Overheid scherpt digitale defensie aan

"Cyberveiligheid is geen luxe, maar een levensader voor onze samenleving," benadrukt De Blaauw op digitaleoverheid.nl. De afgelopen jaren lieten incidenten zoals ransomware-aanvallen bij gemeenten, uitval van het Openbaar Ministerie en verstoringen in kritieke infrastructuren zien hoe kwetsbaar de overheid is. Als overheid heb je een voorbeeldfunctie, stelt hij, maar die werd tot dusver niet altijd voldoende ingevuld.

Geopolitiek en kunstmatige intelligentie

De noodzaak voor strengere regels is groot. Nederland heeft te maken met een veranderd geopolitiek speelveld waarin statelijke actoren cyberaanvallen inzetten als onderdeel van hybride oorlogsvoering. Daarnaast kost cybercriminaliteit de Nederlandse economie jaarlijks miljarden euro’s.

De Blaauw verwijst naar het beruchte Log4j-incident uit 2021 om het belang van een proactieve houding te illustreren. Waar organisaties toen pas achteraf moesten uitzoeken waar hun kwetsbaarheden lagen, dwingt de nieuwe wet hen om dit vooraf op orde te hebben. De opkomst van kunstmatige intelligentie (AI) maakt dit alleen maar urgenter: aanvallers gebruiken AI om hun methoden sneller, efficiënter en op grotere schaal uit te voeren.

Van afvinklijst naar dynamisch proces

Met de Cyberbeveiligingswet verandert de aanpak grondig. Waar organisaties voorheen vertrouwden op statische afvinklijstjes, eist de nieuwe wetgeving een continu risicogedreven managementsysteem. Veiligheid vereist een hoger volwassenheidsniveau en continue aanpassing aan nieuwe dreigingen.

Concrete verplichtingen voor overheidsorganisaties zijn onder meer:

Een expliciete zorgplicht voor de eigen digitale infrastructuren.

Een strikte meldplicht bij incidenten.

Een verplichte registratie.

Verplichte training voor bestuurders, die persoonlijk aan zet zijn om de wet tot een succes te maken.

Geen taak voor één afdeling

Hoewel de wet een helder kader biedt, is het volgens De Blaauw geen wondermiddel. "Cyberveiligheid is geen taak voor één persoon of afdeling, het gaat elke laag van onze organisaties aan." Van inkoop en IT tot bestuurders en leveranciers: iedereen moet samenwerken. Daarbij roept hij bestuurders op om de Chief Information Security Officer (CISO) niet als sluitpost te zien, maar als cruciale adviseur wiens rol actief benut moet worden.

De Blaauw geeft professionals vier concrete adviezen mee:

Neem verantwoordelijkheid: Zet cyberveiligheid bovenaan de bestuurlijke agenda.

Investeer in samenwerking: Werk nauw samen met collega’s, leveranciers en toezichthouders.

Benut ondersteuning: Maak gebruik van de kennis en hulp van instanties zoals het NCSC.

Blijf leren: Zie digitale veiligheid als een voortdurende reis, niet als een eindbestemming.

De wetgeving moet leiden tot een overheid die digitaal weerbaar is en vertrouwen uitstraalt naar de burger. De Blaauw sluit af met een duidelijke boodschap: "We kunnen niet langer afwachten. Digitale veiligheid zou net zo vanzelfsprekend moeten zijn als de constructie van een brug – die bouw je immers ook niet zonder zeker te zijn van de draagkracht."