Tijdsynchronisatie en NIS2: waarom betrouwbare tijd onmisbaar is
Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2-richtlijn. Essentiële en belangrijke organisaties moeten hun digitale risico's beheersen en ernstige incidenten snel melden. Een onderwerp dat daarbij vaak wordt vergeten, is de tijd zelf.
Waarom tijd ertoe doet bij een incident
Bij een cyberincident wilt u snel reconstrueren wat er gebeurde: wanneer kwam de aanvaller binnen, welke systemen raakte hij, en in welke volgorde? Daarvoor legt u logbestanden van firewalls, servers, werkplekken en applicaties naast elkaar. Lopen de klokken van die systemen niet gelijk, dan klopt de volgorde van gebeurtenissen niet. Een tijdlijn met fouten van minuten maakt het onderzoek trager en het bewijs zwakker, juist op het moment dat u binnen 24 uur een eerste melding moet doen.
Wat zeggen de regels?
NIS2 schrijft geen specifiek tijdprotocol voor, maar logging en monitoring zijn onderdeel van de verplichte maatregelen voor incidentafhandeling. De Europese uitvoeringsverordening (EU) 2024/2690, die de maatregelen uitwerkt voor onder meer datacenters, cloud- en IT-dienstverleners, is daarin concreet: organisaties moeten, voor zover haalbaar, zorgen dat alle systemen gesynchroniseerde tijdbronnen hebben zodat logbestanden tussen systemen kunnen worden gecorreleerd.
Ook ISO 27001 (beheersmaatregel 8.17) en NEN 7510 voor de zorg vragen dat de klokken van informatiesystemen worden gesynchroniseerd met goedgekeurde tijdbronnen. Wie al met deze normen werkt, kent de eis dus al.
Let op: dit artikel is een technische toelichting en geen juridisch advies. Of en hoe de Cbw op uw organisatie van toepassing is, kunt u nagaan bij uw toezichthouder of juridisch adviseur.
Zo richt u betrouwbare tijd in
Gebruik een eigen tijdserver. Vertrouw niet alleen op publieke tijdservers via internet. Een eigen NTP-server in uw netwerk, met GNSS (GPS/Galileo) als bron, is onafhankelijk van internet en van derden.
Bouw redundantie in. Twee tijdservers, bij voorkeur op verschillende locaties, voorkomen dat één storing alle systemen raakt.
Zorg voor holdover. Satellietsignalen kunnen worden gestoord of vervalst. Een tijdserver met een stabiele oscillator houdt de tijd dan nauwkeurig vast tot het signaal terug is.
Beveilig het protocol. Gebruik NTP-authenticatie of NTS, zodat systemen alleen tijd accepteren van uw eigen, vertrouwde server.
Monitor de tijd. Laat de tijdserver meldingen sturen bij verlies van de tijdbron of afwijkingen, en neem dat op in uw monitoring.
Leg het vast. Beschrijf in uw beleid welke tijdbron u gebruikt en hoe die wordt bewaakt. Dat helpt bij audits.
Advies nodig?
BerdoTime levert NTP- en PTP-tijdservers van Mobatime met GNSS-ontvangst, redundante opstellingen en beveiligde tijdverdeling. Wij denken graag mee over een tijdsynchronisatie die past bij uw netwerk en uw verplichtingen. Bel 085-4000265 of mail info@berdo.nl.
Opmerkingen