De wet is van kracht, en uw certificaat is geen schild
Op 3 september 2026 zaten vier personen die toezicht houden op de Cyberbeveiligingswet aan tafel om in een uur tijd uit te leggen hoe zij dat gaan aanpakken. Lies van Harten en Myrthe Aresvik van de Rijksinspectie Digitale Infrastructuur, Allard de Rond van de Nederlandse Voedsel- en Warenautoriteit en Patrick van de Heisteeg van de Inspectie Leefomgeving en Transport, onder leiding van het NCSC. De RDI publiceerde de opname op 11 september. Deze duurt 58 minuten en is voorzien van Nederlandse ondertiteling.
Dit is een ander soort bron dan de wettekst zelf. Het zijn de inspecties die hun eigen werkwijze toelichten, officieel vastgelegd, en live vragen beantwoorden van de organisaties waarop zij toezicht houden.
Vier zaken vallen op voor iedereen die onder de wet valt.
- De wet is sinds 15 augustus 2026 van kracht en er is geen overgangsperiode. De toezichthouders zijn al bevoegd om op te treden. In de praktijk stonden ze op 16 augustus niet direct op de stoep, maar niets houdt hen tegen.
- Het toezicht is verdeeld per sector. Verschillende inspecties delen het werk, en sommige organisaties vallen onder meer dan één toezichthouder. Wanneer u uw registratie voltooit, ziet u direct onder welke toezichthouder u valt.
- Essentiële entiteiten krijgen proactief toezicht, gepland op basis van een risicoanalyse. Belangrijke entiteiten zijn onderworpen aan reactief toezicht: de toezichthouder kan ingrijpen zodra er bewijs, een aanwijzing of informatie is die duidt op een mogelijke inbreuk. Een incident kan dat proces in gang zetten, maar dat is niet de enige aanleiding.
- Een kijker stelde de vraag waar elke gecertificeerde organisatie een antwoord op wil: voldoe ik aan de Cyberbeveiligingswet als ik een certificaat heb? Het antwoord was nee. Een certificaat helpt u bij de toepassing van de wet en het nemen van de juiste maatregelen, en de toezichthouders noemden het een nuttig instrument. Het is echter geen juridisch bindende verklaring dat u compliant bent. De toezichthouder onderzoekt of u voldoet aan de eisen, en de toezichthouder heeft het laatste woord.
Dat laatste punt verdient aandacht, want het snijdt aan twee kanten. Certificering is geen schild. Het is echter ook geen verspilde moeite, en dat gaven de inspecteurs zelf aan zonder dat hen daarom gevraagd werd.
Hoe een inspectie in het kader van de Cyberbeveiligingswet er echt uitziet
De bevoegdheden zijn niet nieuw. Onder de Cyberbeveiligingswet werken inspecteurs met dezelfde autoriteit die zij al hebben onder andere wetgeving, gebaseerd op de Algemene wet bestuursrecht: zij kunnen documenten opvragen en vorderen, toegang krijgen tot locaties waar een inspectie wordt uitgevoerd, producten en processen onderzoeken en medewerking eisen. Het zijn dezelfde inspecties die hun gebruikelijke werk doen, met de Cbw toegevoegd aan hun takenpakket.
Wat de Cbw toevoegt, bevindt zich aan het uiterste einde van het instrumentarium. De aanvullende bevoegdheden omvatten bindende aanwijzingen en, voor essentiële entiteiten, de aanstelling van een onafhankelijke toezichthouder. Bij ernstige overtredingen kunnen de maximale boetes oplopen tot 10 miljoen euro of, indien hoger, 2% van de wereldwijde jaaromzet voor essentiële entiteiten; voor belangrijke entiteiten is het maximum 7 miljoen euro of 1,4%. In een geëscaleerd geval bij een essentiële entiteit kan de autoriteit de civiele rechter vragen om een of meer bestuursleden tijdelijk te schorsen. Een van de toezichthouders omschreef het als een interessante extra gereedschapskist bovenop het algemene bestuursrecht, en dat is een treffende omschrijving: de basis is regulier, de toevoegingen zijn dat niet.
Tussen die twee uitersten zit een proces, en dat proces is geen inval.
