Passend en evenredig
De zorgplicht verplicht essentiële en belangrijke entiteiten om passende en evenredige technische, operationele en organisatorische maatregelen te nemen. Die maatregelen moeten risico’s voor netwerk- en informatiesystemen beheersen, incidenten voorkomen en de gevolgen van incidenten beperken. Wat passend is, hangt af van uw risico’s, uw omvang en de mogelijke gevolgen van een incident voor uw klanten en de samenleving.
De onderwerpen uit het Cyberbeveiligingsbesluit
De zorgplicht is uitgewerkt in het Cyberbeveiligingsbesluit. De onderwerpen sluiten aan op de NIS2-richtlijn.
- Risicoanalyse en beveiligingsbeleid voor informatiesystemen.
- Incidentbehandeling.
- Bedrijfscontinuïteit, waaronder back-ups, herstel na een calamiteit en crisisbeheer.
- Beveiliging van de toeleveringsketen en de relatie met leveranciers.
- Beveiliging bij aanschaf, ontwikkeling en onderhoud van systemen, inclusief het omgaan met kwetsbaarheden.
- Beoordelen of de maatregelen effectief zijn.
- Basishygiëne en training op het gebied van cyberbeveiliging.
- Cryptografie en versleuteling.
- Personeelsbeveiliging, toegangsbeleid en beheer van bedrijfsmiddelen.
- Meervoudige authenticatie en beveiligde communicatie.
ISO 27001 als route
De wet verplicht geen ISO 27001-certificering. Een werkend ISMS dekt de meeste zorgplichtonderwerpen wel af: het vraagt een risicoanalyse, beleid, maatregelen uit Annex A, interne audits en een directie die stuurt. Organisaties met ISO 27001 doen er goed aan hun Verklaring van Toepasselijkheid naast de onderwerpen uit het besluit te leggen. De scope van het ISMS moet wel de diensten omvatten die onder de wet vallen.
Toon aan wat u doet
Een toezichthouder vraagt niet alleen of beleid bestaat, maar ook of het werkt. Zorg voor bewijs dat maatregelen zijn uitgevoerd: een recente hersteltest van back-ups, een overzicht van MFA-dekking, een beoordeling van kritieke leveranciers en de uitkomsten van een kwetsbaarhedenscan of pentest. Leg ook vast welke risico’s u bewust accepteert en waarom.
Begin met een gap-analyse
Vergelijk uw huidige maatregelen met de onderwerpen uit het besluit en beoordeel per onderwerp of het ontbreekt, gedeeltelijk is ingericht of aantoonbaar werkt. Zet de tekortkomingen om in een verbeterplan met eigenaren en termijnen en laat het bestuur dat plan goedkeuren. Zo voldoet u meteen aan de eis dat het bestuur de maatregelen vaststelt.