIG
Een lacune verbergen of stilletjes oplossen mislukt beide wanneer het auditspoor het verhaal vertelt, en het auditspoor vertelt altijd het verhaal.
NIS2 Managementtraining, Les 3.11: Scenario: Pre-audit ontdekking van een lacune- audittrail
- zie Audit trail
- Availability
- Ook genoemd: beschikbaarheid
- De eigenschap van een systeem om toegankelijk en bruikbaar te zijn wanneer dat nodig is.
- awareness training
- Terugkerende beveiligingstraining voor al het personeel over de basis van cyberhygiëne; de CIR vraagt om herhaling en om aanbod op geplande tussenpozen (8.1.2, 8.1.3).
B
- back door
- Een verborgen toegangspunt in software dat ongeautoriseerde toegang mogelijk maakt, vaak geplaatst door een aanvaller.
- bedrijfscontinuïteit
- zie Business continuity
- belangrijke entiteit
- zie Important entity
- beschikbaarheid
- zie Availability
- bestuur
- zie Management body
- bevoegde autoriteit
- zie Competent authority
- boete
- zie Administrative fine
- breach of trust
- Een Duits strafbaar feit (§ 266 StGB) voor het schenden van een plicht om de vermogensbelangen van het bedrijf te behartigen, waardoor het bedrijf een verlies lijdt, bijvoorbeeld door zijn geld tegen zijn belang uit te geven.
In Duitsland is ontrouw op grond van paragraaf 266 van het Wetboek van Strafrecht van toepassing wanneer bedrijfsgeld wordt besteed in strijd met het belang van het bedrijf.
NIS2 Managementtraining, Les 4.6: Beslissingen over ransomwarebetaling- BSI registration
- The mandatory registration of in-scope entities with the BSI via its online portal. Required by §33 BSIG with its own penalty provision. You provide your company details, sector classification, a cybersecurity contact person, and IP address ranges. This is a standalone legal obligation: completing it does not satisfy your other NIS2 requirements, but not completing it is its own violation.
- §33 BSIG
- BSI Standard 200-4
- De standaard van het Duitse BSI voor bedrijfscontinuïteitsmanagement. Deze definieert vijf oefentypen (plantoetsing of bureautest, stafoefening, uitgebreide stafoefening, alarmoefening, functietest) en vereist een jaarlijks oefenplan.
BSI Standard 200-4 and the international standard ISO 22301:2019 Section 8.6 name four types of exercise:
NIS 2 Tabletop Exercise Training, Les 0.1: What a Tabletop Is and Why NIS 2 Demands One- BSI TR-02102
- De BSI-technische richtlijn met momenteel aanbevolen cryptografische algoritmen; verwijs ernaar in het beleid zodat het automatisch actueel blijft.
In plaats van algoritmennamen te onthouden, is de juiste referentie voor Europese bedrijven BSI TR-02102, die BSI bijwerkt naarmate het onderzoek evolueert.
NIS2 Managementtraining, Les 2.13: Maatregel 8 - Cryptografie- BSIG
- De Duitse BSI-wet (Wet op het Federaal Bureau voor de Beveiliging van Informatietechnologie en op de beveiliging van informatietechnologie van entiteiten), de nationale wet die NIS2 in Duitsland implementeert.
- BSIG (Art. 1 of the Act of 2 December 2025, BGBl. 2025 I Nr. 301)
In Duitsland is dat de BSIG (de federale wet op IT-beveiliging, gewijzigd door de NIS2-implementatiewet).
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat- Business continuity
- Ook genoemd: bedrijfscontinuïteit
- De plannen en processen die ervoor zorgen dat kritieke operaties doorgaan tijdens en na een verstoring.
Incident en continuïteit: (b) incidentbeheer en (c) bedrijfscontinuïteit: back-ups, herstel en crisismanagement.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- Business continuity (BCM)
- De overkoepelende discipline om het bedrijf draaiende te houden tijdens incidenten; omvat back-up, herstel na rampen en crisismanagement.
"Wat is onze RTO voor het kernbedrijfscontinuïteitssysteem, en wat zegt de laatste noodhersteltest over de werkelijke hersteltijd?"
NIS2 Managementtraining, Les 2.8: Maatregel 3: Bedrijfscontinuïteit- Business impact analysis (BIA)
- De analyse van hoe zwaar ernstige verstoringen de bedrijfsvoering zouden treffen; zij stelt continuïteitsvereisten vast, zoals hersteltijden en aanvaardbaar gegevensverlies (CIR 4.1.3), en maakt de risicomatrix toepasbaar.
Het document dat deze categorieën vertaalt naar bedrijfscijfers, wordt een bedrijfsimpactanalyse - BIA - genoemd.
NIS2 Managementtraining, Les 2.5: De CIA-driehoek en bedrijfsimpact- business interruption
- Het financieel verlies door stillegging of verslechtering van activiteiten tijdens en na een incident.
Het betaalt voor de kosten van het afhandelen van een cyberincident: forensisch onderzoek, incidentrespons, klantnotificatie en bedrijfsonderbrekingsverliezen.
NIS2 Managementtraining, Les 4.3: Cyberverzekering versus D&O - Verschillende producten, verschillende dekking- Business Judgment Rule
- Het vennootschapsrechtelijk principe dat bestuurders beschermt tegen persoonlijke aansprakelijkheid voor zakelijke beslissingen te goeder trouw genomen met redelijke informatie.
De business judgment rule beschermt bestuurders tegen persoonlijke aansprakelijkheid voor bedrijfsbeslissingen die te goeder trouw, op basis van redelijke informatie en in het belang van de onderneming worden genomen.
NIS2 Managementtraining, Les 1.8: De business judgment rule beschermt u niet
C
- chain of evidence
- De ononderbroken registratie van hoe digitaal bewijs is verzameld, opgeslagen en behandeld; vernietigd door systemen te herstellen vóór forensisch onderzoek.
Herstellen vóórdat forensisch onderzoek de gecompromitteerde systemen heeft onderzocht, vernietigt de bewijsketen en laat de toegangsvector open.
NIS2 Managementtraining, Les 3.8: Scenario: Ransomware op vrijdagmiddag- CIA triad
- Vertrouwelijkheid, integriteit, beschikbaarheid - de drie soorten schade die een incident kan veroorzaken; de taal die elk beveiligingsgesprek gebruikt.
Onder die formulering ligt een drieLetterig vocabulaire dat in elk beveiligingsgesprek wordt gebruikt: de CIA-driehoek.
NIS2 Managementtraining, Les 2.5: De CIA-driehoek en bedrijfsimpact- CIR
- Ook genoemd: uitvoeringsverordening
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie, het gedetailleerde technische regelboek voor bepaalde digitale aanbieders (zoals DNS-dienstverleners, cloudaanbieders, datacentra, aanbieders van beheerde diensten en onlinemarktplaatsen) en verleners van vertrouwensdiensten; zij is rechtstreeks van toepassing in alle lidstaten.
- Commission Implementing Regulation (EU) 2024/2690
Bovenop de richtlijn staat een tweede EU-rechtsinstrument: Uitvoeringsverordening (EU) 2024/2690 van de Commissie - de CIR.
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat- CIR 2024/2690
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie. Werkt technische en methodologische vereisten uit voor cyberbeveiligingsmaatregelen van specifieke entiteiten van de digitale infrastructuur.
CIR 2024/2690 Article 3 defines what counts as significant.
NIS 2 Tabletop Exercise Training, Les 1.1: The Article 23 Cascade Your Exercise Must Rehearse. Ook in: Les 2.2; Les 2.3- CISO
- Chief Information Security Officer; de persoon die verantwoordelijk is voor het cyberbeveiligingsprogramma van het bedrijf.
Als de toezichthouder morgen uw kantoor binnenloopt en u vragen stelt over uw cyberbeveiliging, hoeveel vragen kunt u dan beantwoorden zonder u tot uw CISO te wenden?
NIS2 Managementtraining, Les 3.1: De vragen die elke CEO moet kunnen beantwoorden- Civil liability
- Ook genoemd: persoonlijke aansprakelijkheid, aansprakelijkheid
- De juridische blootstelling die uw eigen bedrijf in staat stelt u persoonlijk aan te klagen voor schadevergoeding op grond van nationaal vennootschapsrecht.
- Compliance gap
- Een ontbrekend of onvolledig element van het vereiste nalevingsprogramma.
Zonder registratie kan hij u niet bereiken - en die communicatiekloof is op zichzelf al een nalevingskloof.
NIS2 Managementtraining, Les 1.4: De registratieplicht- compliance officer
- De persoon die verantwoordelijk is voor het waarborgen dat het bedrijf zijn wettelijke en regelgevende verplichtingen nakomt.
Ter plaatse worden de CISO, de compliance-officer en u ondervraagd.
NIS2 Managementtraining, Les 3.7: Wat er gebeurt tijdens een toezichtaudit- Compliance scope
- Ook genoemd: toepassingsgebied
- De reeks entiteiten en activiteiten die een wet omvat, en daarmee de verplichtingen die voor hen gelden.
Het verschil zit in de intensiteit van de handhaving, niet in de reikwijdte van de naleving.
NIS2 Managementtraining, Les 1.2: Wie valt in scope: essentiële versus belangrijke entiteiten- confidentiality
- Ook genoemd: vertrouwelijkheid
- Gegevens zijn alleen toegankelijk voor de mensen die ze zouden moeten zien; een verlies is een lek.
- Conformity assessment
- Het proces dat een fabrikant gebruikt om aan te tonen dat zijn product voldoet aan de CRA-vereisten. Producten van de standaardklasse kunnen zelf beoordelen. Belangrijke Klasse I-producten kunnen zelf beoordelen met geharmoniseerde normen. Belangrijke Klasse II-producten vereisen een conformiteitsbeoordelingsinstantie (CAB) van een derde partij. De SBOM maakt deel uit van de technische documentatie die tijdens de conformiteitsbeoordeling wordt beoordeeld.
- containment
- De onmiddellijke acties ondernomen om te voorkomen dat een incident zich verder verspreidt.
Wacht tot maandag en u verspilt vierenzestig uur van indamming - de vierentwintig-uurs regelklok tikt of u het nu declareert of niet.
NIS2 Managementtraining, Les 3.8: Scenario: Ransomware op vrijdagmiddag. Ook in: Les 3.10- Coordinated vulnerability disclosure
- Een proces waarbij een beveiligingsonderzoeker een kwetsbaarheid eerst privé aan de fabrikant meldt voordat details openbaar worden gemaakt. Bijlage I, Deel II, punt (5) CRA vereist dat fabrikanten een beleid voor gecoördineerde bekendmaking van kwetsbaarheden invoeren en handhaven (zie ook Artikel 13(8)). Wordt doorgaans uitgevoerd via een security.txt-bestand en een speciaal beveiligingscontact.
