Nieuwe cyberwet raakt ruim 8.000 organisaties: ernstig incident moet binnen 24 uur worden gemeld

De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn. De wet vervangt de oudere Wet beveiliging netwerk- en informatiesystemen en breidt het aantal organisaties dat onder de regels valt aanzienlijk uit.

Het gaat niet alleen om grote technologiebedrijven. Volgens het Nationaal Cyber Security Centrum vallen onder meer organisaties uit de energievoorziening, gezondheidszorg, transportsector, drinkwatervoorziening, overheid en digitale infrastructuur binnen het bereik van de wet.

Organisaties moeten zelf beoordelen of zij aan de wettelijke criteria voldoen. Zij krijgen dus niet noodzakelijk eerst een persoonlijke uitnodiging van de overheid voordat de verplichtingen beginnen.

Een van de eerste stappen is inschrijving in het nationale entiteitenregister via MijnNCSC. Daarvoor is eHerkenning of, bij overheidsorganisaties, SSOnRijk nodig.

Na registratie kan een organisatie aansluiten bij de dienstverlening van het bevoegde Computer Security Incident Response Team. Dat team kan ondersteuning bieden bij digitale dreigingen en incidenten.

Registratie alleen is niet voldoende. Organisaties moeten een risicoanalyse uitvoeren en op basis daarvan passende maatregelen nemen om hun netwerk- en informatiesystemen te beschermen. Welke maatregelen redelijk zijn, hangt mede af van de omvang, sector en risico’s van de organisatie.

Een ziekenhuis heeft immers andere systemen en mogelijke gevolgen dan een middelgrote leverancier van digitale diensten. Het uitgangspunt is wel hetzelfde: bedrijven moeten vooraf nadenken over kwetsbaarheden en mogen niet pas handelen nadat gegevens zijn gestolen of de dienstverlening is uitgevallen.

Daarbij gaat het niet uitsluitend om antivirussoftware of een sterke firewall. Ook toegangsbeheer, reservekopieën, noodplannen, leveranciers, personeelsbeleid en de beveiliging van fysieke locaties kunnen onderdeel zijn van de risicoanalyse.

Bij een significant cyberincident begint de klok snel te lopen. De uitleg van het NCSC vermeldt dat een incident zo snel mogelijk en in ieder geval binnen 24 uur moet worden gemeld aan het bevoegde CSIRT en de toezichthouder.

Die eerste melding hoeft niet altijd meteen een volledig technisch onderzoeksrapport te bevatten. Het doel is dat de autoriteiten snel weten dat een ernstige verstoring plaatsvindt en indien nodig andere organisaties kunnen waarschuwen of ondersteuning kunnen bieden.

Voor bedrijven betekent dit dat intern vooraf duidelijk moet zijn wie een incident beoordeelt, wie de melding doet en wie contact onderhoudt met bestuur, klanten en toezichthouders. Een crisisplan dat pas tijdens een aanval wordt geschreven, komt al snel te laat.

De meldplicht kan bijvoorbeeld relevant zijn bij ransomware, grootschalige uitval, ernstige datadiefstal of een aanval die de levering van essentiële diensten bedreigt. Niet iedere mislukte inlogpoging of phishingmail is automatisch een significant incident. De organisatie moet kunnen beoordelen wanneer de wettelijke drempel wel wordt bereikt.

De wet legt de verantwoordelijkheid niet alleen bij de IT-afdeling neer. Bestuurders moeten de beveiligingsmaatregelen goedkeuren, toezicht houden op de uitvoering en over voldoende kennis beschikken om cyberrisico’s te kunnen beoordelen.

Dat verandert de positie van directies en raden van bestuur. Een bestuurder kan niet meer geloofwaardig zeggen dat digitale beveiliging uitsluitend een technisch onderwerp is waarover de systeembeheerder beslist.

Voor veel organisaties betekent dit dat cybersecurity structureel op de bestuursagenda moet komen. Er moet geld beschikbaar worden gesteld, verantwoordelijkheden moeten zijn vastgelegd en bestuurders moeten passende training volgen.

Ook leveranciers kunnen indirect gevolgen merken. Een grote organisatie die onder de Cyberbeveiligingswet valt, zal strengere eisen gaan stellen aan bedrijven waarmee zij gegevens of digitale systemen deelt. Een kleinere onderneming kan daardoor contractueel met hogere veiligheidseisen worden geconfronteerd, ook wanneer zij zelf niet rechtstreeks onder de wet valt.

Tegelijkertijd met de Cyberbeveiligingswet is ook de Wet weerbaarheid kritieke entiteiten ingegaan. Die wet gaat niet alleen over digitale dreigingen, maar ook over risico’s als sabotage, terrorisme, natuurrampen en ernstige fysieke verstoringen.

Ongeveer vijfhonderd organisaties worden formeel als kritieke entiteit aangewezen. Daarbij gaat het onder andere om delen van de energievoorziening, het bankwezen, financiële infrastructuur, gezondheidszorg, drinkwater, afvalwater, levensmiddelenvoorziening, chemie en vervoer.

De twee wetten raken elkaar, maar zijn niet identiek. Een organisatie kan met verplichtingen uit één of beide wetten te maken krijgen.

Voor ondernemers is de belangrijkste vraag nu niet of cyberaanvallen ooit plaatsvinden, maar of de organisatie bij een aanval kan blijven functioneren en aan haar wettelijke plichten kan voldoen. Sinds 15 augustus is dat voor duizenden bedrijven geen vrijblijvende bestuurskeuze meer.