Een nieuwe Nederlandse wet maakt topmanagers persoonlijk aansprakelijk voor de cyberbeveiliging van hun organisatie. Bestuurders kunnen zich niet langer verschuilen achter hun ICT-afdeling. Zij moeten voortaan zelf toezien op de digitale weerbaarheid van het bedrijf. De wet verschuift de verantwoordelijkheid daarmee nadrukkelijk naar de bestuurskamer. Dat betekent een breuk met de praktijk van de afgelopen jaren. Cyberbeveiliging bleef vaak een technisch onderwerp, ver weg van de directietafel. Die tijd loopt volgens de nieuwe regels ten einde.
De wet vloeit voort uit Europese afspraken over digitale veiligheid. De Europese Unie wil dat vitale sectoren beter bestand zijn tegen aanvallen. Denk aan energie, transport, drinkwater, zorg en digitale infrastructuur. Lidstaten vertalen die Europese regels naar nationale wetgeving. Nederland doet dat met deze cyberbeveiligingswet. De regels raken niet alleen grote multinationals. Ook middelgrote bedrijven in aangewezen sectoren vallen eronder. Veel organisaties merken pas laat dat de wet op hen van toepassing is.
Organisaties krijgen een zorgplicht en een meldplicht. De zorgplicht vraagt om passende maatregelen tegen digitale risico’s. Bedrijven brengen hun risico’s in kaart en beheersen die actief. Ook leveranciers en ketenpartners horen daarbij. De meldplicht verplicht organisaties om ernstige incidenten snel te melden. Een aanval verzwijgen is geen optie meer. Toezichthouders krijgen zo sneller zicht op grote verstoringen. Daardoor kunnen zij andere partijen op tijd waarschuwen.
Voor bestuurders gaat de wet nog een stap verder. Zij keuren de maatregelen goed en organiseren het toezicht daarop. Daarnaast doen zij zelf kennis op over digitale risico’s. Scholing en bewustwording horen bij hun nieuwe rol. Wie deze taak verwaarloost, loopt persoonlijk risico. Toezichthouders kunnen bestuurders daar rechtstreeks op aanspreken. Cyberbeveiliging wordt zo een vast punt op de directieagenda.
De wet geeft toezichthouders bovendien stevige bevoegdheden. Zij controleren organisaties en grijpen in bij tekortkomingen. Bij ernstige nalatigheid dreigen hoge boetes. Ook maatregelen tegen de leiding van een organisatie zijn mogelijk. Straffen vormt echter niet het hoofddoel. De overheid wil bedrijven vooral aanzetten tot betere voorbereiding. Een goed voorbereide organisatie herstelt sneller na een aanval. Klanten en partners merken daar direct de voordelen van.
Voor veel ondernemingen betekent de wet flink wat werk. Zij houden hun processen, contracten en systemen tegen het licht. Kleinere bedrijven missen daarvoor vaak kennis en menskracht. Experts adviseren daarom om nu al te beginnen. Wachten op de eerste controle brengt onnodige risico’s mee. Bedrijven die vroeg starten, spreiden de kosten over meer tijd. Bovendien groeit hun weerbaarheid tegen aanvallen die toch al toenemen.
De kernboodschap is helder: digitale veiligheid is geen ICT-kwestie meer. Het bestuur draagt de eindverantwoordelijkheid en legt daarover verantwoording af. Organisaties die dat serieus nemen, versterken hun positie in de markt. Wie achterblijft, riskeert boetes, schade en verlies van vertrouwen.
