NIS2: Cybersecurity versterken door risicogebaseerd denken
De Europese NIS2-richtlijn, die wordt opgenomen in de Nederlandse Cybersecuritywet, introduceert nieuwe, strengere eisen voor cybersecurity en informatiebeveiliging. BDO-partner Robert van Vianen geeft uitleg over de nieuwe wet en de implicaties voor bedrijven.
Vanaf het najaar van 2025 zijn de nieuwe regels van kracht, maar hoe deze er precies uitzien is nog niet volledig uitgekristalliseerd. In België wordt bijvoorbeeld gewerkt met het CyberFundamentals (CyFun)-raamwerk, terwijl Nederlandse bedrijven gebruik moeten maken van internationaal erkende standaarden om te voldoen.
Organisaties in essentiële en belangrijke sectoren worden niet alleen verantwoordelijk voor hun eigen digitale veiligheid, maar ook voor de cyberrisico’s binnen hun gehele toeleveringsketen.
“De brede formulering van NIS2 zorgt ervoor dat veel organisaties worstelen met vragen zoals: Hoe breng je de regels in kaart? Hoe manage je implementatie en naleving? En hoe maak je dit aantoonbaar?”, zegt Robert van Vianen, partner bij BDO.
Een voorbeeld uit de zorgsector laat zien hoe BDO de wet- en regelgeving systematisch in kaart brengt en overeenkomsten identificeert. “Hieruit destilleren we basisregels die als rode draad door de regelgeving lopen. Dit vormt de basis voor assurance-verklaringen, zoals een ISO 27001-certificering.”
Van compliance naar weerbaarheid
Internationale certificaten zoals ISO 27001 tonen aan dat een organisatie gestructureerd en systematisch met cybersecurity omgaat. Dit vergemakkelijkt niet alleen compliance, maar biedt ook vertrouwen aan toezichthouders.
Volgens van Vianen is certificering echter slechts de eerste stap. “Het is belangrijk dat organisaties verder kijken dan compliance en cybersecurity benaderen vanuit risicomanagement. Bestuurders moeten niet alleen begrijpen welke bedreigingen er zijn, maar ook inzicht hebben in de strategische rol van digitale middelen binnen hun organisatie.”
Een continu veranderprogramma
Cybersecurity is niet alleen een technisch vraagstuk, maar ook een organisatiebrede transitie. Bestuurders dragen de verantwoordelijkheid om naleving te waarborgen en ervoor te zorgen dat medewerkers de regels begrijpen en naleven.
“Het is een continu veranderprogramma”, benadrukt Van Vianen. “Met de invoering van NIS2 staat cybersecurity hoger op de agenda dan ooit. Het vormt niet alleen een wettelijke verplichting, maar ook een kans voor organisaties om veerkrachtiger en toekomstbestendiger te worden.”
