NIS2 voor vertaalbureaus

Vertaalbureaus vallen niet rechtstreeks onder NIS2. Wel gaan er documenten door het bureau heen die bij de opdrachtgever tot de meest vertrouwelijke behoren en worden die documenten doorgezet naar een netwerk van zelfstandige vertalers. ClickOn, managed service provider (MSP) voor het MKB en zelf ISO 27001-gecertificeerd sinds 2021, levert compliant werkplekbeheer dat de NIS2-maatregelen standaard ingebouwd heeft.

Vallen vertaalbureaus onder NIS2?

Vertaalbureaus vallen niet rechtstreeks onder NIS2. Vertaaldienstverlening staat niet in bijlage 1 of 2, ongeacht de omvang van het bureau. De plicht ontstaat alleen indirect, via de opdrachtgever.

De keten is de route waarlangs NIS2 wel binnenkomt. Opdrachtgevers die zelf onder NIS2 vallen, moeten hun toeleveringsketen beheersen en leggen hun beveiligingseisen daarom contractueel door aan de bedrijven die voor hen werken. Dat gebeurt in deze situaties:

• Opdrachtgevers met een eigen zorgplicht: contracten, jaarverslagen, medische dossiers en procesdossiers worden ter vertaling aangeboden voordat ze definitief of openbaar zijn.
• Het freelancenetwerk: vertalers werken zelfstandig, vaak vanuit het buitenland, op eigen apparatuur. Het bureau is verantwoordelijk voor wat het doorstuurt en aan wie.
• Doorgifte buiten de EU: werken met vertalers buiten de EU brengt een eigen AVG-vraagstuk mee rond doorgifte naar derde landen, dat losstaat van NIS2. Een opdrachtgever met een eigen zorgplicht vraagt daar expliciet naar: aan wie is een document gestuurd, hoe en wat is er daarna mee gebeurd.

Wat de Cyberbeveiligingswet verandert

Wat NIS2-plichtige opdrachtgevers van je eisen

NIS2-plichtige opdrachtgevers eisen van vertaalbureaus aantoonbare beveiligingsmaatregelen, meestal als beveiligingsvragenlijst bij een aanbesteding of contractverlenging. De vragen komen telkens op hetzelfde neer:

• Multifactorauthenticatie (MFA) op alle accounts, ook voor uitvoerend personeel.
• Geteste back-ups van projectdata, calculaties en administratie, met een hersteltermijn.
• Tijdige updates en patching van werkplekken, servers en software.
• Toegangsbeheer: wie kan bij tekeningen, contracten en persoonsgegevens en wordt toegang ingetrokken bij uitdiensttreding.
• Incidentafspraken: bij wie meld je een hack of datalek en hoe snel.
• Steeds vaker een certificaat zoals ISO 27001 of in het MKB de NIS2 Supply Chain-certificering, als bewijs dat de maatregelen structureel geborgd zijn.

Een niet-ingevulde vragenlijst is genoeg om een bieding terzijde te laten leggen. Opdrachtgevers lopen zelf boete- en aansprakelijkheidsrisico onder NIS2, met boetes tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet voor essentiële entiteiten en 7 miljoen euro of 1,4 procent voor belangrijke entiteiten (NIS2-richtlijn, 2022). Dat risico nemen ze niet over van een leverancier die het bewijs niet heeft.

De ICT van een vertaalbureau en waar NIS2 die raakt

ClickOn beheert de digitale werkplek: Microsoft 365, de apparaten die eraan hangen en de accounts die erop inloggen. Dat is het deel van je ICT waar de beveiligingsvragenlijst van een opdrachtgever vrijwel volledig over gaat. Het vertaalplatform, vertaalgeheugens en het beleidswerk vallen erbuiten en dat staat hieronder net zo expliciet.

Wat je gebruikt	Waar de eis op landt	ClickOn
Microsoft 365: mail, brondocumenten en opdrachtcommunicatie	Contracten, dossiers en conceptpublicaties komen per mail binnen en gaan per mail door naar vertalers.	Beheerd
Laptops en telefoons van projectmanagers	Coördinatie gebeurt op kantoor en thuis, met brondocumenten van klanten op het toestel.	Beheerd
Accounts van projectmanagers en interne vertalers	Wie welk klantdossier mag inzien, is bij twee opdrachtgevers in dezelfde branche een reëel vraagstuk en geen formaliteit.	Beheerd
Vertaalplatform, vertaalgeheugens en terminologiedatabases	De omgeving waarin vertaald wordt, met vertaalgeheugens die fragmenten uit eerdere klantdocumenten bewaren. Zonder strikte toegang duikt informatie van de ene opdrachtgever op in het werk voor een andere. De leverancier beveiligt het platform, jij bepaalt wie inlogt.	Buiten scope, toegang wel beheerd
Apparatuur van freelance vertalers	Zelfstandige vertalers werken op eigen apparatuur, vaak in het buitenland. Buiten je beheer; wat je doorstuurt en aan wie is wel jouw verantwoordelijkheid.	Buiten scope

De regel erachter is simpel: alles wat via een Microsoft 365-account bereikbaar is, richt ClickOn in volgens de norm en bewijst het maandelijks. Alles wat een eigen applicatie of installatie is, blijft van jou of van je leverancier, met uitzondering van wie er toegang toe krijgt en vanaf welk apparaat. Dat laatste is in de praktijk de helft van de vragenlijst.

