Een logische vraag. Maar wat ons betreft niet de interessantste. Want of je nu rechtstreeks onder de Cyberbeveiligingswet valt, via een klant met eisen te maken krijgt of formeel helemaal buiten de scope blijft: cybercriminelen controleren je SBI-code niet voordat ze aanvallen.
De betere vraag is daarom: hoe digitaal weerbaar is onze organisatie eigenlijk?
Kunnen we het lijstje even afvinken?
We hebben inmiddels genoeg gesprekken gevoerd met CTO’s, CISO’s, IT-managers en bestuurders over NIS2. Sommige gesprekken beginnen ongeveer zo:
- Wat moeten we minimaal regelen?
- Hoe krijgen we dit zo snel mogelijk afgevinkt?
- En hoe houden we de kosten zo laag mogelijk zodat we daarna weer verder kunnen zoals we altijd deden?
We zullen eerlijk zijn. Daar krijgen wij niet enorm veel energie van.
Niet omdat regels en verplichtingen onbelangrijk zijn. Natuurlijk moet je weten waar je aan moet voldoen. Maar wanneer cybersecurity een jaarlijks lijstje wordt dat zo snel mogelijk de la in moet, missen we het hele punt.
NIS2 is geen einddoel. Digitale weerbaarheid wel.
De gesprekken die we wél interessant vinden
Gelukkig voeren we ook andere gesprekken. Soms valt tijdens zo’n gesprek het woord NIS2 nauwelijks. De vraag is dan bijvoorbeeld: wat kunnen we nog meer doen om onze verantwoordelijkheid te nemen?
Dat is een stuk interessanter. Dan praat je niet alleen over MFA of een firewall, maar ook over wat er gebeurt wanneer systemen uitvallen. Wie dan wat doet. Hoe snel je kunt herstellen. Welke leveranciers essentieel zijn. Of medewerkers weten hoe ze moeten reageren op iets verdachts. En of je kunt aantonen dat maatregelen niet alleen netjes op papier staan, maar ook daadwerkelijk werken.
Daar gaat digitale weerbaarheid wat ons betreft over.
Maar val ik nu wel of niet onder NIS2?
Oké, toch even die vraag.
De Europese NIS2-richtlijn is in Nederland verwerkt in de Cyberbeveiligingswet. Die geldt onder andere voor organisaties die essentiële of belangrijke diensten leveren binnen verschillende aangewezen sectoren.
Val je daar rechtstreeks onder? Dan gelden wettelijke verplichtingen op het gebied van onder meer risicobeheersing, incidenten, registratie en bestuurlijke verantwoordelijkheid.
Maar daarmee houdt het verhaal niet op. Want ook als je zelf niet rechtstreeks onder de wet valt, kun je er via de keten mee te maken krijgen.
Stel dat een belangrijke klant wél onder de Cyberbeveiligingswet valt. Die klant moet risico’s in zijn leveranciersketen beheersen en kan dus ook eisen gaan stellen aan jouw beveiliging.
Bijvoorbeeld omdat je toegang hebt tot systemen, IT-diensten levert of een belangrijke schakel bent in een bedrijfsproces. Dan staat jouw bedrijfsnaam misschien niet rechtstreeks in een register, maar je krijgt wél de vragen.
En als je daar geen goed antwoord op hebt, is de kans groot dat er binnenkort een andere leverancier aan tafel zit die dit wel geregeld heeft.
Cybersecurity is geen project met een einddatum
Bij de inrichting van digitale weerbaarheid komen we onderwerpen tegen als:
- MFA en toegangsbeheer;
- back-ups en herstel;
- patch- en updatebeleid;
- monitoring en logging;
- incidentprocedures;
- leveranciersrisico’s;
- bewustwording onder medewerkers;
- risicoanalyses;
- documentatie.
Allemaal belangrijk. Maar je kunt ze ook allemaal een vinkje geven en alsnog niet bijzonder weerbaar zijn.
Een back-up hebben is bijvoorbeeld mooi. Heb je ook getest of je hem kunt terugzetten? Hoe lang duurt dat? Weet je welke systemen als eerste terug moeten zijn? En wie neemt die beslissing als er op maandagochtend niemand meer kan werken?
Hetzelfde geldt voor monitoring. Logs verzamelen is eenvoudig. Maar wie kijkt ernaar? Wanneer wordt er actie ondernomen? En hoe snel merk je eigenlijk dat er iets fout gaat?
Monitoring zonder opvolging is vooral heel veel netjes opgeslagen ellende.
