De European Union Agency for Cybersecurity (ENISA) publiceerde onlangs een rapport waarin de impact van de NIS 2-richtlijn op cybersecurity-investeringen en de volwassenheid van organisaties in kaart wordt gebracht. Dit vijfde NIS Investments-rapport biedt waardevolle inzichten in hoe organisaties hun cybersecuritybudgetten verdelen, vaardigheden opbouwen en zich aanpassen aan de eisen van de richtlijn. Ook worden bredere cybersecuritytrends, personeelsuitdagingen en de rol van AI belicht.

Het rapport betreft een onderzoek naar hoe goed organisaties voorbereid zijn op de naleving van nieuwe wetgeving, zoals de Cyber Resilience Act (CRA) en de Digital Operational Resilience Act (DORA). Juhan Lepassaar, uitvoerend directeur van ENISA, stelt: “De NIS 2-richtlijn markeert een keerpunt in de Europese aanpak van cybersecurity. Voldoende investeringen, vooral in nieuwe sectoren binnen de reikwijdte van NIS 2, zijn cruciaal. Dit rapport biedt beleidsmakers feitelijke inzichten om hindernissen en lacunes aan te pakken.”

Belangrijkste bevindingen
Informatiebeveiliging vertegenwoordigt nu 9 procent van de EU-IT-investeringen, een stijging van 1,9 procentpunt sinds 2022. De gemiddelde IT-uitgaven per organisatie stegen in 2023 naar 15 miljoen euro, terwijl de beveiligingsuitgaven verdubbelden van 0,7 miljoen naar 1,4 miljoen euro.
Het aandeel IT-personeel dat zich exclusief met cybersecurity bezighoudt, daalde opnieuw, tot 11,1 procent. Bijna een derde van de organisaties kampt met wervingsproblemen, vooral voor technische rollen. Dit is problematisch, aangezien 89 procent verwacht extra personeel nodig te hebben om aan NIS 2 te voldoen.
Veel organisaties, vooral mkb-bedrijven, kunnen niet rekenen op extra budget om aan de richtlijn te voldoen. En 90 procent van de organisaties verwacht een toename van cyberaanvallen, maar slechts een kwart participeert in nationale of EU-samenwerkingsinitiatieven.

Nieuwe sectoren
Sectoren die al onder de oorspronkelijke NIS-richtlijn vielen, scoren beter op het gebied van cybersecurity dan nieuw toegevoegde sectoren. Dit benadrukt de impact van de richtlijn en de noodzaak om ook nieuwe sectoren beter voor te bereiden.
Het rapport legt de basis voor toekomstige evaluaties van de NIS 2-richtlijn en biedt waardevolle inzichten om Europa’s cyberweerbaarheid verder te versterken.