Telefoon: 085-0046560
Mail: info@mathison.nl
Bezoekadres: Cypresbaan 7-9
2908 LT Capelle aan den IJssel
Nu we in de eerste weken van 2023 zijn, leek het ons goed om eens terug te blikken op de ontwikkelingen over 2022 op gebied van cyber security, om te bepalen wij hieruit kunnen leren. De trends die we zien in het afgelopen jaar helpen ons bij het veilig houden van onze data in het aankomend jaar.
Ontwikkelingen over het jaar
Er is in het afgelopen jaar veel gebeurd op gebied van cybersecurity. Van de hack bij Uber (Uber lek) tot het uitlekken van de LockBit ransomware toolkit (LockBit toolkit), er was genoeg om ons bezig te houden!
Belangrijker wellicht is dat niet alleen hacks zijn uitgevoerd, maar dat ook veel is veranderd in onze houding ten opzichte van informatiebeveiliging en cybersecurity. Toezicht en inzicht worden daarbij telkens belangrijker, om grip te houden op de securitymaatregelen van organisaties. We lichten hieronder enkele belangrijke ontwikkelingen op dit vlak toe.
VNG vernieuwt Principes voor Digitale Samenleving
Aan het begin van het jaar is gesteld dat de Nederlandse gemeentes hun cybersecurity -houding moeten verbeteren. Zo worden ze onder meer verplicht om de eigen infrastructuur op kwetsbaarheden te gaan scannen. In december heeft de VNG de principes vernieuwd voor de digitale samenleving (VNG vernieuwd principes voor digitale samenleving).
Deze vernieuwing is overigens niet het eind van de ontwikkelingen, in de aankomende jaren zal de VNG de methodes, handreikingen verder aanvullen en toepassen. De verwachting is dat met name meer controle op naleving zal worden toegevoegd.
Vitale infrastructuur en de NIS2
De Wet Beveiliging Netwerk- en Informatiesystemen (Wbni) regelt de eisen voor informatiebeveiliging en continuïteit voor vitale leveranciers van digitale infrastrucuur in Nederland. Hieronder vallen organisaties als telecomproviders en grote datacentra, waarbij een verstoring van de dienstverlening kan leiden tot een verstoring in de samenleving.
Deze wet is echter niet meer toereikend aangezien we in de afgelopen jaren aanzienlijk meer afhankelijk zijn geworden van de digitale infrastructuur, bijvoorbeeld voor video conferencing en on-demand video. Vanuit Europa is daarom een nieuwe wet gepubliceerd, de NIS 2. In deze wet worden niet alleen essentiële sectoren genoemd (die al bestonden in de Wbni), maar nu ook belangrijke sectoren. Het grote verschil is de mate van toezicht, waarbij essentiële sectoren onder proactief toezicht vallen, en belangrijke sectoren onder reactief toezicht.
Daarnaast zijn ook de regels voor toepassing aangescherpt, nu vallen meer organisaties onder deze regeling. Alle organisaties binnen een essentiële sector met een grootte van meer dan 50 medewerkers en omzet van meer dan 10 miljoen Euro worden nu als essentiële aanbieder beschouwd en moeten dus voldoen aan de nieuwe regels voor beveiliging en rapportage.
Toezicht en handhaving wordt naar analogie van de GDPR ingericht. De maximale hoogtes van boetes zijn € 10 miljoen of 2% van de totale wereldwijde omzet, afhankelijk van welk bedrag hoger is. In de huidige NIS (Wbni) is dat maximale € 5 miljoen (NIS2 nieuwsbericht). Omdat de wet op Europees niveau is uitgebracht, moet deze worden omgezet naar een Nederlandse wetgeving. Dat betekent dat medio 2024 dit voor Nederlandse bedrijven gaat gelden; het is echter verstandig om zo snel mogelijk te beginnen met voorbereidingen.
Cyberveiligheid op scholen in 2023
Digitale veiligheid speelt in alle facetten van de samenleving, dus ook op scholen. Om dit te bevorderen heeft de Nederlandse overheid structureel een budget van 6 miljoen Euro beschikbaar gemaakt voor het primair en voortgezet onderwijs. Onderdeel van het pakket aan maatregelen is het inrichten van een Computer Emergency Response Team (CERT) voor het PO en VO. Vanaf begin 2023 is dit een verplichting ook voor lager onderwijs (zie: kamerbrief verhoging digitale veiligheid onderwijs en onderzoek).
Ook zal worden geïnvesteerd in professionalisering, centrale ondersteuning en bewustwording. Maar de belangrijkste verandering is de introductie van een nieuw normenkader met regels voor privacy en informatiebeveiliging. Dit normenkader zal worden gebruikt om de scholen te toetsen, waarmee ook hier de controlefunctie en regievoering expliciet wordt gemaakt.
Nationale cybersecurity organisaties bundelen krachten
De focus op regievoering komt ook op een andere manier terug. In het afgelopen jaar is onderzoek gedaan naar de mogelijkheden tot samenwerking tussen het Nationaal Cybersecurity Centrum (NCSC), het Digital Trust Center (DTC) en het Cyber Security Incident Response Team voor digitale dienstverleners (CSIRT-DSP). De uitkomst van het onderzoek is het advies om de organisaties te laten opgaan in een centrale nieuwe organisatie.
Deze organisaties ondersteunen Nederland op gebied van cyberveiligheid middels informeren, sturen, begeleiden, ondersteunen en adviseren. Door deze organisaties samen te laten gaan ontstaat één centraal expertisecentrum waar alle organisaties in Nederland terecht kunnen, ongeacht grootte of type. Deze samenvoeging gaat in stappen: In 2024 zullen het NCSC en CSIRT-DSP samengaan, in 2026 voegt ook het DTC zich bij de samenwerking (nieuwsitem Rijksoverheid). De verwachting is dat dit gevolgen zal hebben voor de meldplicht en -procedures voor organisaties en hun managementsystemen voor informatiebeveiliging.
Op naar 2023
In het afgelopen jaar is de focus duidelijk verschoven van doen naar beheersen, waar ook een grotere vraag naar toezicht bij hoort. Niet alleen moet informatiebeveiliging goed worden ingericht, ook het aantoonbaar maken daarvan is van belang.
Een externe auditor is daarbij een krachtig hulpmiddel; met een frisse onafhankelijke blik kijken we naar opzet, bestaan en werking van uw informatiebeveiliging, zodat u goed zicht heeft op de goede kanten en de verbetermogelijkheden voor uw beleid en processen.