Sinds zaterdag geldt in Nederland een nieuwe cyberwet. De Cyberbeveiligingswet, kortweg Cbw, raakt ruim achtduizend Nederlandse organisaties. Zij moeten vanaf nu voldoen aan uiteenlopende digitale veiligheidseisen. De wet vormt de Nederlandse uitwerking van de Europese richtlijn NIS2. Het Nationaal Cyber Security Centrum (NCSC) en de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) begeleiden de invoering. Beide organisaties zien de wet als een belangrijke stap vooruit. Volgens hen versterkt de Cbw de digitale weerbaarheid van Nederland. Die weerbaarheid staat al jaren onder druk door aanvallen, sabotage en storingen. De wetgever kiest daarom voor duidelijke verplichtingen in plaats van vrijblijvende adviezen. Organisaties krijgen zo een wettelijk kader voor hun beveiliging. Ook toezichthouders krijgen meer grip op de naleving daarvan.
De wet richt zich in de eerste plaats op vitale sectoren. Denk aan energie, digitale infrastructuur, onderzoek en de overheid. Deze sectoren houden de samenleving letterlijk draaiende. Valt zo’n organisatie uit, dan merken burgers dat vrijwel direct. Toch stopt de reikwijdte daar niet. Ook grotere bedrijven in andere sectoren kunnen onder de Cbw vallen. Daarnaast raakt de wet sommige toeleveranciers van die bedrijven. Aanvallers kiezen namelijk vaak de zwakste schakel in een keten. Via een kleine leverancier bereiken zij zo een groot doelwit. De wetgever trekt de verplichtingen daarom bewust breder. Veel organisaties twijfelen of zij precies onder de wet vallen. Voor hen bestaat een zelfevaluatietool. Met die tool controleert een organisatie snel haar eigen positie.
De kern van de Cbw bestaat uit passende maatregelen. Organisaties moeten de risico’s voor hun netwerk- en informatiesystemen beheersen. Zij brengen die risico’s eerst zorgvuldig in kaart. Vervolgens nemen zij maatregelen die bij die risico’s passen. Ook moeten zij incidenten zo veel mogelijk voorkomen. Lukt dat niet, dan beperken zij de gevolgen ervan. Denk aan back-ups, noodplannen en een snelle reactie op meldingen. De wet schrijft geen vaste technische oplossing voor. Elke organisatie kiest zelf maatregelen die bij haar situatie passen. Die vrijheid vraagt wel om onderbouwing en documentatie. Een toezichthouder wil later immers zien welke keuzes iemand maakte. Zo verschuift beveiliging van losse projecten naar een doorlopend proces.
Opvallend is de rol van bestuurders in de nieuwe wet. Zij kunnen cyberveiligheid niet langer doorschuiven naar de ICT-afdeling. Bestuurders moeten inzicht hebben in de cyberrisico’s van hun organisatie. Daarnaast nemen zij zelf maatregelen om de weerbaarheid te waarborgen. De wet vraagt ook om voldoende kennis aan de bestuurstafel. Bestuurders moeten risico’s en beveiligingsmaatregelen kunnen beoordelen. Daarvoor volgen zij een passende training. Die eis verandert het gesprek in de bestuurskamer. Beveiliging wordt een onderwerp naast financiën en personeel. Wie een risico accepteert, doet dat voortaan bewust en aantoonbaar. Zo ontstaat verantwoordelijkheid op het hoogste niveau.
Organisaties die onder de Cbw vallen, moeten zich bovendien registreren. Die registratie loopt via het nationaal entiteitenregister. Het NCSC beheert dat register. Na registratie krijgen organisaties toegang tot de dienstverlening van het NCSC. Soms verloopt die hulp via het CSIRT van hun eigen sector. Zo’n team ondersteunt bij dreigingen en incidenten. Daarnaast geldt een meldplicht voor significante incidenten. Organisaties melden zulke incidenten bij het NCSC. Die meldingen leveren een scherper beeld van actuele dreigingen op. Andere organisaties profiteren vervolgens van die kennis. Verschillende toezichthouders controleren de naleving van de wet. Per sector verschilt dus wie het toezicht uitvoert.
Minister Van Weel van Justitie en Veiligheid benadrukt het belang van de wet. Digitale aanvallen, sabotage en verstoringen raken volgens hem de hele samenleving. Hij noemt de inwerkingtreding een belangrijke stap vooruit. Ook roept hij organisaties op hun verantwoordelijkheid te nemen. Zij moeten zich registreren en de benodigde maatregelen treffen. Dat geldt volgens hem voor digitale én fysieke weerbaarheid. Niet iedereen deelt dat optimisme. Critici wijzen op eerdere incidenten in de zorg. Zo lekten bij een laboratorium gegevens van bijna een miljoen mensen. Zij stellen dat papieren regels alleen niets oplossen. Veiligheid ontstaat volgens hen pas door uitvoering en handhaving. De komende jaren moet blijken of toezichthouders die rol echt waarmaken.
Voor veel organisaties begint het werk nu pas echt. De eerste stap is de vraag of de wet op hen van toepassing is. Daarna volgt de registratie in het entiteitenregister. Vervolgens brengen organisaties hun belangrijkste processen en systemen in beeld. Zij bepalen welke uitval de grootste schade veroorzaakt. Op basis daarvan kiezen zij hun maatregelen en prioriteiten. Ook leggen zij vast wie bij een incident welke stap zet. Kleinere organisaties kunnen die opgave als zwaar ervaren. Toch levert de aanpak ook winst op buiten de wet om. Een goed voorbereide organisatie herstelt sneller na een storing. Bovendien vragen klanten en partners steeds vaker om bewijs van goede beveiliging. De Cyberbeveiligingswet maakt van die vraag een wettelijke norm.
