Blog

Wat is NIS2 en waarom zou HR erom geven?

NIS2 is de Europese richtlijn die organisaties digitaal weerbaarder moet maken. In België werd ze omgezet in de NIS2-wet, die sinds 18 oktober 2024 van kracht is, onder toezicht van het Centrum voor Cybersecurity België (CCB). Waar de vorige richtlijn vooral grote spelers in kritieke sectoren viseerde, gaat NIS2 een pak breder. De wet geldt in principe al vanaf 50 medewerkers of 10 miljoen euro omzet, maar enkel voor organisaties die actief zijn in een van de achttien sectoren die de wet viseert, zoals energie, transport, digitale infrastructuur en bepaalde industrieën.

Net als ISO 27001 draait NIS2 rond de vertrouwelijkheid, integriteit en beschikbaarheid van informatie (de zogenaamde CIA-driehoek: confidentiality, integrity, availability). Samengevat komt het neer op bedrijfscontinuïteit: ervoor zorgen dat essentiële processen blijven draaien, óók als het misloopt. En de loonverwerking is voor werkelijk elke organisatie zo'n essentieel proces. Toch merken we in de praktijk dat veel HR-teams nog niet goed weten wat NIS2 voor hen betekent. Bovenop de bestaande privacywetgeving (GDPR) voelt het voor velen als een extra kluwen van regels.

GDPR beschermt persoonsgegevens. NIS2 versterkt de digitale weerbaarheid van je organisatie.

GDPR en NIS2 gaan hand in hand, maar ze hebben een ander doel. GDPR vertrekt vanuit de bescherming van persoonsgegevens, terwijl NIS2 een breder kader biedt voor de beveiliging en continuïteit van netwerk- en informatiesystemen. Beide wetgevingen stellen dan ook een andere hoofdvraag aan je tijdsregistratiesysteem:

• GDPR (Focus op Privacy): Hier draait het om de vraag: "Verwerken en bewaren we de persoonsgegevens van medewerkers vertrouwelijk en rechtmatig?" GDPR beschermt de medewerker. Zien medewerkers alleen de data die ze echt nodig hebben? Worden gegevens niet te lang bewaard?
• NIS2 (Focus op Weerbaarheid en Continuïteit): Hier is de vraag: "Is de software digitaal weerbaar genoeg, zodat kritische HR-processen blijven draaien, ook bij een incident?" NIS2 beschermt de werking van je organisatie. Blijft de software beschikbaar bij een cyberaanval, of loopt de verloning vertraging op omdat de tijdsregistratiegegevens onbereikbaar zijn?

Kort gezegd: je tijdsregistratie moet aan allebei voldoen.

NIS2 raakt je sneller dan je denkt

Ook wanneer je organisatie niet rechtstreeks onder NIS2 valt, kun je de impact ervan voelen. Organisaties die wel onder de wet vallen, moeten immers ook cybersecurityrisico's bij hun leveranciers beoordelen. Daardoor kunnen zij strengere eisen stellen aan softwarepartners, bijvoorbeeld rond toegangsbeveiliging, incidentmeldingen, back-ups en bedrijfscontinuïteit.

Bij Syntegro zien we de impact van NIS2 ook in de praktijk. Meer dan 90% van onze klanten telt meer dan 250 medewerkers. Voor klanten die actief zijn in sectoren waarop NIS2 van toepassing is, brengt de wet bijkomende cybersecurityverplichtingen met zich mee. Dat vertaalt zich ook in hogere verwachtingen ten aanzien van hun softwareleveranciers.

Hetzelfde geldt voor jouw organisatie. Lever je diensten aan grotere klanten die onder NIS2 vallen? Dan krijg je vroeg of laat hun uitgebreide vragenlijsten op je bureau. En die gaan niet alleen over je eigen IT, maar evengoed over de veiligheid van de software waarmee je de uren van je eigen medewerkers registreert.

Valt je tijdsregistratie uit, dan begint de klok te tikken

NIS2 legt een sterke nadruk op beschikbaarheid en continuïteit. Stel dat je urenregistratie vlak voor de maandafsluiting uitvalt door een cyberaanval. Dan kunnen toeslagen, overuren en lonen niet tijdig berekend en doorgestuurd worden naar het sociaal secretariaat. In België weegt dat extra zwaar, want hoe complexer de verloning, hoe groter de impact als je tijdsregistratie plots niet meer werkt.

