Minder dan de helft van de acht- à tienduizend organisaties die in Nederland onder de Cyberbeveiligingswet (Cbw) vallen, heeft zich geregistreerd. Gisteren aan het begin van de avond stond de teller op 2.942 registraties in het Cbw-entiteitenregister.
Dat meldt het Nationaal Cyber Security Centrum (NCSC) desgevraagd. Worden de verbonden organisaties meegeteld, dan komt het bereik op 4.144 organisaties. Met verbonden organisaties worden organisaties bedoeld die afzonderlijke organisaties zijn, maar door bijvoorbeeld eigendom of zeggenschap nauw met elkaar verweven zijn. Die verbondenheid kan meewegen bij de vraag of een organisatie onder de Cyberbeveiligingswet valt.
In werking
Morgen (15 augustus) treedt de langverwachte wet eindelijk in werking. Dan gelden nieuwe verplichtingen op het gebied van cyberbeveiliging. Circa negenduizend Nederlandse organisaties moeten voldoen aan strengere maatregelen voor de beveiliging van hun netwerk- en informatiesystemen. De normen voor cybersecurity gaan flink omhoog.
Maar in weerwil van de naderende deadline voor registratie laat het aantal aanmeldingen deze maand tot nog toe geen grote piek zien. In augustus staat de teller op 653 registraties, waarmee juli (599) is ingehaald, met nog dertien werkdagen te gaan. Op basis van de huidige cijfers, van vóór het ingaan van de wet en de registratieplicht, is het nog te vroeg om te zeggen welke sectoren qua aantallen registraties vooroplopen en welke achterblijven.
De implementatie van de Europese NIS2-richtlijn in Nederland is van toepassing op organisaties die essentiële of belangrijke diensten verlenen. De wet ziet toe op organisaties uit achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer.
Inschrijving
Een van de eerste stappen voor organisaties is het registreren bij het Nationaal Cyber Security Centrum (NCSC). Inschrijving in het nationaal entiteitenregister is per 15 augustus verplicht. Organisaties moeten toetsen of ze onder de Cyberbeveiligingswet vallen. Elk bedrijf is zelf verantwoordelijk voor tijdige registratie én voor het actueel houden van alle gegevens.
Het klantcontactcentrum van het NCSC krijgt regelmatig vragen over de registratie, zegt woordvoerder Roger Kaemingk. Die gaan over verschillende onderwerpen, zoals complexe bedrijfsmodellen en niet in Nederland gevestigde bedrijven zonder KvK-nummer die zich hier willen inschrijven. Het NCSC biedt organisaties in dit soort situaties maatwerk en actieve ondersteuning.
Volgens Thomas Margner, technisch directeur bij TrendAI, nemen veel organisaties een afwachtende houding aan. Een groot aantal heeft nog niet vastgesteld of het onder de Cyberbeveiligingswet valt. Dat geldt met name voor organisaties die niet eerder met dit type toezicht te maken hebben gehad. Margner: ‘Uit onderzoek van Grant Thornton blijkt dat slechts een derde van de mkb-bedrijven die onder de Cyberbeveiligingswet vallen daadwerkelijk actief met compliance bezig is, wat aansluit bij wat wij in de praktijk zien: ruim de helft staat nog aan het begin.’
Nieuw in de wet is dat managers persoonlijk aansprakelijk zijn te stellen voor tekortkomingen in de cybersecurity, zoals een gebrek aan training. De verantwoordelijkheid voor het beheersen van cyberrisico’s komt daarmee daadwerkelijk op bestuursniveau te liggen.
Michel Woudstra, partner account manager bij Rohde & Schwarz Networks & Cybersecurity, stelt dat cybersecurity met de officiële inwerkingtreding van NIS2 nu definitief van de serverruimte naar de bestuurskamer is verhuisd. ‘Te vaak wordt digitale veiligheid nog gezien als een verantwoordelijkheid van de it-afdeling. NIS2 daarentegen legt duidelijk de persoonlijke aansprakelijkheid van de bedrijfsleiding vast.’
De directie kan niet meer op afstand blijven. Volgens Christian Boertje, directeur van Boem Cybersecurity, kunnen toezichthouders bij ernstig falen maatregelen richting bestuurders zelf nemen. Het begint bij aanwijzingen en het opleggen van verbetermaatregelen. Daarna volgen bestuurlijke boetes, waarbij de bedragen voor essentiële entiteiten hoger liggen dan voor belangrijke entiteiten.
Delegeren mag; de verantwoordelijkheid overdragen niet. Boertje raadt aan om besluiten ter verbetering van de weerbaarheid met datum, onderbouwing en naam vast te leggen.
