NIS2, CBW en cyberweerbaarheid: wat moet je weten?

In dit artikel:

Nederland bereidt zich voor op de invoering van de cyberbeveiligingswet (CBW), de nationale uitwerking van de Europese NIS2-richtlijn. Volgens Edwin Weijdema, Field CTO EMEA bij Veeam, maakt de wet bestuurders straks persoonlijk verantwoordelijk voor de digitale weerbaarheid van hun organisatie. De wet gaat naar verwachting rond de zomer in, en moet bedrijven dwingen om hun basisbeveiliging, back-ups en risicobeheer serieuzer te nemen.

Weijdema ziet vooral een groot bewustzijnsprobleem: veel bestuurders onderschatten cyberveiligheid, terwijl IT-verantwoordelijken de risico’s juist beter zien. Uit onderzoek van Veeam blijkt dat een ruime meerderheid van de IT-leiders het belang van digitale weerbaarheid erkent, maar dat dat bij bestuurders duidelijk lager ligt. België liep hierin al voor op Nederland; daar leidde persoonlijke aansprakelijkheid eerder tot meer aandacht en budget voor beveiliging.

Een belangrijk misverstand is volgens hem dat cloudproviders automatisch verantwoordelijk zijn voor data van klanten. In het zogeheten shared-responsibilitymodel blijft de organisatie zelf aansprakelijk voor zaken als back-ups, retentie en toegangsbeheer. Veeam benadrukt daarnaast het belang van secure by design, data-soevereiniteit en duidelijke regels voor waar data mag worden opgeslagen, zeker nu regelgeving en geopolitieke risico’s toenemen.

Om organisaties beter te laten inschatten hoe weerbaar ze echt zijn, gebruikt Veeam een maturitymodel dat de hele organisatie doorlicht, van bestuur tot beheer. Ook wijst Weijdema op supply-chainrisico’s: aanvallen komen niet alleen van buitenaf, maar vaak via partners in de keten. Als praktische basisregel noemt hij de 3-2-1-1-0-aanpak voor back-ups: meerdere kopieën, verschillende opslagvormen, een offline of onveranderbare versie en vooral regelmatig getest herstel.