Daar komt nog een strenge meldplicht bij. Organisaties onder NIS2 moeten een ernstig incident binnen 24 uur vooraf melden bij het CCB, binnen 72 uur een volledigere melding doen en binnen een maand een eindrapport bezorgen. Hoe snel je softwareleverancier je verwittigt, is dus geen detail meer.

Cybersecurity wordt een zaak van de directie (en dus ook van HR)

NIS2 legt cybersecurity nadrukkelijk op het niveau van het management. De leidinggevende organen van organisaties die onder de wet vallen, moeten de beveiligingsmaatregelen goedkeuren en toezien op de uitvoering ervan. Bij niet-naleving kunnen aanzienlijke sancties volgen. Afhankelijk van de omstandigheden en de toepasselijke wettelijke bepalingen kunnen ook bestuurders gevolgen ondervinden. Cybersecurity verschuift zo definitief van de serverruimte naar de directietafel. Omdat personeelsdata een van de meest gevoelige gegevensstromen is, hoort HR ontegensprekelijk mee aan die tafel.

Cybersecurity begint ook bij mensen

NIS2 draait niet alleen om technologie, maar ook om mensen en processen. En precies daar speelt HR een belangrijke rol. Denk aan het correct beheren van toegangsrechten wanneer medewerkers in dienst komen of vertrekken, het organiseren van cybersecuritytrainingen en het bewaken van duidelijke procedures rond personeelsgegevens. Samen met IT en de directie helpt HR zo de digitale weerbaarheid van de organisatie versterken.

Hoe Syntegro HR ontzorgt

Vertrouwen is de basis. Urengegevens vertellen veel over een medewerker: ziekte, overwerk, thuiswerkpatronen. Dit verdient simpelweg dezelfde bescherming als een loonbrief. Om HR-teams die broodnodige gemoedsrust te geven, nemen wij het zware werk alvast uit handen. Wij streven voortdurend het beste na. Syntegro vertaalt de strenge NIS2-vereisten (zoals omschreven in artikel 21) proactief naar concrete maatregelen in onze software. Zo hoef jij als HR-professional geen securityexpert te worden, maar kun je er wel met een gerust hart op vertrouwen dat de data en processen van jouw medewerkers in veilige handen zijn.

• Een gestructureerde cybersecurityaanpak op basis van ISO 27001 en NIS2: ISO 27001 is in België een erkend referentiekader voor NIS2-conformiteitsbeoordelingen. Onze beveiliging is structureel ingericht volgens ISO 27001:2022. Tijdens onze audits nemen we de specifieke NIS2-vereisten (Richtlijn EU 2022/2555) uitdrukkelijk mee in onze Statement of Applicability (SoA). Hiermee dekken we een holistische beveiligingsaanpak af: van organisatorische en technologische tot fysieke en menselijke controles (awareness trainingen).
• Datasoevereiniteit in een Belgische cloud: Wij hosten alle data in onze eigen cloudomgeving, fysiek gelokaliseerd in België. Dit betekent dat we niet afhankelijk zijn van buitenlandse hyperscalers en dat uw data uitsluitend onder lokale en Europese jurisdictie valt. Zo zorgen we voor maximale datasoevereiniteit en beperken we de risico's van complexe, internationale datatransfers.
• Continuïteit, versleuteling en ketenbeveiliging: Alle gegevens worden sterk versleuteld tijdens het transport en bij de opslag. Gecontroleerde back-ups en herstelprocedures zorgen ervoor dat uren- en afwezigheidsgegevens zo snel mogelijk weer beschikbaar zijn na een eventueel incident. Bovendien bieden we onze klanten duidelijke verwerkersovereenkomsten, die hen helpen om hún ketenverantwoordelijkheid aan te tonen bij externe audits.

Jouw HR-data veilig, jouw team ontzorgd

NIS2 hoeft voor HR absoluut geen struikelblok te zijn. Met de juiste softwarepartner is sterke beveiliging standaard ingebakken in je dagelijkse processen. Zo kun jij je focussen op je medewerkers, terwijl wij waken over hun data en de bedrijfscontinuïteit.