Het ICT-deel van NIS2, aantoonbaar geregeld

Vraagt je opdrachtgever om bewijs? ClickOn richt het ICT-deel van je NIS2-traject in, of beheert je werkplekken met de maatregelen standaard ingebouwd.

Bekijk het NIS2-trajectBekijk werkplekbeheer

NIS2 ook voor andere branches in zakelijke dienstverlening

• NIS2 voor accountantskantoren
• NIS2 voor administratiekantoren
• NIS2 voor advocatenkantoren
• NIS2 voor arbodiensten
• NIS2 voor assurantietussenpersonen
• NIS2 voor auditbureaus
• NIS2 voor bedrijfsadviesbureaus
• NIS2 voor bedrijfsmakelaars
• NIS2 voor belastingadvieskantoren
• NIS2 voor callcenters
• NIS2 voor compliance adviesbureaus
• NIS2 voor deurwaarderskantoren
• NIS2 voor detacheringsbureaus
• NIS2 voor financieel adviseurs
• NIS2 voor hypotheekadviseurs
• NIS2 voor incassobureaus
• NIS2 voor inkoopadviesbureaus
• NIS2 voor interim managementbureaus
• NIS2 voor loopbaancoachingsbureaus
• NIS2 voor marktonderzoeksbureaus
• NIS2 voor mediationbureaus
• NIS2 voor notariskantoren
• NIS2 voor octrooibureaus
• NIS2 voor outplacementbureaus
• NIS2 voor pensioenadvieskantoren
• NIS2 voor recruitmentbureaus
• NIS2 voor re integratiebureaus
• NIS2 voor salarisadministratiekantoren
• NIS2 voor subsidieadviesbureaus
• NIS2 voor trainings en opleidingsbureaus
• NIS2 voor uitzendbureaus
• NIS2 voor vermogensbeheerders

Andere normen die voor vertaalbureaus meespelen

Naast de Cyberbeveiligingswet vragen opdrachtgevers en toezichthouders bij vertaalbureaus regelmatig naar de normen hieronder. Ze overlappen met de maatregelen op deze pagina, maar hebben elk een eigen grondslag.

ISO 27001

ISO 27001 is de internationale norm voor informatiebeveiliging en het bewijsstuk dat opdrachtgevers het vaakst uitvragen. De norm toont aan dat maatregelen structureel geborgd zijn in plaats van incidenteel geregeld en overlapt grotendeels met de zorgplicht uit de Cyberbeveiligingswet.

ISO 17100

ISO 17100 is de internationale norm voor vertaaldiensten en geldt rechtstreeks voor dit vak. Het is een kwaliteitsnorm en geen beveiligingsnorm, maar ze stelt wel eisen aan de omgang met klantgegevens en aan afspraken met ingehuurde vertalers. Opdrachtgevers vragen er in aanbestedingen regelmatig naar, naast of in plaats van ISO 27001.

AVG

In je dossiers zitten persoonsgegevens in brondocumenten, waaronder bij medische en juridische vertalingen bijzondere persoonsgegevens. De AVG verplicht tot passende technische en organisatorische maatregelen en geldt ongeacht de omvang van je kantoor. De Autoriteit Persoonsgegevens handhaaft bij een datalek als die maatregelen niet aantoonbaar zijn.

Veelgestelde vragen over NIS2 voor vertaalbureaus

Valt een vertaalbureau onder NIS2?

Nee. Vertaaldienstverlening staat niet in bijlage 1 of 2 van de Cyberbeveiligingswet. De eisen komen binnen via opdrachtgevers met een eigen zorgplicht, die documenten aanleveren voordat ze definitief of openbaar zijn.

Waarom is het freelancenetwerk de gevoelige schakel?

Omdat zelfstandige vertalers op eigen apparatuur werken, vaak vanuit het buitenland. Het bureau blijft verantwoordelijk voor wat het doorstuurt en aan wie, terwijl die apparatuur buiten het eigen beheer valt.

Wat is het risico van vertaalgeheugens?

Die bewaren fragmenten uit eerdere opdrachten, ook van andere klanten. Daarmee kan informatie van de ene opdrachtgever in het werk voor een andere opduiken als toegang niet strikt is ingericht.

Wat betekent samenwerken met vertalers buiten de EU?

Dat brengt een eigen AVG-vraagstuk mee rond doorgifte naar derde landen, los van NIS2. Een opdrachtgever met een eigen zorgplicht vraagt daar expliciet naar.

Welk deel van de ICT van een vertaalbureau valt buiten de scope van ClickOn?

Buiten scope vallen het vertaalplatform met de vertaalgeheugens en terminologiedatabases en de apparatuur van freelance vertalers. Wie vanaf jouw kant inlogt en met welke rechten, beheert ClickOn wel.