26 | Nederlandse Cybersecuritystrategie 2022-2028 Organisaties zijn goed beschermd tegen digitale risico’s, en nemen hierin hun belang voor de sector en andere organisaties binnen de keten mee Alle organisaties Voor de digitale veiligheid van Nederland is inzet van alle bedrijven en organisaties noodzakelijk, niet alleen vanwege de continuïteit van de eigen dienstverlening maar ook vanwege de mogelijk bredere negatieve effecten voor afnemers, toeleveranciers of afhankelijke derden. De Rijksoverheid stimuleert organisaties een basisniveau van maatregelen te implementeren om zo bij te dragen aan de digitale weerbaarheid van organisaties. De overheid werkt Doelen | 27 ook aan veiligere ICT-producten en -diensten op Europees niveau om organisaties te stimuleren en faciliteren om hun eigen verantwoordelijkheid te kunnen nemen. Om organisaties, in het bijzonder het midden- en kleinbedrijf, te ondersteunen in het waarborgen van dit basisniveau is een belangrijke rol weggelegd voor de overheid om (in begrijpelijke taal) informatie en handelingsperspectief over digitale dreigingen en risico’s te ontsluiten onder meer via het Landelijk Dekkend Stelsel. Ook is hierin een rol weggelegd voor brancheorganisaties en grotere of meer cybersecurityvolwassen organisaties om hier een bijdrage te leveren gelet op eventuele risico’s voortkomend uit keten- en/of sectorale afhankelijkheden. Cybersecurityeisen voor een grotere groep bedrijven (NIB2) Cyberincidenten stoppen niet bij landgrenzen. Ook de EU houdt zich daarom bezig met het versterken van de digitale veiligheid en weerbaarheid binnen de Unie. Als gevolg van de herziening van de Netwerk- en informatiebeveiligingsrichtlijn (NIB2) krijgen veel meer sectoren en organisaties binnen de EU, te maken met wettelijke verplichtingen voor de beveiliging van hun netwerk- en informatiesystemen. Dit zijn bedrijven maar ook overheden. Dit betreft reeds gereguleerde sectoren onder NIB1 zoals energie, vervoer, drinkwater en digitale infrastructuur. Met NIB2 komen hier sectoren bij, zoals afvalwater, Rijksoverheid, ruimtevaart, levensmiddelen, vervaardiging en post- en koeriersdiensten. Medeoverheden, zoals provincies en gemeenten kunnen onder de NIB2 worden aangewezen op basis van een risicoanalyse. Deze organisaties dienen in het kader van een zorgplicht te voldoen aan een hoog niveau van cybersecurity. Incidenten met een bepaalde impact zullen ook tijdig gemeld moeten worden, zodat de impact zo beperkt mogelijk kan blijven. De taken van organisaties zoals het NCSC en de sectorale toezichthouders zullen als gevolg van de implementatie van deze richtlijn flink worden uitgebreid. In de herziening van de Netwerk- en Informatiebeveiligingsrichtlijn (NIB2) worden meer en andere organisaties aangemerkt dan nu onder de Wet Beveiliging Netwerk en Informatiesystemen (Wbni) aangewezen zijn. Bij de herziening van het vitaal stelsel zal de samenhang met de nationale terminologie, de NIB2-terminologie en de terminologie uit de richtlijn voor weerbaarheid van kritieke entiteiten (CER) worden uitgewerkt. Voor deze strategie worden organisaties die onder de NIB2- en de CER-richtlijn vallen veelal als onderdeel van de vitale infrastructuur beschouwd.19 Vitale infrastructuur en de overheid Van organisaties binnen de vitale infrastructuur en de overheid wordt een hoog niveau van digitale weerbaarheid verwacht en dit wordt ook opgelegd. De overheid acht een risico-gebaseerde benadering van belang waarbij bedrijven en organisaties maatregelen nemen die proportioneel zijn aan het risico van de organisatie. Dat start met inzicht in zijn te