Ontwerp- en ontwikkelingsdocumentatie met inbegrip van architectuur, ontwerpbeslissingen, dreigingsmodel en beleid voor gecoördineerde bekendmaking van kwetsbaarheden
CRA SBOM Grondslagen, Les 1.3: The 10-Year Retention Rule and Who Gets Access- Coverage gap
- De specifieke ruimte tussen wat uw polissen dekken en wat de toezichthouder daadwerkelijk van u kan vorderen; de plek waar onverzekerde persoonlijke aansprakelijkheid leeft.
De kloof tussen wat u aannam dat de polis dekte en wat hij werkelijk dekt is de ruimte waar de kostbare verrassing zich bevindt.
NIS2 Managementtraining, Les 4.2: D&O-verzekering - Wat het dekt en de cyberuitzonderingen- Crisis declaration
- De formele handeling die het bedrijf in incidentresponsmodus zet, die alleen het leidinggevend orgaan kan autoriseren.
- crisis management
- Een benoemd crisisteam met vooraf toegewezen beslissingsbevoegdheid en een gedocumenteerd plan; NIS2 noemt crisisbeheer naast bedrijfscontinuïteit in Artikel 21(2)(c).
- critical asset
- Een bedrijfsmiddel waarvan het verlies aanzienlijke schade aan het bedrijf zou veroorzaken; geprioriteerd in de BIA.
- Critical sectors
- Sectoren die de EU essentieel acht voor de samenleving en economie, vermeld in de bijlagen I en II van NIS2.
Één EU-breed regelboek over hoe bedrijven in kritieke sectoren zichzelf beschermen tegen cyberaanvallen en wat ze moeten doen wanneer er iets misgaat.
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat- critical vulnerability
- Een zwakte in een systeem met het hoogste ernstniveau; de CIR verwacht dat kwetsbaarheden die voor de bedrijfsvoering kritiek zijn, onverwijld worden aangepakt (6.10.2(c)).
- Cross-border impact
- Het effect van een incident op diensten of entiteiten in andere EU-lidstaten.
Oorzaak, toegepaste mitigatiemaatregelen en eventuele grensoverschrijdende gevolgen.
NIS2 Managementtraining, Les 1.11: De meldingscascade en significante incidenten- Cryptography
- Het gebruik van versleuteling en gerelateerde technieken om de vertrouwelijkheid en integriteit van gegevens te beschermen.
Mensen en toegang: (g) cyberhygiëne en personeelstraining, (h) cryptografiebeleid, (i) personeelsbeveiliging, toegangscontrole en activabeheer, en (j) multifactorauthenticatie en beveiligde communicatie.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- CSIRT
- Computer Security Incident Response Team, een nationale instantie (een lidstaat kan er meerdere hebben) die incidenten afhandelt; meldingen gaan naar dit team of, in voorkomend geval, naar de bevoegde autoriteit (Artikel 23(1)).
- NIS2 Directive Art. 10, §32 BSIG
Artikel 23 van de NIS2-richtlijn vereist melding aan uw nationale CSIRT van elk significant incident zonder onnodige vertraging.
NIS2 Managementtraining, Les 4.5: Eerste 48 uur van crisiscommunicatie. Ook in: NIS 2 Tabletop Exercise Training, Les 1.1- Customer notification
- Uw plicht op grond van Artikel 23(1) om getroffen klanten in voorkomend geval te informeren over een significant incident, los van uw meldingsplicht aan de toezichthouder.
Als ze dat niet kunnen beantwoorden, ga uit van het ergste en bereid klantmelding voor.
NIS2 Managementtraining, Les 3.9: Scenario - Leveranciersincident met klantgegevens- customer notification duty
- De wettelijke plicht om getroffen klanten, in voorkomend geval, te informeren over een significant incident dat waarschijnlijk een nadelige invloed heeft op de dienst die zij ontvangen.
De klantnotificatieplicht op grond van artikel 23(1) - die valt op u, ongeacht alles.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen- CVE
- Common Vulnerabilities and Exposures. De gestandaardiseerde identificator voor publiek bekende cybersecurity-kwetsbaarheden. Formaat: CVE-JAAR-NUMMER (bijv. CVE-2021-44228 voor Log4Shell). Een SBOM die aan een CVE-database is gekoppeld, toont welke bekende kwetsbaarheden uw product treffen.
Elke kwetsbaarheidsvermelding verwijst naar een CVE en het component dat het betreft.
CRA SBOM Grondslagen, Les 2.1: CycloneDX: The Security-Focused SBOM Format. Ook in: Les 1.1; Les 3.2- Cyber hygiene
- Basisbeveiligingspraktijken (patching, wachtwoordbeheer, bewustwording) die dagelijks risico verminderen.
Mensen en toegang: (g) cyberhygiëne en personeelstraining, (h) cryptografiebeleid, (i) personeelsbeveiliging, toegangscontrole en activabeheer, en (j) multifactorauthenticatie en beveiligde communicatie.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht. Ook in: Les 2.12- Cyber insurance
- Een polis die na een incident uitbetaalt, sommige financiële verliezen dekt, onderworpen aan uitsluitingen.
Mondelez had bij Zurich Insurance een cyberpolis voor dat bedrag.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen. Ook in: Les 4.3; Les 4.4- CycloneDX
- Een SBOM-standaard van OWASP in JSON- of XML-formaat. Gericht op beveiliging: opgebouwd rond het volgen van kwetsbaarheden, VEX-verklaringen en CVE-integratie. Versie 1.7 is de huidige. De CRA noemt geen voorkeursformaat (Bijlage I, Deel II, punt (1) vraagt om een algemeen gebruikt, machineleesbaar formaat), maar CycloneDX sluit rechtstreeks aan op workflows voor het beheer van kwetsbaarheden.
De formaten CycloneDX en SPDX vullen dat gat.
CRA SBOM Grondslagen, Les 1.1: What Goes Into an SBOM: Components, Versions, and Identifiers. Ook in: Les 0.1; Les 2.1; Les 2.2; Les 4.1
D
- D&O insurance
- Bestuurdersaansprakelijkheidsverzekering; een apart product van cyberverzekering, dat persoonlijke aansprakelijkheidsvorderingen tegen het leidinggevend orgaan dekt.
En persoonlijke aansprakelijkheid op grond van artikel 20(1) wordt gedekt door D&O-verzekering, niet door cyberverzekering - dat zijn verschillende producten.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen. Ook in: Les 4.3- deductible
- Het bedrag dat de verzekerde uit eigen zak moet betalen voordat de dekking begint.
- Digital infrastructure entities
- De soorten entiteiten waarop CIR 2024/2690 rechtstreeks van toepassing is (de 'relevante entiteiten' in Artikel 1 ervan): DNS-dienstverleners, TLD-registers, cloudaanbieders, datacentra, CDN's, MSP's, MSSP's, onlinemarktplaatsen, zoekmachines, sociale netwerken, verleners van vertrouwensdiensten. Niet identiek aan de NIS 2-sector 'digitale infrastructuur', waartoe ook internetknooppunten en telecomaanbieders behoren.
CIR 2024/2690 (the Commission Implementing Regulation that gives technical detail for digital infrastructure entities) is more direct.
NIS 2 Tabletop Exercise Training, Les 0.1: What a Tabletop Is and Why NIS 2 Demands One- Direct reporting line
- De organisatiestructuur die ten minste één persoon een rechtstreekse lijn naar het leidinggevend orgaan geeft voor cyberbeveiliging, vereist voor de soorten aanbieders die onder Uitvoeringsverordening (EU) 2024/2690 vallen (Bijlage 1.2.3) en door auditors gecontroleerd.
Als het bedrijf daarna een incident heeft, is de afwezigheid van een directe rapportagelijn bewijs dat het leidinggevend orgaan het cyberbeveiligingsprogramma niet naar behoren heeft bewaakt.
NIS2 Managementtraining, Les 3.6: CISO en rapportagelijnen van de raad van commissarissen- directie
- zie Management body
- Directive
- Ook genoemd: richtlijn
- Een EU-wet die elk land vertelt welk resultaat moet worden bereikt; elk land schrijft zijn eigen nationale wet om dit te implementeren.
De officiële naam is Richtlijn (EU) 2022/2555 - de NIS2-richtlijn.
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat. Ook in: Les 0.1- Directors and officers liability insurance
- Het product dat wordt verkocht om bestuursleden te beschermen tegen claims van wanbeheer; het dekt doorgaans schadeclaims wegens plichtsverzuim, maar niet boetes tegen het bedrijf of bewuste inbreuken.
Uw bestuurssecretaris stuurt de verlengingsofferte voor de bestuurders- en functionarisaansprakelijkheidsverzekering van het bedrijf door.
NIS2 Managementtraining, Les 4.2: D&O-verzekering - Wat het dekt en de cyberuitzonderingen- disaster recovery
- De procedures en infrastructuur die het bedrijf na een grote gebeurtenis weer online brengen.
- DPO
- Functionaris voor gegevensbescherming. De rol die in de Artikelen 37 tot en met 39 GDPR is geregeld (aanwijzing, positie, taken). Sterk aanbevolen bij elke tabletop waarbij persoonsgegevens betrokken zijn.
DPO or data protection contact when personal data is involved.
NIS 2 Tabletop Exercise Training, Les 1.2: Role Assignments: Who Must Be in the Room- Due care
- De standaard van aandacht en zorgvuldigheid die van een redelijke bestuurder wordt verwacht.
De vraag stellen en documenteren dat u die heeft gesteld, maakt al deel uit van de zorgvuldigheidsstandaard.
NIS2 Managementtraining, Les 1.3: Sancties en het bestuursverbod. Ook in: Les 1.7; Les 1.8; Les 3.2- Due diligence
- Het huiswerk dat u moet doen vóór het ondertekenen van iets met juridisch gewicht; de standaard die bepaalt of uw goedkeuring verdedigbaar is.
- Duty of legality
- De specifieke plicht van een bestuurder om de toepasselijke wetgeving na te leven, die boven de business judgment rule staat: er is geen oordeel toegestaan over de vraag of een wettelijke verplichting moet worden nagekomen.
Het beginsel heet de legaliteitsplicht: een bestuurder moet het toepasselijke recht naleven, en er is geen ruimte voor een bedrijfsoordeel over de vraag of een wettelijke plicht moet worden nagekomen.
NIS2 Managementtraining, Les 1.8: De business judgment rule beschermt u niet
E
- Early warning
- De eerste meldingsfase, verschuldigd binnen vierentwintig uur nadat een significant incident bekend is geworden.
Eerste fase: de vroegtijdige waarschuwing.
NIS2 Managementtraining, Les 1.11: De meldingscascade en significante incidenten. Ook in: Les 3.8; NIS 2 Tabletop Exercise Training, Les 1.1; NIS 2 Tabletop Exercise Training, Les 2.1- Encryption at rest
- Het versleutelen van opgeslagen gegevens (op schijf, in een database of in een back-up) zodat fysieke diefstal ze niet blootstelt.
Versleuteling in rust betekent dat gegevens op schijf, in een database of in een back-up zijn versleuteld zodat iemand die de opslag steelt deze niet kan lezen.
