Op 15 augustus treedt de Cyberbeveiligingswet (Cbw) in werking, waarmee Nederland de Europese NIS2-richtlijn omzet in nationale wetgeving. Duizenden organisaties krijgen nieuwe verplichtingen rond cyberrisicobeheer, incidentmelding en ketenbeveiliging. Ook wordt de verantwoordelijkheid van bestuurders nadrukkelijker vastgelegd. Vijf cybersecurity-experts leggen uit wat de wet in de praktijk betekent.

Cybersecurity wordt bestuursverantwoordelijkheid

Volgens Martin Krämer, CISO Advisor bij KnowBe4, beschikken veel bestuurders nog slechts over een basaal begrip van cybersecurity. Het risico bestaat dat zij de verantwoordelijkheid bij IT- en securityteams blijven neerleggen. “De wet probeert juist daarin verandering te brengen. Bestuurders moeten cyberrisico’s kunnen identificeren, beoordelen en vertalen naar de mogelijke impact op de organisatie. Dat vraagt meer dan een awareness-training en een deelnamecertificaat.” De Cbw kan volgens Krämer aandacht en budget naar cybersecurity verschuiven. Of de weerbaarheid daadwerkelijk toeneemt, hangt echter af van het aanpassingsvermogen van bestuurders. Een sterke veiligheidscultuur ontstaat vooral wanneer leiders zelf het goede voorbeeld geven en zich aan dezelfde normen houden als medewerkers.

Niet het papier, maar de werking telt

Thomas Margner, Technical Director DACH & Netherlands bij TrendAI, verwacht dat veel organisaties eerst op compliance zullen inzetten. Zij zullen beleid en procedures vastleggen, terwijl echte weerbaarheid pas ontstaat wanneer ook wordt geïnvesteerd in detectie en beproefde incidentrespons. “Het tellen van beleidsdocumenten en trainingen is compliance. Meetbare verbeteringen in detectie en respons zijn weerbaarheid. Een map met het label Business Continuity Plan voorkomt geen ransomware.” Veel ondernemingen hebben volgens Margner nog niet vastgesteld of zij onder de wet vallen. De eerste stap is daarom bepalen welke verplichtingen van toepassing zijn. Daarna moeten organisaties hun maatregelen testen: kunnen zij een aanval werkelijk detecteren en er effectief op reageren?

Leveranciers worden onderdeel van het risicobeheer

Ook Albert Kramer, Manager Solutions Consulting Benelux bij Zscaler, benadrukt dat de uitvoering bepalend is. De wet stelt minimumeisen, maar werkelijke vooruitgang vraagt om duidelijk eigenaarschap, meetbare doelen voor detectie en herstel, regelmatige tests en een structurele aanpak van leveranciersrisico’s. Dat wordt extra belangrijk doordat leveranciers of producten in uitzonderlijke gevallen vanwege de nationale veiligheid kunnen worden beperkt of verboden. Organisaties moeten daarom hun kritieke afhankelijkheden kennen en beschikken over realistische exit- en migratieplannen. “De vraag is niet alleen hoe goed een organisatie zichzelf heeft beveiligd, maar ook hoeveel zicht zij heeft op de partijen waarvan de bedrijfsvoering afhankelijk is.”
Klanten zullen naar verwachting strengere contractuele eisen stellen aan beveiligingsmaatregelen, incidentmeldingen, auditrechten en bewijsvoering.

Ook organisaties buiten de wet krijgen ermee te maken

Cindy Wubben, CISO bij Visma, verwacht een effect dat vergelijkbaar is met dat van de AVG. Door de ketenverantwoordelijkheid krijgen ook bedrijven die niet rechtstreeks onder de Cbw vallen met de eisen te maken. Grote klanten zullen hun leveranciers immers aanspreken op digitale veiligheid. Securityvragenlijsten en audits worden daardoor waarschijnlijk strenger en frequenter. Certificeringen zoals ISO 27001 krijgen bovendien meer commerciële waarde. Wubben waarschuwt wel voor een te grote administratieve belasting: controles moeten aantoonbaar bijdragen aan de cyberweerbaarheid. “Registratie is relatief eenvoudig. De werkelijke uitdaging ligt in de implementatie. Cyberweerbaarheid is geen eenmalig complianceproject, maar een continu proces van monitoring, opvolging en verbetering.”

Herstelvermogen is doorslaggevend

Edwin Weijdema, Field CTO EMEA bij Veeam, verwacht dat de eerste waarschuwingen en boetes vooral betrekking zullen hebben op duidelijke tekortkomingen, zoals het niet registreren bij het NCSC, het niet melden van belangrijke incidenten of het verwaarlozen van basale cyberhygiëne. Volgens hem moeten bestuurders cybersecurity niet uitsluitend als een IT- of compliancevraagstuk behandelen, maar als onderdeel van de bedrijfscontinuïteit. Risicoanalyses, incidentprocedures, controles in de toeleveringsketen en geteste back-up- en herstelstrategieën moeten aantoonbaar op orde zijn. “Preventie zal op enig moment falen. Weerbaarheid draait daarom ook om het beperken van de impact en het met vertrouwen kunnen herstellen van de bedrijfsvoering.” Bestuurders hoeven geen technische experts te worden, maar moeten wel voldoende kennis hebben om geïnformeerde beslissingen te nemen en kritische vragen te stellen. Niet alleen de hoogte van het beveiligingsbudget is relevant, maar vooral de vraag of de organisatie een ernstig cyberincident daadwerkelijk kan doorstaan.

De essentie

De gezamenlijke boodschap is duidelijk: de Cyberbeveiligingswet kan de digitale weerbaarheid versterken, maar alleen wanneer organisaties verder gaan dan registratie, beleidsdocumenten en vinklijsten. De echte toets is of maatregelen in de praktijk werken.

Bron: Whizpr