Cyberbeveiligingswet – Team Privacy & Security beantwoordt al je vragen

De Cyberbeveiligingswet is sinds 15 augustus van kracht. Wat verandert er daarmee precies? Wat betekent de wet voor de zorg? Wie valt eronder? Wat moet je regelen en waar ligt de verantwoordelijkheid van het bestuur?

Nico van Bergen Bravenboer, coördinator informatiebeveiliging en Auke Klazema, Security Officer, zijn samen het team Privacy & Security van GERRIT. Zij vertellen alles wat je moet weten over deze nieuwe wet.  

‍

Wat houdt de Cyberbeveiligingswet precies in?

Nico: “De wet moet zorgen voor beveiliging tegen cybercriminaliteit. Het is een gezamenlijk belang van heel Europa om cybercriminaliteit te voorkomen of in ieder geval de risico’s te verlagen.”

Auke: “Voor organisaties die onder de wet vallen, zijn er verschillende verplichtingen. Zo is er een registratieplicht, een zorgplicht en een meldplicht. Ook is er aandacht voor governance en de verantwoordelijkheid van het bestuur.

Dat het bestuur wordt getraind, vind ik een mooie toevoeging van de Cyberbeveiligingswet. In heel veel normen lag dat nooit zo vast en in deze wet wel. Het is superbelangrijk dat het bestuur ook weet wat informatiebeveiliging is en dat er geld en tijd voor vrijgemaakt kunnen worden.”

‍

Waarom is deze wet er gekomen?

Nico: “Er was altijd al een Europese regeling. Die gold in Nederland alleen voor partijen zoals energieleveranciers en waterleveranciers. Die moesten altijd al aan een bepaalde Europese richtlijn voldoen.

De Europese richtlijn is aangescherpt en daardoor vallen nu meer organisaties onder de wetgeving. En er zit ook een clausule in waarbij bedrijven beboet kunnen worden als ze het niet goed voor elkaar hebben. In bepaalde gevallen kunnen bestuurders zelfs hoofdelijk aansprakelijk worden gesteld.”

‍

Hoe weet je of jouw organisatie onder de Cyberbeveiligingswet valt?

Nico: “Als je aan de eisen voor grootte en omzet voldoet en je werkt in een branche die onder de wet valt, dan moet je aan de wet voldoen. Er zijn tools voor waarmee je kunt bekijken of je eronder valt. Het NCSC heeft bijvoorbeeld een quickscan waar je kunt invullen wat voor organisatie je bent, hoe groot, enzovoort. Dan komt er vanzelf uit of je wel of niet onder de wet valt.”

Auke: “En sommige organisaties zijn al aangewezen door de minister en vallen er sowieso al onder.”

‍

NIS2 of Cyberbeveiligingswet: wat is het verschil?

Nico: “De termen NIS2 en Cyberbeveiligingswet worden vaak door elkaar gebruikt. Daar moeten we mee stoppen, want het zijn twee verschillende dingen: in Europa is een richtlijn geschreven en dat is NIS2. De Europese landen maken op basis daarvan op lokaal niveau een wet. In Nederland is dat de Cyberbeveiligingswet, die dus geldt sinds 15 augustus.”

Auke: “Wij moeten voldoen aan de wet en niet aan de richtlijn.”

‍

Wat verandert er concreet voor organisaties die onder de wet vallen?

Nico: “Hopelijk niet veel! Want het is te hopen dat organisaties eigenlijk altijd al bezig waren met informatiebeveiliging, laten we dat vooropstellen.

Organisaties die onder de wet vallen, moeten zich registreren bij het NCSC. Dat is de registratieplicht. Ze vallen onder een bepaalde autoriteit. In het geval van de zorgbranche is dat de IGJ en die kan controles uitvoeren en in extreme gevallen boetes opleggen.

Ook heb je de zorgplicht. Dat is hoe jij als organisatie bewapend bent tegen cyberincidenten. Dat kan gaan van het maatregelen nemen om cyberaanvallen te voorkomen tot het geven van trainingen voor medewerkers. En de meldplicht.

‍

Wat houdt de meldplicht in?

Nico: “Bij significante incidenten moet een organisatie een melding doen met de tool op de website van het NCSC. Dat kun je een beetje vergelijken met datalekken vanuit de AVG: bij een datalek zegt de AVG dat je dat moet melden bij de Autoriteit Persoonsgegevens. Hetzelfde geldt bij cyberbeveiligingsincidenten: die moet je melden bij in het geval van de zorg de Z-Cert en de IGJ (dit gaat via het NCSC).”