NIS2 Managementtraining, Les 2.13: Maatregel 8 - Cryptografie- Encryption in transit
- Het versleutelen van gegevens in beweging tussen systemen zodat onderschepping ze niet blootstelt.
Versleuteling in transit betekent dat gegevens die tussen systemen worden verstuurd zijn versleuteld zodat iemand die het verkeer onderschept deze niet kan lezen.
NIS2 Managementtraining, Les 2.13: Maatregel 8 - Cryptografie- ENISA
- Agentschap van de Europese Unie voor cyberbeveiliging. Ontvangt, samen met het als coördinator aangewezen CSIRT, de meldingen van kwetsbaarheden en incidenten op grond van Artikel 14 CRA via het Single Reporting Platform (operationeel sinds 11 september 2026). Op grond van NIS 2 Artikel 23 melden entiteiten aan hun CSIRT of bevoegde autoriteit, niet aan ENISA; ENISA ontvangt informatie over grensoverschrijdende incidenten en driemaandelijkse samenvattende verslagen van de nationale instanties.
- ENISA registry
- Het register dat Enisa op grond van artikel 27 NIS2 bijhoudt van DNS-dienstverleners, registers voor topleveldomeinnamen, entiteiten die domeinnaamregistratiediensten verlenen, aanbieders van cloudcomputingdiensten, aanbieders van datacentra, aanbieders van netwerken voor de levering van inhoud, aanbieders van beheerde diensten en beheerde beveiligingsdiensten, en aanbieders van onlinemarktplaatsen, onlinezoekmachines en platforms voor socialenetwerkdiensten, op basis van informatie van de centrale contactpunten.
- Essential entity
- Ook genoemd: essentiële entiteit
- Een groot bedrijf in een sector van Bijlage I, of bepaalde aanbieders zoals DNS-dienstverleners ongeacht hun omvang, onderworpen aan proactief toezicht.
- §28(1), §61(5), §65(5) BSIG, NIS2 Directive Art. 3(1)
Als u wordt geclassificeerd als een essentiële entiteit, kan de toezichthouder u wanneer hij maar wil controleren - zonder reden, zonder incident, zonder klacht.
NIS2 Managementtraining, Les 1.2: Wie valt in scope: essentiële versus belangrijke entiteiten- essentiële entiteit
- zie Essential entity
- Exclusion
- Een benoemde categorie verlies die de polis niet dekt (oorlogshandelingen, reeds bestaande kwetsbaarheden, sancties).
Verzekering spreidt het financiële verlies achteraf - en alleen het financiële verlies, onder voorbehoud van uitsluitingen die de juristen van de verzekeraar hebben opgesteld.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen- exclusion clause
- De specifieke contractuele bewoording die een categorie verlies uit de dekking verwijdert.
De zaak Mondelez bewijst het patroon: zelfs een polis van honderd miljoen dollar kan worden geweigerd op grond van één enkele uitsluitingsclausule wanneer de verzekeraar besluit dat de aanval kwalificeert als een oorlogshandeling.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen. Ook in: Les 4.4- exfiltration
- Het stelen van gegevens uit uw systemen; het punt waarop indamming kan overgaan in een meldplicht.
Derde vraag: zijn gegevens uitgelekt?
NIS2 Managementtraining, Les 3.10: Scenario: Phishing-succes: meldingsplichtig of niet?
F
- Fiduciary duty
- De wettelijke verplichting van een bestuurder om in het beste belang van het bedrijf te handelen.
- Final report
- De derde meldingsfase, verschuldigd uiterlijk één maand na de incidentmelding, met betrekking tot hoofdoorzaak, mitigatie en grensoverschrijdende impact.
Derde fase: het eindverslag.
NIS2 Managementtraining, Les 1.11: De meldingscascade en significante incidenten. Ook in: NIS 2 Tabletop Exercise Training, Les 1.1; NIS 2 Tabletop Exercise Training, Les 2.1- forensics
- Het technisch onderzoek van een cyberincident om oorzaak, omvang en impact te bepalen.
Negen: inschakeling van externe forensisch onderzoek of juridisch advies bij grote incidenten.
NIS2 Managementtraining, Les 3.5: Wat u niet kunt delegeren: de checklist. Ook in: Les 3.8; Les 3.10; Les 4.3
G
- geldboete
- zie Administrative fine
- goedkeuring
- zie Sign-off
- Good-faith disclosure
- De handeling van het melden van een lacune aan de toezichthouder voordat zij die vinden, wat toezichthouders wegen als verzachtende factor in handhavingsbeslissingen.
Openbaarmaking te goeder trouw leidt doorgaans tot een herstelorder of waarschuwing, niet tot een boete.
NIS2 Managementtraining, Les 3.11: Scenario: Pre-audit ontdekking van een lacune- Grype
- Een open-sourcescanner voor kwetsbaarheden van Anchore. Neemt een SBOM als invoer en vergelijkt componenten met de NVD, de GitHub Advisory Database en andere bronnen voor kwetsbaarheden. Het hulpmiddel dat een SBOM omzet in doorlopende monitoring van kwetsbaarheden, wat de plichten voor de behandeling van kwetsbaarheden in Bijlage I, Deel II ondersteunt en u helpt kwetsbaarheden op te merken die een melding op grond van Artikel 14 kunnen activeren.
Grype van Anchore is het standaardhulpmiddel voor de monitoringslus.
CRA SBOM Grondslagen, Les 3.2: Keeping Your SBOM Current and Monitoring for Vulnerabilities. Ook in: Les 2.1; Les 4.1
H
- hardware token
- Een fysiek apparaat (bijv. YubiKey) dat een tweede authenticatiefactor genereert of opslaat.
- Hash
- Een vingerafdruk van vaste lengte van een bestand, berekend met een algoritme zoals SHA-256. Het opnemen van een hash voor elke SBOM-component stelt u in staat te verifiëren dat de component niet is gemanipuleerd sinds de SBOM werd gegenereerd. Zowel CycloneDX als SPDX ondersteunen hashes per component.
Een hash is een vingerafdruk van vaste lengte van het componentbestand.
CRA SBOM Grondslagen, Les 1.1: What Goes Into an SBOM: Components, Versions, and Identifiers- Holding statement
- Een korte, feitelijke bevestiging die vroeg wordt afgegeven, voordat alle feiten bekend zijn, en die tijd koopt om de feiten goed op een rij te krijgen zonder zwijgzaam over te komen.
Tweede: geef binnen twee uur een voorlopige verklaring af.
NIS2 Managementtraining, Les 4.5: Eerste 48 uur van crisiscommunicatie- Hot wash
- De nabespreking direct na de oefening. Dezelfde ruimte, dezelfde dag, ongeveer twintig minuten. Vier rondes: wat goed ging, wat slecht ging, wat ons verraste, wat moet veranderen.
Coaching belongs in the hot wash after the exercise.
NIS 2 Tabletop Exercise Training, Les 1.3: The Facilitator-vs-Participant Separation. Ook in: Les 2.2; Les 2.3
I
- Impact
- Hoe erg het zou zijn als de gebeurtenis plaatsvindt - gemeten in geld, uitvaltijd, klanten of schade.
Die blootstelling wordt gemeten met twee getallen: kans - hoe vaak een ongunstige gebeurtenis zich kan voordoen - en impact - hoeveel het u zou kosten als het zover komt, uitgedrukt in geld, uitvaltijd, klanten of schade.
NIS2 Managementtraining, Les 2.1: Risico = Kans × Impact- Important entity
- Ook genoemd: belangrijke entiteit
- Een bedrijf in een sector van Bijlage I of II dat onder het toepassingsgebied valt maar niet essentieel is: middelgroot in Bijlage I, middelgroot of groot in Bijlage II. Het is onderworpen aan reactief toezicht.
- §28(2), §62, §65(5) BSIG, NIS2 Directive Art. 3(2)
Als u wordt geclassificeerd als een belangrijke entiteit, controleert de toezichthouder u alleen wanneer er iets aanleiding toe geeft - een incident, een klacht, een melding.
NIS2 Managementtraining, Les 1.2: Wie valt in scope: essentiële versus belangrijke entiteiten- Improvement item
- Een actiepunt dat uit de hot wash voortkomt. Het heeft een beschrijving, een eigenaar, een deadline, een koppeling naar de maatregel uit Artikel 21(2) waarin het een lacune dicht, en een duidelijk afrondingscriterium.
Each one becomes an improvement item with an owner, a deadline, and a link to the relevant Article 21(2) measure.
NIS 2 Tabletop Exercise Training, Les 2.2: The Hot Wash Debrief- In scope
- Onderworpen aan de vereisten van de wet; het bedrijf valt binnen de criteria voor toepassing.
- incident
- zie Incident handling
- Incident contact
- De persoon die uw bedrijf aanwijst voor de communicatie met de toezichthouder bij een beveiligingsincident. Gezien de termijn van 24 uur voor de vroegtijdige waarschuwing is het goede praktijk om ook de bereikbaarheid buiten kantooruren te regelen.
- Incident handling
- Ook genoemd: incidentafhandeling, incident
- De procedures voor het detecteren van, reageren op en herstellen van beveiligingsincidenten.
Incident en continuïteit: (b) incidentbeheer en (c) bedrijfscontinuïteit: back-ups, herstel en crisismanagement.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- Incident notification
- De tweede meldingsfase, verschuldigd binnen tweeënzeventig uur, met ernst, impact en indicatoren van compromittering.
Tweede fase: de incidentmelding.
NIS2 Managementtraining, Les 1.11: De meldingscascade en significante incidenten. Ook in: NIS 2 Tabletop Exercise Training, Les 1.1; NIS 2 Tabletop Exercise Training, Les 2.1- incident response plan
- De gedocumenteerde procedure voor het detecteren van, indammen van en herstellen van een beveiligingsincident.
Als u het antwoord op alle drie niet kent voordat het gesprek plaatsvindt, heeft uw incidentresponsplan al gefaald.
NIS2 Managementtraining, Les 2.7: Maatregel 2: Incidentbeheer. Ook in: Les 3.8; Les 4.6- incidentafhandeling
- zie Incident handling
- Indemnification
- Een contractuele clausule die de schuldige partij verplicht u te compenseren voor de kosten die hun falen heeft veroorzaakt.
Specifiek: meldingstermijnen bij incidenten, auditrechten, schadevergoeding.
NIS2 Managementtraining, Les 3.9: Scenario - Leveranciersincident met klantgegevens- Indicators of compromise
- Technische artefacten (IP-adressen, hashes, domeinen) die een beveiligingsinbreuk aantonen.
Een bijgewerkte beoordeling met ernst, impact en, indien beschikbaar, indicatoren van compromittering.
NIS2 Managementtraining, Les 1.11: De meldingscascade en significante incidenten- Information security policy
- Het overkoepelende beveiligingsdocument dat boven alle andere beveiligingsregels in het bedrijf staat; het eerste document dat de auditor leest.
Dat overkoepelende document heet het informatiebeveiligingsbeleid.
