Cybersecurity-experts: Cyberbeveiligingswet vraagt om meer dan voldoen aan de regels

Op 15 augustus treedt de Cyberbeveiligingswet (Cbw) in werking, waarmee Nederland de Europese NIS2-richtlijn omzet in nationale wetgeving. Voor duizenden Nederlandse organisaties betekent dit nieuwe verplichtingen op het gebied van onder meer cyberrisicobeheer, incidentmelding en ketenbeveiliging. Ook wordt de verantwoordelijkheid van bestuurders voor cyberrisicobeheer nadrukkelijker vastgelegd.

Met de inwerkingtreding van de Cbw geven Martin Krämer van KnowBe4, Thomas Margner van TrendAI, Albert Kramer van Zscaler, Cindy Wubben van Visma en Edwin Weijdema van Veeam hun visie op wat de wet in de praktijk betekent. Zij gaan onder meer in op de verantwoordelijkheid van bestuurders, de gevolgen voor leveranciers en de vraag hoe organisaties kunnen voorkomen dat de nieuwe verplichtingen vooral een compliance-oefening worden.

Martin Krämer, CISO Advisor bij KnowBe4: "Veel besturen hebben op dit moment slechts een basaal begrip van cybersecurity. Ondanks de wettelijke verantwoordelijkheid zullen veel bestuurders geneigd blijven om cybersecurity bij IT of securityteams neer te leggen. Dat is precies de praktijk waar de Cyberbeveiligingswet verandering in probeert te brengen: de verantwoordelijkheid voor het beheersen van cyberrisico's moet daadwerkelijk op bestuursniveau komen te liggen. De periode van twee jaar om over de vereiste kennis en vaardigheden te beschikken lijkt op papier ruim, maar het opbouwen van echte competentie op bestuursniveau kost meer tijd dan veel bestuurders denken. Organisaties moeten daar dus nu mee beginnen.

Die kennis en vaardigheden gaan bovendien veel verder dan het volgen van een awareness-training en het behalen van een deelnamecertificaat. Bestuurders moeten cyberrisico's en de manier waarop deze worden beheerst kunnen identificeren, evalueren en beoordelen, en vooral begrijpen welke impact deze risico's op de organisatie kunnen hebben. Dat betekent dat zij actief betrokken moeten zijn bij beslissingen over risicomanagement.

De wet kan daarmee daadwerkelijk bijdragen aan meer cyberweerbaarheid. Regelgeving heeft immers ook als doel om aandacht en budget te verschuiven, en dat lijkt te gebeuren nu de verantwoordelijkheid voor cybersecurity expliciet bij het bestuur wordt neergelegd. Of de weerbaarheid uiteindelijk echt toeneemt, hangt echter af van het vermogen en de bereidheid van leiders om zich aan te passen. Uit gedragswetenschappelijk onderzoek weten we dat een sterke securitycultuur vooral ontstaat wanneer leiders de toon zetten en zichzelf aan dezelfde standaarden houden als de rest van de organisatie."

Thomas Margner, Technical Director DACH & Netherlands bij TrendAI: "De vraag is of de Cyberbeveiligingswet leidt tot echte weerbaarheid of vooral tot meer compliance. Voor een deel van de markt verwacht ik eerst compliance en daarna pas echte weerbaarheid. In eerste instantie zullen veel organisaties vooral documentatie opstellen. Dat is overigens niet zonder waarde, omdat het voor veel organisaties de eerste keer is dat dit uitgebreid wordt vastgelegd. De echte inhoud ontstaat echter waar de wet budget vrijmaakt voor zaken waar voorheen geen geld voor was, zoals detectie en beproefde incidentresponsprocedures.

Het verschil zit uiteindelijk in wat je meet. Het tellen van beleidsdocumenten en trainingen is compliance; meetbare verbeteringen in detectie en respons zijn echte weerbaarheid. Een map met het label Business Continuity Plan voorkomt op zichzelf geen ransomware.

Daarbij is het belangrijk dat organisaties niet wachten tot de toezichthouder vertelt wat er moet gebeuren. Veel bedrijven hebben nog niet eens vastgesteld of zij onder de Cyberbeveiligingswet vallen. Dat geldt met Name voor organisaties die niet eerder met dit type toezicht te maken hebben gehad. Uit onderzoek van Grant Thornton blijkt dat slechts circa 35 procent van de mkb-bedrijven die onder de Cyberbeveiligingswet vallen daadwerkelijk actief met compliance bezig is, wat aansluit bij wat wij in de praktijk zien: ruim de helft staat nog aan het begin. De eerste stap is daarom weten welke verplichtingen op de organisatie van toepassing zijn. Vervolgens moet de aandacht verschuiven van het op papier voldoen aan de eisen naar de vraag of maatregelen daadwerkelijk werken. Uiteindelijk is dat waar cyberweerbaarheid om draait: niet alleen kunnen aantonen dát maatregelen en procedures bestaan, maar ook meten en testen of de organisatie een cyberincident daadwerkelijk kan detecteren en er effectief op kan reageren."

Albert Kramer, Manager Solutions Consulting Benelux bij Zscaler: "De Cyberbeveiligingswet kan zowel compliance als weerbaarheid verhogen; het verschil zit in de uitvoering. De wet zet een minimum aan processen en controles neer. Echte weerbaarheidswinst ontstaat wanneer organisaties deze verplichtingen vertalen naar risicogedreven actie: duidelijk eigenaarschap, meetbare doelen voor bijvoorbeeld detectie- en hersteltijd, regelmatige tests en lessons learned en een structurele aanpak van leveranciersrisico's. Zonder die focus blijft het vooral vinkjes zetten.

