Voor welke organisaties geldt de wet?

De Cyberbeveiligingswet richt zich op organisaties in sectoren die belangrijk zijn voor de economie en de maatschappij. Een organisatie wordt aangemerkt als essentiële of belangrijke entiteit, afhankelijk van de sector, de activiteiten en de omvang.

Voor organisaties die onder de wet vallen, gelden drie kernverplichtingen:

• Zorgplicht: passende en evenredige maatregelen nemen om cyberrisico's te beheersen.
• Meldplicht: significante incidenten tijdig melden.
• Registratieplicht: de organisatie opnemen in het entiteitenregister via MijnNCSC.

Wat houdt de zorgplicht in?

Organisaties moeten passende en evenredige maatregelen nemen om hun netwerk- en informatiesystemen te beschermen en de continuïteit van hun diensten te waarborgen. Niet elke organisatie hoeft dezelfde maatregelen te nemen. Wat passend is, hangt af van de risico's, de omvang van de organisatie en de mogelijke impact van een incident.

De zorgplicht omvat tien maatregelen die samen vrijwel elk onderdeel van cybersecurity raken:

• Risicoanalyse
• Incidentrespons
• Voorbereiding op uitval en herstel
• Beveiliging van de toeleveringsketen
• Cyberhygiëne en cybersecuritytraining
• Beveiliging van netwerk- en informatiesystemen
• Beveiliging rond personeel, toegang en assetbeheer
• Veilige authenticatie en communicatie, waaronder het gebruik van passkeys
• Beleid voor cryptografie
• Beoordeling van de effectiviteit van cybersecuritymaatregelen

De precieze invulling wordt verder uitgewerkt in lagere regelgeving en kan per sector verschillen.
Bekijk de NIS2-zorgplicht bij het NCSC.

Wat houdt de meldplicht in?

De meldplicht geldt bij incidenten die de dienstverlening ernstig verstoren of aanzienlijke schade veroorzaken. Wat als significant wordt aangemerkt, hangt af van de sector en de situatie. De meldplicht werkt in stappen: een vroegtijdige waarschuwing moet uiterlijk binnen 24 uur worden gedaan, binnen 72 uur volgt een melding met meer duidelijkheid over de ernst en gevolgen, en uiterlijk binnen één maand volgt een eindrapport. Als het incident dan nog loopt, wordt eerst een voortgangsverslag ingediend.

Die termijnen worden alleen gehaald als verdachte signalen snel bij de juiste mensen terechtkomen. Een incidentresponsplan met duidelijke procedures is daarom geen formaliteit, maar de basis waarop deze meldplicht in de praktijk werkt. Lees meer over de meldplicht bij het NCSC.

Wat houdt de registratieplicht in?

Organisaties die onder de Cyberbeveiligingswet vallen, zijn verplicht zich te registreren in het entiteitenregister via MijnNCSC. Dit geeft toezichthouders inzicht in welke organisaties onder de wet vallen en maakt gerichte communicatie bij dreigingen mogelijk.

Cybersecurity wordt een verantwoordelijkheid van het bestuur

Een van de belangrijkste veranderingen onder NIS2 is de nadrukkelijke rol van bestuurders. Het bestuur is eindverantwoordelijk voor het naleven van de zorgplicht. Bestuurders moeten de cybersecuritymaatregelen goedkeuren, toezicht houden op de uitvoering en hiervoor een passende training volgen. Cybersecurity hoort daarmee thuis op de bestuurstafel, niet alleen bij de IT-afdeling.

Ook leveranciers spelen een rol

NIS2 kijkt niet alleen naar de eigen systemen van een organisatie. Een organisatie kan zelf goed beveiligd zijn, terwijl een kwetsbaarheid bij een leverancier alsnog toegang geeft tot systemen of bedrijfsgegevens. Daarom vraagt de zorgplicht ook om inzicht in de cybersecurityrisico's van leveranciers en andere partijen waarvan een organisatie afhankelijk is.

Wat betekent dit concreet voor de organisatie van uw klant?

