Cybersecurity is een bestuurstaak

Wat de wet van bestuurders vraagt

Met de Cyberbeveiligingswet wordt cyberveiligheid expliciet een bestuurstaak. Bestuurders moeten zich periodiek laten informeren over risico's, maatregelen en incidenten en daarop sturen. Bij tekortkomingen kunnen zij persoonlijk aansprakelijk worden gesteld.

Het bijbehorende Cyberbeveiligingsbesluit werkt dat verder uit: ieder bestuurslid van een organisatie die onder de wet valt, moet beschikken over de kennis en vaardigheden om risico's te herkennen en beveiligingsmaatregelen te kunnen beoordelen.

Uit een analyse van de Rijksinspectie Digitale Infrastructuur (RDI) blijkt dat juist dit een knelpunt is. Het trainen van bestuurders, snelle meldprocedures en risico's in de toeleveringsketen kwamen naar voren als grote aandachtspunten.

In een interview op fme.nl leggen Marije Bakker en Marlou Snelders van FME uit waarom nieuwe Europese regels cyberveiligheid van een IT-onderwerp tot een verantwoordelijkheid van het bestuur maken, en hoe je je organisatie voorbereidt.

Ook relevant als je er niet onder valt

Ronald Koot, CEO van Boers & Co, zegt het zo: elke ondernemer wordt vroeg of laat gehackt, de vraag is alleen wanneer. Zijn bedrijf maakte dat zelf mee, zoals je leest in het artikel Schiedams hightech bedrijf Boers & Co zet in op digitale weerbaarheid.

Voor veel mkb-maakbedrijven is de wet niet direct van toepassing. De onderliggende logica geldt wel. Een cyberaanval raakt dezelfde dingen als een brand of het wegvallen van een grote klant: productie, leverbetrouwbaarheid en reputatie. Dat soort risico's horen op de agenda van de directie, niet alleen bij de IT-afdeling of een externe partij.

Ook Cees van Rekum van TCPM ziet regelgeving als aanleiding, maar niet als belangrijkste reden. Het gaat erom je organisatie, je medewerkers en je klanten te beschermen, zegt hij in een interview op fme.nl. Daarbij raakt cybersecurity de hele organisatie: engineering, operations, management, HR en compliance. “Je moet eerst begrijpen wat voor jouw organisatie echt kritisch is.” Dat is niet altijd wat je verwacht: bij één klant bleek niet de productielijn de grootste zorg, maar de bescherming van intellectueel eigendom.

Vragen die je als directeur stelt

Je hoeft geen specialist te worden. Wel helpt het om regelmatig de juiste vragen te stellen:

• Welke systemen zijn voor ons bedrijf onmisbaar, en hoe lang kunnen we zonder?
• Wat doen we als morgen al onze systemen versleuteld zijn? Is daar een plan voor, en is het geoefend?
• Wie mag bij ons op afstand inloggen, ook leveranciers van machines?
• Werken onze back-ups, en wanneer is dat voor het laatst getest?
• Welke eisen stellen onze klanten aan ons, en welke stellen wij aan onze leveranciers?
• Wie meldt een incident, en kunnen we dat binnen 24 uur?

Van vraag naar aanpak

Cybersecurity als bestuurstaak hoeft geen zwaar project te zijn. Het gaat erom dat het onderwerp een vaste plek krijgt in hoe je het bedrijf bestuurt, net als financiën, veiligheid of kwaliteit. Deze vijf stappen helpen daarbij.

1. Wijs binnen de directie één eigenaar aan

Als iedereen een beetje verantwoordelijk is, is niemand het. Wijs daarom één directielid aan als eigenaar van cybersecurity. Dat hoeft geen technisch specialist te zijn. De eigenaar zorgt dat het onderwerp op de agenda staat, is aanspreekpunt voor de IT-partner en weet wie wat doet als het misgaat. De uitvoering kan bij de IT-afdeling of een externe partij liggen, maar de verantwoordelijkheid blijft bij de directie.

2. Laat periodiek rapporteren

Spreek af dat de eigenaar, of de IT-partner, op vaste momenten rapporteert, bijvoorbeeld elk kwartaal. Houd het kort en begrijpelijk:

• Wat zijn onze belangrijkste risico’s, en zijn die veranderd?
• Welke maatregelen zijn genomen, en welke staan nog open?
• Zijn er incidenten of bijna-incidenten geweest, en wat hebben we ervan geleerd?
• Welke eisen stellen klanten aan ons, en welke stellen wij aan leveranciers?

Zo wordt cybersecurity een vast agendapunt in plaats van iets dat pas aandacht krijgt na een incident.

3. Zorg dat de directie zelf basiskennis opdoet

Je hoeft geen specialist te worden. Wel moet je de juiste vragen kunnen stellen en de antwoorden kunnen beoordelen. Voor organisaties die onder de Cyberbeveiligingswet vallen is dat een plicht: het Cyberbeveiligingsbesluit vraagt dat ieder bestuurslid over de kennis en vaardigheden beschikt om risico’s te herkennen en maatregelen te beoordelen.

Ook als je er niet onder valt, is basiskennis verstandig. Mogelijkheden zijn een training, een workshop of een kennissessie bij een regionaal cyberweerbaarheidscentrum. Het Cyberweerbaarheidscentrum Maakindustrie Zuid-Holland biedt deelnemers bijvoorbeeld praktische workshops en een Q&A-spreekuur.

4. Oefen een incident

Een plan dat nooit is geoefend, werkt in de praktijk vaak niet. Neem een realistisch scenario, bijvoorbeeld: op maandagochtend zijn alle systemen versleuteld en de productie ligt stil. Loop met de directie en de belangrijkste betrokkenen door wat er dan gebeurt:

• Wie wordt als eerste gebeld, en hoe, als e-mail en telefoonlijsten in het systeem niet werken?
• Wie besluit om systemen of productie stil te leggen?
• Wie informeert klanten, leveranciers en medewerkers, en wat zeg je?
• Moet het incident gemeld worden? Organisaties onder de Cyberbeveiligingswet moeten een significant incident binnen 24 uur melden.
• Hoe snel kunnen we terug naar een werkende situatie, en werken onze back-ups echt?

Leg de afspraken vast en bewaar ze ook op papier. FME helpt samen met partners ook bij het oefenen van beveiligingsincidenten.

5. Breng in beeld waar je staat

Begin met een nulmeting. De NIS2-Quickscan van de Rijksinspectie Digitale Infrastructuur bestaat uit 40 vragen en is bedoeld als nulmeting en handelingsperspectief. Je ziet dan waar je staat ten opzichte van de eisen uit de Cyberbeveiligingswet, ook als je er formeel niet onder valt.

Wil je dat een expert meekijkt? Via de Dienst Cyberweerbaarheid van Smart Industry voert een expert een nulmeting van je IT- en OT-omgeving uit en adviseert welke risico’s je als eerste aanpakt. De kosten worden voor een groot deel gedekt door subsidie.

Verdiepende informatie

Meer informatie vind je in de onderstaande artikelen:

• Geldt de Cyberbeveiligingswet ook voor jouw bedrijf? Wie eronder valt, wat de wet vraagt en wat het betekent als je klant eronder valt.
• Wat machinebouwers nu al moeten regelen vanwege de Cyber Resilience Act. De meldplicht die sinds september geldt en de eisen die in december 2027 volgen.
• Pak je OT-security aan om de fabrieksvloer te beveiligen Waarom machines en besturingen een eigen aanpak vragen. 
• Start met cybersecurity in vijf stappen: vijf eerste stappen. Gratis checks, basismaatregelen en de subsidie die tot en met 30 november openstaat.