5. Digitale weerbaarheid

Wie maken de wet- en regelgeving over digitale weerbaarheid?

De EU en de Nederlandse overheid maken wet- en regelgeving. Het doel van deze wetten is dat organisaties zichzelf beschermen tegen digitale risico's. Oftewel dat ze zich maximaal inspannen om gegevens te beschermen en om te zorgen dat hun dienstverlening (denk aan clouddiensten, energie, telecom) continue beschikbaar blijft. 

Wie moeten zich houden aan de wet- en regelgeving over digitale weerbaarheid?

Een organisatie die onder een wet valt, is altijd zelf de eerstverantwoordelijke voor de uitvoering. Zij moet risico’s in beeld brengen, maatregelen treffen, incidenten melden en schade beperken, en waar nodig externe specialisten inschakelen voor herstel en onderzoek. 

Ook moet een organisatie meewerken aan verzoeken van de toezichthouder over naleving van de wet.

Wie houdt toezicht op naleving?

De minister die verantwoordelijk is voor een wet of de toepassing daarvan binnen een sector, wijst een toezichthouder aan. Meestal is dat een inspectie die onderdeel is van het ministerie en die al kan voortbouwen op bestaande kennis en expertise. Zo is de Rijksinspectie Digitale Infrastructuur (RDI) de toezichthouder voor wetten van het ministerie van Economische Zaken en Klimaat die te maken hebben met digitale weerbaarheid. 

De RDI als toezichthouder stimuleert organisaties om zich aan een wet te houden, controleert de naleving ervan en kan handhaven. Door toezicht te houden op de naleving draagt het bij aan een gelijk speelveld – iedereen moet investeren in digitale weerbaarheid. De Algemene wet bestuursrecht, hoofdstuk 5, titel 5.2 (Toezicht op de naleving) regelt de bevoegdheden van toezichthouders. 

Wie biedt kennis, advies en ondersteuning aan organisaties?

Het Nationaal Cyber Security Centrum (NCSC) ondersteunt organisaties met dreigingsinformatie, advies en incidentafhandeling. Het NCSC is 24/7 bereikbaar en kan helpen met intake, analyse, technische ondersteuning en coördinatie bij cyberincidenten. Organisaties die vallen onder de Cbw moeten hun significante incidenten melden binnen 24 uur. 

De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) deelt kennis over bijvoorbeeld digitale veiligheid, terrorisme en activiteiten van andere landen.

Naast de overheid werken dagelijks talrijke (commerciële) organisaties en brancheverenigingen aan de digitale weerbaarheid van Nederland.

Wat gebeurt er nadat een organisatie een incident heeft gemeld?

Na een hack of ander cyberincident ligt de eerste verantwoordelijkheid voor het reageren en oplossen van het incident bij de organisatie zelf: denk aan schade beperken, systemen herstellen, gegevens beoordelen en maatregelen nemen om herhaling te voorkomen. Het NCSC kan daarbij ondersteunen met advies, analyse en praktische hulp.

Daarna kan toezicht volgen: de toezichthouder onderzoekt wat er is gebeurd, of de organisatie de regels heeft nageleefd om het incident te voorkomen, welke maatregelen zijn getroffen na het incident en of extra maatregelen nodig zijn. 

Lees ook Cyberincident melden en wat er daarna gebeurt | Rijksinspectie Digitale Infrastructuur (RDI).