De zorgplicht: wat 'passende maatregelen' echt betekent

De zorgplicht is het hart van de Cyberbeveiligingswet: uw organisatie moet passende technische en organisatorische maatregelen nemen om de risico's voor uw netwerk- en informatiesystemen te beheersen. Maar wat is passend?

Passend = in verhouding tot uw risico

De wet hanteert een proportionaliteitsbeginsel. Wat passend is hangt af van de omvang van uw organisatie, de kans op incidenten, de mogelijke maatschappelijke impact en de kosten van de maatregelen. Een regionale vervoerder hoeft niet hetzelfde te doen als een landelijk datacenter. Maar de tien onderwerpen uit artikel 21 moeten allemaal aantoonbaar geregeld zijn: het niveau mag verschillen, overslaan mag niet.

De rol van het bestuur

De zorgplicht is expliciet belegd bij het bestuur. Dat moet de maatregelen goedkeuren, toezien op de uitvoering en zelf voldoende kennis hebben (opleiding is verplicht). Bij ernstig verwijtbaar handelen is persoonlijke aansprakelijkheid mogelijk. Praktisch betekent dit: het informatiebeveiligingsbeleid wordt door de directie vastgesteld en jaarlijks besproken, en dat staat genotuleerd.

Aantonen is het halve werk

De toezichthouder vraagt niet of u veilig bent, maar of u kunt laten zien wat u geregeld heeft. Drie vuistregels:

• Elke maatregel heeft een document: beleid, procedure of registratie
• Elk document heeft een eigenaar en een datum van laatste herziening
• Van elke belangrijke keuze bestaat een korte onderbouwing: waarom dit niveau passend is voor ons risico

Zelf doen of uitbesteden

Voor de meeste mkb-organisaties is de zorgplicht goed zelf te organiseren: het is vooral gestructureerd vastleggen wat er (deels al) gebeurt, en de gaten dichten. Een adviseur inhuren kan, maar kost al snel tienduizenden euro's voor documenten die grotendeels standaard zijn. Zie ook wat NIS2-compliance kost.

Wat "passend en evenredig" betekent

De zorgplicht schrijft geen techniek voor. De wet vraagt maatregelen die passend en evenredig zijn, en dat is geen vage formulering maar een toets met vaste elementen. U weegt af: hoe groot is uw organisatie, hoe erg is het als uw dienst uitvalt, hoe waarschijnlijk is een incident, wat kost de maatregel, en wat is er in uw sector gebruikelijk.

Die afweging moet u kunnen laten zien. Een bakkerijketen die geen 24-uurs securityteam inricht, heeft daar een goed verhaal voor. Een netbeheerder niet. Het verschil zit niet in de wet maar in de onderbouwing, en die onderbouwing is precies wat de toezichthouder wil lezen.

Hoe u proportionaliteit onderbouwt

Leg per maatregel drie dingen vast. Dit is de kern van een verdedigbaar dossier en het kost per maatregel een halve pagina.

• Wat doet u. Concreet, niet "wij hechten belang aan", maar "MFA staat aan voor alle accounts met toegang tot klantgegevens".
• Waarom is dat genoeg. Verwijs naar uw risicoanalyse: welk risico dekt dit af, en welk restrisico accepteert u bewust.
• Wat doet u niet, en waarom. Dit vergeten organisaties bijna altijd, terwijl het de sterkste onderbouwing is. Een expliciet genomen en vastgelegd besluit om iets niet te doen is verdedigbaar; het onderwerp overslaan is dat niet.

Het minimum per maatregel

De tien maatregelen zijn vrij algemeen geformuleerd. Dit is wat er in de praktijk minimaal onder valt voor een organisatie van gemiddelde omvang.

De zorgplicht geldt ook voor uw keten

Het onderdeel dat het vaakst wordt onderschat, is de toeleveringsketen. U bent verantwoordelijk voor de beveiliging van de diensten die u afneemt, voor zover die uw eigen dienstverlening raken. Dat betekent niet dat u elke leverancier moet auditen, wel dat u weet welke leveranciers kritiek zijn en welke afspraken u met hen heeft.

Begin met de vraag: welke leverancier legt onze bedrijfsvoering plat als hij morgen uitvalt of gehackt wordt? Dat zijn er meestal vijf tot vijftien. Die lijst plus de bijbehorende afspraken is negentig procent van wat deze maatregel vraagt.

De zorgplicht is doorlopend

Een veelgemaakte denkfout is dat de zorgplicht een project is dat een keer af is. De wet vraagt dat uw maatregelen passend blijven, en wat vandaag passend is, is dat over twee jaar niet meer. Uw organisatie groeit, u stapt over naar een andere leverancier, er komt een nieuw systeem bij.

Wat helpt is een vast moment in het jaar waarop u vier dingen doet: de risicoanalyse tegen het licht houden, de lijst met kritieke leveranciers bijwerken, controleren of de maatregelen nog werken, en het bestuur opnieuw laten vaststellen. Dat kost een dagdeel en het houdt het hele dossier levend.

Zonder zo'n moment verwatert het. Documenten met een vaststellingsdatum van drie jaar geleden roepen bij een controle meer vragen op dan ze beantwoorden, ook als de inhoud nog klopt.

Veelgestelde vragen

Moet ik alle tien de maatregelen volledig invoeren?

Alle tien de onderwerpen moet u afdekken, maar de diepgang mag u afstemmen op uw omvang en risico. Een onderwerp helemaal overslaan kan niet; een onderwerp licht invullen met een vastgelegde onderbouwing wel.

Wie bepaalt of mijn maatregelen passend zijn?

In eerste instantie u zelf, op basis van uw risicoanalyse. De toezichthouder toetst achteraf of uw afweging redelijk is. Daarom is de onderbouwing belangrijker dan de maatregel zelf: zonder onderbouwing is er niets om te toetsen.

Hoe vaak moet ik de risicoanalyse herzien?

Minstens jaarlijks, en verder bij elke wezenlijke verandering: een nieuwe kritieke leverancier, een migratie, een overname of een incident. Zet de jaarlijkse ronde in de agenda, anders verwatert het dossier.