NIS2 Managementtraining, Les 2.6: Maatregel 1: Risicoanalyse en informatiebeveiligingsbeleid. Ook in: Les 3.2- Initial compromise
- Het vroegste tijdstip waarop een aanvaller in uw omgeving binnenkwam. Ransomwareoperators blijven vaak dagen, soms weken, aanwezig voordat zij iets versleutelen. Het juiste herstelpunt ligt vóór dit moment, niet alleen vóór de versleuteling.
Right answer: The most recent backup that pre-dates the initial compromise, confirmed clean by the forensics team.
NIS 2 Tabletop Exercise Training, Les 2.1: One End-to-End Scenario: Ransomware on the ERP- Insider threat
- Een risico dat voortkomt uit de organisatie zelf - werknemers, aannemers of partners.
Cyberaanvallen, fysieke inbraken, brand, overstroming, stroomuitval, leveranciersstoringen, bedreigingen van binnenuit en menselijke fouten vallen allemaal binnen de scope.
NIS2 Managementtraining, Les 1.10: All-hazards benadering en stand van de techniek- integrity
- Gegevens zijn nauwkeurig en ongemanipuleerd; een verlies is corruptie.
- Intermediate report
- Een statusupdate op grond van Artikel 23(4)(c) NIS 2, verzonden op verzoek van het CSIRT. Geen vaste termijn. U antwoordt wanneer erom wordt gevraagd.
Article 23(4)(c) says the CSIRT can ask for an intermediate report when it wants.
NIS 2 Tabletop Exercise Training, Les 1.1: The Article 23 Cascade Your Exercise Must Rehearse- Internal controls
- De processen en beveiligingsmaatregelen die een bedrijf onderhoudt om naleving te waarborgen en risico's te beheren.
De aanklacht betrof het ontbreken van wettelijk vereiste interne beheersmaatregelen en bekendmakingen.
NIS2 Managementtraining, Les 1.8: De business judgment rule beschermt u niet- ISMS
- Informatiebeveiligingsbeheersysteem - het volledige pakket van beleidslijnen, processen en mensen die beveiliging beheren.
Het geheel van documenten, mensen en beoordelingscycli daaromheen is wat uw CISO een ISMS noemt - een Informatiebeveiligingsbeheerssysteem.
NIS2 Managementtraining, Les 2.6: Maatregel 1: Risicoanalyse en informatiebeveiligingsbeleid- IT-Grundschutz
- De eigen cyberbeveiligingsmethodologie van het BSI: een uitgebreid kader van beveiligingsmodules (Bausteine) met stapsgewijze implementatiebegeleiding. Voor bedrijven is het niet verplicht: het BSI zegt dat een IT-Grundschutz-certificering het bewijs van NIS2-naleving kan vergemakkelijken, maar moet worden getoetst aan de maatregelen die §30 BSIG vereist en waar nodig worden aangevuld. §44(2) BSIG beschouwt op Grundschutz gebaseerde minimumeisen als vervulling van §30, maar alleen voor entiteiten van de federale overheid.
- BSI-Standards 200-1 through 200-4; §44(2) BSIG applies to federal administration entities only
J
- Joiner-mover-leaver
- Het proces voor het verstrekken van toegang bij indiensttreding, aanpassen bij rolwijziging en intrekken bij vertrek.
Het proces dat HR en IT verbindt gedurende de volledige levenscyclus van medewerkers (in dienst treden, van functie wisselen en vertrekken) wordt het instroom-doorstroom-uitstroomproces genoemd.
NIS2 Managementtraining, Les 2.14: Maatregel 9 - HR-beveiliging, toegangscontrole en middelenbeheer
K
- Key management
- Het genereren, opslaan, roteren en vernietigen van de cryptografische sleutels die versleuteling laten werken; waar cryptografie het vaakst faalt.
Sleutelbeheer bepaalt of de versleuteling solide of hol is.
NIS2 Managementtraining, Les 2.13: Maatregel 8 - Cryptografie- Key performance indicator
- De meetgegevens die laten zien of de beveiligingsmaatregelen werken zoals ontworpen.
De rapportagevergaderingen moeten regelmatig, gedocumenteerd en inhoudelijk specifiek zijn: KPI's, KRI's, incidentoverzicht, budgetstatus, dreigingslandschap en beslissingen die escalatie vereisen.
NIS2 Managementtraining, Les 3.6: CISO en rapportagelijnen van de raad van commissarissen- Key risk indicator
- De meetgegevens die laten zien waar de cyberblootstelling van het bedrijf op een bepaald moment staat en hoe die evolueert.
De rapportagevergaderingen moeten regelmatig, gedocumenteerd en inhoudelijk specifiek zijn: KPI's, KRI's, incidentoverzicht, budgetstatus, dreigingslandschap en beslissingen die escalatie vereisen.
NIS2 Managementtraining, Les 3.6: CISO en rapportagelijnen van de raad van commissarissen- key rotation
- Cryptografische sleutels planmatig vervangen om de schade te beperken als een sleutel gecompromitteerd raakt.
- KPI
- Key Performance Indicator - meet hoe goed een beveiligingsproces verloopt (bijv. percentage patches op tijd toegepast).
KPI's (Key Performance Indicators) meten hoe goed een proces verloopt (bijvoorbeeld welk percentage patches op tijd is aangebracht).
NIS2 Managementtraining, Les 2.11: Maatregel 6 - Effectiviteitsbeoordeling- KRI
- Key Risk Indicator - meet hoeveel risico het bedrijf momenteel draagt (bijv. aantal openstaande kritieke kwetsbaarheden).
KRI's (Key Risk Indicators) meten hoeveel risico u momenteel draagt (bijvoorbeeld hoeveel kritieke kwetsbaarheden er nu openstaan).
NIS2 Managementtraining, Les 2.11: Maatregel 6 - Effectiviteitsbeoordeling- KRITIS
- Exploitanten van kritieke installaties die de drempels overschrijden die in de verordening BSI-KritisV zijn vastgelegd (doorgaans 500.000 bediende personen). KRITIS-exploitanten worden automatisch ingedeeld als essentiële entiteiten (in de BSIG: besonders wichtige Einrichtungen) en hebben aanvullende verplichtingen bovenop standaard NIS2: bewijs van hun maatregelen om de drie jaar, verplichte systemen voor aanvalsdetectie en extra inhoud in incidentmeldingen (soort installatie en kritieke dienst). De meldtermijnen zijn dezelfde als voor andere entiteiten.
- §2 No. 22, §28(1), §31(2), §32(3), §39 BSIG; §2 No. 3 KRITISDachG; BSI-KritisV
L
- Layered insurance
- De aanpak van het combineren van D&O-, cyber- en juridische verdedigingspolissen om de kloof tussen hen te dichten.
- Least privilege
- Het principe dat elke gebruiker alleen de toegang heeft die hij voor zijn werk nodig heeft - niet meer en niet minder.
- leidinggevend orgaan
- zie Management body
- Leitfragen
- De Duitse term voor de gestructureerde vragen in hoofdstuk 3 van de niet-bindende opleidingshandreiking van het BSI voor leidinggevende organen (§ 38 Abs. 3 BSIG).
Uw auditor of consultant zal deze lijst de BSI Leitfragen noemen.
NIS2 Managementtraining, Les 3.1: De vragen die elke CEO moet kunnen beantwoorden- Lessons learned
- Het schriftelijke document na een incident dat de grondoorzaak vastlegt en het plan bijwerkt; DER.2.1.A17 zegt dat het management elk jaar over incidenten geïnformeerd zou moeten worden (SOLLTE).
Dat heeft vijf onderdelen, en de auditor controleert of alle vijf bestaan en zijn getest: detectie (hoe u merkt dat er iets misgaat), classificatie (hoe ernstig het is en of het de meldingsdrempel overschrijdt uit Les 1.11), respons (wie wat doet, in welke volgorde), herstel (hoe u de dienst herstelt, dit is gekoppeld aan Maatregel 3, bedrijfscontinuïteit) en geleerde lessen (wat er is gebeurd, waarom en wat er verandert als gevolg).
NIS2 Managementtraining, Les 2.7: Maatregel 2: Incidentbeheer- Likelihood
- Hoe vaak een slechte gebeurtenis kan plaatsvinden in een bepaalde periode.
Die blootstelling wordt gemeten met twee getallen: kans - hoe vaak een ongunstige gebeurtenis zich kan voordoen - en impact - hoeveel het u zou kosten als het zover komt, uitgedrukt in geld, uitvaltijd, klanten of schade.
NIS2 Managementtraining, Les 2.1: Risico = Kans × Impact
M
- malware
- Kwaadaardige software ontworpen om systemen te beschadigen, te verstoren of ongeautoriseerde toegang te krijgen.
In 2017 werd het voedingsbedrijf Mondelez getroffen door de NotPetya malware en leed het ongeveer honderd miljoen dollar schade.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen- Management approval
- De formele handeling waarmee het leidinggevend orgaan de risicobeheermaatregelen voor cyberbeveiliging goedkeurt, zoals Artikel 20(1) vereist, waarmee een gedateerde registratie van geïnformeerde instemming ontstaat.
- Management body
- Ook genoemd: bestuur, leidinggevend orgaan, directie
- De leiding van het bedrijf: de CEO, de directeuren, de leden van de raad van bestuur en iedereen die volgens de wet of de statuten is aangewezen om de zaken te leiden en het bedrijf te vertegenwoordigen.
- § 2 No. 13 BSIG
De richtlijn schept persoonlijke aansprakelijkheid voor het leidinggevend orgaan - dat is waarom het leidinggevend team, en niet alleen IT, rechtstreeks wordt aangesproken.
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat. Ook in: Les 0.1; Les 1.5; NIS 2 Tabletop Exercise Training, Les 0.1; NIS 2 Tabletop Exercise Training, Les 1.2- Management body training
- De trainingsplicht gecreëerd door Artikel 20(2), los van de bewustzijningstraining die uw medewerkers ontvangen; een persoonlijke verplichting voor elk lid van het leidinggevend orgaan.
- Management liability
- De persoonlijke aansprakelijkheid van de bedrijfsleiding (Geschäftsführung) jegens het eigen bedrijf voor NIS2-naleving op grond van §38 BSIG. De leiding moet de risicobeheermaatregelen op grond van §30 implementeren, toezien op de implementatie ervan en regelmatig cyberbeveiligingstraining volgen (§38(1) en (3)). Een schending van de plichten tot implementatie en toezicht maakt de leiding jegens het bedrijf aansprakelijk voor verwijtbaar veroorzaakte schade, volgens de vennootschapsrechtelijke regels voor de rechtsvorm ervan (§38(2)). De plicht om die maatregelen goed te keuren is vastgelegd in Art. 20(1) NIS 2; §38(1) zelf noemt implementeren en toezicht houden. Of het bedrijf van dergelijke vorderingen afstand kan doen, hangt af van dat vennootschapsrecht; §38 zegt daar niets over. Dit is de bepaling die cyberbeveiliging van de IT-afdeling naar de bestuurskamer brengt.
