Lees alles over de nieuwe Cyberbeveiligingswet en welke maatregelen organisaties uit Kennemerland moeten treffen om cyberdreigingen het hoofd te bieden.
Op 15 augustus treedt de nieuwe Cyberbeveiligingswet (Cbw) in werking. De wet is een implementatie van de Europese NIS2-richtlijn en dient twee belangrijke doelen. In de eerste plaats moeten bedrijven en organisaties hun weerbaarheid tegen cyberdreigingen vergroten. In de tweede plaats moet ermee voorkomen worden dat belangrijke processen stil komen te liggen als gevolg van een aanval.
Voor wie geldt de Cyberbeveiligingswet?
De Cyberbeveiligingswet is gericht op bedrijven en organisaties binnen bepaalde sectoren, zoals de drinkwatervoorziening, gezondheidszorg, het bankwezen en de afvalstoffenverwerking. Als zo’n bedrijf of organisatie het doelwit wordt van een cyberaanval, zijn de gevolgen voor de samenleving enorm. Daarnaast geldt een omvangscriterium, waarbij het aantal medewerkers, de totale jaaromzet en het balanstotaal meewegen. In sommige gevallen maakt het niet uit hoe groot de organisatie is. Zo vallen overheidsorganisaties, DNS-dienstverleners en aanbieders van openbare elektronische communicatienetwerken altijd onder de wet.
Cyberbeveiligingswet: plichten
Bedrijven en organisaties moeten zelf beoordelen of ze onder deze wet vallen. Als dat het geval is, moeten ze een aantal stappen doorlopen:
Registratieplicht
Allereerst dient de organisatie zich als zodanig te registreren op de website van het Nationaal Cyber Security Centrum (NCSC). Inloggen kan alleen met SSOnRijk (voor overheidsinstanties) of met eHerkenning. Vanaf 15 augustus is registratie verplicht. Wie nog geen eHerkenning heeft, zal dat dan ook op korte termijn aan moeten vragen.
Zorgplicht
Organisaties die onder de Cyberbeveiligingswet vallen, moeten maatregelen treffen om risico’s op cyberdreigingen en de gevolgen daarvan te verkleinen. Als het goed is, zijn de belangrijkste voorzorgsmaatregelen al getroffen. Dit is dan een goed moment om na te gaan of de bestaande beveiliging nog steeds afdoende is.
Op grond van de Cyberbeveiligingswet moeten organisaties in ieder geval deze tien maatregelen hebben getroffen:
- Risicoanalyse. Er moet overzichtelijk worden gemaakt op welke manieren de organisatie getroffen kan worden en wat de gevolgen daarvan zijn.
- Incidentrespons. Met een incidentresponsplan is de organisatie beter voorbereid op incidenten. Medewerkers weten hoe ze een incident kunnen opsporen en hoe ze moeten handelen om de schade te beperken.
- Uitval. Zorg voor een back-up wanneer stroom of belangrijke digitale processen uitvallen.
- Toeleveringsketen. Een cyberbeveiligingsprobleem bij bijvoorbeeld een leverancier kan gevolgen hebben voor de eigen organisatie. Maak duidelijke afspraken met alle schakels in de toeleveringsketen.
- Cyberhygiëne. Voer regelmatig training en simulaties uit, zodat medewerkers goed voorbereid zijn op eventuele incidenten.
- Beveiliging van netwerk- en informatiesystemen. Updates en patchmanagement zijn hier cruciaal. Met ‘hardening’ kan het aanvalsoppervlak behoorlijk verkleind worden, omdat onnodige functies, poorten en diensten uitgeschakeld worden.
- Personeel en toegang. Bewaar een nauwkeurig overzicht van wie toegang heeft tot welke informatie.
- Passkeys. Passkeys zijn een veiliger alternatief voor wachtwoorden. Als er toch nog wachtwoorden worden gebruikt, schakel dan altijd multifactorauthenticatie in.
- Encryptie. Een VPN is een betaalbare en effectieve manier om een versleutelde verbinding te realiseren. De beste VPN met gratis proefperiode geeft mkb’ers de gelegenheid om een VPN eerst uit te proberen, voordat ze een grote uitgave doen.
- Beoordeling. Er moet regelmatig worden gecontroleerd of de getroffen maatregelen nog steeds effectief zijn.
Meldplicht
Wordt de organisatie, ondanks alle maatregelen, toch geconfronteerd met een cyberaanval? Dan moet het incident hier zo snel mogelijk gemeld worden. Het Computer Incident Response Team (CSIRT) kan de organisatie helpen om het incident op te lossen.
Samenwerking
Omdat het aantal cyberincidenten alleen maar toeneemt, wil een aantal provincies een gedeelde Security Operations Center (SOC) inrichten. Dit SOC zal zich dan bezighouden met het monitoren van IT-systemen en het opsporen en verhelpen van incidenten. Het gaat vooralsnog om zeven provincies. Noord-Holland zal zich op een later moment bij deze samenwerking aansluiten.
Conclusie
Over enkele weken treedt de Cbw in werking. Organisaties die onder de wet vallen, moeten dan aan alle verplichtingen voldoen. Dat vraagt om tijdige voorbereiding en duldt geen verder uitstel. Alleen zo houden we onze samenleving weerbaar en draaiende nu cyberdreigingen blijven toenemen.