Cybersecurity

Om weerstand te kunnen bieden aan de toenemende cyberdreigingen blijft NS de beveiliging van IT- (informatietechnologie) en OT-systemen (operationele technologie) verbeteren. We voeren bedrijfsbrede risicoanalyses uit van IT- en OT-processen en van incidenten met een hoog risicoprofiel. Aan de hand van onze cybersecurity-roadmap troffen we in 2023 verdere technologische maatregelen. Ook investeerden we in bedrijfsbrede bewustwording rondom cybersecurity via phishing-simulaties en campagnes. Daarnaast ontwikkelden we een langetermijnstrategie. De raad van bestuur benoemde de Chief Information Security Officer (CISO) tot directeur Cybersecurity om cybersecurity nadrukkelijker te borgen in de organisatie. Hij kreeg de opdracht de organisatiebrede cyberweerbaarheid naar een volgend niveau te brengen.

Voldoen aan Wbni

NS is ‘aanbieder van essentiële diensten’, zoals bepaald in de Wet beveiliging netwerk- en informatiesystemen (Wbni). Mede op basis van het cybersecuritymanagementsysteem (CSMS) geeft NS nu invulling aan de zorg- en meldplicht die de Wbni voorschrijft. Hetzelfde CSMS hanteren we om zakelijke klanten zekerheid te bieden over de maatregelen die we genomen hebben. De verkennende inspectie door de Inspectie Leefomgeving en Transport (ILT) heeft dit in 2023 positief beoordeeld.

ISO27001-certificering

NS heeft in 2023 de ISO27001-cybercertificering bestendigd voor de dienstverleningsprocessen rondom de NS-Business Card. Verder hebben we in 2023 de implementatie van twee nieuwe richtlijnen voorbereid: de NIS2 (Network and Information Security Directive 2) en de CER-wetgeving (Critical Entities Resilience Directive), die in 2024 van kracht worden.

Sectorbreed informatie delen

NS neemt deel aan nationale en internationale initiatieven om cybersecurity in de spoorsector en in de vitale infrastructuur in het algemeen te verbeteren. In 2023 is daarnaast het Europese Rail CISO-forum opgericht met NS als initiatiefnemer. Ook deed NS mee aan verschillende simulaties en oefeningen, waaronder de landelijke ISIDOOR-cyberoefening in november.