IT-partner? Ontdek hoe je NIS2 audit-readiness levert

Bekijk partneraanbod →
← Gratis tools

GRATIS TOOL

Is je eigen MSP NIS2-klaar, niet enkel je klanten?

Managed service providers en managed security service providers worden zelf genoemd onder de Belgische NIS2-wet, in de groep beheer van ICT-diensten van Bijlage I. Deze zelfcheck van 14 vragen kijkt naar je eigen bevoorrechte toegang, RMM-verharding, MFA, logging, leveranciers, incidentmelding en personeelstraining, en geeft een score met wat je eerst aanpakt.

  1. 1. Is meervoudige authenticatie (MFA) verplicht voor elke verbinding op afstand met een klantomgeving (RMM-console, VPN, remote desktop)?
  2. 2. Werken je technici dagelijks zonder vaste beheerdersrechten, en gebruiken ze een apart beheerdersaccount enkel als beheerwerk nodig is?
  3. 3. Is de toegang van elke technicus tot klantsystemen beperkt tot de klanten en systemen die zijn werk echt nodig heeft, en wordt dat periodiek herzien?
  4. 4. Wordt de toegang van een technicus tot elke klantomgeving diezelfde dag ingetrokken als hij vertrekt of van rol verandert?
  5. 5. Is je eigen RMM-/beheerplatform zelf verhard: een firewall, geen open beheerpoorten naar het internet, en alerts bij nieuwe of gewijzigde beheerdersaccounts?
  6. 6. Draait er actuele anti-malware op elk toestel dat klantomgevingen kan bereiken, inclusief de eigen laptops van technici?
  7. 7. Houd je logs bij van wie op je team welk klantsysteem benaderde en wanneer, geback-upt en periodiek herzien?
  8. 8. Beoordeel je het risico van je eigen leveranciers (RMM-leverancier, back-upleverancier, cloudhost) minstens één keer per jaar?
  9. 9. Leggen je eigen leveranciers- en onderaannemerscontracten beveiligingseisen vast, niet alleen een service-level agreement?
  10. 10. Word je verwittigd als een onderaannemer met toegang tot klantsystemen personeel wisselt of verliest, zodat de toegang kan worden aangepast?
  11. 11. Dekt je incidentresponsplan expliciet een incident dat in JOUW systemen begint en naar klanten kan overslaan (een gecompromitteerde RMM, een gestolen technicuscredential)?
  12. 12. Leggen je contracten vast wanneer en hoe je een klant moet informeren over een beveiligingsincident dat zijn omgeving raakt?
  13. 13. Krijgt je eigen team regelmatig beveiligingsbewustzijnstraining, net als wat je klanten aanraadt voor hun team?
  14. 14. Als je eigen PSA-, RMM- of documentatieplatform een dag uitvalt, kan je klanten dan nog ondersteunen en herstel je zonder hun gegevens te verliezen?

0 van 14 beantwoord

Beantwoord de 14 resterende vragen om je score te zien.
Door · Oprichter, Easy Cyber Protection · · Hoe wij dit schrijven

Waarom valt een MSP zelf onder NIS2?

De Belgische NIS2-wet van 26 april 2024 brengt een bedrijf binnen scope als het een dienst uit Bijlage I of II levert en een groottedrempel haalt [1][2]. Het NIS2 Scope Assessment-werkblad van het CCB zelf vermeldt "Managed service providers" en "Managed security service providers" op rij 47-48, gegroepeerd onder "beheer van ICT-diensten (business-to-business)", die het CCB voor scoringsdoeleinden expliciet onderbrengt bij Digitale Infrastructuur (I.8) [1].

Dat betekent dat een MSP met 50+ medewerkers, of meer dan €10M omzet en balanstotaal (de groep meegeteld), zeer waarschijnlijk zelf binnen scope valt, nog voor er een klantgesprek is. Onder die drempel kan een MSP buiten directe scope vallen, maar toch leveranciersonderzoek krijgen van klanten die zelf binnen scope vallen.

