Bestuurders sinds 15 augustus persoonlijk aan zet door nieuwe Cyberbeveiligingswet

In dit artikel:

Sinds zaterdag 15 augustus gelden in Nederland nieuwe verplichtingen voor ruim 8.000 organisaties in achttien sectoren. De Cyberbeveiligingswet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en vervangt de oude Wet beveiliging netwerk- en informatiesystemen. De regels gelden onder meer voor organisaties in de energievoorziening, zorg, transport, drinkwater, overheid en digitale infrastructuur.

Organisaties moeten zelf nagaan of zij onder de wet vallen en zich registreren in het nationale entiteitenregister via MijnNCSC. Vervolgens moeten zij hun digitale en fysieke risico’s analyseren en passende beveiligingsmaatregelen nemen. Dat omvat niet alleen technische bescherming, maar ook toegangsbeheer, back-ups, noodplannen, leveranciers, personeel en fysieke locaties. Na registratie kunnen zij ondersteuning krijgen van het bevoegde Computer Security Incident Response Team.

Ernstige cyberincidenten, zoals ransomware, grootschalige uitval of ernstige datadiefstal, moeten zo snel mogelijk en uiterlijk binnen 24 uur worden gemeld aan het CSIRT en de toezichthouder. Organisaties moeten daarom vooraf vastleggen wie incidenten beoordeelt en meldt. Niet iedere phishingmail of mislukte inlogpoging valt automatisch onder de meldplicht.

De verantwoordelijkheid ligt nadrukkelijk ook bij bestuurders. Zij moeten maatregelen goedkeuren, toezicht houden, budget vrijmaken en voldoende kennis opbouwen. Ook leveranciers kunnen indirect met strengere veiligheidseisen te maken krijgen.

Tegelijk is de Wet weerbaarheid kritieke entiteiten van kracht geworden. Die richt zich naast digitale aanvallen ook op sabotage, terrorisme, natuurrampen en andere fysieke verstoringen en geldt voor ongeveer vijfhonderd aangewezen organisaties. De wetten overlappen deels, maar kunnen afzonderlijk of gezamenlijk van toepassing zijn.