Autobedrijven vallen niet rechtstreeks onder NIS2. De verplichtingen bereiken autobedrijven via importeurs en fabrikanten, via leasemaatschappijen en verzekeraars en via zakelijke klanten met een wagenpark. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.
Vallen autobedrijven onder NIS2?
Autobedrijven vallen niet rechtstreeks onder NIS2. De verkoop en aflevering van voertuigen staat niet in bijlage 1 of 2, ongeacht het aantal vestigingen of de omzet. De plicht ontstaat alleen indirect, via de opdrachtgever.
De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:
- Importeurs en fabrikanten: dealercontracten bevatten steeds vaker eisen aan de systemen waarmee je op hun platform inlogt, inclusief verplichte multifactorauthenticatie.
- Leasemaatschappijen en verzekeraars: zij beoordelen hun ketenpartners en zetten dat door in de samenwerkingsovereenkomst voor onderhoud, schade en vervangend vervoer.
- Zakelijke klanten en wagenparkbeheerders: bedrijven die zelf onder de wet vallen, nemen hun leveranciers mee in hun risicoanalyse. Bij een wagenpark van enige omvang komt dat als beveiligingsvragenlijst bij de aanbesteding.
Wat de Cyberbeveiligingswet verandert
Wat NIS2-plichtige opdrachtgevers van je eisen
NIS2-plichtige opdrachtgevers eisen van autobedrijven aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:
- Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
- Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
- Tijdige updates en patching van werkplekken, servers en software.
- Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
- Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
- Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.
Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.
De ICT van een autobedrijf en waar NIS2 die raakt
ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Vakapplicaties, werkplaats- en voertuigtechniek vallen erbuiten en dat staat hieronder net zo expliciet.
| Wat je gebruikt | Waar de eis op landt | ClickOn |
|---|---|---|
| Microsoft 365: mail, offertes en klantadministratie | Koopovereenkomsten, financieringsaanvragen en inruilcalculaties lopen per mail. Factuurfraude bij een aanbetaling begint vrijwel altijd in een gekaapt mailaccount. | Beheerd |
| Laptops, tablets en telefoons in showroom en werkplaats | Verkopers en receptie werken met klantgegevens op wisselende apparaten, vaak gedeeld binnen een team. | Beheerd |
| Accounts van verkopers, monteurs en uitzendkrachten | Wisselende bezetting, meerdere vestigingen en gedeelde inloggegevens zijn hier de norm. Toegang intrekken bij vertrek is een vaste vraag in elke vragenlijst. | Beheerd |
| Dealer management systeem en importeursportalen | De kernregistratie van klanten, voertuigen en orders, plus de portalen van de importeur. De leverancier beveiligt het platform, jij bepaalt wie inlogt en met welke authenticatie. | Buiten scope, toegang wel beheerd |
| Diagnoseapparatuur en werkplaatssystemen | Apparatuur die rechtstreeks met het voertuig communiceert, met een eigen leverancier en een eigen risicoprofiel. | Buiten scope |
De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.
Het ICT-deel van NIS2, aantoonbaar geregeld
Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.
NIS2 ook voor andere branches in voertuigen en transport
- NIS2 voor autogarages
- NIS2 voor autoverhuurbedrijven
- NIS2 voor expeditiebedrijven
- NIS2 voor koeriersdiensten
- NIS2 voor logistiek dienstverleners
- NIS2 voor schadeherstelbedrijven
- NIS2 voor taxibedrijven
- NIS2 voor transportbedrijven
- NIS2 voor verhuisbedrijven
Andere normen die voor autobedrijven meespelen
Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij autobedrijven regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.
ISO 27001
ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.
AVG
In je administratie zitten persoonsgegevens van klanten, chauffeurs en medewerkers. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je bedrijf. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.
Veelgestelde vragen over NIS2 voor autobedrijven
Vallen autobedrijven onder NIS2?
De verkoop en aflevering van voertuigen staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet, dus autobedrijven vallen er niet rechtstreeks onder, ongeacht het aantal vestigingen of de omzet. De eisen komen via importeurs en fabrikanten, via leasemaatschappijen en verzekeraars en via zakelijke klanten en wagenparkbeheerders.
Waarom stelt mijn importeur eisen aan mijn inloggegevens?
Dealercontracten bevatten steeds vaker eisen aan de systemen waarmee je op het importeursplatform inlogt, inclusief verplichte multifactorauthenticatie. Via die koppeling zit jouw werkplek in hun omgeving en dus in hun risicoanalyse.
Wat vraagt een leasemaatschappij van een autobedrijf?
Leasemaatschappijen en verzekeraars beoordelen hun ketenpartners en zetten dat door in de samenwerkingsovereenkomst voor onderhoud, schade en vervangend vervoer. In de praktijk komt dat neer op MFA, toegangsbeheer, geteste back-ups en afspraken over incidentmelding.
Waarom is de klantregistratie van een autobedrijf een risico op zich?
Een autobedrijf legt identiteitsgegevens, rijbewijsnummers, financieringsaanvragen en bij inruil de historie van het vorige voertuig vast. Dat dossier valt onder de AVG ongeacht wat NIS2 doet en is bij een datalek meteen van de zwaarste categorie.
Welk deel van de ICT van een autobedrijf valt buiten de scope van ClickOn?
Buiten scope vallen het dealer management systeem, de importeursportalen en de diagnoseapparatuur en werkplaatssystemen. Wie op die systemen inlogt en vanaf welk apparaat, beheert ClickOn wel.