Sinds 15 augustus geldt de Cyberbeveiligingswet, de Nederlandse invulling van de Europese NIS2-richtlijn. Ruim achtduizend organisaties vallen eronder, verdeeld over achttien sectoren. Een overgangsperiode is er niet: de zorgplicht, de meldplicht en de registratieplicht zijn sindsdien onverkort van kracht, ook voor organisaties die zich nog niet in het entiteitenregister hebben gemeld.
In de berichtgeving eromheen gaat het vooral over techniek en over de hoogte van de boetes. Dat is begrijpelijk, maar het verhult waar deze wet werkelijk over gaat. De kern is niet technisch maar organisatorisch: de wet legt vast wie waarvoor verantwoordelijk is, en zet het bestuur daarbij nadrukkelijk in beeld.
De reikwijdte, en waarom die verder loopt dan de lijst
De achttien sectoren omvatten energie, drinkwater en afvalwater, transport en digitale infrastructuur, zorg, overheid, bankwezen en financiële marktinfrastructuur, ruimtevaart en de productie en distributie van levensmiddelen. Binnen die sectoren onderscheidt de wet essentiële en belangrijke entiteiten, een verschil dat vooral bepaalt hoe het toezicht wordt ingericht: proactief meekijken, of pas optreden na een melding.
Twee dingen verdwijnen in die opsomming naar de achtergrond, terwijl ze voor veel organisaties juist doorslaggevend zijn.
Het eerste is de keten. Wie zelf buiten de reikwijdte valt maar levert aan een organisatie die eronder valt, krijgt de eisen alsnog voorgelegd: via het contract, via de leveranciersbeoordeling, via de vragenlijst die opeens moet worden ingevuld. In de praktijk raakt de wet daarmee een veelvoud van die achtduizend organisaties.
Het tweede is dat NIS2 niet het enige kader is dat momenteel om aandacht vraagt.
NIS2 staat niet op zichzelf
Het funderend onderwijs werkt met het IBP normenkader, dat schoolbesturen richting concrete deadlines in 2027 en 2030 stuurt. Wie persoonsgegevens verwerkt, had de AVG al. Sectoren kennen daarnaast hun eigen toezichtkaders, met eigen toezichthouders en sanctieregimes.
Wat ze delen is opvallender dan wat ze scheidt. Stuk voor stuk vragen ze of een organisatie weet welke systemen en gegevens kritiek zijn, of zij kan aantonen dat risico’s worden beheerst, of er een plan ligt voor het moment waarop het misgaat, en of de mensen in de organisatie weten wat er van hen wordt verwacht.
Dat laatste is in elk van deze kaders een eis, geen aanbeveling.
De verplichting die zich niet laat delegeren
Op dit punt wordt de wet ongemakkelijk concreet. Het bestuur draagt de eindverantwoordelijkheid voor het beheersen van cyberrisico’s, en bestuurders moeten volgens de Rijksoverheid beschikken over “voldoende kennis om risico’s en beveiligingsmaatregelen te kunnen beoordelen”. Daarvoor dienen zij scholing te volgen.
Het onderscheid is subtiel maar ingrijpend. Er staat niet dat het bestuur moet zorgen dat de organisatie is getraind. Er staat dat het bestuur zelf over die kennis moet beschikken.
Daarmee breekt de wet met de manier waarop cyberveiligheid in de meeste organisaties is belegd. Het was een aangelegenheid van IT, met een periodieke rapportage richting directie of raad van toezicht. Die rapportage moet nu beoordeeld kunnen worden door mensen die begrijpen wat er staat, en die opmerken wanneer een geruststellend antwoord te snel komt.
Dat vraagt geen technische diepgang. Het vraagt genoeg begrip om de juiste vragen te stellen en de bijbehorende antwoorden op waarde te schatten.
Wat verstandig is, ongeacht de reikwijdte
Voor organisaties buiten de achttien sectoren geldt de zorgplicht niet. Dat maakt hen niet minder interessant voor aanvallers, want die selecteren niet op sectorindeling. Phishing is een volumespel: er wordt geautomatiseerd verstuurd en gekeken waar wordt geklikt.
Wat elke organisatie kan doen, of zij nu onder de wet valt of niet:
- Zorg dat medewerkers herkennen waar zij op moeten letten, en houd dat op peil. Waakzaamheid slijt, waardoor een jaarlijkse sessie structureel tekortschiet.
- Maak melden eenvoudig en veilig. Tien onterechte meldingen zijn te verkiezen boven één gemiste, en niemand mag aarzelen zich te melden na een verkeerde klik.
- Meet of het effect heeft. Een testmail laat zien wie klikt, maar vooral wie meldt. Dat tweede cijfer heeft de meeste voorspellende waarde.
- Agendeer het onderwerp in het managementteam, niet uitsluitend bij IT.
Voor organisaties die wél onder de wet vallen, komt daar de bestuurskant bij. Beide sporen moeten lopen: een organisatie die getraind is, en een bestuur dat aantoonbaar is bijgeschoold. Guardey brengt die twee samen in zijn NIS2-aanpak, zodat de werkvloer en de bestuurskamer niet in gescheiden trajecten belanden.
Van compliance naar weerbaarheid
De bekende valkuil bij nieuwe wetgeving is dat organisaties inrichten wat moet, vastleggen dat het is ingericht, en daarmee de toets halen. Het dossier klopt, en dat voelt als het einde van het traject.
Een organisatie wordt echter niet weerbaar van een dossier. Zij wordt weerbaar van mensen die op een drukke dinsdagochtend een verzoek zien dat niet klopt, en die de ruimte voelen om dat te melden.
De Cyberbeveiligingswet dwingt af wat hoe dan ook verstandig was. Dat maakt dit een goed moment om het te regelen, en een ongelukkig moment om het af te vinken.