Valt uw organisatie onder de Cyberbeveiligingswet?

De eerste is direct: uw organisatie valt onder een aangewezen sector en heeft een bepaalde omvang. Dan gelden vier verplichtingen: een zorgplicht met concrete maatregelen, een meldplicht bij incidenten met een eerste melding binnen 24 uur, een registratieplicht en verantwoordelijkheid voor uw leveranciers.

De tweede is indirect: u levert aan een organisatie die er wel onder valt. Dan komen de eisen bij u terecht via het contract en via vragenlijsten. Juridisch bent u niet de geadresseerde; in de praktijk merkt u er evenveel van.

In de praktijk is die tweede route de route waarlangs de meeste organisaties dit merken. U valt er niet onder, u hoeft zich niet te registreren, en toch ligt er een vragenlijst van dertig punten op tafel omdat uw afnemer moet kunnen aantonen dat hij zijn keten kent. Dat is geen overijverigheid maar een wettelijke plicht van hem.

Het gaat om kritieke en belangrijke sectoren: energie, transport, drinkwater en afvalwater, digitale infrastructuur, gezondheidszorg, overheid, ruimtevaart, post en koeriers, afvalbeheer, chemie, levensmiddelen, productie van bepaalde goederen, digitale aanbieders en onderzoek.

Binnen die sectoren telt de omvang van uw organisatie mee. Kleine organisaties vallen er meestal buiten, met uitzonderingen voor partijen die een sleutelrol vervullen.

De sectorlijst leest overzichtelijk tot u uw eigen organisatie ertegen houdt. Een ICT-dienstverlener kan onder digitale infrastructuur vallen of onder digitale aanbieders, met verschillende gevolgen. Een producent kan onder productie vallen voor het ene deel van zijn assortiment en niet voor het andere.

De praktische route is om te kijken naar wat u feitelijk levert en aan wie, niet naar hoe uw organisatie is ingeschreven. De wet volgt de activiteit, niet de statutaire omschrijving. Bij twijfel is het verstandig om die afweging schriftelijk vast te leggen met de argumenten erbij.

Wat u in elk geval niet moet doen, is de vraag onbeantwoord laten omdat hij lastig is. Ook een gemotiveerde conclusie dat u er niet onder valt, is een resultaat dat u nodig heeft zodra een afnemer of verzekeraar ernaar vraagt.

• Zorgplicht: een set maatregelen rond risicobeheer, toegangsbeveiliging, continuïteit, incidentafhandeling en de beveiliging van uw keten.
• Meldplicht: een eerste melding binnen 24 uur na constatering van een significant incident, gevolgd door een uitgebreidere melding.
• Registratieplicht: organisaties die onder de wet vallen moeten zich registreren.
• Leveranciersverantwoordelijkheid: u moet weten wie er toegang heeft tot uw systemen en gegevens, en dat contractueel geregeld hebben.

Naast de sector telt de omvang. De hoofdregel volgt de Europese definities: organisaties vanaf vijftig medewerkers of met een omzet boven een bepaalde grens vallen binnen het bereik, kleinere organisaties er in beginsel buiten. Die grens is geen afvinkvraag, want deelnemingen en verbonden ondernemingen tellen soms mee.

Er zijn bovendien uitzonderingen waarbij omvang niet uitmaakt. Aanbieders die een sleutelrol vervullen in een sector, of die de enige zijn die een bepaalde dienst leveren, kunnen ook als kleine organisatie worden aangewezen. Dat raakt vooral gespecialiseerde ICT-dienstverleners.

Leg uw conclusie schriftelijk vast, ook als die luidt dat u er niet onder valt. Dat document is precies wat u nodig heeft als een afnemer ernaar vraagt, en het scheelt u de discussie elke keer opnieuw te voeren.

De boetes in de wet lopen op tot bedragen die voor een middelgrote organisatie ontwrichtend zijn. Belangrijker is dat bestuurders persoonlijk aansprakelijk kunnen worden gesteld voor het nalaten van de zorgplicht.

Dat maakt dit geen onderwerp dat u volledig bij ICT kunt beleggen. De verantwoordelijkheid ligt bij de leiding, ook als de uitvoering elders zit.

Het toezicht is verdeeld over sectorale toezichthouders, met een centrale rol voor het nationale cybersecuritycentrum bij meldingen. Voor organisaties in de zwaarste categorie is er actief toezicht: de toezichthouder kan uit eigen beweging langskomen. Voor de lichtere categorie is het toezicht reactief, dus naar aanleiding van een incident of een signaal.

Wat dat praktisch betekent: u wordt zelden gecontroleerd op papier, maar wel op het moment dat er iets misgaat. Op dat moment telt of u kunt laten zien dat u maatregelen had, dat u ze uitvoerde en dat u de risico's van uw leveranciers in beeld had.

Dat is de reden dat vastleggen belangrijker is dan het lijkt. Maatregelen die u wel neemt maar nergens vastlegt, bestaan op het moment van een onderzoek niet.

Doe dit in die volgorde en verwacht niet dat het in één sessie af is. In de praktijk levert de eerste stap — vaststellen of u eronder valt — vaak al een discussie op die een paar weken duurt, omdat er informatie bij anderen vandaan moet komen.

Wat wel in één middag kan, is de leverancierslijst. Kijk naar wie er kan inloggen op uw systemen, wie er gegevens van u verwerkt en wie er fysiek toegang heeft tot uw locaties. Die drie vragen leveren samen een lijst op die completer is dan wat de meeste organisaties denken te hebben.

• Stel vast of u onder een aangewezen sector valt en leg die conclusie schriftelijk vast, ook als het antwoord nee is.
• Maak een lijst van leveranciers die toegang hebben tot uw systemen of gegevens.
• Controleer of u weet binnen hoeveel tijd uw leveranciers u informeren bij een incident. Als dat nergens staat, is het niet geregeld.
• Leg vast wie er meldt en aan wie, zodat de klok van 24 uur niet ingaat terwijl er nog wordt overlegd wie er gaat bellen.

Uit de zorgplicht komen tientallen mogelijke maatregelen, maar in de praktijk zit het grootste deel van het risico bij een handvol punten. Tweefactorauthenticatie op alles wat van buiten bereikbaar is, is de eerste en de belangrijkste. Het overgrote deel van de incidenten die wij zien, begint bij een account zonder tweede factor.

De tweede is een geteste back-up. Een back-up die draait maar nooit is teruggezet, is een aanname. Plan één keer per jaar een terugzetoefening in en leg de uitkomst vast, inclusief hoe lang het duurde.

De derde tot en met vijfde: een actueel overzicht van wie toegang heeft tot wat, een vaste procedure voor het intrekken van toegang als iemand vertrekt, en één adres waar een melding binnenkomt zodat de klok niet loopt terwijl er wordt overlegd wie er gaat bellen.

• De Cyberbeveiligingswet en uw leverancier
• Meldplicht bij een incident
• Beveiliging eisen aan uw leverancier

Wilt u eerst weten of het idee werkt voordat u groot investeert? Bij OneDayBuild laat u in één dag een werkend prototype bouwen.