Veel ondernemers geven op de vraag “hoe zit het met je beveiliging?” hetzelfde antwoord: dat regelt onze IT-partij. Voor het technische deel klopt dat vaak ook. Maar de Cyberbeveiligingswet vraagt meer dan goede techniek, en dat deel kan een IT-partij niet voor je overnemen.
Wat je IT-partij wel regelt
Een goede IT-partij zorgt dat het netwerk goed is ingericht, dat back-ups draaien, dat alleen de juiste mensen ergens bij kunnen en dat updates op tijd worden geïnstalleerd. Dat is de basis. Zonder dit helpt geen enkel beleid.
Wat de wet daarnaast vraagt
De wet vraagt niet alleen dat je beveiliging op orde is, maar ook dat je het kunt aantonen. Het bestuur is verantwoordelijk voor de maatregelen en moet kunnen laten zien welke risico’s er zijn, wat daarvoor is geregeld en wie dat bewaakt. Dat geldt ook voor je leveranciers, je IT-partij zelf meegerekend. En bij een incident loopt er een klok: binnen 24 uur een eerste melding.
Ook als je zelf niet direct onder de wet valt, kan een opdrachtgever dat via de keten van je vragen. Dan is “ons IT-bedrijf regelt dat” geen antwoord waar hij mee uit de voeten kan.
Waar het in de praktijk misgaat
Zelden is er niets geregeld. Wat vaak ontbreekt, is het geheel. De maatregelen zijn ooit ingevoerd, door verschillende partijen, op verschillende momenten. Niemand heeft op papier gezet wat er is, waarom en wie het bewaakt. Bij meerdere leveranciers heeft bovendien niemand overzicht over wat er gebeurt als één van hen uitvalt.
Vijf vragen om te checken waar je staat
- Weet je welke bedrijfsrisico’s het zwaarst wegen?
- Kun je laten zien welke maatregelen daar tegenover staan?
- Wie in je bedrijf is eigenaar van het geheel?
- Welke leveranciers hebben toegang tot je systemen of gegevens?
- Weet je wie je belt, en wat je de eerste uren doet, bij een incident?
Kun je meer dan twee vragen niet beantwoorden, dan zit je vermoedelijk in het gat tussen “geregeld” en “aantoonbaar”.
Hoe KNDIT dit aanpakt
Wij stoppen niet bij de techniek. We beginnen met een gratis NIS2-scan van 30 minuten, waarin we kijken wat er al staat. Daarna krijg je een concreet actieplan in gewone taal, geen rapport dat in een la verdwijnt. In alle Bewaker-pakketten brengen we je beveiliging in kaart en leggen we vast wat er is, zodat je een overzicht hebt van waar je staat. Bewaker Totaal gaat een stap verder met uitgebreide documentatie: wat er is ingericht, waarom, en wie het bewaakt. Dat is wat je laat zien aan een toezichthouder of een opdrachtgever die ernaar vraagt. Heb je al een IT-partij? Dan werken we daar gewoon naast.
Weten waar jij staat? Plan een gratis NIS2-scan en je weet het binnen 30 minuten.
