Met de Cyberbeveiligingswet, de Nederlandse uitwerking van NIS2, krijgt cybersecurity de plek die het verdient. Organisaties moeten hun digitale veiligheid aantoonbaar op orde hebben en bestuurders dragen daar persoonlijk verantwoordelijkheid voor. Dat is een goede ontwikkeling.
Maar we merken dat veel organisaties zich nu vooral bezighouden met één vraag: hoe zorgen we dat we compliant zijn? Een begrijpelijke reflex, en niet zonder risico. Wie niet oppast, verzandt in regels, vinklijstjes en papierwerk, terwijl het echte doel uit beeld raakt: overeind blijven in een digitale wereld die voortdurend verandert.
Het CBW Control Framework: nuttig, geen einddoel
Het CBW (NIS2) Control Framework van de Auditdienst Rijk en NOREA is een waardevolle leidraad. Het geeft overzicht van wat de wet vraagt en waar verbeteringen nodig zijn. Wij gebruiken het zelf: het brengt structuur en maakt zichtbaar hoe volwassen een organisatie al is.
Maar een framework is een hulpmiddel, geen garantie. Je kunt keurig aan alle eisen voldoen en toch kwetsbaar zijn. Wat in een ziekenhuis werkt, werkt niet per se in een productiebedrijf of bij een mkb-onderneming. Cybersecurity vraagt om context, inzicht en actie, niet om afvinken.
Regels helpen, maar beschermen je niet
De wet is bedoeld om de basis op orde te krijgen, en dat is hard nodig. Toch zien we organisaties vooral in compliance-modus schieten: procedures uitschrijven, documenten opstellen, vinkjes zetten. De echte vraag is niet of alles op papier klopt, maar of je kunt blijven draaien als er morgen een aanval plaatsvindt.
Weerbaarheid gaat niet over mappen met beleid, maar over hoe goed een organisatie onder druk blijft functioneren. Over cultuur, leiderschap en de bereidheid om van incidenten te leren. Regels geven grip. Worden ze een doel op zich, dan verlies je snelheid en flexibiliteit, en juist die bepalen of je overeind blijft als het spannend wordt.
De menselijke maat
Digitale veiligheid begint bij mensen. Technologie is belangrijk, maar het zijn mensen die beslissingen nemen en samenwerken als het misgaat. Een incidentresponsplan in een map is niet genoeg; je team moet het hebben geoefend, samen en onder druk. Alleen dan weet je wat werkt.
Ook bewustwording is geen vinkje. Veiligheid wordt pas onderdeel van het dagelijkse ritme als kennis wordt gedeeld, geoefend en gedrag wordt versterkt. En omdat niet elke organisatie dezelfde risico’s of dezelfde capaciteit heeft, is prioriteren essentieel. Beter tien belangrijke risico’s echt goed afdekken dan honderd bijzaken compliant verklaren.
Van compliance naar weerbaarheid
Zo kijken wij ernaar. We beginnen bij identiteit en toegang, omdat vrijwel elke aanval begint met misbruik van een account: sterke authenticatie, tijdelijke beheerdersrechten en rechten die verlopen in plaats van ophopen. Daarna brengen we het digitale landschap in kaart en meten we de werkelijke stand, met een rapport dat prioriteiten geeft in plaats van een lijst van alles wat rood kleurt. De uitvoering volgt: beleid aanscherpen, processen verbeteren, techniek versterken. En omdat weerbaar zijn geen momentopname is, hoort daar doorlopende bewaking bij, van dreigingen én van de eigen maatregelen.
Compliance komt dan vanzelf mee. Wie zijn risico’s kent, zijn maatregelen werkend heeft en dat kan aantonen, voldoet aan de wet zonder er een apart project van te maken. Zo combineer je controle met daadkracht: je voldoet aan de regels, maar richt je op waar het om draait: bescherming, continuïteit en rust.
Regels als fundament, niet als eindstation
De Cyberbeveiligingswet en het Control Framework geven richting, duidelijkheid en urgentie. Ze zijn het fundament, niet het einddoel. Gebruik de wet als kans om je organisatie sterker te maken. Bouw aan een cultuur waarin mensen verantwoordelijkheid nemen en veiligheid vanzelfsprekend is. Blijf leren, testen en verbeteren.
Nederland wordt pas echt digitaal weerbaar als we verder kijken dan vinkjes: technologie gecombineerd met gezond verstand, menselijke maat en samenwerking.
Wil je weten of de wet voor jouw organisatie geldt en waar je als eerste aan werkt? Doe de Cyberbeveiligingswet-check: acht vragen, direct resultaat.
Bron: Auditdienst Rijk en NOREA, CBW (NIS2) Control Framework, studierapport.