‘De onverminderd grote digitale dreigingen tegen Nederland worden diverser en onvoorspelbaarder, met grote verscheidenheid aan aanvallen door diverse kwaadwillenden.’
NIS2: noodzaak en gemis van bundeling van krachten
Op 15 augustus treedt de Cyberbeveiligingswet (Cbw) in werking. De Nederlandse implementatie van NIS2 zorgt echter niet voor de harmonisatie die de Europese richtlijn voorstaat. Daarvoor ligt er te veel nadruk op beperking van regeldruk en uitvoeringslasten binnen de huidige status quo.
Dit is een van de conclusies uit een recente publicatie van de Nationaal Coordinator Terrorismebestrijding en Veiligheid (NCTV). Ook de Minister van JenV geeft in een Kamerbrief aan dat onze digitale weerbaarheid en de toegenomen dreiging nog niet in balans zijn. Pijler I van de Nederlandse Cyberstrategie 2022-2028 en het Actieplan is niet voor niets ‘digitale weerbaarheid van overheid, bedrijven en maatschappelijke organisaties’.
Perfecte basis voor harmonisatie
De Europese wetgeving met harmoniserende ‘maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie’, beter bekend als de NIS2-richtlijn, geeft daarvoor een perfecte basis. NIS2 is per 17 oktober 2024 volledig van kracht in Nederland en de rest van de Europese Unie. Dat is alweer even geleden, maar gezien bovenstaande conclusie kan het toch niet de reden dat het huidige nieuws, dat per 15 augustus 2026 dan eindelijk de Nederlandse implementatie van de NIS2 (beter bekend als de Cyberbeveiligingswet of Cbw) in werking treedt, met beperkte interesse lijkt te worden ontvangen.
NIS2 heeft als hoofddoelstelling de harmonisatie in Europa van zeer uiteenlopende, versnipperde cyberbeveiligingseisen op nationaal niveau en tussen lidstaten onderling. Er zijn maar enkele sectoren die dergelijke versnippering en digitaal-organisatorische chaos waarderen, waaronder hackers en andere kwaadwillende actoren.
De harmonisatie was en is broodnodig. Cybersecurity is per definitie organisatie-, sector- en landsgrensoverschrijdend. De zwakste schakel in een ecosysteem is het logische startpunt om kwetsbaarheden te benutten. Een ogenschijnlijk laag-risico organisatie kan daarmee een domino-effect (‘cascading effects’) veroorzaken, in en dwars door sectoren en domeinen heen.
Die urgentie van harmonisatie is gelegen in de noodzaak tot het verhogen van het niveau van de digitale weerbaarheid. Het dient om nadelige effecten van versnippering weg te nemen. Dit, op zowel strategisch als operationeel niveau binnen en tussen overheidsorganisaties, en daarbuiten, in kritische infrastructuur en andere belangrijke sectoren van onze maatschappij en economie.
Met meer van hetzelfde bereiken we niet genoeg
De Cbw en de vele sectorale implementatieregelingen in Nederland zorgen niet voor de harmonisatie die NIS2 voorstaat. Sterker nog, er wordt geen aandacht aan besteed. Er wordt uitsluitend aansluiting gezocht bij de bestaande, sectoraal georiënteerde praktijk, met een nadruk op beperking van regeldruk en uitvoeringslasten binnen de huidige status quo.
Het willen behouden van de status quo in deze dynamische digitale tijden is een slecht idee.
Het willen behouden van de status quo in deze dynamische digitale tijden is een slecht idee. Onze kwetsbaarheid en afhankelijkheden nemen snel toe, kwaadwillende actoren werken samen en wij niet, statelijke actoren zijn geduldig en beter gefinancierd dan wij die systemen, overheid, economie en maatschappij veilig moeten houden. Dat blijkt ook wel, want elk jaar weer bereiken we nieuwe recordhoogtes in ransomware, in systeempenetraties en in succesvolle gegevensextracties.
Bedenk eens wat dit betekent. Het betekent dat we onze doelen niet halen. Met meer van hetzelfde gaan we er niet komen.
Richt je op de doelstellingen van NIS2
NIS2 biedt een goede basis om cyberhygiëne, weerbaarheid en gerelateerde maatregelen te organiseren, door te voeren en die vervolgens in actueel te houden.
Het is dan ook niet aan NIS2 om zich aan te passen de bestaande Nederlandse praktijken en wet- en regelgeving. Het is andersom. Het daadwerkelijk correct implementeren van NIS2 betekent het richten op het behalen van de doelstellingen ervan en binnen dat kader praktische handen en voeten geven aan organisaties die belangrijke of essentiële diensten leveren en zich proportioneel dienen te beschermen tegen digitale en fysieke dreigingen.
Het is niet aan NIS2 om zich aan te passen de bestaande Nederlandse praktijken en wet- en regelgeving. Het is andersom.
De opstellers van NIS2 waren overigens wel beducht voor nationale implementaties die de doelstellingen niet halen of willen halen. Zo geldt voor praktisch alle digitale aanbieders en organisaties in de digitale infrastructuur al sinds 7 november 2024 een Europese implementatieverordening. Die geldt gewoon voor en in alle lidstaten. Denk aan aanbieders van cloudcomputingdiensten, datacentrumdiensten, netwerken voor de levering van inhoud, beheerde (beveiligings-)diensten, vertrouwensdiensten, DNS- en TLD-diensten en onlinemarktplaatsen. En ja, diverse overheidsorganisaties zijn ook dergelijke aanbieders.
Naast de CbW gelden voor hen rechtstreekse, EU-brede vereisten. Los van de in NIS2 genoemde noodzaak en voordelen van dergelijke harmonisatie, levert dit voor die aanbieders ook duidelijkheid op om strategisch te kunnen investeren in wat voor en in Nederland werkt, maar ook direct in en voor 26 andere landen. En omgekeerd.
NIS2 is in die zin al meer een verordening geworden. Gezien de huidige praktijken, die niet bijdragen aan de strategisch en feitelijk noodzakelijke harmonisatie, is het te verwachten dat een toekomstige NIS3 geen richtlijn zal zijn maar een NISA, een EU-brede NIS verordening.
De geharmoniseerde bundeling van onze gezamenlijke kennis, kracht en capaciteiten is de enige weg voorwaarts.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.