Inbreken tegen betaling populair door nieuwe beveiligingswetten

In dit artikel:

De Cyberbeveiligingswet en de Wet weerbaarheid kritieke entiteiten (Wwke) treden vandaag in werking. Ze verplichten duizenden organisaties om hun digitale en fysieke beveiliging structureel te verbeteren en risico’s in kaart te brengen. Ongeveer 8.000 bedrijven en instellingen vallen onder de Cyberbeveiligingswet; zo’n 500 essentiële organisaties, waaronder ziekenhuizen, drinkwaterbedrijven, energiebedrijven en aanbieders van digitale infrastructuur, krijgen de strengste eisen opgelegd.

Beveiligingsbedrijven merken dat de vraag naar zogenoemde red team-tests sterk toeneemt. Daarbij proberen experts met onder meer gekopieerde toegangspassen, nepidentiteiten, drones of sociale trucs binnen te komen en systemen te kraken. Volgens EHGI-directeur Anass Ali konden testers bij een zorginstelling ooit met eenvoudige wachtwoorden toegang krijgen tot camera’s en patiëntgegevens. Bij andere tests blijken medewerkers bij een receptie vaak de eenvoudigste toegangspoort.

De wetten verplichten organisaties niet specifiek om een red team in te huren. Wel moeten zij passende maatregelen nemen, incidenten melden en ook de beveiliging van leveranciers en andere ketenpartners beoordelen. Een kwetsbare leverancier kan immers toegang bieden tot een goed beveiligd bedrijf. Cybersecurity-expert Inge Bryan waarschuwt dat vooral kleinere partijen in zulke ketens moeite kunnen hebben om aan de nieuwe eisen te voldoen.

Toezichthouders gaan naleving controleren. Essentiële instellingen kunnen bij het schenden van de zorg- en meldplicht een boete krijgen tot 10 miljoen euro of 2 procent van de wereldwijde jaaromzet, afhankelijk van welk bedrag hoger is. Voor andere overtredingen geldt een maximum van 1 miljoen euro.