Wat moet ik regelen voor de Cyberbeveiligingswet?

Voor de Cyberbeveiligingswet moet je als organisatie aantoonbare maatregelen treffen op het gebied van risicobeheersing, incidentmelding en ketensamenwerking. De exacte verplichtingen hangen af van de sector waarin je opereert en de rol die je vervult binnen kritieke infrastructuur. In dit artikel beantwoorden we de meest gestelde vragen over de Cyberbeveiligingswet, zodat je weet wat er van jouw organisatie wordt verwacht.

Voor welke organisaties geldt de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt voor organisaties die actief zijn in sectoren die worden aangemerkt als kritiek of belangrijk voor de samenleving. Denk aan energie, transport, gezondheidszorg, drinkwater, digitale infrastructuur en financiële dienstverlening. De wet maakt onderscheid tussen twee categorieën: essentiële entiteiten en belangrijke entiteiten, waarbij de eerste categorie strenger wordt gecontroleerd.

De grens tussen beide categorieën wordt bepaald door omvang en impact. Grote organisaties in kritieke sectoren vallen doorgaans onder essentiële entiteiten. Middelgrote organisaties in diezelfde sectoren, of grote organisaties in aanvullende sectoren zoals post, afvalverwerking en levensmiddelen, vallen onder de categorie belangrijke entiteiten.

Belangrijk om te weten: ook organisaties die zelf niet direct onder de wet vallen, kunnen indirect te maken krijgen met de verplichtingen. Leveranciers en ketenpartners van NIS2-plichtige organisaties worden steeds vaker gevraagd om aan te tonen dat hun informatiebeveiliging op orde is. Een ISO 27001-certificaat speelt daarin een steeds grotere rol bij aanbestedingen en leveranciersbeoordelingen.

Welke verplichtingen legt de Cyberbeveiligingswet op?

De Cyberbeveiligingswet legt organisaties twee hoofdverplichtingen op: een zorgplicht en een meldplicht. De zorgplicht verplicht organisaties om passende technische en organisatorische maatregelen te nemen om cyberrisico’s te beheersen. De meldplicht verplicht hen om significante incidenten tijdig te melden bij de bevoegde autoriteiten.

Naast deze twee kernverplichtingen bevat de wet ook eisen rondom:

• Risicobeheer en het documenteren van beveiligingsmaatregelen
• Beveiliging van de toeleveringsketen en leveranciersbeheer
• Bedrijfscontinuïteit en herstelplannen bij incidenten
• Bewustwording en training van medewerkers
• Betrokkenheid en verantwoordelijkheid van het bestuur

Een opvallend aspect is de bestuurlijke verantwoordelijkheid: het management van een organisatie is persoonlijk aanspreekbaar op de naleving van de wet. Dat maakt informatiebeveiliging niet langer een puur technische aangelegenheid, maar een strategisch bestuursthema.

Wat houdt de zorgplicht onder de Cyberbeveiligingswet precies in?

De zorgplicht houdt in dat organisaties een risicobeheerproces inrichten en op basis daarvan passende maatregelen implementeren om de continuïteit en veiligheid van hun diensten te waarborgen. De wet schrijft geen specifieke technische oplossingen voor, maar verwacht wel dat maatregelen aantoonbaar zijn en aansluiten bij de risico’s die de organisatie loopt.

Concreet omvat de zorgplicht maatregelen op vier gebieden, die sterk overeenkomen met de structuur van ISO 27001:

• Techniek: encryptie, toegangsbeheer, netwerksegmentatie en patchbeheer
• Fysiek: beveiliging van locaties, apparatuur en toegang tot gevoelige omgevingen
• Mens: bewustwording, gedragsafspraken en heldere verantwoordelijkheden
• Organisatie: beleid, processen en governance die de andere drie gebieden borgen

De wet verwacht dat organisaties deze maatregelen niet eenmalig treffen, maar continu evalueren en verbeteren. Dat sluit aan bij de PDCA-cyclus (Plan-Do-Check-Act) die ook de basis vormt van een Information Security Management System (ISMS). Organisaties die al werken met een gestructureerd managementsysteem voor informatiebeveiliging staan daarmee een stuk sterker bij een eventuele toetsing door de toezichthouder.

Hoe werkt de meldplicht bij een cyberincident?

De meldplicht verplicht organisaties om significante cyberincidenten te melden bij de bevoegde nationale autoriteit, in Nederland het Nationaal Cyber Security Centrum (NCSC) of de relevante sectorale toezichthouder. De melding moet binnen 24 uur na ontdekking van het incident plaatsvinden als eerste kennisgeving, gevolgd door een gedetailleerde melding binnen 72 uur.

