Cyberbeveiligingswet: meer dan voldoen aan wet- en regelgeving

Op donderdag 13 augustus organiseerden wij onze derde lunchwebinar. Tijdens deze webinar ging ik in gesprek met Wouter Parent, oprichter van Kynexis Informatiebeveiliging en specialist op het gebied van informatiebeveiliging, governance en cyberweerbaarheid. Samen gingen we in op de vraag wat de Cyberbeveiligingswet in de praktijk betekent voor organisaties en waarom deze wet veel verder gaat dan alleen informatiebeveiliging.

In dit artikel zetten we de belangrijkste inzichten uit de webinar op een rij en geven we praktische handvatten om als organisatie de eerste stappen te zetten.

Wanneer de Cyberbeveiligingswet ter sprake komt, horen wij vaak dezelfde vragen:
• Vallen wij onder de wet?
• Welke technische maatregelen moeten wij nemen?
• Moeten wij ons certificeren?
• Wat gaat dit ons kosten?

Logische vragen, maar ze gaan voorbij aan de kern. De eerste vraag zou niet moeten zijn welke technische maatregelen nodig zijn, maar: "Hoe afhankelijk is onze organisatie van digitale systemen en zijn wij in staat de continuïteit van onze dienstverlening te waarborgen wanneer deze systemen uitvallen?"

De Cyberbeveiligingswet vraagt organisaties namelijk om inzicht te hebben in hun kritieke processen, risico’s, verantwoordelijkheden en afhankelijkheden. Niet de techniek staat centraal, maar de manier waarop de organisatie haar digitale weerbaarheid bestuurt.

Een veelgehoorde opmerking is: “Wij vallen toch niet onder de Cyberbeveiligingswet?” Dat kan inderdaad zo zijn. Toch betekent dit niet dat de wet geen invloed heeft.

Steeds meer organisaties krijgen via opdrachtgevers, ketenpartners of leveranciers te maken met aanvullende eisen op het gebied van informatiebeveiliging. Organisaties die wel rechtstreeks onder de wet vallen, zullen immers ook eisen stellen aan de veiligheid binnen hun leveranciersketen.

Daarom is het verstandig om niet af te wachten totdat een klant of toezichthouder daarom vraagt, maar tijdig inzicht te krijgen in de eigen digitale weerbaarheid.

Tijdens de webinar werd benadrukt dat organisaties niet moeten starten met nieuwe beveiligingsproducten of uitgebreide technische oplossingen.
Een effectieve aanpak begint met overzicht.

Breng eerst in kaart:
• welke processen cruciaal zijn;
• welke informatie bedrijfskritisch is;
• van welke systemen de organisatie afhankelijk is;
• welke leveranciers een belangrijke rol spelen;
• en welke risico’s de grootste impact kunnen hebben op de continuïteit.

Vanuit dat inzicht kunnen passende maatregelen worden genomen en kan gericht worden gewerkt aan verdere verbetering.

Veel organisaties werken samen met gespecialiseerde IT-dienstverleners. Dat is logisch en vaak ook noodzakelijk.

Toch betekent dit niet dat daarmee ook de verantwoordelijkheid wordt uitbesteed.

Een leverancier kan adviseren over technische beveiliging, maar bepaalt niet welke risico’s acceptabel zijn, welke investeringen worden gedaan of welke gevolgen een verstoring heeft voor de organisatie. Dat zijn bestuurlijke keuzes die door de organisatie zelf moeten worden gemaakt.

De techniek kun je uitbesteden. De verantwoordelijkheid niet.

De Cyberbeveiligingswet vraagt niet om een perfect ingerichte organisatie vanaf dag één.

De meest effectieve aanpak is om stapsgewijs te werken.

Begin bijvoorbeeld met:

• ​het bepalen van de context;
• ​het in kaart brengen van kritieke processen en afhankelijkheden;
• ​het uitvoeren van een bestuurlijke risicoanalyse;
• ​het beoordelen van de huidige beheersmaatregelen;
• ​en het opstellen van een realistisch verbeterplan met duidelijke prioriteiten.

Veel organisaties blijken al meer geregeld te hebben dan zij zelf denken. De uitdaging zit vooral in het verbinden van bestaande maatregelen tot één samenhangende aanpak waarmee bestuurders aantoonbaar grip krijgen op risico’s en continuïteit.

De Cyberbeveiligingswet is geen doel op zich.

De grootste waarde van de wet ligt in het feit dat organisaties worden gestimuleerd om bewust na te denken over hun digitale afhankelijkheden, verantwoordelijkheden en risico’s.

Hierdoor ontstaat niet alleen betere naleving van wet- en regelgeving, maar vooral een organisatie die beter voorbereid is op verstoringen, cyberincidenten en toekomstige ontwikkelingen.

Bij NCOD Audit geloven wij dat de Cyberbeveiligingswet niet moet worden gezien als een verplicht complianceproject, maar als een kans om de digitale weerbaarheid van organisaties structureel te versterken.
Wij kijken daarom verder dan alleen de wettelijke verplichtingen. Tijdens audits en adviestrajecten richten wij ons op governance, risicomanagement, bestuurlijke verantwoordelijkheid en praktische verbeteringen die daadwerkelijk bijdragen aan een weerbare organisatie.

Want uiteindelijk draait de Cyberbeveiligingswet niet om techniek alleen. Het draait om organisaties die weten welke risico’s zij lopen, welke keuzes zij maken en hoe zij de continuïteit van hun dienstverlening kunnen waarborgen.

Op donderdag 17 september om 12.00 uur organiseren wij de volgende lunchwebinar in onze reeks. Tijdens deze sessie staat risicomanagement centraal.

Samen met Wim Pauw gaan we in op de vraag hoe organisaties risicomanagement niet alleen op papier organiseren, maar daadwerkelijk inzetten als stuurinstrument voor bestuur en management. We bespreken hoe risico’s inzichtelijk worden gemaakt, hoe organisaties onderbouwde keuzes kunnen maken en hoe risicomanagement bijdraagt aan een aantoonbaar betere beheersing van processen en informatiebeveiliging.
Zoals je van onze lunchwebinars gewend bent, staat ook deze editie volledig in het teken van praktische toepasbaarheid, bestuurlijke relevantie en direct bruikbare handvatten.

Benieuwd hoe risicomanagement jouw organisatie helpt om beter voorbereid te zijn op de uitdagingen van vandaag en morgen? Schrijf je dan in voor onze lunchwebinar op donderdag 17 september om 12.00 uur. We ontmoeten je graag online!