Sinds zaterdag 15 augustus geldt in Nederland de Cyberbeveiligingswet. Ruim 8.000 organisaties in achttien sectoren moeten zich registreren, hun digitale risico’s in kaart brengen en een ernstig incident binnen 24 uur melden. Klinkt als werk voor de IT-afdeling. Dat is precies de misvatting die deze wet onmogelijk maakt.
Want de kern zit ergens anders. Bestuurders moeten de maatregelen goedkeuren, toezicht houden op de uitvoering én genoeg kennis hebben om cyberrisico’s te kunnen beoordelen. Ze moeten daar training voor volgen. Met andere woorden: “dat is technisch, daar gaat de systeembeheerder over” is vanaf nu geen geldig antwoord meer in een directiekamer.
Wat er precies moet
De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de oude Wet beveiliging netwerk- en informatiesystemen. Onder de wet vallen onder meer energie, zorg, transport, drinkwater, overheid en digitale infrastructuur. Tegelijk met deze wet ging de Wet weerbaarheid kritieke entiteiten in, die ongeveer vijfhonderd organisaties aanwijst als kritieke entiteit — die gaat niet alleen over hackers, maar ook over sabotage en fysieke verstoring.
Op hoofdlijnen komt het neer op vier dingen: registreren in het nationale entiteitenregister, een risicoanalyse maken, passende maatregelen nemen en ernstige incidenten binnen 24 uur melden bij het CSIRT en de toezichthouder. En let op dat eerste punt: organisaties moeten zélf beoordelen of ze onder de wet vallen. Er komt geen brief die je uitnodigt.
We hebben de registratie er even bij gepakt
Om te zien hoe zwaar die eerste stap is, liepen we de registratiepagina van het NCSC door. Dat is leerzamer dan welke samenvatting ook.
Je logt in met eHerkenning op betrouwbaarheidsniveau EH2+, met een machtiging om namens de organisatie te tekenen, gekoppeld aan het KvK-nummer. Rijksorganisaties gebruiken SSOnRijk. Vervolgens vraagt het formulier om publieke IP-adressen en IP-reeksen, domeinnamen en AS-nummers. Je moet aangeven in welke EU-lidstaten je diensten levert, waar je hoofdvestiging zit, en of je organisatie “essentieel” of “belangrijk” is onder de wet.
Lees dat rijtje nog eens. Dat is geen formulier dat een directiesecretaresse tussendoor invult. Het NCSC zegt het zelf: laat het invullen door iemand met beslissingsbevoegdheid én kennis van cybersecurity, en verzamel de gegevens vooraf, want ze komen van verschillende collega’s. Wie geen actueel overzicht heeft van zijn eigen domeinnamen en IP-reeksen — en dat zijn er meer dan je denkt — loopt bij stap één al vast.
Waarom wij dit een goede wet vinden, met één maar
Wij nemen zelden stelling vóór regeldruk, maar hier wel. De reden is simpel: al jaren wordt beveiliging betaald uit hetzelfde potje waar ook de nieuwe website en de marketingcampagne uit komen, en dan wint beveiliging nooit. Zodra een bestuurder persoonlijk moet tekenen voor de maatregelen, verandert die weging. Niet omdat bestuurders opeens verstand van techniek krijgen, maar omdat ze de vraag nu wél moeten stellen.
Die “maar”: een wet die verplicht dat je aantoonbaar in control bent, nodigt uit tot papier. Risicoanalyse in een map, beleid getekend, training afgevinkt, klaar. Terwijl de aanval binnenkomt via een medewerker die op maandagochtend een mail opent die net iets te goed klopt. Beleid houdt niemand tegen; een collega die twijfelt en belt wel. Hoe je dat meet in plaats van gokt, schreven we bij wat een klikratio wel en niet zegt, en waarom oefenen boven voorlichting gaat staat in phishingsimulaties om medewerkers te trainen.
De vraag die maandag op tafel hoort
Niet “vallen wij hieronder?” — dat weet je binnen een uur. De vraag is: wie besluit hier of iets een significant incident is, en heeft die persoon het telefoonnummer van de rest? De meldplicht van 24 uur begint namelijk niet als het onderzoek klaar is, maar als je organisatie doorheeft dat er iets ernstigs speelt. Op zondagavond, met een externe leverancier die niet opneemt.
Daar komt bij dat leveranciers dit indirect ook gaan voelen. Een organisatie die onder de wet valt, gaat strengere eisen stellen aan iedereen met wie ze gegevens of systemen deelt. Val je zelf niet onder de wet, maar lever je aan een ziekenhuis of een netbeheerder, dan komt het contractueel alsnog jouw kant op. Wie nu al zijn eigen toegangen op orde brengt, in plaats van te wachten op de vragenlijst van zijn grootste klant, staat er over een halfjaar een stuk beter voor. Waar dat begint, is minder spannend dan het klinkt: bij het adminaccount dat te veel mag.
Rik Hoogland
Rik begeleidde jarenlang phishing-simulaties en awareness-programma's bij Nederlandse organisaties. Op Humanfirewall.nl legt hij uit hoe oplichters mensen bespelen en hoe je daar als team tegen bestand raakt. Stel Rik je vraag.
Zelf een situatie die niet vertrouwd voelt?
Beschrijf wat er gebeurde of waar je over twijfelt, dan denkt Rik mee over de juiste reactie.