Techniek is maar een deel van het antwoord
Techniek is maar een deel van het antwoord
Vanuit onze MSP-rol houden we natuurlijk van techniek.
- MFA? Zeker.
- Goede back-ups? Uiteraard.
- Systemen netjes patchen? Worden we blij van.
Maar techniek lost niet alles op.
Een organisatie kan technisch uitstekend beveiligd zijn en alsnog kwetsbaar blijken omdat verantwoordelijkheden onduidelijk zijn. Omdat niemand weet wie een incident moet melden. Omdat een leverancier onverwacht toegang heeft tot kritieke systemen. Of omdat een medewerker bij een overtuigende phishingmail toch denkt: ziet er wel betrouwbaar uit.
Digitale weerbaarheid bestaat daarom uit techniek én processen én mensen. En het bestuur hoort daar net zo goed bij.
Cybersecurity is allang niet meer alleen iets voor de IT-afdeling.
En dan is er nog de keten
Organisaties zijn steeds afhankelijker van andere organisaties:
- Cloudleveranciers.
- Softwarepartners.
- IT-dienstverleners.
- Salarisverwerkers.
- Logistieke partijen.
- En ga zo maar door.
Je kunt je eigen voordeur uitstekend beveiligen, maar als iemand via de achterdeur van een leverancier naar binnen komt, heb je daar weinig aan.
Daarom krijgt leveranciersmanagement binnen de Cyberbeveiligingswet nadrukkelijk aandacht. Welke leveranciers zijn kritisch? Waar hebben zij toegang toe? Welke afspraken zijn gemaakt over beveiliging? Wat gebeurt er als zij een incident hebben? En kun je bij een storing simpelweg wachten tot zij weer online zijn?
Dat zijn misschien niet de spannendste vragen voor tijdens de vrijdagmiddagborrel.
Totdat het misgaat.
Zijn wij klaar voor NIS2?
Ook die vraag krijgen we.
Ons antwoord is meestal niet direct ja of nee. We kijken liever eerst naar de huidige situatie: welke maatregelen zijn er al? Welke risico’s spelen daadwerkelijk binnen deze organisatie? Hoe afhankelijk ben je van bepaalde systemen en leveranciers? Hoe snel kun je herstellen? Wat gebeurt er bij een incident?
En vooral: weet iedereen wat hij op dat moment moet doen?
Voor de ene organisatie betekent dat dat een paar technische maatregelen aangescherpt moeten worden. Bij een andere organisatie staat de techniek behoorlijk goed, maar ontbreken duidelijke procedures. En soms moet je eigenlijk gewoon eerst inventariseren wat er allemaal staat. Ook prima.
Je hoeft niet direct twintig nieuwe oplossingen aan te schaffen om veiliger te worden.
NIS2 is misschien vooral een goede aanleiding
NIS2 is misschien vooral een goede aanleiding
We zouden NIS2 kunnen benaderen als een verzameling verplichtingen waar organisaties zo snel mogelijk doorheen moeten. Maar eerlijk gezegd vinden we dat zonde. Het is ook een goede aanleiding om een veel belangrijker gesprek te voeren:
- Hoe afhankelijk zijn we eigenlijk geworden van onze IT?
- Welke risico’s accepteren we?
- Welke absoluut niet?
- Hoe beschermen we onze klanten en medewerkers?
- En zijn we voorbereid op het moment dat er ondanks alle maatregelen tóch iets gebeurt?
Cybersecurity is nooit klaar.
Nieuwe systemen komen erbij. Organisaties veranderen. Leveranciers wisselen. Dreigingen ontwikkelen zich. Dus beveiligen, monitoren, testen en verbeteren blijven doorgaan.
Geen vinkje. Wel verantwoordelijkheid.
Waar begin je?
Niet met het bestellen van allerlei securityproducten. En wat ons betreft ook niet met een spreadsheet met honderd vakjes. Begin met inzicht.
Welke systemen zijn belangrijk? Welke risico’s zie je? Welke maatregelen heb je al? Welke leveranciers zijn cruciaal? Wat gebeurt er als iets uitvalt? En hoe snel kun je weer verder?
Van daaruit kun je bepalen wat passend en haalbaar is.
Heb je geen idee waar je organisatie op dat vlak staat? Dan is dat eigenlijk al nuttige informatie.
Een goede inventarisatie en een eerlijk gesprek zijn vaak een betere eerste stap dan doen alsof het honderdste groene vinkje betekent dat je klaar bent.