NIS2 & de Cyberbeveiligingswet: van verplichting naar bewijs
De wet vraagt niet dat u veilig bént, maar dat u kunt aantonen wat u doet. Dat is een andere opgave, en precies de opgave waar onze tooling voor is gebouwd.
Wat er verandert
De Cyberbeveiligingswet (Cbw) is de Nederlandse implementatie van de Europese NIS2-richtlijn. Zij brengt drie verplichtingen die elkaar versterken: een zorgplicht (passende maatregelen, aantoonbaar), een meldplicht (significante incidenten binnen 24 uur) en bestuurdersaansprakelijkheid (het bestuur moet toezien op naleving en kan persoonlijk worden aangesproken).
Zo maakt u de zorgplicht aantoonbaar
- Buitenkant: continue kwetsbaarheidsmonitoring. OpenKAT scant uw externe aanvalsoppervlak doorlopend en bouwt een bewijsketen op met herleidbare bevindingen.
- Binnenkant: detectie en logging. Elastic SIEM en endpoint security leveren de continue monitoring en de audit trail waarmee u incidenten binnen de meldtermijnen ziet én onderbouwt.
- Bewijs: rapporten met timestamps. Exposentry levert maandelijkse rapporten, verzegeld met een RFC 3161-timestamp, direct bruikbaar in uw NIS2-dossier.
Verder lezen
- Cyberbeveiligingswet aangenomen: wat bestuurders nu écht moeten regelen
- NIS2 komt eraan: bent u voorbereid? Een praktische gids
- NIS2: wat je moet weten en hoe je je kunt voorbereiden
Veelgestelde vragen
Voor wie geldt de Cyberbeveiligingswet?
Voor essentiële en belangrijke entiteiten in sectoren als zorg, energie, transport, digitale infrastructuur en overheid, en via de ketenzorgplicht ook voor hun leveranciers. Veel mkb-bedrijven krijgen de eisen dus indirect via hun klanten.
Wat betekent de zorgplicht concreet?
Organisaties moeten aantoonbaar passende technische en organisatorische maatregelen nemen: risicobeheer, continue kwetsbaarheidsmonitoring, incidentdetectie en herstelprocedures. Het woord "aantoonbaar" is de kern: u moet het kunnen bewijzen aan de toezichthouder.
Wat houdt de meldplicht in?
Significante incidenten moeten binnen 24 uur gemeld worden bij de toezichthouder (vroegtijdige waarschuwing), gevolgd door een volledige melding binnen 72 uur. Dat vraagt om detectie en analyse die snel genoeg zijn om die termijnen te halen.