Cyberbeveiligingswet. Wat staat je te wachten?

De wet geldt voor organisaties in 18 kritieke sectoren, zoals energie, drinkwater, zorg, digitale infrastructuur, transport en overheid. Binnen die sectoren wordt onderscheid gemaakt tussen "essentiële" en "belangrijke" entiteiten, met name op basis van omvang en het belang van de dienstverlening.

Val je zelf niet direct onder de wet? Dan kun je er toch mee te maken krijgen. Organisaties die onder de Cbw vallen, moeten namelijk ook hun leveranciers en dienstverleners toetsen op digitale veiligheid. Lever je software, IT-diensten of andere producten aan een organisatie die wel onder de wet valt, dan is de kans groot dat je klant vraagt om aantoonbare maatregelen. Dit heet ketenverantwoordelijkheid, en het is een reden om ook als toeleverancier nu alvast in actie te komen.

De Cyberbeveiligingswet draait om drie kernverplichtingen. Samen bepalen ze wat je concreet moet regelen.

1. Zorgplicht

Je toont aantoonbaar aan dat je passende technische en organisatorische maatregelen neemt om risico's voor je netwerk- en informatiesystemen te beheersen. Denk aan risicobeheer, back-upstrategieën en bewustwording bij medewerkers. Ook toegangsbeveiliging hoort hierbij: de wet noemt multifactor authenticatie (ook wel 2FA, een extra controlestap naast je wachtwoord) expliciet als een van de maatregelen om toegang tot je systemen goed af te schermen. "Aantoonbaar" is hier het sleutelwoord: het gaat niet alleen om wat je doet, maar ook om wat je kunt laten zien als een toezichthouder erom vraagt.

2. Meldplicht

Loop je tegen een cyberincident aan dat significante impact heeft? Dan meld je dit binnen 24 uur bij het Nationaal Cyber Security Centrum (NCSC). Deze eerste melding volgt binnen enkele dagen op met een uitgebreidere rapportage. Een werkend incidentresponsplan is dus geen nice-to-have, maar een randvoorwaarde om aan deze verplichting te kunnen voldoen.

3. Registratieplicht

Vanaf 15 augustus is registratie bij het NCSC via mijn.ncsc.nl verplicht voor organisaties die onder de wet vallen. Deze registratie is de basis waarmee je aansluit op de dienstverlening van je CSIRT (het team dat je ondersteunt bij dreigingen en incidenten).

Toezichthouders controleren actief of organisaties aan deze verplichtingen voldoen. Bij het niet naleven van de wet kunnen boetes oplopen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet. Ook kunnen bestuurders persoonlijk aansprakelijk worden gesteld als blijkt dat zij onvoldoende grip hadden op de digitale risico's van hun organisatie. Cybersecurity is met de Cbw dan ook geen IT-onderwerp meer, maar een bestuurlijke verantwoordelijkheid.

Voldoen aan de Cyberbeveiligingswet vraagt om een gestructureerde aanpak. Dit zijn de stappen die je verder helpen:

1. Breng je situatie in kaart. Bepaal of je onder de wet valt, en zo niet, of je via de keten toch verplichtingen krijgt opgelegd door klanten of partners.

2. Voer een gap-analyse uit. Vergelijk je huidige beveiligingsniveau met de eisen uit de wet. Certificeringen zoals ISO 27001 of NEN 7510 geven je hierbij een stevig fundament, omdat ze al veel van de vereiste maatregelen dekken.

3. Regel je registratie. Sta je onder de wet, meld je dan aan bij het NCSC via mijn.ncsc.nl.

4. Bouw aan een werkend incident responsplan. Zorg dat je weet wie er moet handelen, wie er meldt en binnen welke termijn, zodat de 24-uursmelding in de praktijk ook echt haalbaar is.

5. Betrek je stakeholders. Zorg dat de personen die actief betrokken is bij het risicobeleid op de hoogte zijn. Persoonlijke aansprakelijkheid begint bij persoonlijke kennis van de risico's.

Veel van de zorgplicht komt in de praktijk neer op hoe je systemen zijn ingericht: wie waar bij kan, hoe gegevens tussen systemen stromen, en hoe snel je een incident kunt signaleren. Werk je nog met losse systemen die handmatig worden bijgehouden, dan is dat een risico op zich. Een API-koppeling (een verbinding waarmee twee systemen automatisch gegevens uitwisselen) zorgt ervoor dat je overzicht houdt zonder dat er onderweg iets misgaat door handmatig werk. Ook maatwerk software die past bij jouw processen maakt het makkelijker om toegang, logging en beveiliging goed in te richten en aantoonbaar te maken.