Voldoen aan NIS2 is niet hetzelfde als voorbereid zijn

In dit artikel:

Vanaf 15 augustus geldt in Nederland de Cyberbeveiligingswet, de nationale uitwerking van de Europese NIS2-richtlijn. Ongeveer achtduizend organisaties, onder meer in de zorg, krijgen een zorg-, meld- en registratieplicht. De ervaringen van landen zoals België, waar de wetgeving al eerder werd ingevoerd, laten zien dat naleving meer vereist dan een certificaat, extra beveiligingstool of afgevinkte checklist.

Organisaties moeten continu inzicht hebben in hun kritieke processen en belangrijkste risico’s, en duidelijk vastleggen wie verantwoordelijk is voor het beheer en de opvolging daarvan. Vooral dat eigenaarschap blijkt in de praktijk vaak een knelpunt; technische maatregelen zoals firewalls en back-ups zijn doorgaans eenvoudiger te regelen.

De wet verplicht daarnaast aandacht voor de beveiliging van de volledige toeleveringsketen: risico’s bij leveranciers worden ook een verantwoordelijkheid van de organisatie zelf. Cybersecurity wordt daarmee nadrukkelijk een bestuurskwestie. Bestuurders moeten voldoende kennis hebben om risico’s te beoordelen en toezicht te houden, en kunnen bij nalatigheid persoonlijk worden aangesproken. Werkelijke weerbaarheid blijkt volgens de auteur daarom niet uit dure hulpmiddelen, maar uit de vraag wie bij een incident beslist, handelt en weet hoe snel dat moet gebeuren.