NIS2 is de herziene Europese cybersecurity-richtlijn die de reikwijdte van de oorspronkelijke NIS-richtlijn flink uitbreidt. Waar de eerste versie vooral vitale sectoren raakte, vallen onder NIS2 aanzienlijk meer organisaties: van energie en gezondheidszorg tot digitale infrastructuur, overheid, en een deel van de industrie en logistiek.
De richtlijn onderscheidt "essentiële" en "belangrijke" entiteiten, met verschillende toezichts- en sanctieregimes. In Nederland wordt NIS2 omgezet via de Cyberbeveiligingswet. Het wetgevingstraject heeft vertraging opgelopen ten opzichte van de oorspronkelijke Europese omzettingsdatum — check de huidige planning voordat je hier concrete data aan hangt.
Voor organisaties die twijfelen of ze onder de richtlijn vallen: de sectorlijst is een goed startpunt, maar de definitieve indeling (essentieel, belangrijk, of buiten scope) hangt ook af van bedrijfsgrootte en de aard van de dienstverlening. Bij twijfel is dit een vraag voor een jurist of compliance-specialist, niet iets om zelf te gokken.
NIS2 werkt met een set risicobeheermaatregelen die organisaties moeten nemen, evenredig aan hun risicoprofiel. Deze categorieën komen steeds terug:
Cryptografie en communicatiebeveiliging staan dus expliciet op de lijst. Dat is relevant, want e-mail blijft in de praktijk het kanaal waarmee het meeste gevoelige verkeer tussen organisaties en met klanten of burgers verloopt.
Bij NIS2-implementaties gaat veel aandacht naar netwerkbeveiliging, patchbeleid en incidentresponsplannen — logisch, want dat zijn zichtbare, technisch aansprekende onderdelen. E-mail wordt daarbij nog te vaak gezien als "gewoon een kanaal" in plaats van een risicofactor.
Dat is een gemiste kans. Onder de AVG blijkt al jarenlang dat een substantieel deel van gemelde datalekken ontstaat door menselijke fouten bij e-mailverkeer: een verkeerde ontvanger, een bijlage die niet had gemogen, een cc in plaats van een bcc. NIS2 voegt daar geen nieuw probleem aan toe, maar verhoogt wel de inzet: waar een datalek onder de AVG vooral een privacyvraagstuk is, kan een vergelijkbaar incident onder NIS2 ook een meldingsplichtig cybersecurity-incident zijn, met kortere meldtermijnen richting het CSIRT.
Met andere woorden: als je e-mailproces geen onderdeel is van je NIS2-risicoanalyse, mis je een reëel deel van je aanvalsoppervlak.
Vertaald naar e-mail en bestandsuitwisseling, komt dit in de praktijk neer op een paar concrete eisen:
Encryptie tijdens transport én bij opslag. Data moet niet alleen versleuteld zijn tijdens verzending, maar ook zolang die ergens wordt opgeslagen — bij jou, bij de ontvanger of bij een tussenpartij.
Aantoonbaarheid. Kun je bij een audit of na een incident laten zien wie welk bericht heeft ontvangen, wanneer, en met welk beveiligingsniveau? Zonder logging en tracering is dit lastig hard te maken.
Mogelijkheid tot ingrijpen na verzending. Dit staat niet letterlijk zo in de richtlijn, maar volgt logisch uit de nadruk op incidentbeheersing: hoe sneller je een fout kunt beperken, hoe kleiner de kans dat het een meldingsplichtig incident wordt.
Risicoafweging, geen kant-en-klare oplossing. NIS2 schrijft geen specifieke tool voor. De richtlijn vraagt om een onderbouwde, risicogebaseerde keuze — die je moet kunnen verantwoorden.
Smartlockr is geen NIS2-compliance-tool op zich — die claim zou oneerlijk zijn, want NIS2-compliance is organisatiebreed en gaat over veel meer dan e-mail. Wel biedt het platform een aantal bouwstenen die aansluiten op de bovengenoemde eisen:
Deze elementen maken het makkelijker om de eerder genoemde eisen — encryptie, aantoonbaarheid, en ingrijpen na verzending — praktisch in te vullen. Maar het blijft aan de organisatie zelf om te bepalen of en hoe dit past binnen de eigen risicoanalyse.
Een medewerker van de financiële afdeling wil vrijdagmiddag nog snel gevoelige klantstukken doorsturen. Het bericht gaat naar "Marijke" — maar niet naar de collega van Finance, wel naar een contact met dezelfde voornaam in de contactenlijst.
Zonder extra maatregelen is dit bericht op maandagochtend al lang bij de verkeerde persoon binnen. Onder NIS2 kan dit, afhankelijk van de aard van de data en de organisatie, een meldingsplichtig incident zijn — met de klok die al loopt vanaf het moment van verzending.
Met een leesbevestiging en de mogelijkheid om verzonden berichten in te trekken, is er een venster om in te grijpen vóórdat het bericht daadwerkelijk geopend wordt. Dat verandert niets aan het feit dat de fout is gemaakt — maar het kan wel het verschil maken tussen een voorkomen incident en een meldingsplichtig datalek.
NIS2 vraagt niet om een nieuw e-mailplatform, maar om een aantoonbare, risicogebaseerde aanpak van informatiebeveiliging — en e-mail is daarbij een kanaal dat niet over het hoofd gezien mag worden. Drie concrete eerste stappen: