Voldoen aan NIS2 is niet hetzelfde als voorbereid zijn

OPINIE – Vanaf morgen (15 augustus) geldt in Nederland de Cyberbeveiligingswet, de Nederlandse vertaling van de Europese NIS2-richtlijn. Zo’n achtduizend organisaties moeten eraan voldoen: zorg-, meld- en registratieplicht.

De meeste bedrijven pakken dat aan zoals ze dat bij elke wet doen. Ze checken de vereisten af, kopen mogelijk een extra tool aan, halen een certificaat en zetten een vinkje: job done. Andere Europese landen, waaronder België, begonnen twee jaar geleden al met de implementatie van de wet. Die ervaring leert: je komt er niet met een vinkje.

Een certificaat bevestigt dat je op de dag van de audit aan de vereisten voldeed. Het zegt niets over hoe snel je reageert op de dag dat het misgaat. Risicobeheer is een proces, geen rapport.

Een bestuur dat cybersecurity afvinkt op basis van wat it aanlevert, doet wat de wet wil vermijden

De Cyberbeveiligingswet vraagt in de kern iets anders dan een opsomming van genomen maatregelen. Ze vraagt dat een organisatie haar eigen kritieke processen kent, weet welke risico’s het zwaarst wegen en kan aantonen dat iemand daarvoor verantwoordelijk is. Niet één keer per jaar bij een audit, maar doorlopend.

Dat klinkt eenvoudig. In de praktijk is het meestal het punt waarop trajecten vastlopen. Niet op de techniek. Firewalls en backups regelen bedrijven doorgaans wel. Maar op een eenvoudigere vraag: wie is er eigenaar van, vandaag en morgen?

De keten tekent mee

Dat eigenaarschap stopt niet bij de eigen muren. Artikel 21 van de NIS2-richtlijn maakt supply-chainsecurity verplicht onderdeel van het risicobeheer. Het risico van je leverancier is voortaan ook jouw risico.

Cybersecurity is op die manier zoals een verbouwing. Je kunt voor elektriciteit, sanitair en isolatie elk een andere aannemer inschakelen. Maar als er iets misgaat, vraagt niemand welke onderaannemer de fout maakte. De vraag luidt: wie voerde de regie? Een klant die zelf onder de wet valt, stelt jou diezelfde vraag, in een aanbesteding of bij een contractverlenging. Wie daar geen antwoord op heeft, verliest tijd of de opdracht zelf.

Aansprakelijkheid klimt omhoog

De wet maakt van cybersecurity ook uitdrukkelijk een bestuurskwestie. Bestuurders moeten toezicht houden en voldoende kennis hebben om risico’s zelf te beoordelen. Bij nalatigheid kunnen ze persoonlijk worden aangesproken.

Een bestuur dat cybersecurity enkel afvinkt op basis van wat it aanlevert, doet precies wat de wet wil vermijden: risico’s beheren zonder ze zelf te doorgronden.

Geen enkele tool vervangt ervaren eigenaarschap

Als cybersecuritybedrijf begeleiden we al bijna twee jaar organisaties in andere landen, waaronder België, die met dezelfde wetgeving worstelen. Het patroon is steeds hetzelfde: niet de bedrijven met de duurste tools komen er goed door, maar de bedrijven die weten wie beslist, wie opvolgt en wie het merkt zodra er iets verandert.

Stel jezelf daarom niet de vraag of je compliant bent. Stel jezelf daarentegen de vraag: als het morgen misgaat, in de eigen organisatie of bij de belangrijkste leverancier, wie weet dan wat er moet gebeuren? En hoeveel tijd is daarvoor nodig?

Wouter Decruy, managing director Acen