IT-auditors leggen regie op digitale ketens bij het bestuur, niet bij de CIO

NOREA, de beroepsorganisatie van IT-auditors, legt de regie over digitale risico’s en ketenafhankelijkheid bij het bestuur zelf in een Publieke Managementletter die maandag verscheen, en niet bij de IT-afdeling of de leverancier.

De timing is geen toeval. Sinds 15 augustus geldt de Cyberbeveiligingswet, de Nederlandse invulling van NIS2, en die maakt digitale veiligheid voor bestuurders van essentiële en belangrijke entiteiten expliciet en toetsbaar, met risicoaansprakelijkheid erbij. Daar zet NOREA een observatie uit de auditpraktijk naast: bestuurders hebben nog onvoldoende overzicht van en grip op hun digitale omgeving en op digitale diensten van externe partijen. Voor wie een leverancierscontract tekent, verschuift daarmee de vraag. Niet of de leverancier iets belooft over beveiliging, maar of het bestuur kan uitleggen waarvan de organisatie digitaal afhankelijk is en welke van die afhankelijkheden het bewust accepteert.

Niet doorschuiven naar de CIO

Het document is bedoeld voor besturen als collectief en richt zich uitdrukkelijk ook tot raden van commissarissen, raden van toezicht en het kabinet. Bestuurders wordt gevraagd de letter niet door te schuiven naar de CIO of CISO maar er zelf mee aan de slag te gaan: in de boardroom het gesprek over digitalisering voeren, knelpunten en risico’s bepalen, prioriteiten stellen, afspraken maken over de uitvoering en daarna actief sturen op voortgang met regelmatige voortgangsrapportages.

Waar het volgens de auditors misgaat, is zelden de firewall. Organisaties zijn sterk afhankelijk van een klein aantal grote aanbieders van cruciale digitale diensten, een concentratie waarbij drie Amerikaanse aanbieders zo’n zeventig procent van de Europese cloudmarkt in handen hebben. Bestuurders missen daarbij vaak zicht op het geheel van onderaannemers, cloudketens en geografische spreiding. Het gevolg dat NOREA benoemt is scherper dan een compliance-tekort: risico’s worden verkeerd ingeschat en de feitelijke beheersing van de dienstverlening en de onderliggende systemen ligt bij de leverancier. Verouderde systemen, versnipperde governance en operationele technologie die buiten de governance valt maken het beeld af.

Marc Welters, voorzitter van NOREA, stelt dat het vergroten van de digitale weerbaarheid geen zaak van IT-specialisten alleen is, en dat eindverantwoordelijken zelf moeten begrijpen waarvan hun organisatie digitaal afhankelijk is, welke risico’s zij lopen en welke keuzes nodig zijn om daar grip op te houden.

Vijf focusgebieden en een actieplan

Digitale weerbaarheid is in deze letter geen securitythema maar een bestuurlijke stuurtaak: weten waarvan je organisatie digitaal afhankelijk is, die afhankelijkheden bewust beheersen en er verantwoording over kunnen afleggen. NOREA vertaalt dat in vijf focusgebieden, elk gekoppeld aan artikelen uit de Cyberbeveiligingswet:

• Integraal ketenoverzicht. Inzicht in het digitale ecosysteem en de afhankelijkheden tussen systemen, data, leveranciers, onderaannemers en ketenpartners.
• Samenhangende digitale governance. Sturing op risico’s, compliance, systeemvernieuwing en ketenafhankelijkheden als onderdeel van de bredere governance, niet als los programma.
• Cyclische cybersecurity en toegangsbeheer. Plannen, uitvoeren, controleren en bijsturen als terugkerende cyclus, met functiescheiding, roltoekenning en technisch afgedwongen beveiliging.
• Transparante risicoacceptatie. Expliciet en onderbouwd vastleggen welke risico’s rond kritieke ketenpartners de organisatie bewust accepteert, en welke gevolgen daarvan worden aanvaard.
• Informatievoorziening en verantwoording. Tijdige en uniforme informatie aan bestuur en toezicht over risico’s en voortgang, met aanvullende informatie bij incidenten.

