Nieuwe Cyberbeveiligingswet: verplichting én kans
Met het van kracht worden van de Cyberbeveiligingswet op 15 augustus verschuift de focus binnen veel Nederlandse bedrijven en instellingen massaal naar compliance. Toch laten organisaties die zich uitsluitend richten op het afvinken van regelgeving om sancties te ontlopen waardevolle kansen liggen. Dat stelt Gilles van Heijst, transformation lead bij infrastructuurspecialist YaWorks. Volgens hem moet de nieuwe wetgeving primair dienen als vliegwiel voor het structureel versterken van de digitale weerbaarheid.
In de aanloop naar 15 augustus werken veel IT- en securityteams met man en macht om te voldoen aan de verplichtingen uit de Cyberbeveiligingswet. “Met de invoering van de Cyberbeveiligingswet op 15 augustus verschuift de aandacht bij veel organisaties naar compliance,” observeert Gilles van Heijst. “Dat is begrijpelijk, maar organisaties die de wet alleen benaderen om boetes te voorkomen, missen de grootste kans: het structureel versterken van hun digitale fundament.”
Persoonlijke aansprakelijkheid van bestuurders
Hoewel de ingangsdatum vaststaat, heerst er in de markt nog onzekerheid over het exacte handhavingsniveau. Toch is afwachten volgens Van Heijst een gevaarlijke strategie: “Waar de lat precies komt te liggen is onduidelijk, dat zal waarschijnlijk pas blijken bij de eerste boetes. Wacht daar niet op: de wet kent geen overgangsperiode en bestuurders worden persoonlijk aansprakelijk als de beveiligingsmaatregelen niet op orde zijn.”
In de praktijk blijkt dat veel organisaties moeite hebben met het borging van fundamentele IT-hygiëne. Processen zoals identiteits- en toegangsbeheer (IAM), het tijdig intrekken van autorisaties van ex-medewerkers of het gecontroleerd uitfaseren van verouderde systemen zijn op papier vaak wel geregeld, maar operationeel niet waterdicht.
Nulmeting als vertrekpunt
Een effectieve beveiligingsstrategie valt of staat met overzicht. Voldoen aan wetgeving is een illusie wanneer er blinde vlekken bestaan in het IT-landschap.
“Voldoen aan de cyberwet als je je eigen digitale omgeving niet volledig kent? Een nulmeting helpt om dat inzicht te krijgen in de huidige digitale omgeving en prioriteiten voor verbetering te stellen,” stelt Van Heijst. “De uitkomsten zouden vervolgens niet alleen moeten worden gebruikt om aan de wet te voldoen, maar vooral om maatregelen af te stemmen op de bedrijfsstrategie, kritische processen en de risico's die voor de organisatie het meest relevant zijn.”
Infrastructuur als fundament
De invoering van de wet dwingt de boardroom om beveiliging niet meer te zien als een losstaand IT-project, maar als een integraal onderdeel van de bedrijfsvoering. Van Heijst benadrukt tot slot dat een sterke en flexibele IT-infrastructuur de basis vormt voor duurzame weerbaarheid: “Compliance is uiteindelijk het resultaat van een goed ingerichte en toekomstbestendige digitale infrastructuur, niet het einddoel.”
Meer over Security
Over Witold Kepinski
