Een security officer die 2 weken geleden nog vroeg wanneer de Cyberbeveiligingswet nu eindelijk zou ingaan, stelt die vraag inmiddels niet meer. Sinds 15 augustus is de wet van kracht, samen met de Wet weerbaarheid kritieke entiteiten, en daarmee is de discussie in één klap verschoven. Niet meer of de verplichtingen eraan komen, maar wat er dit kwartaal al op orde moet zijn. Voor veel organisaties betekent dat een andere houding tegenover een onderwerp dat lange tijd op de plank kon blijven liggen naast andere prioriteiten.
Dat is ook waar we bij SolidBE de vragen zien verschuiven. Waar gesprekken een jaar geleden nog gingen over wanneer de wet zou ingaan en wat de definitieve tekst zou behelzen, gaan ze nu over registratie, over wie binnen het bestuur de zorgplichtmaatregelen concreet moet goedkeuren, en over de vraag of het aanvalsoppervlak eigenlijk wel volledig in beeld is. Dat laatste blijkt in de praktijk regelmatig een pijnpunt. Niet omdat organisaties niet willen, maar omdat de informatie verspreid zit over meerdere systemen en niemand met zekerheid kan zeggen welk overzicht op dit moment het meest actuele is.
De zes artikelen hieronder zijn geselecteerd omdat ze die verschuiving van theorie naar uitvoering volgen. Ze gaan niet over de achtergrond van de richtlijn of de politieke totstandkoming ervan, maar over de vragen die nu bij IT-beslissers en security officers op tafel liggen. Van de wettelijke verantwoordelijkheid van het bestuur tot de manier waarop ketenpartners aantoonbaar beoordeeld moeten worden, en van praktische implementatieknelpunten tot de tooling die nodig is om compliance te kunnen bewijzen in plaats van alleen te beweren.
De zorgplicht raakt niet alleen de eigen organisatie. Wie leveranciers en ketenpartners moet beoordelen, vindt in het artikel over ketenbeveiliging onder de Cyberbeveiligingswet een praktische uitwerking van wat aantoonbare controle in de praktijk betekent, in plaats van het vertrouwen op de goede naam van een leverancier.
Voor organisaties die tegen concrete implementatievragen aanlopen, biedt dit artikel over zes veelvoorkomende praktijkknelpunten bij het naleven van de Cyberbeveiligingswet houvast, van bestuurlijke goedkeuring tot het bijbenen van een groeiende kwetsbaarhedenlijst.
Een van de grootste knelpunten daarbij is het aantoonbaar in kaart brengen van het aanvalsoppervlak. De vergelijking tussen Tenable Nessus en Tenable Vulnerability Management laat zien welke aanpak beter aansluit bij aantoonbare NIS2-compliance, en dit artikel over wat Tenable Vulnerability Management precies doet en welke licentievorm bij uw organisatie past gaat een stap verder in op de praktische keuze daarbinnen.
Wie liever eerst de verplichting zelf helder krijgt voordat er naar tooling gekeken wordt, vindt in het overzicht van de tien verplichte zorgplichtmaatregelen onder de Cbw het uitgangspunt waar de rest van de implementatie op voortbouwt.
