Achtergrond - Nieuwe Nederlandse wet maakt topmanagers verantwoordelijk voor cyberbeveiliging

In dit artikel:

Nederland heeft sinds zaterdag 15 augustus de Cyberbeveiligingswet (Cbw) van kracht. De wet is de late Nederlandse uitwerking van de Europese NIS2-richtlijn, die eind 2022 werd aangenomen. Lidstaten hadden de richtlijn uiterlijk op 17 oktober 2024 moeten invoeren; Nederland behoorde tot de landen die die deadline niet haalden. Alleen België en Kroatië waren op tijd klaar.

De wet moet de digitale weerbaarheid van Nederland vergroten. Hacks, ransomware en datalekken bij één organisatie kunnen door de sterke verwevenheid van ict-diensten grote gevolgen hebben voor andere bedrijven, overheden en consumenten. Een aanval op een leverancier kan bijvoorbeeld leiden tot uitval van diensten, problemen met treinen of ziekenhuissystemen, stroomstoringen, onveilig drinkwater of gestolen betaalgegevens. Daarom legt de Cbw de verantwoordelijkheid voor cybersecurity nadrukkelijker bij organisaties en hun bestuurders.

De wet geldt niet alleen voor organisaties die cruciale nationale functies vervullen, maar voor ruim 8.000 bedrijven en overheidsorganisaties die belangrijke of essentiële diensten leveren. Het gaat onder meer om de sectoren energie, drinkwater, vervoer, gezondheidszorg, financiën, telecommunicatie en digitale infrastructuur, waaronder DNS-diensten. Middelgrote organisaties vallen doorgaans onder de categorie ‘belangrijk’; grotere organisaties onder de categorie ‘essentieel’. Omvang, omzet, sector en maatschappelijke impact bepalen de precieze indeling, waarbij uitzonderingen mogelijk zijn.

De Cbw kent vier centrale verplichtingen. De zorgplicht verplicht organisaties om cyberrisico’s in hun ict-omgeving grondig te analyseren en passende technische, organisatorische en operationele maatregelen te nemen. Alleen beveiligingssoftware, een risicorapport of een aangewezen securityverantwoordelijke volstaat niet. Ook leveranciers, ingekochte systemen en diensten moeten worden gecontroleerd, omdat kwetsbaarheden in de toeleveringsketen een hele keten kunnen treffen. Daarnaast moeten organisaties hun fysieke beveiliging, zoals die van datacenters, op orde brengen.

Bij een ernstig cyberincident geldt een meldplicht. Significante incidenten zijn bijvoorbeeld aanvallen die de dienstverlening zwaar verstoren, grote financiële schade veroorzaken of andere organisaties en personen ernstig raken. De precieze criteria verschillen per sector. Een incident moet binnen 24 uur worden gemeld, binnen 72 uur nader worden toegelicht en binnen een maand worden afgesloten met een eindverslag. Meldingen lopen via het portaal MijnNCSC en worden doorgestuurd naar het bevoegde sectorale CSIRT. Het Nationaal Cyber Security Centrum (NCSC) fungeert daarbij aanvankelijk als centraal aanspreekpunt.

Organisaties die onder de wet vallen, moeten zich bovendien registreren in een nationaal register bij het NCSC. Overheidsorganisaties moeten daarbij ook hun internetdomeinen opgeven. Registratie was voor sommige organisaties al eerder vrijwillig mogelijk, maar is nu verplicht. Niet registreren, ernstige incidenten niet melden of onvoldoende beveiligingsmaatregelen nemen geldt als overtreding.

Toezichthouders controleren of organisaties aan de zorg-, meld- en registratieplicht voldoen. Dat kan na een incident of klacht, maar ook vooraf. Bij essentiële organisaties kunnen actieve controles en audits worden uitgevoerd. Overtredingen kunnen leiden tot hoge boetes: voor belangrijke organisaties maximaal 7 miljoen euro of 1,4 procent van de wereldwijde omzet, en voor essentiële organisaties maximaal 10 miljoen euro of 2 procent van de wereldwijde omzet, waarbij het hoogste bedrag geldt.

De wet richt zich ook rechtstreeks op bestuurders van bedrijven. Zij moeten cyberrisico’s beoordelen, maatregelen nemen en een cybersecuritytraining volgen. Ze kunnen de verantwoordelijkheid niet volledig afschuiven op de ict- of securityafdeling. Bij grove nalatigheid kunnen bestuurders aansprakelijk worden gesteld en zelfs strafrechtelijk worden vervolgd. Toezichthouders kunnen daarnaast audits op kosten van de organisatie afdwingen, tekortkomingen openbaar maken of bestuurders tijdelijk laten schorsen. Overheidsinstanties vallen niet onder deze specifieke bestuurdersaansprakelijkheid.

Nederland beschikt al over initiatieven zoals het NCSC en het Dutch Institute for Vulnerability Disclosure, dat kwetsbaarheden verantwoord meldt. Het NCSC en het voormalige Digital Trust Center zijn inmiddels samengevoegd. De nieuwe wet maakt cybersecurity echter tot een structurele verantwoordelijkheid van organisaties en hun topbestuur. Volledige digitale veiligheid is niet haalbaar, maar strengere eisen en toezicht moeten de kans op grootschalige digitale ontwrichting verkleinen.