De zorgplicht is het hart van de Cyberbeveiligingswet (Cbw), de Nederlandse NIS2-wet. Je moet je risico's beheersen met "passende technische en organisatorische maatregelen". De wet noemt tien onderwerpen die je in elk geval moet regelen.
Dat klinkt groot, maar "passend" betekent: in verhouding tot je risico's en je omvang. Een bedrijf met 60 medewerkers hoeft niet hetzelfde te doen als een bank. Hieronder per maatregel wat het in de praktijk betekent en waar je morgen mee begint.
Ook als je zelf niet onder de wet valt, is deze lijst nuttig: het zijn precies de dingen waar je klanten naar vragen als zij er wel onder vallen.
1. Risicoanalyse en beveiligingsbeleid
Wat het betekent: je weet welke systemen en gegevens belangrijk zijn, welke dreigingen daarop spelen, en je hebt op papier hoe je daarmee omgaat.
Begin met: een lijst van je belangrijkste systemen (website, e-mail, boekhouding, klantgegevens, productie) met per systeem: wie is eigenaar, wat gebeurt er als het een dag uitvalt, en wat staat er open naar internet. Twee pagina's beleid is genoeg om mee te starten.
2. Incidentafhandeling
Wat het betekent: je merkt een incident op, je weet wie wat doet, en je kunt binnen 24 uur melden.
Begin met: een incidentplan van één pagina: wie is de eerste contactpersoon, wie beslist, wie meldt bij het NCSC, en wie belt met klanten. Zorg dat je ziet wat er gebeurt: zonder logging en monitoring merk je een aanval vaak pas als het te laat is.
3. Bedrijfscontinuïteit, back-ups en crisisbeheer
Wat het betekent: je kunt verder als systemen uitvallen of versleuteld worden, en je kunt herstellen.
Begin met: de 3-2-1-regel voor back-ups (drie kopieën, twee soorten opslag, één offline of onveranderbaar). En het belangrijkste: test een herstel. Een back-up die je nooit hebt teruggezet, is een hoop, geen plan.
4. Beveiliging van de toeleveringsketen
Wat het betekent: je kijkt ook naar de beveiliging van je leveranciers, zoals je IT-beheerder, hostingpartij en softwareleveranciers.
Begin met: een lijst van leveranciers die toegang hebben tot je systemen of gegevens. Vraag de belangrijkste welke beveiliging ze hebben (bijvoorbeeld ISO 27001) en leg afspraken over beveiliging en incidentmeldingen vast in je contracten.
5. Veilige aanschaf, ontwikkeling en onderhoud
Wat het betekent: beveiliging speelt mee bij het kopen en bouwen van systemen, en je houdt ze actueel. Dit omvat ook het omgaan met kwetsbaarheden en het hebben van een manier waarop anderen kwetsbaarheden bij jou kunnen melden.
Begin met: een vast patchritme, en voorrang voor kwetsbaarheden die actief worden misbruikt. Zet een security.txt-bestand of een pagina voor responsible disclosure op je website, zodat onderzoekers weten waar ze terechtkunnen.
6. Beoordelen of je maatregelen werken
Wat het betekent: je toetst regelmatig of de maatregelen echt doen wat ze moeten doen.
Begin met: een paar meetbare punten die je elk kwartaal bekijkt, zoals het percentage accounts met MFA, het aantal openstaande kritieke kwetsbaarheden, en de datum van de laatste hersteltest. Leg vast wat je bekeken hebt: dat is je bewijs richting toezichthouder of klant.
7. Basishygiëne en training
Wat het betekent: iedereen in de organisatie kent de basis, en het bestuur volgt een passende training (dat is onder de Cbw verplicht).
Begin met: een korte jaarlijkse training over phishing, wachtwoorden en het melden van iets verdachts. Maak melden makkelijk en veilig: wie op een verkeerde link klikt, moet dat direct durven zeggen.
8. Cryptografie en versleuteling
Wat het betekent: je hebt beleid voor het versleutelen van gegevens, onderweg en waar nodig ook in opslag.
Begin met: controleer dat al je websites en diensten HTTPS met een actuele TLS-versie gebruiken, dat certificaten niet verlopen, en dat laptops versleuteld zijn (BitLocker of FileVault).
9. Personeel, toegangsbeheer en overzicht van bedrijfsmiddelen
Wat het betekent: je weet welke apparaten en accounts er zijn, wie waar bij kan, en je regelt dat bij in- en uitdiensttreding.
Begin met: een actuele lijst van apparaten en accounts, en een vaste checklist voor vertrekkende medewerkers (accounts uit, toegangspassen in, wachtwoorden van gedeelde accounts wijzigen). Geef mensen alleen de rechten die ze nodig hebben.
10. Multifactorauthenticatie en beveiligde communicatie
Wat het betekent: waar passend gebruik je MFA, beveiligde communicatie en een veilig noodcommunicatiekanaal.
Begin met: MFA op e-mail, beheeraccounts en toegang op afstand (VPN, RDP). Dat is de maatregel met de grootste winst per euro. Spreek ook af hoe je communiceert als je e-mail zelf getroffen is, bijvoorbeeld een telefoonlijst op papier.
Waar begin je als je weinig tijd hebt?
Doe deze vijf eerst. Ze dekken het grootste deel van de aanvallen op het mkb:
- MFA op e-mail en alle beheer- en externe toegang.
- Back-ups volgens 3-2-1, met een geteste hersteltest.
- Patchen, met voorrang voor kwetsbaarheden die actief worden misbruikt.
- Zicht op wat er gebeurt: logging, monitoring en meldingen bij verdachte activiteit.
- Een incidentplan van één pagina, inclusief wie binnen 24 uur meldt.
Hoe OZAG Security helpt
OZAG Security neemt een deel van deze lijst direct uit handen. Het platform signaleert aanvallen en verdachte activiteit (maatregel 2), houdt bij welke van je systemen kwetsbaarheden hebben die actief worden misbruikt (5), controleert je websites op verlopen certificaten, verouderde TLS en ontbrekende beveiligingsheaders (8), ziet risicovolle diensten zoals RDP die open staan naar internet (9 en 10), en maakt NIS2-rapporten die laten zien wat je hebt gedaan (6). Je kunt het 14 dagen gratis proberen.
Lees ook: Geldt de Cyberbeveiligingswet voor jouw bedrijf?
Dit artikel is algemene informatie en geen juridisch advies.