De Cyberbeveiligingswet is er nu echt: wat betekent NIS2 voor jouw organisatie?

In een nieuwe aflevering van PRISM The Podcast schuift voor het eerst een gast van buitenaf aan: Jelmer Schreuder van branchevereniging NL Digital. Samen met host Joyce de Jong duikt hij in de Nederlandse Cyberbeveiligingswet, de vertaling van de Europese NIS2-richtlijn. Waar de oude NIS1-wetgeving zich nog richtte op ongeveer 200 vitale bedrijven, krijgen nu tussen de 8.000 en 10.000 Nederlandse organisaties hier direct mee te maken. Maar daar blijft het niet bij: door de 'olievlekwerking' in de toeleveringsketen raakt de wet indirect vrijwel het gehele bedrijfsleven. 

Van cybersecurity naar cyberweerbaarheid 

In de basis vraagt de Cyberbeveiligingswet om het uitvoeren van een grondige risico-inschatting en het nemen van passende maatregelen op het gebied van zorgplicht en meldplicht. De urgentie hiervoor is de afgelopen jaren enorm gegroeid. Door de snelle ontwikkeling van geavanceerde (AI-)tooling zijn aanvallen niet alleen duizend keer goedkoper en eenvoudiger geworden om uit te voeren, maar ligt de gemiddelde tijd waarin een beveiligingslek wordt misbruikt niet langer op 63 dagen, maar op slechts zeven dagen na het uitkomen van een patch.  

Organisaties moeten hun focus daarom verleggen van klassieke cybersecurity naar cyberweerbaarheid: het gaat er niet meer om enkel te proberen een inbreuk te voorkomen, maar om er al van uit te gaan dat het misgaat of zelfs al misgegaan is. Hoe snel herstel je en hoe waarborg je de continuïteit? 

De drie belangrijkste pijlers uit het gesprek

• De ketenverplichting (Olievlekwerking):
  Grote NIS2-entiteiten zijn wettelijk verplicht om beveiligingseisen door te vertalen naar hun directe leveranciers. Zelfs als jouw organisatie op basis van omvang of omzet buiten de wet valt, zul je via leveranciersmanagement aan strenge cybersecurity-eisen moeten voldoen om opdrachten te mogen behouden.  
  
  
• Keiharde bestuursverantwoordelijkheid:
  Cybersecurity is definitief geen 'IT-feestje' meer dat doorgeschoven kan worden naar de systeembeheerder; het is een integrale organisatieverantwoordelijkheid. Bestuurders worden expliciet hoofdelijk en bestuurlijk verantwoordelijk voor het veiligheidsbeleid.  
  
  
• Verplichte directietrainingen:
  Leden van het bestuur moeten verplicht op cybersecurity-training om te begrijpen welke risico's hun organisatie loopt. Verschuilen achter "ik wist het niet" of "ik heb er geen verstand van" is er onder de nieuwe wetgeving niet meer bij. 

Uitdagingen in het landschap: Complexiteit en de stapel van meldplichten 

Hoewel Jelmer Schreuder benadrukt dat de wetgeving de algehele digitale veiligheid absoluut naar een hoger niveau gaat tillen, stipt hij ook kritische aandachtspunten aan. Nederland kiest in tegenstelling tot bijvoorbeeld België (dat met één duidelijke standaard en staffel werkt) voor een complexe structuur met talloze sectoren, ministeriële regelingen, 8 toezichthouders en 6 CSIRTs.

Daarnaast is er sprake van een stapeling van meldplichten. Bij een ernstig incident moeten organisaties straks soms onder meerdere wetten tegelijk rapporteren (zoals NIS2, AVG, CRA en DORA). Om te voorkomen dat IT-teams tijdens een crisissituatie drukker zijn met bureaucratisch melden dan met het dichten van het lek, is er vanuit de sector een sterke roep om een Europees single reporting platform.  

Praktische aanpak voor niet-plichtige organisaties 

Voor organisaties die niet direct onder de Cyberbeveiligingswet vallen maar wel hun cyberweerbaarheid op orde willen brengen, is het advies helder: begin bij de basis. Op de website van het  Nationaal Cyber Security Centrum  zijn laagdrempelige basisprincipes en praktische hulpmiddelen te vinden, zoals de RKIDV-tool (Risicoclassificatie Indeling Digitale Veiligheid), om stapsgewijs de digitale veiligheid te verhogen zonder te verdwalen in zware wetgeving.

Wil je weten of jouw organisatie onder de nieuwe Cyberbeveiligingswet valt, of hoe je je de toeleveringsketen voorbereidt op de NIS2-eisen? Beluister de volledige aflevering van de PRISM-podcast op prismmembers.nl of via je favoriete podcast-app.