Nieuwe wet, meer beveiliging tegen cybercrime: 'Best heavy'

Nederland krijgt er een nieuwe wet bij: de Cyberbeveiligingswet. Eentje die organisaties verplicht om hun digitale weerbaarheid op orde te brengen en hier verantwoording over af te leggen. Ook Fontys krijgt daarmee te maken. En ja: dat gaan we merken, zegt Helmut Grams, Information Security Officer bij Fontys. Vooral achter de schermen.

De Cyberbeveiligingswet (Cbw) is de Nederlandse tak van de zogenoemde NIS2-richtlijn, een Europese richtlijn die EU-lidstaten verplicht om strengere regels in te voeren voor cyberbeveiliging. De NIS2-richtlijn volgt na de eerste NIS-richtlijn, die in 2016 werd ingevoerd, en kent scherpere regels dan zijn voorganger. Er zijn ook meer sectoren die onder de Cbw gaan vallen, waaronder het hoger onderwijs en dus ook Fontys. Allemaal met als doel de digitale weerbaarheid te versterken, cybercrime te voorkomen en cyberaanvallen tegen te gaan.

Wat dat betekent voor Fontys, legt Helmut Grams uit. Beginnend door te zeggen dat de Cbw ‘best een heavy’ wetgeving is. “We moeten als organisatie binnen 24 uur grote incidenten melden. Als een betrokkene mogelijk schade ondervindt van zo’n incident, zijn we verplicht diegene daarover in te lichten. En als het incident zodanig groot is dat het veel impact maakt, dan kun je door de toezichthouder verplicht worden het openbaar te maken.” De toezichthouder voor de Cbw voor het hoger onderwijs wordt de Inspectie van het Onderwijs.

Als we Grams vragen naar een voorbeeld van een klein ‘incident’ dat niet gemeld hoeft te worden, zegt hij het volgende: “Dat kan bijvoorbeeld zijn dat iemand een bepaalde site heeft bezocht en dat zijn laptop daarna besmet is geraakt met een virus. Of dat iemands wachtwoord wordt gestolen.” Een wat groter incident dat wel gemeld dient te worden, kan zijn dat iemand een vertrouwelijk bestand naar een groot aantal verkeerde mensen stuurt, terwijl zij dat document absoluut niet mogen zien.”

Zorgplicht 
Naast de meldplicht hebben organisaties met de komst van de nieuwe wet straks ook een zorgplicht en moeten er vooraf risicoanalyses gedaan worden. In het verlengde daarvan moeten organisaties passende maatregelen nemen voor de beveiliging van hun netwerk- en informatiesystemen. En als het fout gaat? Dan kunnen bestuurders voortaan persoonlijk aansprakelijk worden gesteld. “In ons geval zijn dat natuurlijk Joep Houterman, Arian Steenbruggen en de nieuwe bestuurder Jaapjan Zuidema”, aldus Grams. “Zij zullen dan verantwoordelijk zijn. Persoonlijk aansprakelijk zelfs, wat betekent dat een verzekering het niet even op kan lossen.”

De bestuurders moeten volgens Grams vergewissen dat ze ergens achter staan en zijn ook verplicht om een cursus en training te volgen die over de Cbw gaan. Ze moeten weten hoe alles geregeld is binnen Fontys en waar de risico’s zitten. Hier actief sturen en toezicht houden, plus zorgdragen dat cybersecurity-bewustzijn op managementniveau plaatsvindt.

Fikse boete 
Verder is het zo dat als een organisatie niet aan de regels voldoet of haar verplichtingen niet tot in de puntjes op orde heeft, er boetes kunnen volgen die in het geval van een instelling als Fontys kunnen oplopen tot 7 miljoen euro (of 1,4 procent van de wereldwijde omzet). Dat zijn flinke bedragen, maar Grams begrijpt wel dat er druk wordt opgevoerd om aan wettelijke verplichtingen te moeten voldoen. “Misdaad is tegenwoordig niet vaak meer een bankoverval. Het gebeurt steeds vaker met cybercrime, AI en in de cryptowereld. Cybercrime raakt daarmee steeds meer mensen en heeft steeds grotere gevolgen.”

Informatieveiligheid is dus niet iets wat we ‘er even bij doen’. Nee, het is een broodnoodzakelijke verantwoordelijkheid van Fontys die volgens Grams als één van de prioriteiten moet worden gezien. “Het draagt bij om de bedrijfsdoelstellingen van Fontys en haar instituten en diensten te kunnen behalen, aangezien inbreuken in de informatiebeveiliging direct een grote negatieve invloed hebben op onze bedrijfsprocessen binnen onderwijs, onderzoek en bedrijfsvoering.”

Samenwerking
Geen gemakkelijke klus dus. En goedkoop is-ie ook zeker niet. Naast de Cbw werkt Fontys namelijk ook al met het SURF NBA-toetsingskader, een toetsinstrument bedoeld voor onderwijs- en onderzoeksinstellingen in Nederland om de volwassenheid van hun informatiebeveiliging gestructureerd te meten, te verbeteren en transparant verantwoording af te leggen. En die twee dingen samen – de Cbw en het toetsingskader – zullen ongetwijfeld meer inspanning en kosten met zich meebrengen.

“Het kan om zo’n 12 procent van je totale IT-budget gaan, een aanzienlijk bedrag dat we niet zomaar hebben liggen. We gaan binnen de Nederlandse hbo-sector kijken of we gezamenlijk op kunnen trekken om dezelfde lijnen, kaders en hetzelfde beleid te volgen.”