EU Neemt Wetgeving Aan Om Cyberveiligheid In Financiële Sector Te Vergroten

De laatste jaren is het aantal incidenten op het gebied van cyberveiligheid alleen maar toegenomen. Daarbij is duidelijk geworden dat niemand gespaard blijft. Individuele internetgebruikers die hun beveiliging onvoldoende op orde hebben, zijn een geliefd doelwit. Hoewel het voor het individuele slachtoffer uitermate vervelend is, blijven de gevolgen beperkt tot één persoon of een kleine kring. Anders is het als cybercriminelen zich richten op grote bedrijven of overheidsinstanties. Omdat de gevolgen bijna niet meer te overzien zijn, heeft de EU nieuwe wetgeving aangenomen.

NIS2

Richtlijn NIS2 zal de huidige NIS-richtlijn vervangen. NIS staat voor Netwerk- en Informatiesystemen. Zowel de oude als de nieuwe richtlijn is gericht op bedrijven met een ‘essentieel’ doel. Hier onderscheidt NIS2 zeven sectoren: energie, transport, banken, de financiële sector, gezondheidszorg, beheer en distributie van drinkwater en digitale infrastructuren. Een aanval op deze sectoren kan de hele samenleving ontwrichten. Op basis van de NIS-richtlijn zijn bedrijven in deze sectoren al verplicht om melding te maken van incidenten op het gebied van cyberveiligheid.

Met de invoering van de NIS2-richtlijn beoogt de EU de Europese samenwerking op het gebied van cyberveiligheid uit te breiden en te bestendigen. Lidstaten hebben de bepalingen uit NIS reeds geïmplementeerd in nationale wetgeving. De EU is echter van mening dat verdere harmonisatie nodig is, zodat lidstaten gezamenlijk en eenduidig kunnen optreden tegen cybercriminaliteit.

Wijzigingen

In NIS2 zijn de minimumvereisten opgenomen die aan de wettelijke kaders binnen de verschillende lidstaten gesteld worden. Verder biedt NIS2 verschillende mechanismen die een effectievere samenwerking tussen de landen mogelijk zou moeten maken. Ook het toepassingsgebied is uitgebreid, nu het niet meer aan de lidstaten zelf is om te beoordelen welke bedrijven als ‘essentieel’ worden gezien. NIS2 geeft een overzicht van bedrijven die in elk geval als ‘essentieel’ worden beschouwd. Naar verwachting zal deze lijst in de toekomst verder uitgebreid worden. Bedrijven met minder dan 50 werknemers en minder dan 10 miljoen euro jaarlijkse omzet vallen vooralsnog niet onder de reikwijdte van de nieuwe richtlijn. Voorts geeft NIS2 aan welke remedies aangewend kunnen worden om de gevolgen van cybercriminaliteit te minimaliseren. Tot slot biedt de nieuwe richtlijn ook een overzicht van sancties die opgelegd kunnen worden in het geval van nalatigheid. Bedrijven die onder de richtlijn vallen, kunnen onderworpen worden aan audits. Mocht er sprake zijn van nalatigheid, dan kan een boete opgelegd worden van maximaal 10 miljoen euro.

Proportionaliteit

Het is niet de bedoeling van de EU om bedrijven onnodig te belasten. Op grond van het proportionaliteitsbeginsel zijn bedrijven alleen verplicht om die maatregelen te treffen die redelijkerwijs van hen verwacht kunnen worden. Van bijvoorbeeld een middelgroot administratiekantoor wordt niet verwacht dat er miljoenen geïnvesteerd wordt in cybersecurity. Wel zal de mate van beveiliging in verhouding moeten staan met de toenemende dreigingen. Dat betekent dat bedrijven en lidstaten wel een stapje verder moeten gaan om de steeds slinkser wordende cybercriminelen voor te blijven.

VPN Een van de meest effectieve maatregelen op het gebied van cybersecurity is het consequent gebruiken van een VPN. Zeker nu steeds meer mensen vanuit huis werken en van daaruit toegang hebben tot gevoelige bedrijfsinformatie, is een VPN onmisbaar geworden. Met een VPN voeg je een extra beschermingslaag toe aan al het internetverkeer. Via een versleutelde tunnel worden de data eerst langs een VPN-server geleid. Daar vindt encryptie plaats en vervolgens worden de gecodeerde gegevens verzonden naar de server van de internetprovider. Voor hackers wordt het daardoor onmogelijk om gegevens te onderscheppen, in te lezen of te herleiden naar de oorspronkelijke afzender.

Omdat het IP-adres van de afzender afgeschermd wordt door dat van de VPN-server, wordt ook het risico op DDoS-aanvallen aanzienlijk beperkt. Voor het installeren en inschakelen van een VPN is geen geavanceerde IT-kennis vereist. Inschakelen is vaak een kwestie van één enkele klik of via het schuifbalkje.

Extra beveiliging

Een goede VPN biedt meer dan alleen encryptie en afscherming van het IP-adres. Een voorbeeld van een extra functionaliteit is Threat Protection. Deze beveiligingsoplossing beschermt de gebruiker tegen malware, kwaadwillende websites en trackers. Alle bestanden die je downloadt, worden eerst gescand. Wordt er iets verdachts aangetroffen, dan zal het programma de dreiging direct blokkeren. Deze extra vorm van beveiliging is ook actief wanneer je de VPN niet hebt ingeschakeld.