beschermen belangen, kwetsbaarheden, dreigingen en risico’s. Het inrichten van gedegen risicomanagement is fundamenteel. Daarbij hoort ook dat door een directeur of aan de bestuurstafel bewuste keuzes hierover worden gemaakt. Hierbij wordt verwacht dat ook rekening gehouden wordt met risico’s voortkomend uit (inter)sectorale afhankelijkheden en het belang en de veiligheid voor anderen, bijvoorbeeld toeleveranciers in de keten. Vanwege het cruciaal belang van operationele technologie voor de continuïteit van de (vitale) infrastructuur is hiervoor extra aandacht noodzakelijk.20 Hierin worden van organisaties concrete stappen verwacht om de digitale weerbaarheid van deze technologie te verhogen. Vitale infrastructuur organisaties worden ondersteund door het NCSC en de verantwoordelijke vakdepartementen om hun digitale weerbaarheid te versterken. De overheid zorgt dat haar eigen systemen digitaal veilig zijn, dat overheidsdienstverlening voldoende beschermd is tegen cyberincidenten en dat (sensitieve) gegevens van burgers veilig zijn. Voor de gehele overheid zal hiertoe stevige wet- en regelgeving, en toezicht op naleving daarvan worden ingericht. Ten behoeve van de eigen beveiliging bevordert de Rijksoverheid de eigen digitale autonomie op het terrein van bijzondere producten en diensten.21 De Rijksoverheid heeft bovendien continue aandacht voor de (keten)kwetsbaarheden van eigen digitale systemen en processen. Ook van medeoverheden, zoals gemeenten, provincies, waterschappen en veiligheidsregio’s, wordt verwacht dat zij voldoende weerbaar zijn en hierin werken Rijksoverheidsorganisaties en medeoverheden nauw samen. Ook geldt voor sommige sectoren aanvullende weten regelgeving die sectorspecifieke cybersecurityeisen opleggen van minimaal gelijkwaardig niveau als de eisen voortkomend uit de NIB2.22 De vakdepartementen zijn verantwoordelijk voor het opstellen van deze sectorspecifieke wet- en regelgeving. Het ministerie van Justitie en Veiligheid zorgt dat Europese en nationale wetgeving op het gebied van cybersecurity in samenhang gerealiseerd en geïmplementeerd worden. Inzicht, toezicht en handhaving Het inzichtelijk maken van en verantwoorden over cybersecurity door organisaties zou meer gemeengoed moeten worden. Belanghebbenden zoals afnemers, aandeelhouders en verzekeraars zouden daarom gemakkelijker inzicht moeten krijgen in het cybersecurityniveau van de organisatie. Daarnaast stelt deze transparantie belanghebbenden in staat om een gedegen risico afweging ten aanzien van de geleverde dienst of product te maken. Het inzichtelijk maken hiervan maakt organisaties daarmee economisch aantrekkelijker. Dit kan bijvoorbeeld worden bewerkstelligd door het opnemen van cybersecurity in rapportages die organisaties opstellen en overeenkomsten die organisaties afsluiten.23 Gereguleerde organisaties zijn op dit moment al verplicht om zich te verantwoorden over cybersecurity aan toezichthouders op basis van wettelijke verplichtingen zoals de toekomstige NIB2 en/of sectorale wetgeving. Toezichthouders beschikken over verschillende instrumenten om onder toezicht staande organisaties te stimuleren hun weerbaarheid te verhogen en te borgen. Zij kunnen inschatten welke maatregelen proportioneel zijn en passen bij het risico dat een organisatie loopt. Toezichthouders hebben daarnaast goed overzicht van de daadwerkelijke weerbaarheid van organisaties en sectoren. Tegelijk zullen toezichthouders worden geconfronteerd met nieuwe (technologische) ontwikkelingen die zich in een sector of markt voordoen, waardoor er ook nieuwe cybersecurityvraagstukken zullen ontstaan.