Nederland heeft een nieuwe Cyberbeveiligingswet (Cbw). De wet, die voortkomt uit de Europese NIS2-richtlijn, stelt strengere eisen aan de digitale beveiliging van bedrijven en overheidsorganisaties. Meer dan 8.000 Nederlandse organisaties krijgen ermee te maken. Een belangrijke verandering is dat cybersecurity niet langer uitsluitend een verantwoordelijkheid van IT-afdelingen is: ook de hoogste bestuurders worden nadrukkelijk verantwoordelijk.
Digitale kwetsbaarheid kan samenleving ontwrichten
Cyberaanvallen vormen steeds vaker een maatschappelijk risico. De vergelijking met ‘digitale dijken’, die jaren geleden al door voormalig minister Ivo Opstelten werd gebruikt, is daardoor nog altijd relevant. Net zoals een kleine zwakke plek in een waterkering grote gevolgen kan hebben, kan één kwetsbaarheid in een digitaal systeem een brede verstoring veroorzaken.
Datalekken, ransomware en aanvallen op leveranciers laten zien hoe sterk organisaties digitaal met elkaar verbonden zijn. Wanneer een ICT- of logistieke dienstverlener wordt getroffen, kunnen problemen zich snel verspreiden naar andere bedrijven en uiteindelijk naar hun klanten.
Vooral aanvallen op toeleveringsketens zijn moeilijk volledig te voorkomen. De Cyberbeveiligingswet legt daarom meer verantwoordelijkheid bij organisaties die belangrijke of essentiële diensten aanbieden.
Nederland beschikt al over voorzieningen zoals het Nationaal Cyber Security Centrum (NCSC). Daarnaast speelt het Dutch Institute for Vulnerability Disclosure (DIVD) een rol bij het opsporen en verantwoord melden van digitale kwetsbaarheden.
Nederlandse invoering van NIS2 liep vertraging op
De Cyberbeveiligingswet is gebaseerd op de Europese NIS2-richtlijn, die het niveau van cybersecurity binnen de Europese Unie moet verhogen.
Nederland slaagde er niet in de Europese implementatietermijn te halen. Alleen België en Kroatië hadden hun nationale wetgeving destijds tijdig aangepast.
Met de Cbw worden de Europese eisen alsnog in Nederland ingevoerd. Hoewel de verplichtingen vooral gericht zijn op bedrijven en overheidsinstanties, moeten ook burgers hiervan profiteren. Betere beveiliging van essentiële diensten verkleint immers het risico op maatschappelijke verstoringen en verlies van persoonsgegevens.
Meer dan 8.000 organisaties vallen onder de wet
De Cyberbeveiligingswet heeft een aanzienlijk bredere reikwijdte dan eerdere regelgeving. Meer dan 8.000 Nederlandse organisaties en bedrijven die belangrijke of essentiële diensten leveren, vallen onder de nieuwe regels.
Het gaat onder meer om organisaties in de energievoorziening, drinkwatersector, gezondheidszorg, financiële dienstverlening, transport, telecommunicatie en digitale infrastructuur, waaronder DNS-diensten.
De regels moeten niet alleen datalekken helpen voorkomen, maar ook het risico beperken op stroomuitval, problemen met drinkwatervoorziening, treinverstoringen, uitval van ziekenhuissystemen en het lekken van financiële gegevens.
Belangrijke en essentiële organisaties
De wet maakt onderscheid tussen belangrijke en essentiële organisaties. Daarbij spelen omvang, omzet, sector en maatschappelijke betekenis een rol.
In algemene zin kunnen middelgrote organisaties met meer dan vijftig werknemers en een omzet van meer dan 10 miljoen euro als belangrijk worden aangemerkt. Voor essentiële organisaties gaat het doorgaans om grotere instellingen met meer dan 250 werknemers en een omzet boven 50 miljoen euro.
Afhankelijk van de functie en sector van een organisatie zijn uitzonderingen mogelijk.
Zorgplicht verplicht tot actief risicobeheer
Een centraal onderdeel van de Cyberbeveiligingswet is de zorgplicht. Organisaties moeten de risico’s binnen hun ICT-omgeving analyseren en passende maatregelen nemen om cyberincidenten te voorkomen of de gevolgen ervan te beperken.
Daarbij gaat het om technische, operationele én organisatorische maatregelen. Alleen beveiligingssoftware installeren of een cybersecurityfunctionaris aanstellen is dus niet voldoende.
De verantwoordelijkheid strekt zich bovendien uit tot leveranciers. Bedrijven moeten beoordelen of ingekochte producten, systemen en diensten aan relevante beveiligingseisen voldoen. Daarmee speelt de beveiliging van de volledige toeleveringsketen een belangrijke rol.