- §38(1)-(3) BSIG
- management review
- Een regelmatige evaluatie waarin het leidinggevend orgaan de beveiligingshouding van de organisatie beoordeelt; BSI-standaard 200-1 (paragraaf 4.3) beveelt dit aan als onderdeel van een informatiebeveiligingsbeheersysteem.
BSI Norm 200-1, Sectie 7.4 legt dit vast als de enige verplichte jaarlijkse frequentie in het kader - de formele managementreview waarbij u, het leidinggevend orgaan, samenzit en beoordeelt of het volledige beveiligingsprogramma nog steeds werkt.
NIS2 Managementtraining, Les 2.4: Waarom risicobeheer continu is. Ook in: Les 2.11; Les 3.3; Les 5.1- Management review protocol
- Het gedateerde, ondertekende document dat registreert wat is beoordeeld, wat is besloten en wie elke vervolgactie van de jaarlijkse managementbeoordeling bezit.
De managementbeoordeling is een gedateerd, ondertekend document (het managementbeoordelingsprotocol) waarin staat wat er is beoordeeld, wat er is besloten en wie verantwoordelijk is voor elk vervolgactie.
NIS2 Managementtraining, Les 2.11: Maatregel 6 - Effectiviteitsbeoordeling- Manager ban
- De bevoegdheid op grond van Artikel 32(5)(b), alleen bij essentiële entiteiten, om de persoon op het niveau van algemeen directeur of wettelijke vertegenwoordiger tijdelijk te laten verbieden leidinggevende functies in die entiteit uit te oefenen wanneer de bevelen van de toezichthouder na een gestelde termijn worden genegeerd.
Als een essentiële entiteit die termijnen niet haalt, kan de toezichthouder een tijdelijk bestuursverbod op grond van Artikel 32(5)(b) vragen, dat geldt totdat de tekortkomingen zijn verholpen.
NIS2 Managementtraining, Les 1.3: Sancties en het bestuursverbod- Mandatory incident reporting
- Ook genoemd: meldplicht
- Uw wettelijke plicht om de toezichthouder van een significant incident op de hoogte te stellen binnen de cascade van 24 uur / 72 uur / één maand die in Artikel 23 is vastgelegd.
- meldplicht
- zie Mandatory incident reporting
- MUK
- Germany's central business account for federal administration services, authenticated via ELSTER certificates. A prerequisite for BSI registration: companies must first create a MUK account, then access the BSI registration portal through it. If you do not yet have a MUK account, you cannot register with the BSI: this is the first practical step before any compliance work begins.
- OZG, ELSTER
- Multi-factor authentication
- Een beveiligingsmaatregel die twee of meer verificatiefactoren vereist voor toegang tot een systeem.
Als u meervoudige authenticatie voor medewerkersinlogs heeft goedgekeurd, gebruikt u meervoudige authenticatie.
NIS2 Managementtraining, Les 1.5: Uw plicht tot goedkeuring en toezicht. Ook in: Les 1.9- Multi-factor authentication (MFA)
- Inloggen waarvoor twee of meer verificatiefactoren nodig zijn, zoals een wachtwoord plus een hardwaretoken of telefoon; NIS2 vraagt hierom waar passend (Artikel 21(2)(j)), en de CIR noemt geprivilegieerde accounts en de classificatie van het benaderde bedrijfsmiddel (11.3.2, 11.7.1).
- §30(2)(10) BSIG
De grootste reden waarom accountovernames slagen is dat meervoudige authenticatie niet was ingeschakeld.
NIS2 Managementtraining, Les 2.15: Maatregel 10 - Meervoudige authenticatie en beveiligde communicatie
N
- NACE code
- De statistische classificatie van economische activiteiten in de Europese Gemeenschap (Nomenclature statistique des Activités économiques dans la Communauté Européenne). NIS2 en de BSIG verwijzen alleen voor enkele soorten entiteiten naar NACE Rev. 2-codes, zoals farmaceutische en chemische activiteiten en bepaalde productieactiviteiten. De meeste sectoren worden gedefinieerd aan de hand van het type activiteit. Het BSI vertelt u niet of u binnen het toepassingsgebied valt; dat controleert u zelf.
- Regulation (EC) No 1893/2006 (NACE Rev. 2); NIS2 Annex I point 5 and Annex II point 5; Anlage 1 and 2 BSIG
- named insured
- De specifieke persoon of entiteit die op een polis staat als degene die door de dekking wordt beschermd.
Die persoonlijke claim moet worden verdedigd door een polis die u persoonlijk als verzekeringnemer noemt.
NIS2 Managementtraining, Les 4.3: Cyberverzekering versus D&O - Verschillende producten, verschillende dekking- nation-state
- Een land dat via zijn inlichtingen- of militaire diensten cyberoperaties uitvoert.
De uitsluitingsclausule voor oorlogshandelingen of natiestaat-aanvallen: Lloyd's heeft deze bewoordingen in 2023 aangescherpt na de zaak Mondelez.
NIS2 Managementtraining, Les 4.4: Veelvoorkomende polisuitsluitingen om op te letten- NIS2 Annex I: High-criticality sectors
- De lijst van sectoren waarvan de entiteiten als 'essentieel' (essentiële entiteiten) worden ingedeeld wanneer zij de bovengrenzen voor middelgrote ondernemingen overschrijden, dus grote bedrijven zijn; middelgrote entiteiten in deze sectoren zijn belangrijke entiteiten. In de BSIG heet de essentiële klasse 'besonders wichtige Einrichtungen'. Omvat: energie (elektriciteit, olie, gas, waterstof, stadsverwarming), vervoer (lucht, spoor, water, weg), bankwezen, infrastructuur voor de financiële markt, gezondheid, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT-diensten, overheid en ruimtevaart.
- NIS2 Directive Annex I and Art. 3(1)(a), Anlage 1 and §28(1) BSIG
- NIS2 Annex II: Other critical sectors
- The list of sectors whose entities are classified as 'important' (wichtige Einrichtungen) when they meet the size threshold. Includes: postal and courier services, waste management, chemical manufacturing and distribution, food production and distribution, manufacturing (medical devices, electronics, machinery, vehicles), digital providers (online marketplaces, search engines, social networks), and research organizations.
- NIS2 Directive Annex II, §28(2) BSIG
- NIS2 Directive
- Richtlijn (EU) 2022/2555, de EU-brede cyberbeveiligingswet voor essentiële en belangrijke entiteiten.
- Directive (EU) 2022/2555
De officiële naam is Richtlijn (EU) 2022/2555 - de NIS2-richtlijn.
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat- NIS2UmsuCG
- De nationale omzetting van de NIS2-richtlijn in Duitsland, officieel 'Gesetz zur Umsetzung der NIS-2-Richtlinie und zur Regelung wesentlicher Grundzüge des Informationssicherheitsmanagements in der Bundesverwaltung', in de ontwerpen aangeduid als de wet ter implementatie van NIS-2 en ter versterking van de cyberbeveiliging. Aangenomen door de Bondsdag op 13 november 2025, gepubliceerd op 5 december 2025 en van kracht sinds 6 december 2025. Het voert een nieuwe BSIG in en brengt de NIS2-verplichtingen in het Duitse recht. Wanneer Duitse wetgeving verwijst naar 'NIS2-naleving', bedoelt zij naleving van de BSIG.
- Act of 2 December 2025, BGBl. 2025 I Nr. 301
- non-conformance
- Een specifiek falen om aan een wettelijke vereiste te voldoen; de formele naam voor een bevinding.
Een bevinding is een niet-conformiteit: iets wat de wet vereist dat u niet heeft of niet doet.
NIS2 Managementtraining, Les 3.7: Wat er gebeurt tijdens een toezichtaudit- Non-delegable
- Kan niet worden overgedragen aan of worden uitgevoerd door iemand anders namens u.
De trainingsplicht is persoonlijk en niet-overdraagbaar.
NIS2 Managementtraining, Les 1.6: Uw trainingsplicht. Ook in: Les 0.1; Les 4.6- Non-delegable duty
- Een plicht die de wet aan het leidinggevend orgaan zelf toewijst: de risicobeheermaatregelen goedkeuren en erop toezien (Art. 20(1)). De CISO of het complianceteam kan het werk voorbereiden en uitvoeren, maar de verantwoordelijkheid blijft bij het management.
Als de grens vaag is, behandel de beslissing dan als niet-delegeerbaar en onderteken het zelf.
NIS2 Managementtraining, Les 3.5: Wat u niet kunt delegeren: de checklist- Notification clause
- De clausule die u verplicht de verzekeraar binnen een krappe termijn te informeren, anders riskeert u de dekking te verliezen.
De clausule voor te late melding: doet de dekking vervallen als u de claim bij de verzekeraar indient na de strikte deadline van de polis.
NIS2 Managementtraining, Les 4.4: Veelvoorkomende polisuitsluitingen om op te letten- notification window
- De strikte deadline waarbinnen een claim aan de verzekeraar moet worden gemeld.
O
- Observation
- Een punt dat de auditor noteert voor verbetering en dat geen overtreding van de wet vormt; er volgt niet vanzelf een sanctie, maar de autoriteit kan bevelen dat auditaanbevelingen worden uitgevoerd (Art. 32(4)(f) en 33(4)(f)), en het negeren ervan werkt een bevinding bij de volgende keer in de hand.
Een observatie is een gebied dat onder goed gebruik valt maar de wet niet schendt.
NIS2 Managementtraining, Les 3.7: Wat er gebeurt tijdens een toezichtaudit- OFAC
- Office of Foreign Assets Control; het kantoor van het Amerikaanse ministerie van Financiën dat sanctielijsten beheert.
De OFAC-analyse liep parallel aan de betalingsbeslissing - niet ervoor.
NIS2 Managementtraining, Les 4.6: Beslissingen over ransomwarebetaling- On-site inspection
- Het fysieke bezoek van het auditteam van de toezichthouder aan uw locatie, gemachtigd op grond van Artikel 32(2)(a) voor essentiële entiteiten en Artikel 33(2)(a) voor belangrijke entiteiten.
De BSI stuurt een brief aan waarin een bezoek ter plaatse wordt aangekondigd.
NIS2 Managementtraining, Les 3.7: Wat er gebeurt tijdens een toezichtaudit- orphaned account
- Een actief gebruikersaccount dat niet meer toebehoort aan een huidige medewerker - een veelvoorkomende auditbevinding.
- Out-of-band channel
- Een noodcommunicatiepad dat los staat van de normale systemen, gebruikt wanneer die systemen zijn gecompromitteerd.
Een out-of-band kanaal (een apart berichtenplatform, een speciale telefoonlijn) bestaat voor precies dat moment.
NIS2 Managementtraining, Les 2.15: Maatregel 10 - Meervoudige authenticatie en beveiligde communicatie- Oversight duty
- De voortdurende verplichting om te controleren of goedgekeurde maatregelen daadwerkelijk worden geïmplementeerd.
P
- patch
- Een software-update die een bekende kwetsbaarheid verhelpt.
- Patch SLA
- De schriftelijke termijn voor het toepassen van patches, vastgesteld per ernstniveau; de CIR vraagt om patches binnen een redelijke termijn, met gedocumenteerde redenen voor elke uitzondering (6.6.1, 6.6.2).
