Wie de Cyberbeveiligingswet leest op zoek naar een lijst met concrete eisen, komt uit bij artikel 21 lid 2 van de onderliggende NIS2-richtlijn. Daar staan tien onderwerpen, aangeduid met de letters a tot en met j. Ze zijn bewust technologieneutraal geformuleerd: de wet zegt wát er geregeld moet zijn, niet met welk product.
Voor een toeleverancier zijn deze tien het hele speelveld. De vragenlijsten die u van klanten krijgt, verschillen in lengte en toon, maar vrijwel elke vraag is terug te voeren op een van deze onderwerpen.
Welke tien maatregelen zijn het?
- Risicoanalyse en beveiligingsbeleid: weten wat er mis kan gaan en vastleggen hoe u daarmee omgaat.
- Incidentafhandeling: weten wat u doet als het misgaat, inclusief de melding binnen 24 uur.
- Bedrijfscontinuïteit en back-ups: doorwerken en herstellen als systemen uitvallen.
- Beveiliging van de toeleveringsketen: uw eigen leveranciers kennen en beoordelen.
- Aanschaf, ontwikkeling en onderhoud: veilige systemen kopen en ze bijgewerkt houden.
- Toetsen van effectiviteit: controleren dat de maatregelen werken, niet alleen dat ze bestaan.
- Cyberhygiëne en training: medewerkers en directie die weten wat ze doen.
- Cryptografie en encryptie: versleuteling van apparaten, verbindingen en back-ups.
- Personeel en toegangsbeheer: wie waar bij kan, en dat toegang stopt als het dienstverband stopt.
- Meervoudige authenticatie en veilige communicatie: MFA op alles wat vanaf internet bereikbaar is, en bereikbaar blijven in een crisis.
Moet ik ze alle tien volledig op orde hebben?
De wet vraagt om maatregelen die passen bij uw risico's en uw omvang; dat heet proportionaliteit. Een bedrijf van vijftien man hoeft geen securityafdeling op te tuigen. Wat klanten wel verwachten: dat u per onderwerp kunt vertellen wat u geregeld heeft, en dat de basis (MFA, back-ups, incidentmelding, patches) aantoonbaar staat.
"Aantoonbaar" is daarbij het sleutelwoord. Een maatregel die nergens is vastgelegd, bestaat voor een auditor niet. Vandaar dat elk van de tien pagina's hierboven eindigt met wat u op papier moet hebben.
Hoe ziet proportioneel eruit voor een klein bedrijf?
De richtlijn noemt vier dingen waar de omvang van de maatregel aan mag worden opgehangen: de risico's die u loopt, de kans en de ernst van een incident, de stand van de techniek, en de kosten in verhouding tot het bedrijf. Dat is geen ontsnappingsclausule maar een meetlat, en hij werkt twee kanten op. Een ICT-dienstverlener met beheertoegang tot de systemen van een ziekenhuis wordt zwaarder gewogen dan een cateraar met een pasje voor de kantine, ook als beide vijftien man hebben.
Praktisch betekent proportioneel voor een klein bedrijf: de basis aantoonbaar op orde, en per onderwerp één A4 waarop staat wat u doet en waarom dat past bij uw situatie. Geen securityafdeling, geen certificeringstraject, maar ook geen leeg vakje.
Moet ik hiervoor ISO 27001 halen?
Nee. Noch de richtlijn noch de Cyberbeveiligingswet schrijft een certificaat voor. Een certificaat is een manier om aan te tonen dat u de onderwerpen beheerst, niet de enige. Voor de meeste toeleveranciers is het middel duurder dan het probleem: een traject van maanden en een terugkerende auditrekening, om een vraag te beantwoorden die met een ingevuld antwoord en wat bewijsstukken ook beantwoord is.
Het omgekeerde is wel waar: bent u al ISO 27001- of NEN 7510-gecertificeerd, dan dekt dat een groot deel van de tien onderwerpen, en kunt u op veel vragen naar uw verklaring van toepasselijkheid verwijzen. Vraagt een klant expliciet om een certificaat in het contract, dan is dat een commerciële eis, geen wettelijke.
Waar sta ik nu?
Loop de tien onderwerpen hierboven langs en bepaal per onderwerp of het geregeld is, half geregeld, of helemaal niet. Dat is dezelfde vraag die een klantvragenlijst stelt, alleen dan uitgesmeerd over tweehonderd vragen in plaats van tien onderwerpen.
Pak daarna aan in volgorde van moeite: wat weinig kost en veel oplevert eerst, het zware werk daarna. Zo heeft u bij de volgende vragenlijst niet alleen een antwoord, maar ook een verhaal over wat er loopt. Welke volgorde dat in de praktijk is, staat in de eerste stappen.