Dat laatste wordt extra belangrijk door de nieuwe bevoegdheid om in uitzonderlijke gevallen leveranciers of producten te beperken of te verbieden vanwege de nationale veiligheid. Organisaties moeten daarom kritieke afhankelijkheden in kaart brengen en zich afvragen wat er gebeurt als een leverancier of technologie plotseling niet meer beschikbaar is. Dat betekent onder meer dat zij een realistisch exit- en migratieplan moeten hebben en onnodige lock-in moeten vermijden. Andere belangrijke maatregelen zijn het onderbrengen van kritische broncode bij een onafhankelijke derde partij, strengere due diligence bij de inkoop van nieuwe diensten en partnerships en het in kaart brengen van alternatieven (bijvoorbeeld derde-land-toegang).

Ook breder krijgt leveranciersrisico meer gewicht. Organisaties moeten de digitale veiligheid van hun leveranciers actief beoordelen en borgen. Ik verwacht daarom dat de relatie tussen klanten en leveranciers strenger en formeler wordt. Klanten zullen zwaardere beveiligingseisen in contracten opnemen, bijvoorbeeld over beveiligingsmaatregelen, snelle incidentmelding en auditrechten, en periodiek bewijs gaan opvragen. Daarmee wordt de vraag niet alleen hoe goed een organisatie zichzelf heeft beveiligd, maar ook hoe goed zij zicht heeft op de partijen waarvan haar bedrijfsvoering afhankelijk is. Die ketenafhankelijkheid moet onderdeel worden van het risicomanagement."

Cindy Wubben, CISO bij Visma: "Ik verwacht dat de Cyberbeveiligingswet een vergelijkbaar effect zal hebben als de AVG. Natuurlijk moeten de organisaties die onder de wet vallen de juiste maatregelen implementeren, maar door de ketenverantwoordelijkheid zullen ook bedrijven die momenteel buiten de directe reikwijdte vallen uiteindelijk via de klantvraag aan de eisen gaan voldoen. Dat geldt bijvoorbeeld voor veel mkb-bedrijven en toeleveranciers die diensten leveren aan grotere organisaties die wel rechtstreeks onder de wet vallen. Het toezicht verloopt in die gevallen niet via de formele toezichthouder, maar via klantrelaties en contractuele afspraken.

Securityvragenlijsten en audits zullen tijdens inkoopprocessen daardoor strenger en frequenter worden. Ook krijgt aantoonbare beveiliging, bijvoorbeeld via een ISO 27001-certificering, een grotere commerciële waarde. Het is daarbij wel essentieel dat de auditlast en de complexiteit van vragenlijsten beheersbaar blijven. De focus moet liggen op feitelijke toegevoegde waarde voor de cyberweerbaarheid en niet op louter administratieve compliance.

Dat sluit aan bij de bredere uitdaging van deze wet. Registratie is een relatief eenvoudige stap. De werkelijke uitdaging ligt in de implementatie van de bredere verplichtingen. De bekendheid met de Cyberbeveiligingswet is nog te beperkt. Voor sectoren waar dit type toezicht een nieuwe realiteit is, zal het proces aanzienlijk meer tijd en aandacht vragen. Persoonlijke bestuursverantwoordelijkheid, de meldplicht en de zorgplicht zorgen voor de noodzakelijke aandacht en het benodigde budget in de boardroom. Maar echte cyberweerbaarheid is een continu proces van monitoring, opvolging en verbetering. Organisaties die de wet slechts als een eenmalig complianceproject benaderen, zullen op de lange termijn de gewenste weerbaarheid missen."

Edwin Weijdema, Field CTO EMEA bij Veeam: "De bekendheid met de Cyberbeveiligingswet groeit, maar ik zou er niet van uitgaan dat iedere organisatie die onder de wet valt volledig op de hoogte of voorbereid is. Ik verwacht dan ook dat de eerste officiële waarschuwingen en boetes zullen volgen op basis van duidelijke en aantoonbare tekortkomingen: het niet registreren bij de NCSC, het niet melden van belangrijke incidenten of het verwaarlozen van cyberhygiëne na herhaalde waarschuwingen.

De grootste uitdaging is echter om het onderwerp op de bestuursagenda te krijgen als kwestie van bedrijfsweerbaarheid en niet alleen als een IT-compliancetaak. Registratie is slechts het startpunt. Echte compliance met de Cyberbeveiligingswet betekent dat risicoanalyses, incidentprocessen, controles in de toeleveringsketen, back-up- en herstelstrategieën en geteste weerbaarheidsmaatregelen op orde zijn.

Hoe organisaties compliance en daadwerkelijke cyberweerbaarheid bereiken, hangt af van hoe ze met de interpretatie van de wet omgaan. Als de wet een checklist wordt, levert die vooral papierwerk op. Wordt de wet gebruikt om praktische vragen te stellen (kunnen we een aanval detecteren, erop reageren en ervan herstellen? Hebben we ons herstel daadwerkelijk getest? Zijn onze back-ups beschermd tegen ransomware?) dan kan de wet de weerbaarheid wezenlijk verbeteren.

Voor mij is herstel daarbij essentieel. Preventie zal op enig moment falen. Weerbaarheid draait daarom om het beperken van de impact en het met vertrouwen kunnen herstellen van de bedrijfsvoering. Bestuurders hoeven daarvoor geen technische experts te worden, maar moeten cyberrisico's wel voldoende begrijpen om geïnformeerde beslissingen te nemen en kritische vragen aan hun teams te stellen. Ze moeten niet alleen begrijpen hoeveel er aan beveiliging wordt uitgegeven, maar vooral hoe weerbaar hun organisatie daadwerkelijk is."