Uw team noemt die deadlines patch-SLA's.
NIS2 Managementtraining, Les 2.10: Maatregel 5 - Aanschaf, ontwikkeling en onderhoud- Personal civil liability
- De juridische blootstelling van een bestuurder om schadevergoeding uit eigen vermogen te moeten betalen wanneer een geschonden wettelijke plicht het bedrijf op verwijtbare wijze verlies berokkent.
- Personal data
- Alle informatie over een geïdentificeerde of identificeerbare natuurlijke persoon. Gedefinieerd in Artikel 4(1) GDPR.
DPO or data protection contact when personal data is involved.
NIS 2 Tabletop Exercise Training, Les 1.2: Role Assignments: Who Must Be in the Room- personal liability
- Juridische verantwoordelijkheid die op de individuele bestuurder rust, naast het bedrijf.
En persoonlijke aansprakelijkheid op grond van artikel 20(1) wordt gedekt door D&O-verzekering, niet door cyberverzekering - dat zijn verschillende producten.
NIS2 Managementtraining, Les 4.1: Verzekering is geen vervanging voor maatregelen- persoonlijke aansprakelijkheid
- zie Civil liability
- Phishing simulation
- Periodieke nep-phishing-e-mails verstuurd aan medewerkers om bewustwording te testen; onderdeel van het trainingsprogramma, met vervolgtraining voor iedereen die klikt.
Hoeveel phishingsimulaties heeft uw eigen bedrijf in de afgelopen twaalf maanden naar u persoonlijk gestuurd?
NIS2 Managementtraining, Les 2.12: Maatregel 7 - Cyberhygiëne en training- Privileged accounts
- Beheerders-, root- en domeinbeheeraccounts met verhoogde toegang; vereisen een specifiek beleid en een eigen beoordelingscyclus op grond van CIR Bijlage 11.3.
Bovendien hebben bevoorrechte accounts (beheerders, root-toegang, domeinbeheerders) eigen regels nodig met sterkere maatregelen.
NIS2 Managementtraining, Les 2.14: Maatregel 9 - HR-beveiliging, toegangscontrole en middelenbeheer- Proactive supervision
- De toezichthouder kan u zonder specifieke aanleiding auditren (van toepassing op essentiële entiteiten).
De richtlijn noemt dit proactief toezicht op grond van Artikel 32.
NIS2 Managementtraining, Les 1.2: Wie valt in scope: essentiële versus belangrijke entiteiten- Product with digital elements
- Een software- of hardwareproduct en de bijbehorende oplossingen voor gegevensverwerking op afstand, met inbegrip van componenten die afzonderlijk in de handel worden gebracht (Artikel 3(1) CRA). De CRA is van toepassing op producten waarvan het beoogde doel of het redelijkerwijs te voorziene gebruik een directe of indirecte gegevensverbinding met een apparaat of netwerk omvat (Artikel 2(1)). Omvat fysieke apparaten met firmware, op zichzelf staande software, apps en besturingssystemen.
De CRA is van toepassing op elk product with digital elements, hardware of software die direct of indirect verbinding kan maken met een ander apparaat of netwerk.
CRA SBOM Grondslagen, Les 0.1: What an SBOM Is and Why CRA Made It Mandatory- Progress report
- Wordt gebruikt op grond van Artikel 23(4)(e) NIS 2 wanneer het incident bij de termijn van één maand nog niet is opgelost. Het eindverslag volgt zodra het incident is afgesloten.
You send a progress report instead.
NIS 2 Tabletop Exercise Training, Les 1.1: The Article 23 Cascade Your Exercise Must Rehearse- Proportionality
- Het beginsel uit Artikel 21(1) dat afstemt wat u moet implementeren op uw omvang, uw risicoblootstelling en de waarschijnlijkheid en ernst van incidenten.
Proportionaliteit in artikel 21(1) schaalt de diepgang naar uw omvang, sector en risicoblootstelling.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- PURL
- Package URL. Een standaardidentificator voor softwarecomponenten: `pkg:type/namespace/name@version`. Bijvoorbeeld `pkg:npm/%40angular/core@17.0.0`. PURLs zijn de aanbevolen unieke identificator in zowel CycloneDX als SPDX en het praktische anker voor het koppelen van een SBOM-component aan een CVE-databasevermelding.
Een PURL (Package URL) is de standaardmanier om een component uniek te identificeren over registers en databases heen.
CRA SBOM Grondslagen, Les 1.1: What Goes Into an SBOM: Components, Versions, and Identifiers. Ook in: Les 2.1; Les 2.2; Les 4.1
R
- ransomware
- Malware die gegevens versleutelt en betaling eist voor de ontsleutelingssleutel.
Op 19 maart 2019 legde ransomware veertig productielocaties van Norsk Hydro van de ene op de andere dag plat.
NIS2 Managementtraining, Les 3.8: Scenario: Ransomware op vrijdagmiddag. Ook in: Les 4.4; Les 4.6- RBAC
- Rolgebaseerde toegangscontrole - rechten toegewezen op basis van functierol, niet individueel.
- reactive supervision
- De bevoegdheid van de toezichthouder om belangrijke entiteiten te auditren wanneer uitgelokt door een incident, klacht of inlichtingen.
- Recipients of services
- De juridische term van de richtlijn voor de klanten van de entiteit.
Artikel 23(1) van de NIS2-richtlijn bepaalt dat entiteiten, in voorkomend geval, de ontvangers van hun diensten "onverwijld" in kennis stellen van significante incidenten die een nadelige invloed kunnen hebben op de verlening van die diensten.
NIS2 Managementtraining, Les 1.12: De klantmeldingsplicht- Recurring incidents
- Incidenten die afzonderlijk niet significant zijn, maar ten minste twee keer binnen zes maanden voorkomen, dezelfde ogenschijnlijke grondoorzaak hebben en samen aan het criterium voor financieel verlies voldoen; zij tellen als één significant incident (CIR Artikel 4).
- Recurring incidents rule
- De regel uit Artikel 4 CIR (voor de soorten aanbieders die de CIR omvat) die kleine incidenten met dezelfde ogenschijnlijke grondoorzaak, die ten minste twee keer binnen zes maanden voorkomen, behandelt als één significant incident als zij gezamenlijk de financiële drempel overschrijden.
Artikel 4 voegt de regel voor terugkerende incidenten toe: twee of meer incidenten in zes maanden met dezelfde hoofdoorzaak die samen de drempel overschrijden, tellen als één significant incident.
NIS2 Managementtraining, Les 3.10: Scenario: Phishing-succes: meldingsplichtig of niet?- Registration
- De administratieve indiening bij de toezichthouder op grond van Artikel 3(4) NIS2 (in Duitsland § 33 BSIG, binnen drie maanden nadat een bedrijf onder NIS2 komt te vallen).
Als u dat venster mist, is het eerste wat de toezichthouder ziet wanneer hij uw dossier opent, een ontbrekende registratie - en dat is op zichzelf al een aparte boete.
NIS2 Managementtraining, Les 1.4: De registratieplicht- Regulation
- Ook genoemd: verordening
- Een EU-wet die rechtstreeks in elk land van toepassing is zonder omzetting (bijv. GDPR, CIR).
NIS2 is een richtlijn, geen verordening.
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat- remediation
- Het proces van het verhelpen van een lacune of niet-conformiteit geconstateerd tijdens een audit of beoordeling.
Vijfde: een audit-bevinding die herstel vereist.
NIS2 Managementtraining, Les 3.3: Wanneer u opnieuw goedkeuring moet geven. Ook in: Les 3.7; Les 3.10- Remediation order
- De instructie van een toezichthouder om een specifieke lacune binnen een vastgestelde termijn te verhelpen (Art. 32(4)(b) en (d)); zij kan met of zonder boete gepaard gaan.
Openbaarmaking te goeder trouw leidt doorgaans tot een herstelorder of waarschuwing, niet tot een boete.
NIS2 Managementtraining, Les 3.11: Scenario: Pre-audit ontdekking van een lacune- Remediation plan
- De schriftelijke reactie van het bedrijf op bevindingen: corrigerende actie, benoemde eigenaar, deadline en bewijs van voltooiing voor elk item.
Dit leidt tot een herstelorder met een deadline.
NIS2 Managementtraining, Les 3.7: Wat er gebeurt tijdens een toezichtaudit- removable media
- USB-sticks, externe harde schijven en vergelijkbare draagbare opslag; vereist een specifiek beleid op grond van de CIR.
- Residual risk
- Het risico dat overblijft nadat u maatregelen heeft getroffen; datgene wat u goedkeurt wanneer u het risicoregister ondertekent.
Wat er overblijft nadat u uw maatregelen heeft toegepast, wordt resterend risico genoemd.
NIS2 Managementtraining, Les 2.3: Risicobehandeling en risicobereidheid. Ook in: Les 3.4; Les 3.5- Responsible disclosure
- Het gepubliceerde proces voor externe beveiligingsonderzoekers om bugs aan uw bedrijf te melden.
Er is een vierde onderdeel in dezelfde clausule: kwetsbaarheidsopenbaarmaking.
NIS2 Managementtraining, Les 2.10: Maatregel 5 - Aanschaf, ontwikkeling en onderhoud- restore test
- Het proces van het herstellen van gegevens uit een back-up om te controleren of de back-up werkt; een niet-geteste back-up is geen back-up.
- Reverse burden of proof
- De regel in het Duitse vennootschapsrecht (bijvoorbeeld § 93(2) AktG) dat de bestuurder moet bewijzen dat hij zorgvuldig heeft gehandeld, in plaats van dat de eiser nalatigheid bewijst.
In veel EU-landen, waaronder Duitsland, geldt de omgekeerde bewijslast bij bestuurdersaansprakelijkheid.
NIS2 Managementtraining, Les 1.7: Persoonlijke aansprakelijkheid onder het nationale vennootschapsrecht- richtlijn
- zie Directive
- risicobeheer
- zie Risk-management measures
- risicobeoordeling
- zie Risk assessment
- Risk acceptance
- Besluiten met een risico te leven in plaats van het te verhelpen; volgens CIR 2.1.1 aanvaardt het leidinggevend orgaan of, in voorkomend geval, een verantwoordelijke risico-eigenaar het, met passende rapportage aan het management.
- Risk analysis
- Het proces van het identificeren van dreigingen, het beoordelen van waarschijnlijkheid en impact, en het bepalen van de behandeling.
Fundament: (a) risicoanalyse en informatiebeveiligingsbeleid, en (f) effectiviteitstesting.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht. Ook in: Les 3.2- Risk analysis methodology
- De gedocumenteerde procedure voor het identificeren en scoren van risico's; onderdeel van het beleid voor Maatregel 1 op grond van Artikel 21(2)(a).
Ten eerste een schriftelijke methode die uw onderneming volgt voor het identificeren en scoren van risico's - de risicoanalysemethodologie (Les 2.1 behandelde de vergelijking erachter).
