Cyberweerbaarheid is jouw verantwoordelijkheid, niet die van de IT-afdeling

Toch blijft, volgens Curtis Partoredjo (foto), Cybersecurity Consultant bij Previder, een hardnekkig misverstand bestaan: veel mensen denken nog steeds dat een cyberincident vooral het werk is van geavanceerde hackers, maar de realiteit is anders. De meerderheid van de ernstige incidenten ontstaat niet door zero-days of nation-state actoren, maar door simpele, alledaagse tekortkomingen. Basale zaken die een no-brainer zouden moeten zijn. Denk daarbij aan het ontbreken van MFA op kritieke accounts, het toewijzen van te veel of foutieve rechten. Of wat te denken van verouderde software die allang had moeten worden bijgewerkt. Om maar te zwijgen van Shadow IT – systemen en applicaties die buiten het zicht van de organisatie draaien. Deze gaten vormen nog steeds de meest voorkomende toegangspoort voor cyberboefjes, de aanvallers, hackersgroepen.

De CBW verandert de spelregels. Deze wet legt een zorgplicht op: je organisatie moet passende en evenredige maatregelen nemen om risico’s voor netwerk- en informatiesystemen te beheersen. Maar belangrijker nog: jij moet die maatregelen goedkeuren en toezien op de uitvoering ervan. De CISO adviseert, de IT-afdeling voert uit, maar jij blijft eindverantwoordelijk. Die verantwoordelijkheid kun je niet delegeren.

Dit heeft directe gevolgen voor hoe je naar de huidige trends zou moeten kijken. AI maakt aanvallen sneller en overtuigender, Deepfakes en synthetische identiteiten verlagen de drempel voor fraude en social engineering. Identity-misbruik is in bijna negentig procent van de succesvolle incidenten een cruciale factor. Supply-chainaanvallen via SaaS-integraties en OAuth-tokens omzeilen traditionele perimeters. Ransomware is allang geen pure encryptie-aanval meer, maar een vorm van bedrijfsdisruptie. En geopolitieke spanningen zorgen ervoor dat kritieke infrastructuur en toeleveringsketens expliciet in het vizier liggen. Daarbij wordt niet per definitie gekeken naar de grootte van een organisatie. Mocht het je zijn ontgaan; klein en groot is (potentieel) slachtoffer.

Al deze ontwikkelingen versterken precies de zwaktes die al jaren bekend zijn. Zonder MFA blijft een gestolen wachtwoord voldoende, met te ruime rechten kan een aanvaller die eenmaal binnen is, zich snel lateraal bewegen. Verouderde software biedt een open deur en Shadow IT zorgt ervoor dat je niet eens weet wat je moet beschermen.

De CBW dwingt je om hier actief sturing op te geven. Je moet aantoonbaar kennis hebben van cyberrisico’s en de impact daarvan op je organisatie. Je moet de maatregelen die uit de risicoanalyse voortkomen formeel goedkeuren. Je moet toezicht houden op de uitvoering en je moet binnen afzienbare tijd een passende training volgen om die kennis op peil te brengen en te houden. Bij structurele nalatigheid kan de toezichthouder niet alleen de organisatie, maar ook jou als bestuurder aanspreken.

Dit betekent niet dat je zelf technische details moet beheersen. Het betekent wel dat je de juiste vragen en prioriteiten stelt. Vraag of MFA overal is afgedwongen waar dat redelijkerwijs kan. Vraag of rechten periodiek worden beoordeeld en of het principe van least privilege daadwerkelijk wordt toegepast. Vraag of er een actueel overzicht is van systemen, inclusief Shadow IT. Vraag hoe de organisatie omgaat met leveranciersrisico’s en of die risico’s onderdeel zijn van het integrale risicomanagement. En vraag hoe de incidentrespons is georganiseerd, inclusief de wettelijke meldplicht binnen 24 uur bij significante incidenten.

Cyberweerbaarheid is geen project met een einddatum, maar een doorlopende bestuurlijke verantwoordelijkheid. De CBW maakt dat wettelijk hard. De huidige dreigingen – AI-versnelling, identity-misbruik, supply-chainrisico’s – maken het urgent en de realiteit dat de meeste incidenten nog steeds beginnen bij simpele, vermijdbare gaten, maakt het concreet.

Jij zit aan het stuur. Niet omdat je de techniek moet beheersen, maar omdat jij de enige bent die de prioriteiten kan stellen, de middelen kan vrijmaken en de cultuur kunt beïnvloeden waarin cybersecurity en cyberweerbaarheid serieus wordt genomen. De vraag is niet of er een incident komt. De vraag is of jouw organisatie – en jij als bestuurder – er klaar voor is.

Precies op dit snijvlak van bestuurlijke verantwoordelijkheid, praktische weerbaarheid en actuele dreigingen biedt Continuity’26 met partners als Eye Security een waardevol platform. Afgelopen jaar kwamen hier ruim 300 IT-verantwoordelijken samen om te netwerken, zich te laten inspireren en – vooral – om ervaringen uit te wisselen. Thema’s als cyberweerbaarheid, continuïteit en de praktische vertaling van wet- en regelgeving naar de dagelijkse praktijk stonden centraal. In een tijd waarin de CBW bestuurders dwingt om dichter op de materie te zitten, is zo’n platform geen luxe, maar een nuttige plek om te horen hoe andere organisaties de brug slaan tussen compliance, techniek en bestuurlijke sturing. Schrijf je snel in voor 6 oktober!