De Cyberbeveiligingswet legt de rekening bij de directiekamer

Wat er van een bestuur wordt verwacht

De richtlijn regelt het bestuur in een apart artikel, artikel 20. Vier dingen staan daarin. Het bestuur moet het cyberbeveiligingsbeleid formeel goedkeuren en periodiek herzien. Het moet toezicht houden op de uitvoering, en dus kunnen uitleggen wat er is gedaan. Het moet er budget aan toewijzen. En er moeten rapportagelijnen zijn waarlangs de directie de stand van zaken kan beoordelen, in plaats van er één keer per jaar naar te raden.

Daar komt iets bij dat veel bestuurders nog niet weten: de richtlijn schrijft voor dat bestuursleden zelf scholing volgen op dit gebied. Niet de systeembeheerder, de directie.

De sancties zijn navenant. Voor essentiële entiteiten loopt de boete op tot tien miljoen euro of twee procent van de wereldwijde jaaromzet, voor belangrijke entiteiten tot zeven miljoen of 1,4 procent. Er zit bovendien een persoonlijk element in: bij aantoonbare nalatigheid kan de toezichthouder een bestuurder tijdelijk verbieden een leidinggevende functie uit te oefenen. Guardey zette op een rij wie er aansprakelijk is als het misgaat, en dat is nuchterder dan de schrikbeelden die erover rondgaan. Maar het ligt wel op de directietafel.

“Wij vallen er toch niet onder?”

Waarschijnlijk klopt dat. Bouw staat niet in de sectorlijst van de wet. Twee kanttekeningen zijn het waard om na te lopen.

De eerste: afvalbeheer en productie staan er wél in, als belangrijke entiteit. Wie naast grondverzet ook grondbank- of verwerkingsactiviteiten heeft en boven de vijftig medewerkers of tien miljoen euro omzet zit, kan er alsnog zelf onder vallen. Dat is een kwartier uitzoeken.

De tweede weegt zwaarder: je opdrachtgevers vallen er vrijwel allemaal onder. Energie, drinkwater en afvalwater, en vervoer over weg, spoor en water zijn essentiële sectoren. Waterschappen, drinkwaterbedrijven, netbeheerders, havenbedrijven en wegbeheerders zitten er dus in. En die opdrachtgevers moeten niet alleen hun eigen huis op orde hebben, maar ook de risico’s in hun toeleveringsketen beheersen: een overzicht van cruciale leveranciers, cyberbeveiligingseisen in de contracten met die leveranciers, en zicht op de risico’s van afhankelijkheid van derden.

Voor een waterschap ben jij een cruciale leverancier zodra je aan een gemaal of een zuivering werkt. De enige manier waarop zij dat kunnen aantonen, is via het contract met jou. Zo komt een wet waar je niet onder valt toch in je bestek terecht, en wordt het alsnog een onderwerp voor jouw directie.

En dan is er nog een reden om hier los van de wet naar te kijken. Een verplichting is een aanleiding, geen doel. Wie buiten de sectorlijst valt heeft precies dezelfde projectmailboxen, dezelfde termijnbetalingen en dezelfde wisselende onderaannemers als een bedrijf dat er wel onder valt. De tien maatregelen van de zorgplicht zijn ook zonder wettelijke plicht een bruikbare checklist, en ze zijn gratis in te zien.

Wat namelijk wél veranderd is, is het tempo. Een verdachte mail viel vroeger op door zijn taalfouten en zijn algemene aanhef. Inmiddels wordt diezelfde mail in vlekkeloos Nederlands geschreven, met de naam van je opdrachtgever erin en een verwijzing naar een project dat echt loopt, want die informatie staat vaak gewoon online. Wat een aanvaller vroeger een dag kostte, kost nu een paar minuten, en hij kan het tegen honderd bedrijven tegelijk doen. Ook een stem is tegenwoordig na te maken, dus dat telefoontje ter controle is niet meer vanzelfsprekend het bewijs dat je dacht dat het was.

De vraag is dus niet of jouw bedrijf op een lijst staat. De vraag is hoeveel dagen er overheen gaan voordat iemand aan de bel trekt over een factuur die er goed uitzag.

Vier vragen voor het eerstvolgende MT-overleg

1. Wie is bij ons eigenaar van dit onderwerp, met naam? Als het antwoord “onze IT-partner” is, is er geen eigenaar.
2. Wat staat er in onze lopende contracten al over informatiebeveiliging? Bij een deel van de opdrachtgevers staat het er waarschijnlijk in, en heeft niemand het gelezen.
3. Binnen hoeveel uur moeten wij een incident melden, en bij wie? Onze opdrachtgevers hebben zelf een strak regime, met een eerste melding binnen vierentwintig uur en een uitgebreidere binnen tweeënzeventig uur. Dat schuiven zij door.
4. Wanneer hebben onze mensen dit voor het laatst geoefend? Niet: wanneer kregen ze er een presentatie over.

Waar het in de praktijk misgaat

De risico’s in dit vak zitten zelden in de techniek. Er is bijna altijd een projectmailbox waar het hele team bij kan, inclusief de onderaannemer van vorig jaar. Betalingen lopen in termijnen langs veel partijen, wat een gewijzigd rekeningnummer op een factuur precies zo geloofwaardig maakt als het is: fraudeurs richten zich al jaren op bouw en infra, juist omdat niemand raar opkijkt van een nieuwe leverancier halverwege een project. Op de werkplek staat een tablet die vijf man gebruiken. De ploeg werkt via WhatsApp-groepen die niemand opruimt. En bij inleen wisselt de bezetting per week.

Geen firewall voorkomt dat een uitvoerder onder tijdsdruk een factuur betaalt die er echt uitziet. Dat is precies waarom de wet bij het bestuur begint en niet bij de serverkast: dit zijn keuzes over werkwijze, budget en prioriteit.

Wat een directie hier concreet mee doet

Het antwoord is geen dik beleidsdocument. Wijs een eigenaar aan. Leg een meldroute vast die iedereen kent, van uitvoerder tot administratie, met een termijn die past bij wat je opdrachtgevers eisen. Loop je contracten na. En zorg dat je kunt laten zien wat je aan het beveiligingsbewustzijn van je medewerkers doet, in korte en herhaalde vorm.

Dat laatste is geen bijzaak en ook geen vrije invulling. De zorgplicht bestaat uit tien maatregelen, en maatregel zeven luidt: basispraktijken op het gebied van cyberhygiëne en training op het gebied van cyberbeveiliging. Training van je mensen is dus geen aanbeveling maar een van de tien punten waaraan je moet voldoen. Eén sessie per jaar in de kantine levert weinig op, een paar minuten per week wel, omdat alleen herhaling gedrag verandert. Het is bovendien het onderdeel waar een opdrachtgever naar vraagt en waarvan je het makkelijkst kunt aantonen dat je het doet.

Meet daarna een keer hoeveel van je mensen op een nagemaakte mail klikken. Dat cijfer valt bij vrijwel iedereen tegen, en dat is precies de reden om het zelf te ontdekken in plaats van via een opdrachtgever of via een echte aanval.