Risicobeheer
De wettelijke verplichting bestaat uit drie delen. Het leidinggevend orgaan keurt de maatregelen voor risicobeheer goed, ziet toe op de uitvoering daarvan en volgt scholing, zodat het de risico’s en beheersmaatregelen daadwerkelijk kan beoordelen. Volgens Boertje wordt dat laatste vaak onderschat. Het gaat niet om technische kennis, maar om het vermogen om een risicoafweging te lezen, er kritische vragen bij te stellen en een besluit te nemen dat je later kunt uitleggen.
Bestuurders moeten beschikken over voldoende kennis en vaardigheden om cyberrisico’s en de genomen maatregelen te kunnen beoordelen. Ze krijgen daarvoor twee jaar de tijd. Om die reden bevat de wet ook een trainingsplicht voor bestuurders.
Volgens Martin Krämer, ciso advisor bij KnowBe4, lijkt die periode van twee jaar ruim, maar het opbouwen van echte competentie op bestuursniveau kost meer tijd dan veel bestuurders denken. Met het volgen van een awareness-training en het behalen van een deelnamecertificaat kom je er niet. ‘Bestuurders moeten cyberrisico’s en de manier waarop deze worden beheerst kunnen identificeren, evalueren en beoordelen. Ze moeten vooral begrijpen welke impact deze risico’s op de organisatie kunnen hebben. Dat betekent dat zij actief betrokken moeten zijn bij beslissingen over risicomanagement.’
Als je bedrijf wordt gehackt, ben je niet automatisch schuldig. Volgens Christian Boertje ben je pas strafbaar of aansprakelijk als je vooraf je best niet hebt gedaan.
Regels in het kort:
- Pech hebben mag; was de beveiliging goed, maar kwamen de hackers er toch doorheen? Dan is het domme pech.
- Niets doen mag niet; heeft de directie nooit naar de beveiliging gekeken of gevraagd? Dan heeft het bedrijf een probleem.
De overheid verwacht niet dat je honderd procent onkwetsbaar bent. De controleur stelt vooral deze vragen:
- Wist je wat de digitale risico’s van je bedrijf waren?
- Was de directie op de hoogte van deze risico’s?
- Is er bewust gekozen welke risico’s wel en niet werden aangepakt?
- Is er geluisterd naar eerdere waarschuwingen?
Het gevaarlijkste is waarschuwingen negeren. Heb je een rapport gekregen waarin staat dat de beveiliging slecht is en heb je daar niets aan gedaan? Dan is dat rapport achteraf het bewijs dat je wist van het probleem, maar weigerde om het op te lossen. Een cyberverzekering kan schade dekken, maar neemt de wettelijke verantwoordelijkheid niet weg. Bestuurlijke boetes zijn bovendien vaak uitgesloten van dekking.
Boetes
Wanneer boetes worden gegeven en hoe hoog die uitvallen, zal in de praktijk moeten blijken. Gilles van Heijst, transformation lead bij YaWorks (digitale infrastructuur), stelt dat het onduidelijk is waar de lat precies komt te liggen. ‘Dat zal waarschijnlijk pas blijken bij de eerste boetes. Wacht daar niet op: de wet kent geen overgangsperiode en bestuurders worden persoonlijk aansprakelijk als de beveiligingsmaatregelen niet op orde zijn.’ Zijn indruk is dat veel organisaties basisprocessen zoals identiteits- en toegangsbeheer, het intrekken van oude accounts of het uitfaseren van verouderde systemen nog onvoldoende hebben geborgd.
Ook bedrijven die niet onder de Cyberbeveiligingswet vallen, kunnen hiermee te maken krijgen. Cindy Wubben, ciso bij Visma, verwacht dat deze wet een vergelijkbaar effect zal hebben als de AVG. ‘Natuurlijk moeten de organisaties die onder de wet vallen de juiste maatregelen implementeren, maar door de ketenverantwoordelijkheid zullen ook bedrijven die momenteel buiten de directe reikwijdte vallen uiteindelijk via de klantvraag aan de eisen gaan voldoen. Dat geldt bijvoorbeeld voor veel mkb-bedrijven en toeleveranciers die diensten leveren aan grotere organisaties die wel rechtstreeks onder de wet vallen. Het toezicht verloopt in die gevallen niet via de formele toezichthouder, maar via klantrelaties en contractuele afspraken.’
Aan value added resellers, it-adviseurs en dergelijke biedt het expliciet neerleggen van eindverantwoordelijkheid en aansprakelijkheid bij het bestuur nog een unieke kans. Michel Woudstra: ‘Ze kunnen het gesprek over digitale weerbaarheid nu rechtstreeks op directieniveau voeren.’ Volgens hem kan dit leiden tot een betere afstemming tussen it-strategie en bedrijfsdoelstellingen, het vrijmaken van noodzakelijke budgetten en een organisatiebrede veiligheidscultuur. Een maatschappelijk en zakelijk voordeel hiervan is dat bedrijven niet langer reactief branden blussen, maar proactief hun bedrijf beschermen tegen kostbare uitval, datalekken en reputatieschade.