Ook fysieke beveiliging hoort erbij. Datacenters en andere cruciale infrastructuur moeten bijvoorbeeld worden beschermd tegen onbevoegde toegang, sabotage en ongelukken.
Ernstige cyberincidenten moeten snel worden gemeld
Zelfs met goede beveiliging blijven cyberaanvallen en datalekken mogelijk. Daarom introduceert de wet een meldplicht voor zogenoemde significante incidenten.
Een incident kan significant zijn wanneer de dienstverlening ernstig wordt verstoord, aanzienlijke financiële schade ontstaat of andere organisaties en personen grote schade ondervinden. De precieze criteria verschillen per sector.
Organisaties moeten binnen 24 uur een eerste melding doen. Binnen 72 uur moet meer informatie worden verstrekt over de aard van het incident en bijvoorbeeld getroffen gegevens of diensten. Binnen een maand na de eerste melding moet een eindverslag volgen met informatie over de impact en gevolgen.
Het NCSC vervult hierbij een centrale rol en biedt via MijnNCSC een centraal meldportaal.
Registratie en streng toezicht
Organisaties die op basis van hun sector, omvang en maatschappelijke functie onder de Cyberbeveiligingswet vallen, moeten zich registreren in een nationaal register bij het NCSC.
Toezichthouders controleren vervolgens of bedrijven voldoen aan hun zorgplicht, meldplicht en registratieplicht. Controles hoeven niet pas na een cyberincident plaats te vinden. Vooral bij essentiële organisaties kan ook preventief toezicht worden gehouden en kunnen audits worden opgelegd.
Boetes tot miljoenen euro’s
Bij overtredingen kunnen forse sancties volgen. Voor belangrijke organisaties bedraagt de maximale boete 7 miljoen euro of 1,4 procent van de wereldwijde omzet. Het hoogste bedrag is daarbij bepalend.
Voor essentiële organisaties kan de maximale boete oplopen tot 10 miljoen euro of 2 procent van de wereldwijde omzet, eveneens afhankelijk van welk bedrag hoger uitvalt.
Bij het bepalen van de sanctie wordt onder meer gekeken naar de ernst van de overtreding, eventuele nalatigheid, herhaling en de omvang van de organisatie.
Topbestuurders worden verantwoordelijk voor cybersecurity
Een van de opvallendste veranderingen is de grotere verantwoordelijkheid van het hoogste management. Bestuurders moeten cyberrisico’s beoordelen en ervoor zorgen dat passende beveiligingsmaatregelen worden genomen.
Cybersecurity kan daardoor niet langer volledig worden doorgeschoven naar de IT- of beveiligingsafdeling. Bestuurders moeten bovendien cybersecuritytraining volgen, zodat zij voldoende kennis hebben om digitale risico’s en maatregelen te beoordelen.
Voor bedrijven betekent dit een duidelijke uitbreiding van de bestuurlijke verantwoordelijkheid. Bij ernstige nalatigheid kunnen juridische gevolgen en boetes volgen.
Toezichthouders kunnen daarnaast uitgebreide beveiligingsaudits opleggen, tekortkomingen openbaar laten maken en onder bepaalde omstandigheden bestuurders tijdelijk laten schorsen.
Cybersecurity wordt een bestuurlijke hoofdzaak
Met de Cyberbeveiligingswet verschuift digitale veiligheid definitief van een voornamelijk technisch onderwerp naar een structureel onderdeel van goed bestuur. Bedrijven moeten niet alleen hun systemen beveiligen, maar ook aantonen dat risico’s serieus worden beoordeeld, incidenten tijdig worden gemeld en bestuurders actief betrokken zijn.
Volledige bescherming tegen cyberaanvallen blijft onmogelijk. De strengere regels moeten er wel voor zorgen dat Nederlandse organisaties beter voorbereid zijn en dat een digitaal incident minder snel uitgroeit tot een grote maatschappelijke verstoring.
Timo Hogenbosch schrijft voor caribemagazine.nl over actualiteit, politiek, economie, technologie, sport, entertainment en lifestyle. Hij richt zich op duidelijke verslaggeving, betrouwbare informatie en onderwerpen die relevant zijn voor lezers. Met oog voor feiten en context brengt hij nieuws en ontwikkelingen op een toegankelijke manier.
Meer verhalen
Apple ontwikkelt gedeeld klembord tussen iPhone en Windows door Europese DMA-regels
Google introduceert drie nieuwe AI-modellen, waaronder een model voor het opsporen van softwarekwetsbaarheden
Meta stopt AI-functie voor foto’s op Instagram na kritiek op privacy