De zorgplicht: wat 'passende maatregelen' echt betekent

De zorgplicht is het hart van de Cyberbeveiligingswet: uw organisatie moet passende technische en organisatorische maatregelen nemen om de risico's voor uw netwerk- en informatiesystemen te beheersen. Maar wat is passend?

Passend = in verhouding tot uw risico

De wet hanteert een proportionaliteitsbeginsel. Wat passend is hangt af van de omvang van uw organisatie, de kans op incidenten, de mogelijke maatschappelijke impact en de kosten van de maatregelen. Een regionale vervoerder hoeft niet hetzelfde te doen als een landelijk datacenter. Maar de tien onderwerpen uit artikel 21 moeten allemaal aantoonbaar geregeld zijn: het niveau mag verschillen, overslaan mag niet.

De rol van het bestuur

De zorgplicht is expliciet belegd bij het bestuur. Dat moet de maatregelen goedkeuren, toezien op de uitvoering en zelf voldoende kennis hebben (opleiding is verplicht). Bij ernstig verwijtbaar handelen is persoonlijke aansprakelijkheid mogelijk. Praktisch betekent dit: het informatiebeveiligingsbeleid wordt door de directie vastgesteld en jaarlijks besproken, en dat staat genotuleerd.

Aantonen is het halve werk

De toezichthouder vraagt niet of u veilig bent, maar of u kunt laten zien wat u geregeld heeft. Drie vuistregels:

• Elke maatregel heeft een document: beleid, procedure of registratie
• Elk document heeft een eigenaar en een datum van laatste herziening
• Van elke belangrijke keuze bestaat een korte onderbouwing: waarom dit niveau passend is voor ons risico

Zelf doen of uitbesteden

Voor de meeste mkb-organisaties is de zorgplicht goed zelf te organiseren: het is vooral gestructureerd vastleggen wat er (deels al) gebeurt, en de gaten dichten. Een adviseur inhuren kan, maar kost al snel tienduizenden euro's voor documenten die grotendeels standaard zijn. Zie ook wat NIS2-compliance kost.