Cyberbeveiligingswet: uw stappenplan

De Cyberbeveiligingswet is van kracht en het toezicht wordt opgebouwd. Voor organisaties die nog moeten beginnen is de vraag niet zozeer wat er moet gebeuren, maar in welke volgorde en met welk tijdpad.

Dat tijdpad wordt zelden bepaald door de inhoud. Het wordt bepaald door twee dingen die u niet zelf in de hand heeft: de beschikbaarheid van uw eigen mensen en de reactiesnelheid van uw leveranciers.

Hieronder staat een realistisch stappenplan met per fase wat er gebeurt en waar de tijd in gaat zitten.

Fase 1: weten waar u staat

Begin met de reikwijdtevraag en met een beeld van wat er al ligt. Die twee samen bepalen de omvang van alles daarna en zijn in een paar weken te doen.

Onderschat het niet omdat het klein lijkt. Een verkeerde aanname over de reikwijdte aan het begin is de duurste fout die u in dit traject kunt maken, in beide richtingen: te veel doen of te laat beginnen.

Sluit deze fase af met een vastgelegd oordeel over de reikwijdte, een registratie als die nodig is, en een overzicht van de gaten. Zie de NIS2 gap-analyse.

Fase 2: het fundament

Hier legt u de basis: scope, risicobeoordeling, rollen en mandaat, en het beleid. Reken op enkele maanden, waarbij het meeste tijd gaat zitten in afstemming en niet in schrijfwerk.

Plan de besluitmomenten vooruit. Een risicobeoordeling die klaar is maar drie weken wacht op een directievergadering, is drie weken vertraging die u had kunnen voorkomen.

Fase 3: maatregelen en meldketen

Nu vult u aan wat ontbreekt. Begin bij de basishygiëne, want daar zit de meeste risicoreductie per bestede uur: updates, toegangsbeheer, beproefde back-ups, meerfactorauthenticatie en bewustwording.

Richt in dezelfde fase de meldketen in, inclusief criteria voor wanneer iets significant is en bereikbaarheid buiten kantooruren. Zie de NIS2 meldplicht.

Fase 4: de keten

Dit is de fase met de langste doorlooptijd en de minste controle, want u bent afhankelijk van uw leveranciers. Begin er daarom vroeg mee, parallel aan fase 3.

Breng in kaart wie toegang heeft tot uw systemen of gegevens en wie een kritieke functie raakt. Vraag daarna per leverancier na wat er is geregeld en leg de afspraken vast bij de eerstvolgende contractronde.

Reken op weken tot maanden aan wachttijd, zeker bij grotere leveranciers die veel van deze verzoeken krijgen.

Fase 5: het ritme

Tot slot maakt u er iets terugkerends van. Zet de momenten in de agenda: herziening van de risicobeoordeling, toetsing van de maatregelen, en de bespreking met het bestuur.

Dit is de fase die het vaakst wordt overgeslagen, met als gevolg dat alles een jaar later opnieuw moet. Zie de PDCA-cyclus voor hoe u dat licht houdt.

Wat u parallel kunt laten lopen

De grootste tijdwinst zit niet in sneller werken maar in slimmer plannen. Drie dingen kunnen naast elkaar lopen.

De keten kunt u meteen starten, ook als het fundament nog niet staat. Het inventariseren van uw leveranciers en het uitzetten van vragen kost vooral wachttijd, en die wachttijd loopt door terwijl u aan de risicobeoordeling werkt.

De basishygiëne hoeft ook niet te wachten. Updates bijwerken, accounts van vertrokken medewerkers intrekken, meerfactorauthenticatie aanzetten en een herstel van de back-up beproeven: dat zijn maatregelen die hoe dan ook nodig zijn, ongeacht wat er uit de risicobeoordeling komt.

En de bestuurlijke kant kunt u vanaf het begin meenemen door het onderwerp meteen te agenderen. Dan bouwt u de vastlegging gaandeweg op in plaats van achteraf te moeten reconstrueren dat het bestuur betrokken was.

Wat u niet parallel kunt doen is de reikwijdtevraag. Daaruit volgt alles, dus die is altijd eerst.

Wat het toezicht in de praktijk betekent

Rond nieuwe wetgeving ontstaat vaak het beeld van een toezichthouder die op de stoep staat. Zo werkt het zelden, en het helpt om te weten wat u wel kunt verwachten.

Het toezicht wordt opgebouwd en richt zich in de eerste periode vooral op de vraag of organisaties zich hebben geregistreerd en of er een aantoonbaar traject loopt. Een organisatie die kan laten zien dat zij de reikwijdte heeft beoordeeld, een plan heeft en eraan werkt, staat er anders voor dan een organisatie zonder dossier.

Wat de meeste organisaties eerder merken is iets anders: de vraag vanuit klanten. In aanbestedingen en leveranciersbeoordelingen komt het onderwerp inmiddels standaard langs, vaak met een vragenlijst erbij. Die vraag komt doorgaans ruim voor een toezichthouder.

Dat is meteen het beste argument om niet te wachten. Het dossier dat u opbouwt voor de wet is hetzelfde dossier waarmee u die klantvragen beantwoordt.

Wat u minimaal op orde wilt hebben

Kunt u het traject niet in één keer doen, richt u dan op vier dingen die samen het meeste opleveren.

Een vastgelegd oordeel over de reikwijdte, met de onderbouwing. Dat is het eerste wat wordt gevraagd en het kost een dag.

De registratie, als u eronder valt. Een aparte verplichting die vaak blijft liggen omdat alle aandacht naar maatregelen gaat.

Een werkende meldketen, met criteria voor wanneer iets significant is en bereikbaarheid buiten kantooruren. Dit is het onderdeel waar u onder tijdsdruk geen fouten wilt maken.

En de basishygiëne, want dat is de laag die het grootste deel van de incidenten voorkomt. Updates, toegangsbeheer, beproefde back-ups en meerfactorauthenticatie op alles wat van buiten bereikbaar is.

Die vier zijn in weken te regelen. De rest kan daarna gefaseerd, mits u kunt laten zien dat het loopt.

Veelgestelde vragen over het stappenplan

Hoe lang duurt het hele traject?

Voor een organisatie die bij nul begint zijn enkele maanden tot een jaar gebruikelijk. Ligt er al een managementsysteem, dan is het vooral aanvullen en vastleggen. De keten is de grootste onzekerheid.

Waar moet ik als eerste aan beginnen?

Aan de reikwijdtevraag en aan de keten. Die eerste bepaalt of het traject nodig is, die tweede heeft de langste doorlooptijd. De rest kan daarna.

Is er een overgangsperiode?

De wet is van kracht. Wat wel geleidelijk gaat, is de opbouw van het toezicht. Dat is geen reden om te wachten, want de contractuele vraag vanuit klanten komt vaak eerder dan de toezichthouder.

Kunnen we fases parallel doen?

Ja, en dat is aan te raden voor de keten. Die kunt u naast het fundament laten lopen omdat het vooral wachttijd is. Fase 1 kunt u niet parallel doen, want daaruit volgt de rest.

Wat als we niet op tijd klaar zijn?

Zorg dan in elk geval dat vastligt dat u ermee bezig bent: een oordeel over de reikwijdte, een plan met prioriteiten en een verantwoordelijke. Een aantoonbaar lopend traject staat er anders voor dan geen dossier.