Het bijbehorende actieplan is kort en uitvoerbaar. Voer een nulmeting uit op basis van het Cbw/NIS2 Control Framework, breng kritieke ketens in kaart, stel de risk appetite vast, bepaal jaarlijkse cybersecurity-prioriteiten, wijs eigenaarschap toe en monitor de voortgang, richt periodieke boardrapportages in, en leg jaarlijks verantwoording af plus tussentijds bij ernstige incidenten.

De wet is de ondergrens

De Cyberbeveiligingswet legt volgens NOREA slechts een ondergrens vast: organisaties met veel te beschermen belangen zullen hoger moeten mikken. Het Cbw/NIS2 Control Framework uit dat actieplan is ontwikkeld door de Auditdienst Rijk en NOREA en dient als nulmeting en gap-analyse voor dat eigen ambitieniveau. Ook organisaties die buiten de wet vallen kunnen het volgens de letter als inspiratie gebruiken. Voor financiële entiteiten die onder DORA vallen zijn de Cbw-bepalingen over zorgplicht, meldplicht, toezicht en handhaving niet van toepassing.

Dat onderscheid tussen binnen en buiten de reikwijdte is in de praktijk dunner dan het lijkt. De Cyberbeveiligingswet ging op 15 augustus in met 2.942 registraties in het entiteitenregister, tegen minstens achtduizend plichtige organisaties, en die achtduizend gaan hun eigen keten bevragen. Wie zelf buiten de reikwijdte valt, merkt de wet daarom niet aan een brief van de toezichthouder maar aan een securityvragenlijst bij een contractverlenging.

Waarom marktmacht in een auditdocument staat

Opvallend voor een stuk uit de auditpraktijk is hoe expliciet het geopolitiek benoemt. NOREA schrijft dat grote technologiebedrijven hun marktmacht niet alleen commercieel inzetten maar die ook strategisch kunnen aanwenden, en noemt daarbij het afsluiten van de e-mailtoegang van een ICC-rechter door Microsoft, de invloed van Starlink op militaire operaties, het gebruik van platformmacht door Meta en Google in conflicten rond nieuwsvoorziening in Australië en Canada, en de positie van Apple als poortwachter van zijn eigen ecosystemen. Ook de Amerikaanse exportcontroles op geavanceerde AI-hardware staan in die reeks.

De incidentenlijst is even concreet: een ransomware-aanval op chipmaker Nexperia die een industriële keten raakte, CrowdStrike dat wereldwijd computers en servers platlegde, kwetsbaarheden als Citrix Bleed in de systemen waarmee medewerkers op afstand inloggen, en de aanval op Odido waarbij hackers via telefonische misleiding van medewerkers bij de persoonsgegevens van miljoenen klanten kwamen. Een storing, een kwetsbare leverancier of een mislukte update kan cruciale processen stilleggen, is de rode draad. Generatieve AI en privacy zijn bewust buiten deze letter gehouden, omdat ze volgens NOREA te omvangrijk zijn en meerdere bestuurlijke thema’s raken; die volgen later apart.

In juli vroegen vijf toezichthouders, waaronder ACM, AFM en DNB, om bij elke aanschaf harde eisen te stellen aan open standaarden, interoperabiliteit en de mogelijkheid om van leverancier te wisselen. Dat ging over wat er in het contract moet staan. Deze managementletter pakt de andere kant van dezelfde afhankelijkheid: wie binnen de organisatie er eigenaar van is, en dat kan aantonen. Deloitte, PwC, EY, KPMG, Forvis Mazars, de Auditdienst Rijk en de Algemene Rekenkamer zetten samen een boodschap achter die verschuiving. De afhankelijkheid zelf krimpt niet doordat een bestuur erover praat. Maar een afhankelijkheid die niemand bezit, is precies de afhankelijkheid die pas zichtbaar wordt tijdens het incident.