NVWA start toezicht op Cyberbeveiligingswet 

Welke stappen neemt de NVWA?

De NVWA voert het toezicht gefaseerd in. In het eerste jaar ligt de nadruk op kennismaking, inzicht in het huidige beveiligingsniveau en ondersteuning bij het begrijpen en naleven van de wet. Concreet bestaat de aanpak uit de volgende stappen:

1. Kennismaken en informatie opvragen. De NVWA brengt in kaart welke organisaties onder haar toezicht vallen, waar knelpunten zitten en hoe cyberbeveiliging en fysieke weerbaarheid ervoor staan. Een organisatie kan hiervoor een vragenlijst ontvangen, worden gevraagd informatie aan te leveren of worden uitgenodigd voor een kennismakingsgesprek.
2. Het beveiligingsniveau beoordelen. Op basis van eigen onderzoek en de aangeleverde informatie beoordeelt de NVWA in hoeverre de organisatie haar verplichtingen naleeft. Daarbij kan zij inspecties en audits uitvoeren.
3. Risicogericht vervolg geven. Organisaties die hun cyberveiligheid en fysieke weerbaarheid aantoonbaar op orde hebben, krijgen minder toezichtaandacht dan organisaties waar nog veel moet gebeuren.
4. Reageren op incidenten en signalen. De NVWA volgt relevante incidenten en signalen over tekortkomingen op. Voor essentiële entiteiten kan het toezicht zowel proactief als reactief zijn; bij belangrijke entiteiten is het toezicht doorgaans reactief, tenzij signalen aanleiding geven tot proactief toezicht.
5. Gefaseerd handhaven. De NVWA houdt rekening met de tijd die organisaties nodig hebben om aan de vereisten te voldoen. Als daar aanleiding toe is, kan zij audits uitvoeren en interventies opleggen om naleving te bevorderen.

Voor organisaties betekent dit dat zij niet moeten wachten op een formele inspectie. Zorg dat de registratie is afgerond en dat risicoanalyses, maatregelen, verantwoordelijkheden, incidentprocedures en onderliggende bewijsstukken actueel en beschikbaar zijn.

Aantoonbaarheid staat centraal

Wat betekent dit concreet? Tijdens een controle kan de toezichthouder vragen om risicoanalyses, beleidsdocumenten, rapportages, procedures en onderbouwingen van genomen maatregelen. De aanwezigheid van een firewall of antivirusoplossing alleen is onvoldoende. De organisatie moet laten zien hoe cyberrisico’s worden gemonitord, welke verantwoordelijkheden zijn toegewezen en hoe wordt gehandeld wanneer zich een incident voordoet. Aantoonbaarheid staat daarbij centraal.

Cyberveiligheid als bestuurlijke verantwoordelijkheid

Voor bestuurders betekent dit dat cyberveiligheid steeds meer onderdeel wordt van reguliere bedrijfsvoering. Besluitvorming rondom risico’s, investeringen en prioriteiten moet worden vastgelegd en onderbouwd. Dit sluit aan bij de gedachte achter de Cyberbeveiligingswet: cyberweerbaarheid is een organisatiebreed vraagstuk en niet uitsluitend een technische aangelegenheid.

Het aangekondigde toezicht van de NVWA laat zien dat cyberveiligheid steeds meer een aantoonbare verplichting wordt. Door tijdig maatregelen te nemen en deze goed vast te leggen, voldoet u niet alleen beter aan toekomstige wettelijke eisen, maar versterkt u ook de continuïteit en weerbaarheid van uw organisatie.

Meer informatie