Minder dan de helft van de acht- à tienduizend organisaties die in Nederland onder de Cyberbeveiligingswet (Cbw) vallen, heeft zich geregistreerd. Gisteren aan het begin van de avond stond de teller op 2.942 registraties in het Cbw-entiteitenregister.
Dat meldt het Nationaal Cyber Security Centrum (NCSC) desgevraagd. Worden de verbonden organisaties meegeteld, dan komt het bereik op 4.144 organisaties. Met verbonden organisaties worden organisaties bedoeld die afzonderlijke organisaties zijn, maar door bijvoorbeeld eigendom of zeggenschap nauw met elkaar verweven zijn. Die verbondenheid kan meewegen bij de vraag of een organisatie onder de Cyberbeveiligingswet valt.
In werking
Morgen (15 augustus) treedt de langverwachte wet eindelijk in werking. Dan gelden nieuwe verplichtingen op het gebied van cyberbeveiliging. Circa negenduizend Nederlandse organisaties moeten voldoen aan strengere maatregelen voor de beveiliging van hun netwerk- en informatiesystemen. De normen voor cybersecurity gaan flink omhoog.
Maar in weerwil van de naderende deadline voor registratie laat het aantal aanmeldingen deze maand tot nog toe geen grote piek zien. In augustus staat de teller op 653 registraties, waarmee juli (599) is ingehaald, met nog dertien werkdagen te gaan. Op basis van de huidige cijfers, van vóór het ingaan van de wet en de registratieplicht, is het nog te vroeg om te zeggen welke sectoren qua aantallen registraties vooroplopen en welke achterblijven.
De implementatie van de Europese NIS2-richtlijn in Nederland is van toepassing op organisaties die essentiële of belangrijke diensten verlenen. De wet ziet toe op organisaties uit achttien sectoren, waaronder energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer.
Inschrijving
Een van de eerste stappen voor organisaties is het registreren bij het Nationaal Cyber Security Centrum (NCSC). Inschrijving in het nationaal entiteitenregister is per 15 augustus verplicht. Organisaties moeten toetsen of ze onder de Cyberbeveiligingswet vallen. Elk bedrijf is zelf verantwoordelijk voor tijdige registratie én voor het actueel houden van alle gegevens.
Het klantcontactcentrum van het NCSC krijgt regelmatig vragen over de registratie, zegt woordvoerder Roger Kaemingk. Die gaan over verschillende onderwerpen, zoals complexe bedrijfsmodellen en niet in Nederland gevestigde bedrijven zonder KvK-nummer die zich hier willen inschrijven. Het NCSC biedt organisaties in dit soort situaties maatwerk en actieve ondersteuning.
Volgens Thomas Margner, technisch directeur bij TrendAI, nemen veel organisaties een afwachtende houding aan. Een groot aantal heeft nog niet vastgesteld of het onder de Cyberbeveiligingswet valt. Dat geldt met name voor organisaties die niet eerder met dit type toezicht te maken hebben gehad. Margner: ‘Uit onderzoek van Grant Thornton blijkt dat slechts een derde van de mkb-bedrijven die onder de Cyberbeveiligingswet vallen daadwerkelijk actief met compliance bezig is, wat aansluit bij wat wij in de praktijk zien: ruim de helft staat nog aan het begin.’
Nieuw in de wet is dat managers persoonlijk aansprakelijk zijn te stellen voor tekortkomingen in de cybersecurity, zoals een gebrek aan training. De verantwoordelijkheid voor het beheersen van cyberrisico’s komt daarmee daadwerkelijk op bestuursniveau te liggen.
Michel Woudstra, partner account manager bij Rohde & Schwarz Networks & Cybersecurity, stelt dat cybersecurity met de officiële inwerkingtreding van NIS2 nu definitief van de serverruimte naar de bestuurskamer is verhuisd. ‘Te vaak wordt digitale veiligheid nog gezien als een verantwoordelijkheid van de it-afdeling. NIS2 daarentegen legt duidelijk de persoonlijke aansprakelijkheid van de bedrijfsleiding vast.’
