NIS2 en de CBW: wie is waarvoor verantwoordelijk?

De Cyberbeveiligingswet (Cbw) is sinds 15 augustus 2026 van kracht. Daarmee is de Europese NIS2-richtlijn nu ook in Nederland in wetgeving omgezet. Voor ruim 8.000 Nederlandse organisaties gelden nieuwe eisen aan hun digitale weerbaarheid.

Dat heeft gevolgen voor IT en security, maar zeker niet alleen voor hen. De Cyberbeveiligingswet legt nadrukkelijk verantwoordelijkheden bij het bestuur.  Cyberrisico's moeten structureel en aantoonbaar beheerst worden. Van directie en CISO tot IT-manager en beheerder: diverse rollen binnen de organisatie worden concreet genoemd en krijgen ermee te maken.

Wie is waarvoor verantwoordelijk? En misschien nog belangrijker: hoe zorg je ervoor dat beleid, techniek en dagelijkse praktijk op elkaar aansluiten?

Wat verandert er met de Cyberbeveiligingswet?

De Cyberbeveiligingswet geldt voor essentiële en belangrijke organisaties in 18 sectoren, waaronder overheid, energie, vervoer, gezondheidszorg, digitale infrastructuur en het beheer van IT-diensten.

Organisaties die onder de wet vallen, krijgen onder meer te maken met een registratieplicht, zorgplicht en meldplicht. Significante incidenten moeten binnen de daarvoor geldende termijnen worden gemeld. Daarnaast moeten organisaties passende maatregelen nemen om de risico's voor hun netwerk- en informatiesystemen te beheersen en de gevolgen van incidenten te voorkomen en in te beperken.

De precieze maatregelen verschillen per organisatie. Een ziekenhuis heeft andere risico's dan een IT-dienstverlener. De basis is hetzelfde:

Analyseer de ricico's - Neem maatregelen - Bewijs dat de maatregelen werken

Het bestuur: Toezichthouden, want cybersecurity kun je niet volledig bij IT neerleggen

Een belangrijk onderdeel van de Cyberbeveiligingswet is de rol van het bestuur. Bestuurders moeten de maatregelen voor de zorgplicht goedkeuren en toezien op de uitvoering ervan. Daarnaast geldt een trainingsplicht, zodat bestuurders voldoende kennis hebben om cyberrisico's en de genomen maatregelen te kunnen beoordelen.

Een bestuurder hoeft daarmee geen securityspecialist te worden. Wel moet het bestuur begrijpen welke risico's de organisatie loopt en welke keuzes worden gemaakt om die risico's te beperken.

Dat vraagt om antwoorden op vragen als:

• Wat zijn onze belangrijkste cyberrisico's?
• Welke maatregelen hebben we daartegen genomen?
• Waar zitten nog tekortkomingen?
• Wie is verantwoordelijk voor het oplossen daarvan?
• Hoe weten we dat onze maatregelen daadwerkelijk werken?

Een rapportage waarin alleen staat dat MFA, endpoint security en patchmanagement aanwezig zijn, geeft daarvoor onvoldoende inzicht. Het bestuur moet kunnen beoordelen hoe de organisatie ervoor staat.

De CISO of Security Manager: van regelgeving naar beleid?

Voor de CISO of Security Manager ligt een belangrijk deel van de uitdaging tussen beleid en praktijk.

Je kunt bijvoorbeeld hebben vastgelegd dat accounts met verhoogde rechten extra worden beveiligd. Maar zijn alle privileged accounts bekend? Is MFA daadwerkelijk afgedwongen? Worden rechten aangepast wanneer iemand van functie verandert? En worden accounts die niet meer nodig zijn tijdig verwijderd?

Hetzelfde geldt voor andere onderdelen van de beveiliging. Een vulnerabilitymanagementproces hebben is één ding. Weten hoeveel kritieke kwetsbaarheden nog openstaan, waarom ze openstaan en hoe snel ze worden opgelost, is iets anders.

De rol van de CISO is daarmee niet alleen het opstellen van beleid. Er moet ook zicht zijn op de uitvoering en de effectiviteit van de maatregelen.

De CIO en IT-manager: van beleid naar processen en controle

Waar de CISO kaders en risico's bewaakt, moet de IT-organisatie veel van die maatregelen daadwerkelijk mogelijk maken.

Dat raakt vrijwel de volledige IT-omgeving. Denk aan identity- en accessmanagement, endpointbeheer en -beveiliging, vulnerability management, monitoring, logging, back-up en herstel en incidentdetectie.

Juist daar kan een vals gevoel van veiligheid ontstaan. Een oplossing aanschaffen betekent namelijk nog niet dat het risico is afgedekt.

Neem patchmanagement. Zijn alle endpoints in beeld? Worden kritieke patches daadwerkelijk op tijd uitgerold? Zijn er systemen die buiten het reguliere beheer vallen?

Of identity. Welke accounts hebben beheerdersrechten? Wanneer zijn die voor het laatst gebruikt? Is sterke authenticatie overal actief waar dat nodig is?

Voor de CIO en IT-manager gaat het daarom niet alleen om de aanwezigheid van tooling, maar vooral om grip op de omgeving.

