Het gaat om de NIS2, een Europese richtlijn die eigenlijk al twee jaar geleden had moeten worden ingevoerd. Deze week is de eerste versie van deze richtlijn door de Tweede Kamer goedgekeurd, die later dit jaar wordt omgezet in een nieuwe wet: de zogeheten Cyberbeveiligingswet (Cbw).
Door de Cbw worden meer bedrijven in Nederland verplicht om hun online beveiliging aan te scherpen. Ook moeten bedrijven sneller melden dat ze zijn gehackt, komt er extra toezicht en kunnen bedrijven en hun bestuurders flinke boetes krijgen als ze hun digitale zaken niet op orde hebben.
Te lang geduurd
Nederland is twee jaar te laat met het invoeren van de wet. Volgens VVD-Europarlementariër Bart Groothuis, die de Europese richtlijn heeft vormgegeven, komt dat omdat Nederland versnipperd is met ‘veel koninkrijken’ die zich bezighouden met cybersecurity. “We maken onze overheid te complex en zijn te bureaucratisch. Veel overheidsorganen houden zich met hetzelfde bezig, en dat vertraagt ontzettend. Terwijl snelheid bepaalt of je veilig bent.”
Dat snelheid belangrijk is, bewijst de oorlog in Oekraïne, vertelt Groothuis. Want de wet beschermt niet alleen tegen cybercriminelen, maar ook tegen hackers die voor een staat werken. “Oekraïne heeft de cyberwet als eerste ingevoerd omdat ze wisten: dit houdt het land draaiende tijdens deze verschrikkelijke oorlog. In Nederland denken we dat we de luxe hebben om daar veel langer over te doen.”
Ook Bart Schermer, hoogleraar Privacy & Cybercrime aan de Universiteit Leiden, hekelt de lange invoertijd van de wet: “Het had sneller gekund en gemoeten, want we zijn eigenlijk gewoon twee jaar te laat.”
Lees ook Wat moet je doen als jouw gegevens zijn gelekt bij Odido? Zo voorkom je oplichting
Van honderden naar 10.000
In Nederland hebben we al een wet die honderden belangrijke bedrijven verplicht om hun digitale beveiliging op te krikken, zoals energiebedrijven, banken en zorginstellingen. Met de nieuwe cyberwet komen daar vele duizenden organisaties bij. Denk aan online marktplaatsen, softwarebouwers, postbedrijven en voedselproducenten.
Ook belangrijk: IT-leveranciers gaan voortaan onder deze wet vallen. Dat zijn bedrijven die andere organisaties helpen met hun computers en software, en juist deze bedrijven worden vaak gehackt. Dat gebeurde recentelijk nog bij ChipSoft, een IT-leverancier voor de zorg, waardoor medische gegevens van Nederlanders in handen van cybercriminelen zijn gekomen.
Lees ook Toch medische patiëntgegevens gestolen bij hack ChipSoft, ook van tbs-kliniek
Meldplicht en boetes
Bedrijven zijn in Nederland verplicht om bij een datalek melding te maken als er persoonsgegevens zijn ingezien of gestolen. Met de Cbw komt daar nog een andere meldplicht bij: zodra een bedrijf is gehackt, moet dit binnen 24 uur worden gemeld bij het Nationaal Cyber Security Center (NCSC) – of er nou wel of geen persoonsgegevens zijn buitgemaakt. Het idee erachter is dat het NCSC bedrijven kan helpen en anderen kan waarschuwen.
Een belangrijk onderdeel van de nieuwe wet is dat bedrijven kunnen worden beboet als ze hun digitale zaken niet op orde hebben. De boetes kunnen tot in de vele miljoenen euro’s lopen. Bestuurders die er met de pet naar gooien, kunnen persoonlijk aansprakelijk worden gesteld. Ook komt er meer toezicht op organisaties die onder de nieuwe wet vallen.
Voor deze sectoren geldt de NIS2:
- Afvalstoffenbeheer
- Bankwezen
- Beheer van ICT-diensten
- Digitale infrastructuur
- Digitale aanbieders
- Drinkwater
- Energie
- Gezondheidszorg
- Infrastructuur financiële markt
- Onderzoek
- Onderwijs
- Overheid
- Post- en koeriersdiensten
- Productie, verwerking en distributie van levensmiddelen
- Ruimtevaart
- Vervaardiging, productie en distributie van chemische stoffen
- Vervaardiging
- Vervoer
(Bron: NCSC)
Belangrijke stap
Het NCSC is ‘blij’ dat de Tweede Kamer heeft ingestemd met de nieuwe wet: “Het is een belangrijke stap richting daadwerkelijke invoering van de wet. Deze wet gaat bijdragen aan onze informatiepositie en stelt ons beter in staat ons werk te doen. De wet vraagt van ons een andere manier van werken, maar we zijn er klaar voor.”
Volgens Max van der Horst, onderzoeker bij de TU Delft en cybersecurityorganisatie DIVD, is de wet een verbetering: “Datalekken zijn zelden het gevolg van één menselijke fout, maar van structurele keuzes in techniek en organisatie. De nieuwe wet is een goede stap omdat die organisaties verplicht hun beveiliging te verbeteren en de eindverantwoordelijkheid bij het bestuur legt.”
Nederland slechtste van de klas
De wet moet niet alleen bedrijven beter beschermen tegen online criminaliteit, maar ook de burger. “Als onze bedrijven minder vaak worden gehackt, liggen onze persoonsgegevens ook minder vaak op straat”, vertelt Groothuis. “Want die gelekte data zijn voor andere criminele groepen de basis voor allerlei vormen van cybercrime, zoals phishing en identiteitsfraude.”
Landen als Oekraïne, België, Duitsland, Italië en Zweden hebben de nieuwe cyberwet al ingevoerd. “We denken in Nederland vaak dat we voorop lopen in digitalisering, maar op het gebied van cybersecurity zijn we momenteel een van de slechtste van de klas.” De overheid streeft ernaar dat de wet uiterlijk eind juni in werking treedt.
Basic-Fit is de zoveelste hack van dit jaar. In onderstaande video legt techjournalist Daniël Verlaan je uit hoe erg het is als je gegevens al meerdere keren gelekt zijn.