De directie kan niet meer op afstand blijven. Volgens Christian Boertje, directeur van Boem Cybersecurity, kunnen toezichthouders bij ernstig falen maatregelen richting bestuurders zelf nemen. Het begint bij aanwijzingen en het opleggen van verbetermaatregelen. Daarna volgen bestuurlijke boetes, waarbij de bedragen voor essentiële entiteiten hoger liggen dan voor belangrijke entiteiten.
Delegeren mag; de verantwoordelijkheid overdragen niet. Boertje raadt aan om besluiten ter verbetering van de weerbaarheid met datum, onderbouwing en naam vast te leggen.
Risicobeheer
De wettelijke verplichting bestaat uit drie delen. Het leidinggevend orgaan keurt de maatregelen voor risicobeheer goed, ziet toe op de uitvoering daarvan en volgt scholing, zodat het de risico’s en beheersmaatregelen daadwerkelijk kan beoordelen. Volgens Boertje wordt dat laatste vaak onderschat. Het gaat niet om technische kennis, maar om het vermogen om een risicoafweging te lezen, er kritische vragen bij te stellen en een besluit te nemen dat je later kunt uitleggen.
Bestuurders moeten beschikken over voldoende kennis en vaardigheden om cyberrisico’s en de genomen maatregelen te kunnen beoordelen. Ze krijgen daarvoor twee jaar de tijd. Om die reden bevat de wet ook een trainingsplicht voor bestuurders.
Volgens Martin Krämer, ciso advisor bij KnowBe4, lijkt die periode van twee jaar ruim, maar het opbouwen van echte competentie op bestuursniveau kost meer tijd dan veel bestuurders denken. Met het volgen van een awareness-training en het behalen van een deelnamecertificaat kom je er niet. ‘Bestuurders moeten cyberrisico’s en de manier waarop deze worden beheerst kunnen identificeren, evalueren en beoordelen. Ze moeten vooral begrijpen welke impact deze risico’s op de organisatie kunnen hebben. Dat betekent dat zij actief betrokken moeten zijn bij beslissingen over risicomanagement.’
Als je bedrijf wordt gehackt, ben je niet automatisch schuldig. Volgens Christian Boertje ben je pas strafbaar of aansprakelijk als je vooraf je best niet hebt gedaan.
Regels in het kort:
- Pech hebben mag; was de beveiliging goed, maar kwamen de hackers er toch doorheen? Dan is het domme pech.
- Niets doen mag niet; heeft de directie nooit naar de beveiliging gekeken of gevraagd? Dan heeft het bedrijf een probleem.
De overheid verwacht niet dat je honderd procent onkwetsbaar bent. De controleur stelt vooral deze vragen:
- Wist je wat de digitale risico’s van je bedrijf waren?
- Was de directie op de hoogte van deze risico’s?
- Is er bewust gekozen welke risico’s wel en niet werden aangepakt?
- Is er geluisterd naar eerdere waarschuwingen?
Het gevaarlijkste is waarschuwingen negeren. Heb je een rapport gekregen waarin staat dat de beveiliging slecht is en heb je daar niets aan gedaan? Dan is dat rapport achteraf het bewijs dat je wist van het probleem, maar weigerde om het op te lossen. Een cyberverzekering kan schade dekken, maar neemt de wettelijke verantwoordelijkheid niet weg. Bestuurlijke boetes zijn bovendien vaak uitgesloten van dekking.
Boetes
Wanneer boetes worden gegeven en hoe hoog die uitvallen, zal in de praktijk moeten blijken. Gilles van Heijst, transformation lead bij YaWorks (digitale infrastructuur), stelt dat het onduidelijk is waar de lat precies komt te liggen. ‘Dat zal waarschijnlijk pas blijken bij de eerste boetes. Wacht daar niet op: de wet kent geen overgangsperiode en bestuurders worden persoonlijk aansprakelijk als de beveiligingsmaatregelen niet op orde zijn.’ Zijn indruk is dat veel organisaties basisprocessen zoals identiteits- en toegangsbeheer, het intrekken van oude accounts of het uitfaseren van verouderde systemen nog onvoldoende hebben geborgd.