De Inspectie Leefomgeving en Transport beschreef hoe zij een inspectie uitvoert, voortbouwend op haar ervaring onder de vorige wet. Zij neemt contact op met de bekende contactpersoon. Zij vraagt documentatie op en verricht daarop bureauonderzoek. Het meest gevoelige materiaal, de documenten die gekoppeld zijn aan de risicoanalyse, laat zij bij voorkeur bij de organisatie liggen in plaats van kopieën te maken, om de blootstelling te beperken. Vervolgens wordt een dag op locatie afgesproken, voert zij realitychecks uit op wat de documenten beweren en houdt zij interviews. Aan het eind van de dag deelt zij haar bevindingen en vraagt zij of de organisatie er hetzelfde tegenaan kijkt. Er volgt een inspectierapport, dat eerst wordt aangeboden voor hoor en wederhoor zodat u het kunt corrigeren of betwisten. Waar iets niet in orde is, volgt meestal een verzoek om een verbeterplan met een redelijke deadline. Voldoet u daaraan, dan is er, in hun woorden, niets meer aan de hand.
Twee details zijn het onthouden waard.
Zij gaan verder dan papier. Direct gevraagd of zij kijken naar beleid en procedures of naar hoe de operatie daadwerkelijk draait, was het antwoord eenduidig. Papier zegt iets over het ontwerp, en ontwerp is niet genoeg. Is de risicoanalyse volledig? Zijn alle processen daadwerkelijk in beeld? Werkt de maatregel, en werkt deze over zes maanden nog steeds als de inspecteurs weg zijn? Operationele technologie valt expliciet onder de reikwijdte en komt steeds meer in het middelpunt van de belangstelling te staan.
U wordt gevraagd uw redenering toe te lichten. Eén inspecteur verwoordde het als dat organisaties mogen uitleggen waarom zij een bepaalde keuze hebben gemaakt, terwijl hij erkende dat dit op hetzelfde neerkomt als verantwoording afleggen. Wat overblijft na uw maatregelen is restrisico, en restrisico is de risicobereidheid van het bestuur. Het bestuur stelt de maatregelen vast, accepteert wat overblijft en moet kunnen beschrijven waarom. Bereid dat voor vóór het bezoek, niet tijdens. Waar de toezichthouder het oneens is, gaat het gesprek over de vraag of de maatregelen in verhouding staan tot het risico, niet over de vraag of u een formulier heeft ingevuld.
Wat zij blijven aantreffen, en niets daarvan is een firewallprobleem
Het meest nuttige deel van het uur was het antwoord op een simpele vraag: wat doen organisaties het vaakst fout?
Het patroon dat officieel werd benoemd, op basis van echte inspecties onder de vorige wet, was consistent.
- Het bestuur is onvoldoende betrokken bij de risico's.
- Er is een kloof tussen wat de CISO vraagt en de middelen die daadwerkelijk beschikbaar worden gesteld.
- Documenten zijn niet formeel vastgesteld en goedgekeurd, wat op zichzelf een signaal is dat de betrokkenheid gering is.
- Systemen ontbreken in de risicoanalyse, waardoor de asset-inventarisatie onvolledig is. Kleinere systemen die irrelevant lijken, maar wel deel uitmaken van een proces, werden genoemd als een goede voedingsbodem om binnen te dringen.
- Afspraken met leveranciers en de toeleveringsketen zijn niet goed georganiseerd, inclusief partijen die op uw locatie komen.
Geen van deze punten is een firewallprobleem. Elk ervan is een managementprobleem: governance, eigenaarschap, documentatie, inventarisatie en leveranciers. Een organisatie met uitstekende technische controles maar zonder bestuursnotulen die deze goedkeuren, zal op deze lijst falen.
Tijdens de sessie kwamen ook drie praktische mechanismen naar voren.
Wanneer meerdere toezichthouders op één organisatie van toepassing zijn, stemmen zij onderling af. Er is een samenwerkingsprotocol gepubliceerd in de Staatscourant, er wordt een coördinerend toezichthouder aangesteld die de leiding neemt en gezamenlijke inspecties zijn mogelijk. Het doel is, in hun eigen bewoordingen, om te voorkomen dat een entiteit op maandag met de ene inspectie te maken krijgt, op dinsdag met de andere en op woensdag met een derde. Er kunnen twee toezichthouders tegelijk langskomen, maar u voert slechts één gesprek.
Rapportage verloopt via één loket, met één belangrijke uitzondering. Een melding via het NCSC-portaal informeert zowel het CSIRT als uw toezichthouder, dus voor de Cyberbeveiligingswet hoeft u maar één keer te melden. De Algemene verordening gegevensbescherming is een andere wet. Toezichthouders hebben een plicht om door te verwijzen naar de Autoriteit Persoonsgegevens wanneer persoonsgegevens betrokken zijn, en die doorverwijzing ontslaat u niet van uw eigen meldplicht bij datalekken. Als er persoonsgegevens zijn gelekt, moet u dit zelf nog steeds melden bij de AP. De drempelwaarden zijn bovendien niet gelijk, waardoor de twee meldingen op wezenlijk verschillende gebeurtenissen betrekking kunnen hebben.
