De Cyberbeveiligingswet komt eraan: bereid je voor op 15 augustus

Vanaf 15 augustus gelden de verplichtingen uit de Cyberbeveiligingswet (NIS2). Duizenden organisaties in Nederland vallen rechtstreeks onder de wet. Zij moeten hun cyberrisico’s beheersen, passende beveiligingsmaatregelen nemen en ook de risico’s binnen hun toeleveringsketen meenemen.

Ben je nog niet volledig voorbereid? Dan is het belangrijk om nu in actie te komen. Breng in kaart welke cyberrisico’s je organisatie loopt, welke maatregelen al zijn genomen en wat nog moet gebeuren. Kijk daarbij niet alleen naar je eigen organisatie, maar ook naar je leveranciers. Leg ook vast welke stappen je zet. Zo kun je aantonen hoe je werkt aan je digitale veiligheid en die van je leveranciers, waar je nu staat en welke verbeteringen nog gepland zijn.

Valt je organisatie rechtstreeks onder de Cyberbeveiligingswet? Dan geldt er een registratieplicht. Controleer daarom vóór 15 augustus of jouw organisatie registratieplichtig is en zorg dat je registratie op orde is. Registreren alleen is niet voldoende. De Cyberbeveiligingswet vraagt ook om passende maatregelen om cyberrisico’s te beheersen. Denk aan een risicoanalyse, het vastleggen van verantwoordelijkheden en maatregelen om de continuïteit van je organisatie te beschermen. Ook de digitale veiligheid van je leveranciers hoort daarbij. Breng daarom in kaart van welke leveranciers je afhankelijk bent, welke risico’s zij kunnen vormen en welke maatregelen nodig zijn om die risico’s te beheersen.

Niet alles wat nodig is voor digitale weerbaarheid kan van de ene op de andere dag worden geregeld. Daarom is het belangrijk om gestructureerd te werk te gaan. Bepaal welke risico’s de hoogste prioriteit hebben en welke maatregelen als eerste nodig zijn. Wijs verantwoordelijkheden toe, maak een planning en leg de voortgang vast. Zo kun je laten zien welke maatregelen al zijn uitgevoerd en aan welke verbeteringen je nog werkt. Hetzelfde geldt voor je leveranciersketen. Kijk welke leveranciers belangrijk zijn voor de continuïteit van je organisatie en welke risico’s ontstaan als zij worden getroffen door een cyberincident. Hoe eerder je daarmee begint, hoe meer ruimte je hebt om maatregelen zorgvuldig uit te voeren en goede afspraken met leveranciers te maken.

De gevolgen van de Cyberbeveiligingswet gaan verder dan de organisaties die rechtstreeks onder de wet vallen. Organisaties die onder de wet vallen, moeten namelijk ook cyberrisico’s in hun toeleveringsketen beheersen. Een incident bij een leverancier kan gevolgen hebben voor systemen, gegevens of belangrijke bedrijfsprocessen. Leveranciers kunnen daardoor vaker vragen krijgen over hun digitale veiligheid. Welke beveiligingsmaatregelen heb je genomen? Hoe bescherm je systemen en gegevens? Wat doe je bij een cyberincident? En kun je aantonen dat de afgesproken maatregelen daadwerkelijk zijn uitgevoerd? Ook als je zelf niet rechtstreeks onder de Cyberbeveiligingswet valt, kun je dus met de gevolgen ervan te maken krijgen.

Niet iedere leverancier vormt hetzelfde risico. Daarom hoeven ook niet alle leveranciers aan dezelfde eisen te voldoen. Een leverancier met beperkte toegang tot systemen en weinig impact bij uitval vraagt om andere maatregelen dan een leverancier waarvan een belangrijk bedrijfsproces direct afhankelijk is. De eisen moeten passen bij het risico en de mogelijke impact.

NIS2 Supply Chain (NIS2 SC) sluit aan op deze proportionele aanpak. Afhankelijk van het risicoprofiel kan een passend niveau worden gekozen: NIS2 SC10, SC20 of SC30. Zo kunnen leveranciers aantonen dat zij passende cybersecuritymaatregelen hebben genomen, zonder iedere leverancier dezelfde eisen op te leggen.

De ingangsdatum van de Cyberbeveiligingswet is over drie dagen. Ben je nog niet volledig voorbereid, wacht dan niet tot na 15 augustus. Controleer of je organisatie zich moet registreren. Breng je cyberrisico’s én die van je leveranciers in kaart. Bepaal welke maatregelen nog nodig zijn, leg verantwoordelijkheden vast en maak een concrete planning voor de uitvoering. Ben je leverancier van een organisatie die onder de Cyberbeveiligingswet valt? Wacht dan ook niet tot een klant om bewijs vraagt. Breng je digitale veiligheid in kaart en zorg dat je kunt aantonen welke maatregelen je hebt genomen.

De kern: werk aantoonbaar aan je eigen digitale veiligheid én die van je leveranciers. Begin daar vandaag mee.

Dit artikel is tot stand gekomen in samenwerking met Samen Digitaal Veilig.