Alisina NawabiMinder dan de helft van de acht- tot tienduizend organisaties die onder de Cyberbeveiligingswet vallen, staat in het entiteitenregister: op 13 augustus stond de teller op 2.942 registraties, meldt Computable.
Dat gat telt vanaf 15 augustus. Vanaf die datum is registreren in het nationale entiteitenregister op MijnNCSC wettelijk verplicht, en de Rijksinspectie Digitale Infrastructuur kan bij niet of onjuist registreren een boete of een last onder dwangsom opleggen. Voor een organisatie in een van de achttien sectoren is dat formulier dus geen administratieve nakomer maar de eerste toetsbare verplichting: je geeft er je organisatie-, contact- en netwerkgegevens op, van publieke IP-reeksen en domeinnamen tot je type entiteit, en wijzigingen daarin moet je binnen veertien dagen doorgeven.
De teller loopt, maar het gat blijft duizenden groot
Worden verbonden organisaties meegeteld, dan komt het bereik op 4.144. In augustus kwamen er 653 registraties bij, waarmee juli (599) al voor het einde van de maand is ingehaald. Het tempo stijgt, alleen niet snel genoeg om het verschil met de doelgroep te dichten voor de wet ingaat.
Die doelgroep is voor de meeste organisaties nieuw. De oude Wet beveiliging netwerk- en informatiesystemen raakte zo'n duizend partijen; toen de Eerste Kamer de Cyberbeveiligingswet op 7 juli aannam, groeide die groep naar ruim 8.000 entiteiten in achttien sectoren, van energie en drinkwater tot zorg, overheid en transport. Dat Nederland pas nu klaar is, staat los van de vraag of het op tijd was: de Europese Commissie sleepte Nederland voor het EU-Hof om de te late omzetting van NIS2.
Ook wie niet in het register hoort, krijgt de vragenlijst
De registratieplicht geldt voor een afgebakende groep, de gevolgen niet. Cybersecurity-expert Lisa de Wilde wees er bij BNR op dat die achtduizend organisaties ook naar hun eigen keten kijken, waarmee de wet impact heeft op veel meer dan die achtduizend. Een leverancier die zelf buiten de reikwijdte valt, merkt de wet daarom niet aan een brief van de toezichthouder maar aan de inkoopvoorwaarden van zijn grootste klant.
Dat is precies het patroon waar de scope-vraag op stukloopt: buiten de reikwijdte vallen betekent niet dat je van de eisen af bent, want die komen binnen als securityvragenlijst bij een contractverlenging. Voor het mkb is de voorbereiding intussen mager. Uit onderzoek van Grant Thornton, aangehaald door Thomas Margner van TrendAI, is slechts een derde van de mkb-bedrijven die onder de wet vallen actief met compliance bezig.
De directiekamer is nu zelf partij
De derde verschuiving zit niet in techniek maar in verantwoordelijkheid. Naast de zorgplicht en een meldplicht die ernstige incidenten binnen 24 uur bij het CSIRT legt, verankert de wet cyberrisico bij het bestuur. Michel Woudstra van Rohde & Schwarz stelt dat NIS2 de persoonlijke aansprakelijkheid van de bedrijfsleiding expliciet vastlegt, en Martin Krämer van KnowBe4 dat bestuurders cyberrisico's en de beheersing daarvan zelf moeten kunnen identificeren, evalueren en beoordelen. De Wilde formuleerde het bij BNR scherper: gaat het mis terwijl het bestuur zijn werk niet deed, dan kan het hoofdelijk aansprakelijk zijn.
De praktische kant daarvan is minder dramatisch dan het klinkt. Een organisatie die aantoonbaar heeft nagedacht, risico's kende en er onderbouwde keuzes over maakte, is niet automatisch schuldig na een inbraak. Het verwijt ontstaat pas bij een bestuur dat waarschuwingen naast zich neerlegde. Dat verschil is bewijsbaar of het is er niet, en bewijs ontstaat vooruit in de tijd.
Van deadline naar dossier
De 15e augustus is geen eindstreep maar het moment waarop het toezicht begint te tellen. Een register met 2.942 namen betekent dat de toezichthouder morgen precies weet wie zich meldde en wie niet, terwijl de duizenden die ontbreken hun eerste toetsbare verplichting al hebben laten liggen. Registreren kost een middag; het aantoonbaar op orde krijgen van de zorgplicht kost kwartalen. De organisaties die morgen in het register staan, hebben vooral iets anders gedaan dan de rest: ze hebben de klok laten beginnen op een moment dat ze het zelf kozen.
Veelgestelde vragen
Aantoonbaar in plaats van beloofd
Een zorgplicht die je elk kwartaal opnieuw met de hand bij elkaar zoekt, houdt niemand vol. Ik denk met je mee over hoe je registratie, leveranciersafspraken en incidentmeldingen als één werkend proces inricht, ontwerp het en bouw het, self-hosted waar dat kan.
Dit artikel is geproduceerd samen met het Agent Team. Meer over de redactie.
