Voldoe zelf aan de Cyberbeveiligingswet, zonder adviseur

Wat de Cyberbeveiligingswet van u vraagt

De wet komt neer op drie dingen. U meldt uw organisatie aan in het entiteitenregister. U voert tien beveiligingsmaatregelen door die passen bij uw omvang en risico, en u legt vast dat u dat gedaan heeft. En u meldt ernstige incidenten binnen 24 uur bij het CSIRT, met een volledige melding binnen 72 uur.

Wat er nieuw is ten opzichte van eerdere regels, is dat het bestuur er persoonlijk aan vastzit. Het bestuur moet de maatregelen goedkeuren, toezien op de uitvoering en zelf een training volgen. Bij aantoonbare nalatigheid kunnen bestuurders persoonlijk worden aangesproken. Cybersecurity is daarmee formeel een onderwerp voor de bestuurskamer geworden, niet langer alleen voor ICT.

De boetes lopen op tot 10 miljoen euro of 2 procent van de wereldwijde omzet voor essentiële entiteiten, en tot 7 miljoen of 1,4 procent voor belangrijke entiteiten. In de praktijk begint een toezichthouder echter niet met een boete maar met een informatieverzoek en een aanwijzing. Wie aantoonbaar bezig is, wordt anders behandeld dan wie niets kan laten zien.

Waarom dit geen adviestraject hoeft te zijn

De toelichting bij de wet rekent met 25.000 tot 44.400 euro eenmalig en zo'n 30.000 euro per jaar aan nalevingskosten. Die bedragen gaan uit van de klassieke route met externe adviseurs. Maar het grootste deel van dat werk is voor tachtig procent standaard: een informatiebeveiligingsbeleid van een transportbedrijf verschilt op hoofdlijnen niet van dat van een machinebouwer.

Wat wel per organisatie verschilt, is de risicoanalyse en de keuze welke maatregelen passend zijn. Dat kunt u niet uitbesteden, want de kennis van uw eigen processen zit bij uw eigen mensen. Een adviseur die uw risicoanalyse schrijft zonder uw mensen te spreken, levert een document dat bij de eerste vraag omvalt.

NIS2centraal draait die verhouding om. Het standaardwerk krijgt u kant en klaar, de eigen afwegingen vult u zelf in, en het resultaat is een dossier dat van u is en dat u zelf kunt onderhouden. Wilt u weten wat dat in uw situatie scheelt, gebruik dan de rekentool.

Ook als u zelf buiten de wet valt

Een groot deel van onze gebruikers valt helemaal niet onder de Cyberbeveiligingswet. Het zijn toeleveranciers die een vragenlijst van veertig punten kregen van hun grootste klant, omdat die klant verplicht is zijn hele keten te beoordelen. Dat is geen vergissing en het gaat niet over.

Voor die groep is de opgave anders: niet voldoen aan een wet, maar aantonen dat u het geregeld heeft. Wie dat binnen een week netjes op papier heeft, blijft op de leverancierslijst staan. Wie het laat liggen, wordt op termijn vervangen door een concurrent die het wel heeft. Lees hoe dat werkt bij de leveranciersverklaring.

Veelgestelde vragen

Moet ik ISO 27001 halen om aan NIS2 te voldoen?

Nee. De Cyberbeveiligingswet eist geen enkel certificaat. Een certificering helpt wel, omdat u dan de meeste maatregelen al heeft ingericht, maar het is een dure route als u het alleen voor deze wet zou doen.

Hoe weet ik of mijn organisatie onder de wet valt?

U valt eronder als uw hoofdactiviteit in een van de aangewezen sectoren zit en u vanaf 50 medewerkers heeft, of meer dan 10 miljoen euro omzet en balanstotaal. Er komt geen brief: u moet het zelf vaststellen. De gratis check geeft in twee minuten uitsluitsel.

Wat kost NIS2centraal?

Vanaf 49 euro per maand, maandelijks opzegbaar. Dat is per jaar minder dan twee dagen adviseurstarief. Bekijk de prijzen.

Hoe lang duurt het voordat ik voldoe?

Voor een organisatie van 50 tot 250 medewerkers met een normale ICT-omgeving is drie tot zes maanden realistisch, met een paar uur per week. Het schrijfwerk is niet het probleem; het afstemmen en formeel vaststellen kost de meeste doorlooptijd.