NIS2 Managementtraining, Les 2.6: Maatregel 1: Risicoanalyse en informatiebeveiligingsbeleid- Risk appetite
- Het risiconiveau dat het bedrijf bereid is te accepteren, vastgesteld door het leidinggevend orgaan als de grens waarbinnen de CISO opereert.
Nog één ding dat de CEO in handen heeft: de risicobereidheid - het risiconiveau dat de onderneming bereid is overall te accepteren.
NIS2 Managementtraining, Les 2.3: Risicobehandeling en risicobereidheid- Risk assessment
- Ook genoemd: risicobeoordeling
- De evaluatie van dreigingen en hun potentiële impact op de organisatie.
Als uw risicobeoordeling alleen cyberaanvallen noemt, voldoet zij niet aan de all-hazards norm.
NIS2 Managementtraining, Les 1.10: All-hazards benadering en stand van de techniek. Ook in: Les 2.1- Risk management cycle
- De voortdurende cyclus van identificeren, analyseren, behandelen, monitoren - die nooit stopt omdat de inputs sneller veranderen dan een jaarlijkse beoordeling kan bijhouden.
Als er geen gedocumenteerd triggerproces bestaat, draait de risicobeheerscyclus niet.
NIS2 Managementtraining, Les 2.4: Waarom risicobeheer continu is- Risk matrix
- Het raster dat kans afzet tegen impact; elk geïdentificeerd risico wordt erop geplaatst, en de rechterbovenhoek is waar de taak van het leidinggevend orgaan begint.
Na deze les kunt u een risk matrix bekijken, de hoek vinden die er toe doet, en weten waar het budgetgesprek begint.
NIS2 Managementtraining, Les 2.1: Risico = Kans × Impact- Risk register
- Het formele document met geïdentificeerde risico's, hun beoordelingen en behandelingsbeslissingen.
De gedateerde goedkeuring, het opleidingsdossier, de notulen van vergaderingen, het risicoregister met uw handtekening: dat zijn de bewijsstukken waarmee u zorgvuldigheid aantoont.
NIS2 Managementtraining, Les 1.7: Persoonlijke aansprakelijkheid onder het nationale vennootschapsrecht. Ook in: Les 2.1; Les 3.5- Risk treatment
- De beslissing over wat te doen met een geïdentificeerd risico: vermijden, beperken, overdragen of accepteren.
Zonder die grens wordt elke risicobehandelingsbeslissing een discussie in plaats van een proces.
NIS2 Managementtraining, Les 2.3: Risicobehandeling en risicobereidheid- Risk-management measures
- Ook genoemd: risicobeheer
- De regels, mensen en hulpmiddelen die uw bedrijf gebruikt om risico's voor zijn netwerk- en informatiesystemen te beheren en de impact van incidenten te beperken, zoals vastgelegd in Artikel 21.
- §30(2) BSIG
Voldoen onze risk-management measures aan de wettelijke eisen, en zijn ze gedocumenteerd?
NIS2 Managementtraining, Les 3.1: De vragen die elke CEO moet kunnen beantwoorden- Root cause
- De onderliggende reden waarom een incident heeft plaatsgevonden.
Twee of meer incidenten met dezelfde vermoedelijke oorzaak, voorgevallen binnen zes maanden, die samen de financiële drempelwaarde overschrijden, worden behandeld als één significant incident.
NIS2 Managementtraining, Les 1.11: De meldingscascade en significante incidenten- RPO
- Recovery Point Objective - het maximaal aanvaardbare dataverlies, gemeten in tijd.
RPO (Recovery Point Objective) is hoeveel gegevensverlies u zich kunt veroorloven.
NIS2 Managementtraining, Les 2.8: Maatregel 3: Bedrijfscontinuïteit- RTO
- Recovery Time Objective - de maximaal aanvaardbare tijd om de dienst te herstellen na een verstoring.
RTO (Recovery Time Objective) is hoe snel u weer operationeel moet zijn.
NIS2 Managementtraining, Les 2.8: Maatregel 3: Bedrijfscontinuïteit
S
- sanctions law
- De regels die het betalen aan bepaalde personen en groepen verbieden; volgens Amerikaanse regels ongeacht de bedoeling, volgens EU-regels vervalt de aansprakelijkheid alleen als u het niet wist en geen redelijke grond had om een schending te vermoeden (Verordening (EU) 2019/796 van de Raad, artikel 10(2)). De eerste juridische controle vóór elke losgeldbetaling.
Juiste antwoord: "niet nu, en alleen na juridische beoordeling van sanctiewetgeving."
NIS2 Managementtraining, Les 3.8: Scenario: Ransomware op vrijdagmiddag. Ook in: Les 4.6- sanctions list
- Een gepubliceerd register van personen, groepen en organisaties die geen betalingen mogen ontvangen.
De sanctiesvraag was gedurende de hele periode actueel.
NIS2 Managementtraining, Les 4.6: Beslissingen over ransomwarebetaling- SBOM
- Software Bill of Materials. Een machineleesbare inventaris van elk softwarecomponent in een product: namen, versies, leveranciers en identificatoren. Vereist voor producten met digitale elementen onder Bijlage I Deel II punt (1) CRA.
Deze cursus leert u hoe u een SBOM opbouwt, onderhoudt en bewaart die voldoet aan de Cyber Resilience Act.
CRA SBOM Grondslagen, Les 0.1: What an SBOM Is and Why CRA Made It Mandatory- Scoping assessment
- De toets of NIS2 op u van toepassing is en in welke categorie u valt. U kunt die zelf uitvoeren; een jurist kan u daarbij ondersteunen.
"Hebben we een scope-beoordeling uitgevoerd, en in welke categorie vallen we?"
NIS2 Managementtraining, Les 1.2: Wie valt in scope: essentiële versus belangrijke entiteiten- secure development
- Een gedocumenteerde standaard voor het schrijven van software met ingebouwde beveiliging, niet achteraf toegevoegd.
- Secured communications
- Beveiligde spraak-, video- en tekstcommunicatie voor gevoelig zakelijk gebruik; Artikel 21(2)(j) noemt ze als maatregel die waar passend moet worden toegepast.
De tweede helft van de clausule heeft betrekking op beveiligde communicatie.
NIS2 Managementtraining, Les 2.15: Maatregel 10 - Meervoudige authenticatie en beveiligde communicatie- security control
- Een technische of organisatorische maatregel toegepast om een specifiek risico te beheren.
- Sign-off
- Ook genoemd: goedkeuring
- Uw formele goedkeuring, als onderdeel van het leidinggevend orgaan, van de cyberbeveiligingsmaatregelen van het bedrijf, vereist op grond van Artikel 20(1) van de NIS2-richtlijn. Met een gedateerde registratie bewijst u dit.
Als u geen bewijs heeft dat u heeft geprobeerd uw verplichtingen te begrijpen - geen trainingsrecord, geen gedocumenteerde goedkeuring, geen notulen van vergaderingen waaruit blijkt dat u de juiste vragen heeft gesteld - is dat de factor die alle drie de lagen in de verkeerde richting doet omslaan.
NIS2 Managementtraining, Les 1.3: Sancties en het bestuursverbod. Ook in: Les 0.1; Les 1.5; Les 1.7; Les 3.3; Les 3.4- Significant incident
- Ook genoemd: aanzienlijk incident
- Een incident met een significante impact op de diensten van de entiteit, waarvoor op grond van Artikel 23 een meldplicht geldt. Artikel 23(3) geeft de definitie; CIR 2024/2690 stelt exacte drempels alleen vast voor bepaalde soorten entiteiten, zoals cloud- en DNS-aanbieders.
- Art. 23(3) NIS2, §2 No. 11 BSIG, §32 BSIG, CIR 2024/2690 Art. 3 (for the entity types in its Art. 1)
Artikel 23 van de NIS2-richtlijn verplicht gedekte ondernemingen significante incidenten te melden bij hun nationale CSIRT of bevoegde autoriteit.
NIS2 Managementtraining, Les 1.11: De meldingscascade en significante incidenten. Ook in: Les 3.1; Les 3.10; NIS 2 Tabletop Exercise Training, Les 1.1- Size threshold
- Het aantal medewerkers, de jaaromzet en het balanstotaal die bepalen of een bedrijf onder NIS2 valt.
De meeste bedrijven vallen onder de scope via een eenvoudige omvangsdrempel: vijftig of meer werknemers, of zowel een jaarlijkse omzet als een jaarlijks balanstotaal van meer dan tien miljoen euro.
NIS2 Managementtraining, Les 1.2: Wie valt in scope: essentiële versus belangrijke entiteiten- SPDX
- Software Package Data Exchange. Standaard ISO/IEC 5962:2021 voor SBOM's, ontstaan bij de Linux Foundation. Gericht op licenties: opgebouwd rond naleving van open-sourcelicenties en naamsvermelding. Beschikbaar in de formaten JSON, YAML, RDF en tag-value. Zowel CycloneDX als SPDX zijn algemeen gebruikte, machineleesbare formaten en worden aanvaard door BSI TR-03183-2. De CRA zelf noemt in Bijlage I, Deel II, punt (1) geen formaat; de Commissie kan er een specificeren (Artikel 13(24)).
De formaten CycloneDX en SPDX vullen dat gat.
CRA SBOM Grondslagen, Les 1.1: What Goes Into an SBOM: Components, Versions, and Identifiers. Ook in: Les 0.1; Les 2.1; Les 2.2; Les 4.1- State of the art
- Het huidige niveau van beproefde beste praktijk, waaraan erkende normen bijdragen; Artikel 21(1) noemt beide. De maatstaf van de auditor verschuift mee met praktijk en normen.
Artikel 21(1) vereist maatregelen die "rekening houden met de stand van de techniek."
NIS2 Managementtraining, Les 1.10: All-hazards benadering en stand van de techniek- Statutory duty
- Iets wat de wet u persoonlijk verplicht te doen, in tegenstelling tot een gewone zakelijke beslissing. NIS2 Artikel 20 creëert wettelijke verplichtingen voor het leidinggevend orgaan.
Het vennootschapsrecht van elk EU-land biedt de onderneming een mechanisme om schadevergoeding te verhalen op een bestuurder die een wettelijke plicht heeft geschonden: iets wat de wet u persoonlijk verplicht te doen, anders dan een gewone bedrijfsbeslissing.
NIS2 Managementtraining, Les 1.7: Persoonlijke aansprakelijkheid onder het nationale vennootschapsrecht. Ook in: Les 1.8; Les 4.2- Sufficient knowledge
- De maatstaf in Artikel 20(2): voldoende kennis en vaardigheden om risico's te identificeren en maatregelen en de impact daarvan op diensten te beoordelen. De wet vereist geen examen en geen certificering.
- Supervisory board
- Het toezichthoudend orgaan in een tweeledig vennootschapsstructuur dat vorderingen kan instellen tegen bestuurders.
Uw raad van commissarissen vergadert de volgende ochtend.
NIS2 Managementtraining, Les 1.7: Persoonlijke aansprakelijkheid onder het nationale vennootschapsrecht. Ook in: Les 3.6- Supplier inventory
- De bijgehouden lijst van alle leveranciers met wat zij benaderen en hun risicoklassificatie.