Deze check vervangt de volledige NIS2-scopetest niet. Gebruik de NIS2-scopecheck voor een uitspraak op basis van grootte en sector over je eigen entiteit; gebruik deze check voor de beveiligingsvragen waarop een MSP specifiek wordt beoordeeld, omdat hij bevoorrechte toegang heeft tot veel andere bedrijven tegelijk.

Zie ook de NIS2-scopecheck en de pagina wie moet aan NIS2 voldoen.

Hoe ziet een resultaat eruit?

Een MSP met MFA afgedwongen op RMM-toegang bij klanten, technicusaccounts met least privilege en een geschreven incidentplan, maar zonder jaarlijkse leveranciersrisicoreview en zonder gelogd toegangsspoor, scoort rond de 70%. Dat is een band "goed begin" met twee of drie concrete verbeterpunten, elk gekoppeld aan een CyFun-controle-id waarvoor een klant of auditor bewijs zou vragen.

Een kleinere speler die nog één gedeelde beheerdersaccount gebruikt voor het hele team bij elke klant, zou veel lager scoren. De lijst met verbeterpunten zou openen met de twee items met de meeste impact: MFA op toegang op afstand en het weghalen van vaste beheerdersrechten bij dagelijkse accounts.

Wil je weten wat NIS2/CyFun als dienst je oplevert? Probeer de MSP-omzetcalculator.

Geen jaarlijkse leveranciersreview? De gratis beveiligingsvragenlijst voor leveranciers is klaar om naar een leverancier te sturen.

Veelgestelde vragen

Valt een managed service provider zelf onder NIS2?
Dat kan. MSP’s en MSSP’s zijn een genoemde sector in Bijlage I (beheer van ICT-diensten, door het CCB onder Digitale Infrastructuur gebracht), dus een MSP die de groottedrempel haalt, is een NIS2-entiteit op zichzelf, los van de sector van zijn klanten [1][2].
Is dit hetzelfde als de NIS2-scopecheck?
Nee. De scopecheck bepaalt of een entiteit essentieel, belangrijk of buiten scope is op basis van sector en grootte. Deze tool gaat uit van een MSP-context en checkt de specifieke beveiligingscontroles waarop een MSP wordt beoordeeld door zijn bevoorrechte toegang tot klantsystemen.
Betekent een lage score dat mijn MSP de wet overtreedt?
Niet op zichzelf. Dit is een zelfcheck op je eigen antwoorden, geen conformiteitsbeoordeling. Een lage score wijst op gaten die het waard zijn te verbeteren en te documenteren voor een klant, verzekeraar of auditor om bewijs vraagt.
Waarom krijgt bevoorrechte toegang zoveel gewicht?
Een MSP die gecompromitteerd wordt, kan het enige pad worden naar elke klant die hij beheert. Verschillende echte supply-chain-incidenten volgden precies dit scenario. MFA op toegang op afstand en least privilege voor technici zijn stelselmatig de verbeterpunten met de meeste impact.
Wat betekenen de CyFun-controle-id’s naast elk antwoord?
Elke vraag is gekoppeld aan één of meer CyberFundamentals-controles (CyFun) (packages/api/src/frameworks/cyfun/controls.yaml in de eigen frameworkgegevens van ECP). Ze staan erbij zodat je later direct naar de bijbehorende controle kan gaan bij een formele CyFun-zelfevaluatie.

Andere gratis tools

Wie moet aan NIS2 voldoen · NIS2-scopecheck · Voor IT-partners en MSP’s

Gebruik dit bij je klanten

#CYBERLEARN

Train het team: MSP-eigenaar

Bekijk de opleiding →

Bronnen

  1. CCB, NIS2 Scope Assessment-werkblad v1.0.4 (rij 47-48, ICT-dienstenbeheer)
  2. Belgische NIS2-wet van 26 april 2024 (Bijlage I)