Cyberbeveiligingswet: zo pak je de tien zorgplichtmaatregelen aan

De Cyberbeveiligingswet schrijft ten minste tien beveiligingsmaatregelen voor, van risicoanalyse en incidentenbehandeling tot toegangsbeheer en encryptie. Het klinkt overweldigend, maar het zijn stuk voor stuk logische stappen die elke organisatie al zou moeten nemen. In deze blog lopen we de maatregelen langs en laten we zien hoe je ze praktisch aanpakt, ook met een beperkt budget.

In het eerste deel van deze blogreeks bespraken we wat de Cyberbeveiligingswet is, voor wie hij geldt en waarom bestuurders persoonlijk verantwoordelijk worden. In dit vervolg gaat Peter Landegent dieper in op de tien zorgplichtmaatregelen: wat houden ze in en hoe pak je ze aan zonder dat het je organisatie lam legt?

De tien zorgplichtmaatregelen

De kern van de Cyberbeveiligingswet is de zorgplicht. Je organisatie moet passende maatregelen nemen om je netwerk- en informatiesystemen op orde te houden. De wet schrijft ten minste tien maatregelen voor.

1. Risicoanalyse en beveiligingsbeleid. Breng in kaart welke risico’s je loopt en leg vast hoe je daarmee omgaat.
2. Incidentenbehandeling. Zorg voor een protocol om incidenten te detecteren, te analyseren en op te lossen.
3. Bedrijfscontinuïteit en crisisbeheer. Maak herstelplannen en zorg voor werkende back-ups.
4. Beveiliging van de toeleveranciersketen. Stel eisen aan je leveranciers en controleer of ze daaraan voldoen.
5. Beveiliging bij verwerving, ontwikkeling en onderhoud. Neem security mee bij aanschaf en updates van systemen.
6. Effectiviteit beoordelen. Test en evalueer regelmatig of je maatregelen werken.
7. Cyberhygiëne en opleidingen. Train je medewerkers in veilig digitaal werken.
8. Cryptografie en encryptie. Bescherm gevoelige gegevens met versleuteling.
9. Personeelsbeleid en toegangsbeheer. Regel wie toegang heeft tot welke systemen en data.
10. Multifactorauthenticatie en beveiligde communicatie. Gebruik MFA en zorg voor veilige communicatiekanalen.

Dit klinkt misschien overweldigend. Maar als je eerlijk kijkt naar deze lijst, zijn het stuk voor stuk logische maatregelen die elke organisatie al zou moeten nemen. De wet maakt het alleen verplicht en afdwingbaar.

De rode draad: inzicht

Meerdere van deze maatregelen draaien om dezelfde kern: je moet weten wat er gebeurt in je IT-omgeving. Risicoanalyse, incidentenbehandeling, effectiviteit beoordelen en bedrijfscontinuïteit hebben allemaal één ding nodig: inzicht. Zonder centrale logging en monitoring kun je niet aantonen dat je aan deze verplichtingen voldoet.

Hoe het Apex Lumi-platform helpt bij compliance

Het Apex Lumi-platform is een securityplatform op basis van open-source-technologie (Wazuh). Het verzamelt logdata van al je systemen – servers, firewalls, endpoints en cloudomgevingen – en correleert die tot bruikbare inzichten. Verdachte activiteiten worden automatisch gedetecteerd en gemeld.

Concreet helpt het platform bij de volgende zorgplichtmaatregelen:
– Risicoanalyse: doorlopend inzicht in kwetsbaarheden en dreigingen via vulnerability-scanning en threat-detectie
– Incidentenbehandeling: automatische detectie en alerting, zodat je snel kunt handelen en op tijd kunt melden
– Effectiviteit beoordelen: rapportages en dashboards die laten zien hoe je beveiliging presteert
– Toegangsbeheer: monitoring van wie toegang heeft tot welke systemen en signalering bij afwijkend gedrag
– Compliance-monitoring: controle of je systemen voldoen aan het beveiligingsbeleid

Omdat het platform draait op open-source-technologie zijn er geen dure licentiekosten. En doordat alle data in een 100% Nederlandse cloud wordt opgeslagen, behoud je volledige controle over je gegevens. Geen gedoe met de Amerikaanse CLOUD Act of onduidelijkheid over waar je data staat.

Je hoeft ook niet alles in één keer aan te sluiten. Begin met je kritieke systemen – firewall, domaincontrollers en mailserver – en breid stapsgewijs uit. Zo bouw je compliance op zonder dat het je dagelijkse werkzaamheden verstoort.

Wachten is niet gratis

De verleiding is groot om te wachten tot de wet daadwerkelijk ingaat. Maar dat heeft twee nadelen.

Ten eerste: de risico’s zijn er nu al. Ransomware-aanvallen op mkb-bedrijven nemen toe. Cybercriminelen wachten niet op wetgeving. Elke dag zonder monitoring is een dag waarop een aanval onopgemerkt kan blijven.

Ten tweede: als je wacht tot het laatste moment, loop je tegen capaciteitsproblemen aan. Security-leveranciers en consultants worden drukker naarmate de deadline nadert. Door nu te beginnen heb je de tijd om rustig en doordacht te implementeren, in plaats van onder druk alles in één keer te moeten regelen.

Veelgestelde vragen

Moet ik een volledig SOC-team opzetten?

Nee. De wet schrijft voor dát je passende maatregelen neemt, niet hóe je dat precies invult. Een managed security-dienst kan het werk van een intern SOC-team overnemen tegen een fractie van de kosten.

Hoe werkt de meldplicht precies?

Bij een significant incident doe je binnen 24 uur een eerste melding via het centrale meldportaal. Daarna volgen verdere rapportages met meer detail over het incident. Het is een gefaseerd proces.

Kan ik nu al beginnen met voorbereidingen?

Ja, en dat wordt ook aangeraden door de Rijksoverheid. Je kunt je nu al registreren bij het NCSC, een risicoanalyse uitvoeren en beginnen met centrale logging.

Hoe verhoudt de Cyberbeveiligingswet zich tot de AVG?

De AVG richt zich op de bescherming van persoonsgegevens. De Cyberbeveiligingswet richt zich breder op de beveiliging van netwerk- en informatiesystemen. Ze vullen elkaar aan. Goede security-monitoring helpt bij het naleven van beide wetten.

Meer weten?

Wil je weten hoe het Apex Lumi-platform jouw organisatie kan helpen bij de voorbereiding op de Cyberbeveiligingswet? Neem contact op via +31 (0)85 4896060 of info@apexsecurity.nl voor een vrijblijvend gesprek. We laten je graag zien hoe centrale logging en monitoring er in de praktijk uitziet.