Één: een leveranciersoverzicht, wie ze zijn, wat ze doen, waartoe ze toegang hebben.
NIS2 Managementtraining, Les 2.9: Maatregel 4: Beveiliging van de toeleveringsketen- Supply chain
- Ook genoemd: toeleveringsketen
- Het netwerk van leveranciers en dienstverleners waarvan uw bedrijf afhankelijk is.
Toeleveringsketen en systemen: (d) toeleveringsketenbeveiliging en (e) beveiliging bij de aanschaf, bouw en het onderhoud van IT-systemen, inclusief het omgaan met kwetsbaarheden.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht. Ook in: Les 2.9- Supply chain attack
- Een aanval die een fabrikant treft via een gecompromitteerde dependency of leverancier, in plaats van de eigen systemen van de fabrikant direct aan te vallen. SolarWinds en XZ Utils zijn voorbeelden. De SBOM is uw kaart om te bepalen welke supply chain-componenten aanwezig zijn en dus welke supply chain-aanvallen uw product kunnen bereiken.
De leverancier is van belang voor het beeld van het supply chain-risico.
CRA SBOM Grondslagen, Les 1.1: What Goes Into an SBOM: Components, Versions, and Identifiers- Supply chain incident
- Een beveiligingsincident bij een leverancier dat voor uw bedrijf een wettelijke verplichting kan doen ontstaan op grond van de Artikelen 21 en 23.
- Supply chain security
- De eis om cyberbeveiligingsrisico's in uw toeleveringsketen te beoordelen en te beheren, in het bijzonder bij IT-dienstverleners, cloudaanbieders en elke leverancier met toegang tot uw systemen of gegevens. Maatregelen kunnen bestaan uit beveiligingseisen in leverancierscontracten, beoordeling van de praktijken van leveranciers en monitoring in de loop van de tijd; contractbepalingen zijn alleen verplicht voor de soorten entiteiten die onder CIR 2024/2690 vallen.
- §30(2)(4) BSIG
- Support period
- De periode waarin een fabrikant beveiligingsupdates voor een product levert. Artikel 13(8) CRA vereist dat de supportperiode ten minste vijf jaar bedraagt, of de verwachte gebruiksduur als het product naar verwachting korter dan vijf jaar in gebruik is. De bewaartermijn van de SBOM loopt 10 jaar of tot het einde van deze supportperiode, afhankelijk van welke langer is.
Of de ondersteuningsperiode, afhankelijk van welke langer is
CRA SBOM Grondslagen, Les 1.3: The 10-Year Retention Rule and Who Gets Access- Syft
- Een open-source SBOM-generator van Anchore. Scant container images, bestandssystemen en taalspecifieke package manifests. Produceert CycloneDX of SPDX. De snelste manier om een initiële SBOM voor een bestaand product te genereren.
Syft van Anchore produceert standaard CycloneDX 1.6 JSON:
CRA SBOM Grondslagen, Les 2.1: CycloneDX: The Security-Focused SBOM Format. Ook in: Les 3.1; Les 4.1
T
- tabletop exercise
- Een gestructureerde doorloop van een realistisch incidentscenario met de mensen die zouden reageren.
Een schriftelijke oefening aan de hand van een scenario heet een tafeloefening.
NIS2 Managementtraining, Les 2.7: Maatregel 2: Incidentbeheer. Ook in: Les 5.1; NIS 2 Tabletop Exercise Training, Les 0.1- Technical and organisational measures
- De universele nalevingsafkorting (TOMs) voor de combinatie van hulpmiddelen, processen en regels die voor elke maatregel vereist zijn.
Uw CISO zal deze technische en organisatorische maatregelen noemen, ook wel TOMs.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- Technical documentation
- Het geheel documenten dat een fabrikant moet samenstellen en bewaren onder Artikel 31 en Bijlage VII CRA. Omvat de SBOM, risicobeoordeling, beslissingen over secure design, testresultaten en de EU-conformiteitsverklaring. Moet 10 jaar na het op de markt brengen van het product worden bewaard, of gedurende de supportperiode, afhankelijk van welke langer is.
Deze les behandelt de bewaartermijn, de plaats van de SBOM in het bredere technische documentatiepakket en wie het kan opvragen en onder welke voorwaarden.
CRA SBOM Grondslagen, Les 1.3: The 10-Year Retention Rule and Who Gets Access. Ook in: Les 0.1; Les 4.1- The ten measures
- De tien categorieën vermeld in Artikel 21(2), die de minimale EU-reikwijdte van risicobeheermaatregelen vertegenwoordigen die elk gedekt bedrijf moet hebben.
- Third-party liability
- Het deel van een polis dat uitbetaalt aan mensen buiten het bedrijf wanneer het falen van het bedrijf hen heeft beschadigd.
- toegangscontrole
- zie Access control
- toeleveringsketen
- zie Supply chain
- toepassingsgebied
- zie Compliance scope
- Top-level dependency
- Een component die uw product direct importeert of waartegen het linkt. De CRA-minimumvereiste in Bijlage I Deel II punt (1) vereist dat de SBOM ten minste deze dekt. Als uw code `import requests` of `<dependency>spring-boot</dependency>` bevat, zijn dat top-level dependencies.
Deze les legt het verschil uit tussen top-level en transitieve afhankelijkheden, waarom dat onderscheid in de wetgeving bestaat en waarom de beste praktijk afwijkt van het wettelijke minimum.
CRA SBOM Grondslagen, Les 1.2: Top-Level vs Transitive Dependencies. Ook in: Les 4.1- Training duty
- Ook genoemd: trainingsplicht
- De wettelijke verplichting op grond van Artikel 20(2) NIS2 dat elk lid van het leidinggevend orgaan persoonlijk een cyberbeveiligingstraining moet volgen.
De trainingsplicht is persoonlijk en niet-overdraagbaar.
NIS2 Managementtraining, Les 1.6: Uw trainingsplicht. Ook in: Les 0.1- trainingsplicht
- zie Training duty
- Transitive dependency
- Een component die door een van uw top-level dependencies wordt meegehaald, niet direct door uw code. Log4Shell (CVE-2021-44228) was een transitive dependency in duizenden applicaties waarvan de teams geen idee hadden dat deze aanwezig was. De CRA-minimumvereiste vereist niet dat deze worden vermeld, maar best practice wel.
Deze les legt het verschil uit tussen top-level en transitieve afhankelijkheden, waarom dat onderscheid in de wetgeving bestaat en waarom de beste praktijk afwijkt van het wettelijke minimum.
CRA SBOM Grondslagen, Les 1.2: Top-Level vs Transitive Dependencies. Ook in: Les 4.1- Transposition
- Het proces waarbij elk EU-land een EU-richtlijn omzet in zijn eigen nationale recht.
Dit IS een verordening en is dus rechtstreeks van toepassing in alle 27 lidstaten zonder omzetting - maar alleen voor de digitale aanbieders die in Artikel 1 ervan staan: DNS-dienstverleners, registers voor topleveldomeinnamen, aanbieders van cloudcomputingdiensten, datacentrumdiensten en netwerken voor de levering van inhoud (CDN), aanbieders van beheerde diensten en beheerde beveiligingsdiensten, onlinemarktplaatsen, onlinezoekmachines, platforms voor socialenetwerkdiensten en verleners van vertrouwensdiensten.
NIS2 Managementtraining, Les 1.1: Wat NIS2 is en waarom het bestaat. Ook in: Les 0.1- Transposition law
- De nationale wet die een land aanneemt om een EU-richtlijn te implementeren.
U
- uitvoeringsverordening
- zie CIR
V
- verordening
- zie Regulation
- vertrouwelijkheid
- zie confidentiality
- VEX
- Vulnerability Exploitability eXchange. Een verklaring die aan een SBOM wordt gekoppeld en vastlegt of een bekende CVE uw product daadwerkelijk raakt en waarom. Native ondersteund in CycloneDX. De CRA noemt VEX niet, maar een verklaring 'niet getroffen' met een motivering legt vast waarom een bekende kwetsbaarheid geen oplossing nodig had (Bijlage I, Deel II).
CycloneDX heeft native VEX-ondersteuning.
CRA SBOM Grondslagen, Les 2.2: SPDX and Choosing Your Format. Ook in: Les 1.2; Les 2.1; Les 3.2; Les 4.1- Vulnerability
- Een zwakte in een systeem die door een dreiging kan worden misbruikt.
Toeleveringsketen en systemen: (d) toeleveringsketenbeveiliging en (e) beveiliging bij de aanschaf, bouw en het onderhoud van IT-systemen, inclusief het omgaan met kwetsbaarheden.
NIS2 Managementtraining, Les 1.9: De tien maatregelen: overzicht- Vulnerability handling
- Het voortdurende proces van het vinden, beoordelen en patchen van bekende kwetsbaarheden.
Artikel 21(2)(e) van de NIS2-richtlijn vereist "beveiliging bij de aanschaf, ontwikkeling en het onderhoud van netwerk- en informatiesystemen, inclusief het omgaan met kwetsbaarheden en openbaarmaking."
NIS2 Managementtraining, Les 2.10: Maatregel 5 - Aanschaf, ontwikkeling en onderhoud
W
- Without undue delay
- Zo snel als redelijkerwijs mogelijk; de wettelijke standaard voor de snelheid van klantmelding.
Artikel 23(1) van de NIS2-richtlijn bepaalt dat entiteiten, in voorkomend geval, de ontvangers van hun diensten "onverwijld" in kennis stellen van significante incidenten die een nadelige invloed kunnen hebben op de verlening van die diensten.
NIS2 Managementtraining, Les 1.12: De klantmeldingsplicht
Sources
- BSIG, Wet op het Federaal Bureau voor de Beveiliging van Informatietechnologie en op de beveiliging van informatietechnologie van entiteiten (versie van 2 december 2025): https://www.gesetze-im-internet.de/bsig_2025/
- NIS2-richtlijn (EU) 2022/2555, Publicatieblad van de Europese Unie: https://eur-lex.europa.eu/eli/dir/2022/2555/oj
- Uitvoeringsverordening (EU) 2024/2690 van de Commissie, Publicatieblad van de Europese Unie: https://eur-lex.europa.eu/eli/reg_impl/2024/2690/oj
- Verordening (EU) 2024/2847 (Cyber Resilience Act), Publicatieblad van de Europese Unie: https://eur-lex.europa.eu/eli/reg/2024/2847/oj
- Verordening (EU) 2016/679 (GDPR), Publicatieblad van de Europese Unie: https://eur-lex.europa.eu/eli/reg/2016/679/oj
- BSI, IT-Grundschutz-standaarden BSI-200-1 tot en met BSI-200-4
- BSI, IT-Grundschutz-Kompendium (huidige editie)
Moet u zich met NIS2 bezighouden?
We begeleiden u stap voor stap. U vult in, wij leggen elk punt in eenvoudige woorden uit, en aan het eind tekent de directie.
