NIS2 en de bouw: jij valt er niet onder, je opdrachtgever wel

Elke IT-manager in de bouw heeft de term NIS2 de afgelopen maanden voorbij zien komen. Vaak met een zucht: nog een Europese regel waar we iets mee moeten.

Het eerlijke antwoord: een bouw- of installatiebedrijf valt er meestal niet rechtstreeks onder. Bouw staat niet in de bijlagen van de richtlijn. Maar er zit een achterdeur, en die is belangrijker dan de voordeur.

Artikel 21 verplicht organisaties die wél onder NIS2 vallen om hun toeleveringsketen te beveiligen. Een ziekenhuis, een waterschap, Rijkswaterstaat, ProRail, een energiebedrijf, een gemeente: die moeten aan hun leveranciers eisen gaan stellen. Werk je voor zo een opdrachtgever, dan krijg je NIS2 via het contract op je bord. Niet als wet, maar als inkoopvoorwaarde.

Wat die opdrachtgever dan wil zien, is geen certificaat (dat bestaat niet voor NIS2). Hij wil antwoord op een paar gewone vragen: waar staat onze data, wie kan erbij, wat wordt er gelogd, hoe worden incidenten gemeld, hoe zijn de back-ups geregeld.

Daarom hebben wij bij Leja al vroeg een security-sweep gedaan langs precies die tien maatregelen van artikel 21. Niet om te kunnen zeggen dat we NIS2-compliant zijn (dat zeggen we nooit, want dat is een lege claim), maar om onze klanten een bijlage te kunnen geven voor hun eigen ketenparagraaf.

Mijn advies als een IT-manager NIS2 rondstrooit: niet tegenspreken, niet meegaan in de angst. Vraag welke opdrachtgevers hij heeft. Daar zit het echte antwoord.