Voor het hoger onderwijs gelden andere regels. Iedereen die in die sector werkzaam is, werd voor de details verwezen naar de Inspectie van het Onderwijs in plaats van naar de algemene richtlijnen.
Nog één punt, dat door het panel eerlijk werd benoemd in plaats van verbloemd. In een live peiling werd aan kijkers gevraagd of zij aan de belangrijkste verplichtingen voldeden, en slechts één procent gaf toe dat ze nog moesten beginnen. Een van de inspecteurs nuanceerde de eigen peiling direct door erop te wijzen dat "belangrijkste" in die zin nogal vaag is: er zijn vier plichten, en voldoen aan de verplichting op bestuursniveau is iets anders dan de zorgplicht op orde hebben. De gespreksleider had al gewezen op de selectiebias bij een publiek dat ervoor kiest om naar een webinar over toezicht te kijken. Bekijk dat geruststellende cijfer dus met beide kanttekeningen in het achterhoofd.
Een besluit dat u nooit heeft vastgelegd, ziet eruit als een besluit dat u nooit heeft genomen
Als u zich nog niet heeft geregistreerd, is dat de eerste stap en die is inmiddels rijkelijk laat. Het is bovendien in uw eigen belang en niet slechts een kwestie van gehoorzaamheid: een organisatie die niet geregistreerd is, is niet verbonden met het NCSC of het relevante CSIRT en krijgt geen ondersteuning van hen wanneer er iets misgaat.
Als u onder de reikwijdte valt en achterloopt, was het advies aan tafel nuchter en correct. Breng uw risico's in kaart, identificeer uw kroonjuwelen en tref eerst maatregelen tegen de grootste risico's. Faseer de rest in plaats van te proberen alles tegelijk te realiseren. Zorg dat het bestuur erbij betrokken is, met de training die de wet vereist, zodat de verantwoordelijke persoon geïnformeerde besluiten kan nemen. En leg het gaandeweg vast, in welke vorm u maar wilt, zodat iemand die later instapt de analyse die u daadwerkelijk heeft gemaakt, kan volgen.
Die laatste instructie is wat de meeste organisaties onderschatten. De inspecteurs vragen niet om een specifiek sjabloon. Ze vragen om meegenomen te worden in uw redenering. Een besluit dat u goed heeft genomen maar nooit heeft vastgelegd, ziet er van buitenaf precies zo uit als een besluit dat u nooit heeft genomen.
Dit is waar een certificaat zijn waarde bewijst, binnen de grenzen die de toezichthouders daaraan stellen. ISO 27001 draagt het oordeel niet over aan uw certificerende instantie en beantwoordt niet namens u aan de Cyberbeveiligingswet. Wat het wel oplevert, mits u het goed uitvoert, is precies het materiaal waar een inspecteur om vraagt: een gedocumenteerde risicoanalyse, maatregelen die herleidbaar zijn naar de risico's die ze rechtvaardigen, besluiten die formeel zijn goedgekeurd door de verantwoordelijken, een activainventarisatie die daadwerkelijk compleet is, leveranciersbeheersing en een verslag van waarom u bepaalde keuzes heeft gemaakt.
Veel van het onderliggende risicomanagement en de bewijsvoering overlappen elkaar, dus het is logisch om dit als één samenhangend proces te beheren. De Cbw voegt echter wettelijke verplichtingen toe waar een ISO 27001-managementsysteem niet automatisch aan voldoet, waaronder registratie, eisen voor incidentmeldingen en specifieke bestuurlijke taken.
ISOPlanner™ is ontworpen om al dat werk op één plek te houden, binnen de Microsoft 365-omgeving die uw organisatie al gebruikt. Zo staan de risicoanalyse, de beheersmaatregelen, de goedkeuringen en het leveranciersregister bij elkaar, in plaats van in een map die pas vlak voor een audit wordt samengesteld. Het maakt u niet automatisch compliant, want niets kan dat garanderen. Het zorgt er wel voor dat bewijslast een bijproduct van het werk wordt in plaats van een apart project. Dat is het verschil tussen een inspectie waar u iemand moeiteloos doorheen loodst en een inspectie waar u zich apart op moet voorbereiden.
Het volgende webinar in de reeks vindt plaats op 1 oktober en gaat over de rapportageplicht. Als dit voor u relevant is, is dat uur zeker de moeite waard om te reserveren.
Bekijk het volledige webinar hier
