Cyberbeveiligingswet (NIS2): bedrijven moeten cybermaatregelen kunnen aantonen

Veel ondernemers hebben de afgelopen jaren geïnvesteerd in hun digitale beveiliging. Denk aan back-ups, multifactor-authenticatie, toegangsbeheer en de beveiliging van bedrijfsnetwerken. De nieuwe wet vraagt daarnaast om iets extra's: ondernemers moeten kunnen aantonen welke maatregelen zij hebben genomen, hoe verantwoordelijkheden zijn vastgelegd en hoe zij cyberrisico's beheersen.

Grotere rol voor bestuurders

De Cyberbeveiligingswet legt een grotere verantwoordelijkheid bij bestuurders. Organisaties die onder de wet vallen, moeten ervoor zorgen dat het bestuur actief betrokken is bij het beheersen van cyberrisico's. Ook moeten verantwoordelijkheden duidelijk zijn vastgelegd en moeten bestuurders inzicht hebben in de belangrijkste risico's voor de organisatie.

De Inspectie Leefomgeving en Transport (ILT) houdt toezicht op bedrijven die onder de Cyberbeveiligingswet vallen in onder meer de sectoren vervoer, drinkwater en chemie. Volgens de ILT begint digitale weerbaarheid met inzicht in de grootste kwetsbaarheden. Regelmatig overleg tussen bestuurders en IT-professionals helpt om risico's tijdig te herkennen en passende maatregelen te nemen.

Ook gevolgen voor leveranciers

De wettelijke verplichtingen gelden alleen voor bedrijven die onder de Cyberbeveiligingswet vallen. Toch krijgen ook veel andere organisaties ermee te maken. Grote opdrachtgevers stellen namelijk steeds vaker eisen aan de cyberveiligheid van hun leveranciers. Zij vragen bijvoorbeeld om aan te tonen welke maatregelen zijn genomen om cyberrisico's te beheersen.

Voor vervoerders en verladers betekent dit dat klanten vragen kunnen stellen over het informatiebeveiligingsbeleid, incidentprocedures, risicoanalyses en de beveiliging van leveranciers. Bedrijven die deze informatie op orde hebben, zijn beter voorbereid op audits, klantvragen en toekomstige wet- en regelgeving.

Bereid je nu voor

Ondernemers hoeven niet te wachten tot de wet ingaat. Dit is een goed moment om:

• cyberrisico's in kaart te brengen en regelmatig te beoordelen;
• verantwoordelijkheden voor informatiebeveiliging vast te leggen;
• incidentprocedures te documenteren en te oefenen;
• kritieke leveranciers in kaart te brengen;
• beveiligingsmaatregelen en controles vast te leggen;
• bestuurders regelmatig te informeren over cyberrisico's en de voortgang van verbetermaatregelen.

Door naast technische maatregelen ook processen en documentatie op orde te brengen, versterken bedrijven hun digitale weerbaarheid. Daarmee bereiden zij zich niet alleen voor op de Cyberbeveiligingswet, maar ook op de toenemende eisen van klanten en ketenpartners.

Valt je organisatie onder de wet?

Niet iedere organisatie valt onder de Cyberbeveiligingswet. De ILT heeft een online controle beschikbaar waarmee je kunt nagaan of jouw organisatie onder de wet valt en welke toezichthouder verantwoordelijk is. Een tijdige inventarisatie van risico's en maatregelen helpt om goed voorbereid te zijn op de nieuwe eisen. Meer informatie lees je op de website van het Nationaal Cyber Security Centrum, van het ministerie van Justitie en Veiligheid.