‍

Maar wat is dan precies een significant incident?

“Daar zijn criteria voor opgesteld. Zo kan er sprake van zijn wanneer een bedrijfsproces langer dan vier uur geheel of gedeeltelijk stilvalt. Ook het compromitteren of vernietigen van netwerk- en informatiesystemen die cruciaal zijn voor de dienstverlening kan een rol spelen, zoals je EPD.”

‍

Moet je door de Cyberbeveiligingswet aan bepaalde certificeringen of normen voldoen?

Nico: “De minister van VWS heeft in zijn regeling geschreven dat als jij voldoet aan NEN 7510, je voldoet aan de zorgplicht van de wet.”

In de NEN 7510 zijn de maatregelen opgenomen die aansluiten bij de artikelen uit de Cyberbeveiligingswet. Daarmee kun je de eisen uit de wet onderdeel maken van het bestaande managementsysteem voor informatiebeveiliging. Dan hoef je niet apart weer allerlei processen en protocollen op te stellen om aan de Cyberbeveiligingswet te voldoen.”

Auke: “Je hoeft niet per se gecertificeerd te zijn voor de Cyberbeveiligingswet. Het gaat erom dat je aantoonbaar aan de norm voldoet. Certificering is één manier om dat te kunnen laten zien, maar het is geen verplichting.

In de zorg moeten we toch al aantoonbaar voldoen aan de NEN7510. Dus als we het goed doen in de zorg, dan zijn we al een heel eind op weg voor de Cyberbeveiligingswet.”

‍

Welke verantwoordelijkheid ligt er bij het bestuur?

Nico: “Elk lid van het bestuur moet een training volgen. Een bestuurder moet in ieder geval binnen twee jaar die training hebben gevolgd. En de kennis moet ook aantoonbaar actueel blijven. Een training moet dus wel worden herhaald.

GERRIT biedt zo’n training voor bestuurders aan. Die is niet bedoeld als een algemene training over de Cyberbeveiligingswet, maar specifiek om bestuurders te leren omgaan met hun verantwoordelijkheid. Het is een training om bestuurders te leren: wat zijn cyberbeveiligingsrisico’s, hoe identificeer je die, welke maatregelen kun je treffen en hoe ga je dat beheren?

Je kunt je als bestuur niet verschuilen achter: ik heb toch een SO of CISO en die doet dat voor mij? Die zal waarschijnlijk de echte uitvoering doen, maar je bent als bestuur nog steeds verantwoordelijk en in de wet ook verantwoordelijk gesteld.”

‍

Wat kan GERRIT betekenen in het kader van de Cyberbeveiligingswet?

Nico: “We kunnen organisaties helpen bij het implementeren van NEN 7510 in combinatie met de Cyberbeveiligingswet. Dan kijken we niet alleen naar hoe je zorgt dat je voldoet aan NEN 7510, maar nemen we ook het gedeelte van de Cyberbeveiligingswet mee.

Dat sluit aan bij hoe GERRIT al langer met informatiebeveiliging werkt. De Cyberbeveiligingswet hoeft niet als een losstaand traject naast alles wat er al ligt te worden ingericht.

Mocht je twijfelen wat je moet doen, dan kun je altijd met onze servicedesk contact opnemen. We kunnen een aantal documenten sturen die eenvoudig aangeven of je wel of niet onder de wet valt en wat het dan betekent.

Er zijn onder andere factsheets over de registratieplicht, zorgplicht en meldplicht. Die zijn afkomstig van het NCSC en kunnen organisaties helpen om de eerste stappen te zetten.”

Waar begin je als je nog helemaal aan het begin staat?

Nico: “Inschrijven is stap 1. Maar eigenlijk veel belangrijker is maatregelen nemen om grip te krijgen op cyberbeveiliging.”

Auke: “Het hangt altijd van je situatie af en hoe goed je al bezig bent met informatiebeveiliging. Als je nog helemaal aan het begin staat, is het niet twee sheetjes invullen en dan is alles geregeld. Dan moet je echt middelen en mensen inzetten en beleid gaan organiseren en schrijven. Voordat je het allemaal rond hebt, ben je wel even bezig.”

Nico: De Cyberbeveiligingswet is niet iets waar je alleen naar kijkt omdat de wet nu van kracht is. Het gaat om het structureel organiseren en beheersen van informatiebeveiliging.”

Auke: “Dus voor de zorg zal dat gewoon een doorgaand gebeuren zijn.”

‍

Meer weten over de Cyberbeveiligingswet of hulp nodig bij de vervolgstappen? Neem contact op met het team Privacy & Security van GERRIT.