IT-beheer: uitvoering van het beleid

Voor IT-beheerders klinkt veel van wat de Cyberbeveiligingswet vraagt waarschijnlijk bekend.

Endpoints moeten worden bijgewerkt. Kwetsbaarheden moeten worden opgelost. Accounts en rechten moeten worden beheerd. Logs moeten beschikbaar zijn. Afwijkingen moeten worden onderzocht en back-ups moeten niet alleen worden gemaakt, maar ook bruikbaar zijn wanneer het erop aankomt.

Het verschil is dat deze werkzaamheden onderdeel zijn van een breder risicobeheersingsproces. Er moet niet alleen iets gebeuren; de organisatie moet ook zicht hebben op wat er gebeurt en of dat voldoende is.

Daarvoor heb je overzicht nodig. Welke assets zijn er? Welke worden beheerd? Waar staan kritieke kwetsbaarheden open? Welke systemen wijken af van het beleid? Waar zijn risico's geaccepteerd en waarom?

Dat maakt goed IT-beheer een belangrijk onderdeel van de aantoonbare digitale weerbaarheid van de organisatie.

En de medewerkers?

Ook medewerkers zijn onderdeel van de beveiliging. De zorgplicht uit de Cyberbeveiligingswet gaat onder andere over cyberhygiëne, toegangsbeleid, personeelsbeveiliging en training.

Dat gaat verder dan één keer per jaar een awarenessvideo bekijken. Medewerkers moeten weten hoe zij veilig met systemen en informatie omgaan, phishing en andere verdachte situaties kunnen herkennen en weten waar zij een mogelijk incident moeten melden.

Techniek kan veel risico's beperken, maar niet ieder risico begint of eindigt bij een firewall of endpoint.

Wat vraagt de zorgplicht in de praktijk?

De Cyberbeveiligingswet benoemt tien onderdelen waar organisaties binnen hun zorgplicht ten minste aandacht aan moeten besteden. Risicoanalyse vormt daarbij de basis.

Daaronder vallen onderwerpen als:

• incidentenbehandeling
• bedrijfscontinuïteit
• beveiliging van de toeleveringsketen
• cyberhygiëne en training
• toegangsbeheer
• assetmanagement
• authenticatie
• beoordelen van de effectiviteit van maatregelen.

Dat laatste is belangrijk. Het is niet voldoende om een maatregel eenmalig in te voeren en daarna als afgerond te beschouwen.

Een organisatie moet weten of de maatregel nog steeds passend is en in de praktijk doet waarvoor deze bedoeld is.

Van beleid op papier naar grip op de praktijk

De Cyberbeveiligingswet vraagt dus niet simpelweg om meer securitytools. Voor veel organisaties zit de eerste winst juist in het beter benutten van wat er al is.

Waar zitten de gaps?

Breng in kaart waar regelgeving, beleid en praktijk niet op elkaar aansluiten. Denk aan endpoints die niet centraal worden beheerd, kritieke kwetsbaarheden die te lang openstaan, accounts met onnodig veel rechten of beveiligingsinstellingen die niet overal consequent zijn toegepast.

Welke gaps hebben prioriteit?

Niet ieder probleem heeft dezelfde impact. Een vergeten account met beheerdersrechten op een kritisch systeem vraagt een andere prioriteit dan een afwijkende configuratie op een systeem met weinig risico.

Risico's helpen bepalen waar IT- en securityteams hun tijd als eerste aan moeten besteden.

Kun je aantonen dat je controle hebt?

Na het oplossen van een probleem begint het beheer. Kun je zien dat maatregelen actief blijven? Worden afwijkingen opgemerkt? Is duidelijk welke risico's nog openstaan? En kun je daarover rapporteren richting security en bestuur?

Daar komen techniek, security en governance uiteindelijk bij elkaar.

Cybersecurity is niet van één afdeling

Met de invoering van de Cyberbeveiligingswet is nog duidelijker geworden dat digitale weerbaarheid niet alleen bij IT of de CISO kan worden neergelegd.

Het bestuur moet maatregelen goedkeuren en toezicht houden. Security moet risico's vertalen naar beleid en controleren of maatregelen werken. De IT-organisatie moet dat beleid technisch uitvoerbaar maken. Beheerders zorgen ervoor dat veel van die maatregelen iedere dag daadwerkelijk worden toegepast.

De vraag is daarom niet alleen of je voldoende beveiligingsmaatregelen hebt.

Weet je waar de risico's en gaps in jouw omgeving zitten, worden ze structureel aangepakt en kun je laten zien dat je daar controle over hebt?

Dat is uiteindelijk waar digitale weerbaarheid in de praktijk om draait.

Waar staat jouw organisatie?

CBA helpt organisaties bij het inzichtelijk maken en verkleinen van security gaps. Onder andere op het gebied van identity en privileged access, endpointmanagement en -security, vulnerability management, monitoring en incidentdetectie.

Wil je weten waar binnen jouw IT-omgeving de belangrijkste aandachtspunten liggen? We kijken graag met je mee. Neem Contact op.