Ook bedrijven die niet onder de Cyberbeveiligingswet vallen, kunnen hiermee te maken krijgen. Cindy Wubben, ciso bij Visma, verwacht dat deze wet een vergelijkbaar effect zal hebben als de AVG. ‘Natuurlijk moeten de organisaties die onder de wet vallen de juiste maatregelen implementeren, maar door de ketenverantwoordelijkheid zullen ook bedrijven die momenteel buiten de directe reikwijdte vallen uiteindelijk via de klantvraag aan de eisen gaan voldoen. Dat geldt bijvoorbeeld voor veel mkb-bedrijven en toeleveranciers die diensten leveren aan grotere organisaties die wel rechtstreeks onder de wet vallen. Het toezicht verloopt in die gevallen niet via de formele toezichthouder, maar via klantrelaties en contractuele afspraken.’
Aan value added resellers, it-adviseurs en dergelijke biedt het expliciet neerleggen van eindverantwoordelijkheid en aansprakelijkheid bij het bestuur nog een unieke kans. Michel Woudstra: ‘Ze kunnen het gesprek over digitale weerbaarheid nu rechtstreeks op directieniveau voeren.’ Volgens hem kan dit leiden tot een betere afstemming tussen it-strategie en bedrijfsdoelstellingen, het vrijmaken van noodzakelijke budgetten en een organisatiebrede veiligheidscultuur. Een maatschappelijk en zakelijk voordeel hiervan is dat bedrijven niet langer reactief branden blussen, maar proactief hun bedrijf beschermen tegen kostbare uitval, datalekken en reputatieschade.
Voor wat betreft de struisvogel die zijn kop in het zand steekt om tegen de mol te zeggen dat het prachtig weer is ben ik benieuwd hoe zwaar waarschuwingen negeren gaat wegen als we kijken naar de communicatie. Aan het handje van Sander mee wandelen over de beurs gaat niet om plan B als we kijken naar de tijd van herstel. Een prachtige kans voor value added resellers als de verkopers begrip hebben van de risico’s want AI begint nogal te hallucineren als je deze voedt met slechte data of geen data. Proactief een bedrijf beschermen tegen een kostbare uitval gaat om de race tegen de klok want met een sorry kom je er niet als er boetes staan op niet leveren wat je afgesproken hebt. Pech hebben mag maar er zit steeds vaker een prijskaartje aan want de overheid kan wel op de stoel van de ondernemer gaan zitten maar dat werkt niet.
Ik verwacht van de overheid dat deze 100% integer is en daar worden we als kiezer in teleurgesteld want wegkijken van waarschuwingen is tot kunst verheven binnen het openbaar bestuur. De klokkenluiders zijn niet geliefd maar uit goede bron weet ik dat ransomware meer is dan pech als het om een contractueel issue gaat omdat de back-up nog altijd de sluitpost is. Je kunt een broodschijver zoals Sander inhuren voor de communicatie maar uiteindelijk krijg je ongelijk bij de rechter en moet je alle zinloze juridische kosten uitleggen aan de kiezer want waarschuwingen die simpelweg genegeerd gaat om het idee van een laag risico. De value added reseller die wijst op het risico van de chocolade letters in de krant heeft begrip van de risico’s.
Allemaal prachtig die wetgeving maar AVG is een papieren tijger omdat de waakhond geen tanden heeft. De rechtspersoon die verantwoordelijk is voor een datalek kan een boete opgelegd worden maar daar heeft het slachtoffer niks aan. En wat betreft waarschuwingen negeren liggen er net als met toeslagen-debacle stapels rapporten te wachten op ontdekking. AI voor het zoeken van de speld in de hooiberg gaat tenslotte om de context van reconstructie zonder hallucinatie.