Een incident is significant als het de dienstverlening ernstig verstoort, grote financiële schade veroorzaakt of andere organisaties of personen raakt. De beoordeling of een incident meldingsplichtig is, ligt bij de organisatie zelf. Dat maakt het des te belangrijker om vooraf heldere interne procedures te hebben voor incidentdetectie, escalatie en communicatie.

Na de initiële melding verwacht de wet ook een eindrapportage zodra het incident is afgehandeld. Daarin beschrijft de organisatie de oorzaak, de getroffen maatregelen en de lessen die zijn getrokken. Een goed gedocumenteerd incidentresponsproces is daarvoor een voorwaarde.

Hoe bereid je jouw organisatie voor op de Cyberbeveiligingswet?

De voorbereiding op de Cyberbeveiligingswet begint met een heldere analyse van waar je organisatie nu staat ten opzichte van de wettelijke eisen. Vervolgens werk je stapsgewijs toe naar aantoonbare naleving, waarbij je beleid, maatregelen en processen op orde brengt en documenteert.

Een praktische aanpak bestaat uit de volgende stappen:

1. Bepaal of jouw organisatie onder de wet valt en in welke categorie (essentieel of belangrijk)
2. Voer een nulmeting of gap-analyse uit om te zien welke maatregelen al aanwezig zijn en wat nog ontbreekt
3. Stel een risicobeheerproces in en documenteer de risico’s die relevant zijn voor jouw dienstverlening
4. Implementeer passende maatregelen op het gebied van techniek, fysieke beveiliging, mensen en organisatie
5. Richt incidentrespons en meldprocedures in zodat je bij een incident snel en correct kunt handelen
6. Zorg voor bestuurlijke betrokkenheid en leg verantwoordelijkheden helder vast

Organisaties die al werken aan NIS2-compliance of een ISO 27001-implementatie, hebben een aanzienlijk voordeel. De structuur van een ISMS biedt precies de basis die de Cyberbeveiligingswet vereist. Via implementatiebegeleiding kunnen organisaties gericht toewerken naar naleving zonder het wiel opnieuw uit te vinden.

Wat is het verschil tussen de Cyberbeveiligingswet en NIS2?

De NIS2-richtlijn is een Europese richtlijn die door alle EU-lidstaten in nationale wetgeving moet worden omgezet. De Cyberbeveiligingswet is de Nederlandse vertaling van die richtlijn. De inhoud is grotendeels gelijk, maar de Cyberbeveiligingswet is het bindende juridische kader dat in Nederland van toepassing is en waarop toezicht wordt gehouden.

In de praktijk betekent dit dat wanneer iemand spreekt over “NIS2-verplichtingen”, hij of zij verwijst naar dezelfde eisen die in Nederland via de Cyberbeveiligingswet worden opgelegd. Het onderscheid is vooral relevant voor organisaties die in meerdere EU-landen actief zijn: zij moeten rekening houden met de nationale implementatie per land, ook al is de Europese basis dezelfde.

ISO 27001 is geen wettelijke verplichting, maar biedt een toetsbaar kader om aan de eisen van de Cyberbeveiligingswet te voldoen. Waar de wet de verplichting stelt, biedt ISO 27001 de structuur om die verplichting aantoonbaar in te vullen. Omdat de Cyberbeveiligingswet op een aantal punten verdergaat dan wat ISO 27001 dekt, is een aanvullende analyse nodig om ook de specifieke wettelijke vereisten volledig af te dekken.

Hoe Kwinzo helpt bij de Cyberbeveiligingswet

Wij begeleiden organisaties bij het aantoonbaar voldoen aan de Cyberbeveiligingswet, vanuit onze jarenlange ervaring met informatiebeveiliging in zorg, ICT en onderwijs. Onze aanpak is concreet en gericht op wat echt werkt in de praktijk, niet op papieren compliance.

Wat wij bieden:

• Gap-analyse: we brengen in kaart waar jouw organisatie staat ten opzichte van de Cyberbeveiligingswet en NIS2, en welke stappen nog nodig zijn
• Implementatiebegeleiding: we helpen bij het opzetten van een ISMS dat aansluit bij de wettelijke zorgplicht, inclusief beleid, risicoanalyse en maatregelen
• Interne audits: als generale repetitie voor externe toetsing, uitgevoerd door een onafhankelijke consultant
• ISO 27001-traject: voor organisaties die via certificering aantoonbaar willen voldoen aan de eisen van de wet en hun ketenpartners
• Trainingen en workshops: voor bestuurders, security officers en medewerkers die hun rol binnen de zorgplicht beter willen begrijpen

Wil je weten wat de Cyberbeveiligingswet concreet betekent voor jouw organisatie? Neem contact met ons op voor een vrijblijvend adviesgesprek.