Als je het aan medewerkers in de IT vraagt, is het hebben van wettelijke minimumeisen op het gebied van cybersecurity en digitale weerbaarheid een goed idee. Maar liefst negen op de tien respondenten geeft aan hier volledig achter te staan. Hiermee verwachten ze dat hun opdrachtgever zich beter kan weren tegen digitale aanvallen van buitenaf.
Dat blijkt uit onderzoek van cybersecuritybedrijf Mimecast, waaruit Telecompaper citeert.
IT’ers: ‘Leg minimale veiligheidseisen wettelijk vast’
90 procent van de Nederlandse respondenten denkt dat het verstandig is om minimumeisen op het vlak van cybersecurity wettelijk vast te leggen. Dat is niet alleen goed voor de organisatie waarvoor zij werken, maar ook voor het bedrijfsleven, overheidsorganen en (maatschappelijke) organisaties. Vrijwel alle ondervraagden (96 procent) denken dat het opleggen van minimale veiligheidseisen de impact van een cyberaanval aanzienlijk verkleint. Tevens zorgt het er volgens de IT’ers voor dat managers en bestuurders meer aandacht krijgen voor het onderwerp.
Volgens de respondenten zitten er wel enkele haken en ogen aan zo’n initiatief. Het ligt voor de hand dat het bedrijfsleven hogere kosten moet maken om aan deze minimumeisen te voldoen. Verder verwachten ze dat organisaties minder vrijheid krijgen om te bepalen hoe ze met een beveiligingsincident omgaan.
‘De hele bv Nederland profiteert ervan’
Dirk Jan Koekkoek, vicepresident bij Mimecast, denkt aan de positieve gevolgen van het wettelijk vastleggen van minimale veiligheidseisen. “En als een goede basisbeveiliging overal vanzelfsprekend wordt, ook bij kleinere bedrijven, profiteert de hele bv Nederland daarvan. Bijvoorbeeld omdat dit het risico op geslaagde cyberaanvallen via ketenpartners verkleint”, zo vertelt hij tegenover Telecompaper.
Tegelijkertijd vreest hij dat sommige bedrijven alleen het absolute minimum doen om maar aan de eisen te voldoen. “Maar zo werkt cybersecurity niet”, zegt hij. “Het beperken van digitale risico’s vereist een gelaagde beveiliging, inclusief een goed geoefend incident-response plan en security-awareness trainingen. Cyberaanvallen vormen een serieuze bedreiging voor de business. Ook zonder wetgeving zou dit een prioriteit in elke bestuurskamer moeten zijn.”
Delen van dreigingsinformatie
Het is uiteraard niet zo dat er momenteel geen wetten en regels gelden om de digitale weerbaarheid te vergroten. Deze zijn in het leven geroepen voor bedrijven en organisaties die actief zijn in de vitale sector en Aanbieders van Essentiële Diensten (AED’s), zoals energieleveranciers en internetproviders. Zij dienen te voldoen aan de Wet beveiliging netwerk- en informatiesystemen (Wbni). Daarin staat dat het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) dreigingsinformatie met partijen mogen delen die onderdeel uitmaken van de vitale of kritieke infrastructuur.
Omdat deze wet voor een relatief kleine groep is bedacht, kan dat onwenselijke situaties opleveren. Aanbieder van niet-essentiële diensten hebben er immers ook baat bij als zij op de hoogte zijn van actuele en relevante digitale dreigingen. Om ervoor te zorgen dat zij er niet alleen voor staan, diende het kabinet begin dit jaar de Tijdelijke wet in om ook hen te informeren over cyberdreigingen. In afwachting van de wet mag het NCSC nu al relevante dreigings- en incidentinformatie delen met niet-vitale bedrijven en organisaties.
IT-verklaring om cybersecurity te verbeteren
Een ander initiatief om de digitale weerbaarheid te vergroten, komt uit de IT-sector. In augustus 2021 bedacht de beroepsvereniging voor IT-auditors Norea de IT-verklaring. Het idee daarachter is dat bedrijven en organisaties hiermee kunnen aantonen dat de beveiliging van hun systemen op orde is. Investeerders en financiële instellingen kunnen deze informatie gebruiken om al dan niet ergens geld in te steken.
Marc Welters, bestuursvoorzitter bij Norea benadrukte dat bedrijven, banken, investeerders en accountantskantoren de IT-verklaring wel zagen zitten. “Wij zijn één van de meest gedigitaliseerde landen. Andere landen, ook de VS, doen meer op papier. Het is daarom belangrijk dat we ook in de controle voorop lopen”, zei hij in een interview met het Financieele Dagblad.
Critici vrezen dat de IT-verklaring leidt tot hoge kosten en een hoop extra bureaucratie. En dat gaat mogelijk ten koste van het verbeteren van de cybersecurity. Precies het tegenovergestelde van wat de bedenkers proberen te realiseren. Verder vragen tegenstanders zich af wie de controles gaat uitvoeren. “Een echte techneut die de techniek snapt, staat over het algemeen niet te trappelen om bij een accountantskantoor te gaan werken”, aldus Alex Bik, directeur van BIT datacenters.