De vraag is niet alleen óf de organisatie van uw klant maatregelen heeft genomen, maar ook of ze in de praktijk werken. Zijn kritieke systemen, gegevens en processen in kaart gebracht? Worden kwetsbaarheden actief opgevolgd? Weten medewerkers hoe ze phishing en andere vormen van social engineering herkennen? En is duidelijk wat er gebeurt wanneer een incident toch plaatsvindt? Juist die praktische uitvoering maakt het verschil tussen beleid op papier en daadwerkelijke cyberweerbaarheid.

Is een cyberverzekering verplicht onder NIS2?

Nee. De wet schrijft geen cyberverzekering voor. Een verzekering kan wel onderdeel zijn van een bredere aanpak van cyberrisico's. Een cyberincident brengt vaak ook financiële gevolgen met zich mee, van forensisch onderzoek en incidentrespons tot bedrijfsonderbreking en aansprakelijkheidsclaims. Preventie en risicobeheersing staan daarom niet los van de financiële impact van een incident.

Hoe Stoïk kan helpen bij uw NIS2-aanpak

Stoïk combineert cyberverzekering met preventie, detectie, training en 24/7 incidentrespons. Onze 360°-aanpak voor cyberrisicobeheer bestaat uit vijf onderdelen:

• Technisch risico: inzicht in technische risico's.
  NIS2 vraagt organisaties om cyberrisico's en kwetsbaarheden actief te beheersen. Stoïk brengt die risico's continu in kaart met scans van externe assets, Active Directory, cloudomgevingen en gelekte credentials. Jaarlijks signaleren onze scans zo'n 201.000 kwetsbaarheden binnen ons portfolio. 70% van de kritieke bevindingen wordt dankzij proactieve meldingen daadwerkelijk verholpen.
• Menselijk risico: medewerkers weerbaarder maken.
  NIS2 vraagt ook aandacht voor cyberhygiëne en cybersecuritytraining. Met Human Risk biedt Stoïk awareness-training en phishing-simulaties waarmee medewerkers leren om phishing en andere vormen van social engineering te herkennen, te weerstaan en te melden.
• Managed Defense: 24/7 detectie en management.
  Niet ieder incident kan worden voorkomen. Daarom zijn continue detectie en snelle respons essentieel. Via Managed Defense monitort ons eigen SOC de omgeving 24/7. MDR en Managed Email Security helpen om verdachte activiteiten en aanvallen vroegtijdig te detecteren en waar mogelijk direct te stoppen.
• 24/7 incident Response: reageren en herstellen.
  NIS2 vraagt organisaties om incidenten te kunnen detecteren, beheersen en oplossen en om significante incidenten tijdig te melden. Ons in-house CERT staat 24/7 klaar om incidenten te onderzoeken, in te dammen en systemen te herstellen. Het team behandelt inmiddels meer dan 150 incidenten per maand, met een gemiddelde hersteltijd van minder dan 5 dagen.
• Verzekering: financiële gevolgen opvangen.
  Zelfs met sterke beveiligingsmaatregelen blijft cyberrisico bestaan. Een cyberverzekering helpt de financiële gevolgen van een incident op te vangen, bijvoorbeeld bij incidentrespons, herstel, bedrijfsonderbreking en aansprakelijkheid.
  

Eigen verantwoordelijkheid

Hoewel Stoïk een groot deel van de technische en operationele maatregelen kan ondersteunen, blijft uw klant verantwoordelijk voor het geheel. Denk aan een cybersecuritybeleid en governance, formele risicoanalyses, leveranciersbeheer en maatregelen rond bijvoorbeeld cryptografie en de beveiliging van de toeleveringsketen.

De meerwaarde zit in de samenhang: risico's identificeren, medewerkers trainen, dreigingen detecteren, incidenten afhandelen en de financiële impact opvangen binnen één aanpak. Wilt u weten waar uw klant vandaag staat en welke maatregelen nog nodig zijn? Praat erover met uw contactpersoon bij Stoïk. Wij denken graag mee.