Geduld wordt beloond. Op het moment van schrijven wachtte het wetsvoorstel inzake cyberbeveiliging en veerkracht (Cyber ​​Security and Resilience Bill, CSRB) op behandeling in de commissie van het Hogerhuis, begin september. De hoop is dat het na vele vertragingen dit jaar nog wet wordt. Het wetsvoorstel belooft onder meer de groep organisaties die onder de wet vallen uit te breiden, de eisen voor incidentrespons te versterken en nieuwe basisvereisten voor beveiliging te introduceren.

Maar misschien nog interessanter is wat er daarna komt. Wat zegt het wetsvoorstel over de toekomstige verwachtingen van de regelgeving? En wat kunnen organisaties (ook organisaties die momenteel niet onder de wet vallen) doen om te anticiperen op wat er in de toekomst mogelijk gaat gebeuren?

De grote verschuiving

De titel van het wetsvoorstel geeft het grootste signaal af van wat er komen gaat. Het gaat erom cybersecurity te herpositioneren van een geïsoleerde functie binnen IT naar een functie die centraal staat in de organisatie. Tegelijkertijd legt het wetsvoorstel de nadruk op veerkracht als doel van securityteams, in plaats van simpelweg kwaadwillenden buiten te houden en te voldoen aan een willekeurige lijst van technische beveiligingsmaatregelen.

Veerkracht betekent in deze context accepteren dat inbreuken zullen plaatsvinden – hoe zou dat ook anders kunnen in een wereld waarin krachtige AI de mogelijkheden voor misbruik verkleint en cybercriminelen helpt hun vaardigheden op meerdere gebieden te verbeteren? De sleutel is ervoor te zorgen dat de organisatie kan blijven functioneren, de dreiging kan indammen en zo snel mogelijk kan herstellen.

Hierdoor wordt cyberbeveiliging een steeds belangrijker gespreksonderwerp in directievergaderingen, omdat het ingaat op de zorgen die bedrijfsleiders bezighouden: operationeel risico, bedrijfscontinuïteit, financiële schade en reputatieschade.

"De nieuwe eisen van het wetsvoorstel betekenen dat bestuursraden cyberbeveiliging en weerbaarheid als een cruciale strategische kwestie moeten beschouwen, en niet slechts als een afzonderlijke IT-uitdaging", vertelt James Morris, directeur van de non-profitorganisatie CSBR, aan IO (voorheen ISMS.online).

"Dit betekent dat de verwachtingen van klanten zullen toenemen, met name wat betreft de focus op beveiliging en veerkracht in het inkoopproces en de continue levering van producten en diensten. Cyberbeveiliging en veerkracht moeten centraal staan ​​in de governance-overwegingen en topprioriteit krijgen in strategische bestuursbesprekingen."

Deze boodschap is consistent binnen de overheid. De Gedragscode voor Cybergovernance stelt dat cyberrisico's bedrijfsrisico's zijn en dat bestuurders deze effectief moeten beheersen. Beveiligingsleiders beheren de dagelijkse risico's en controles, maar de raad van bestuur moet de verantwoordelijkheid nemen voor risicotoezicht en -borging. De Cyber ​​Resilience Pledge richt zich eveneens rechtstreeks tot bedrijfsleiders. Organisaties die zich aanmelden, moeten een training in governance volgen, zich ertoe verbinden de Early Warning-service van het NCSC te gebruiken en Cyber ​​Essentials in hun gehele toeleveringsketen te implementeren, evenals jaarlijkse updates publiceren.

Kortom, de verwachtingen van de overheid worden steeds duidelijker en veerkracht staat centraal.

Wat zou er hierna kunnen gebeuren?

Met dit in gedachten is het ook nuttig om te begrijpen hoe het CSRB-regime zich kan ontwikkelen. De waarheid is dat het nog steeds veel beperkter van omvang is dan NIS2. Maar cruciaal is dat het de minister van Economische Zaken de bevoegdheid geeft om het kader te actualiseren, nieuwe sectoren en subsectoren onder het regime te brengen en de verantwoordelijkheden en functies van de toezichthouders te wijzigen. De implicatie is duidelijk: als uw sector vandaag niet onder het regime valt, ga er dan niet van uit dat deze morgen nog steeds is vrijgesteld.

"Tijdens de behandeling van het rapport was er enige druk om verder te gaan, waarbij de detailhandel en de maakindustrie als voor de hand liggende omissies werden genoemd", vertelt Dennis Martin, specialist crisis- en cyberweerbaarheid bij Axians UK, aan IO. "Ze zijn er deze keer niet in opgenomen, maar gezien de aanvallen op retailers in de afgelopen jaren, verwacht ik dat dit argument in september opnieuw aan de orde zal komen."

De bepalingen van de CSRB met betrekking tot de toeleveringsketen zullen indirect ook een hele reeks nieuwe organisaties onder de reikwijdte brengen, doordat grotere organisaties waarmee ze zaken doen, worden gedwongen om risico's van derden strenger te beheren. De bepalingen geven de minister van Binnenlandse Zaken ook de bevoegdheid om elke leverancier aan te wijzen wiens faillissement aanzienlijke verstoringen zou kunnen veroorzaken voor een gereguleerde entiteit.

“Toezichthouders richten zich steeds meer op de manier waarop cruciale diensten worden geleverd binnen onderling verbonden toeleveringsketens. Dit betekent dat de weerbaarheid niet langer alleen binnen de vier muren van een organisatie kan worden beoordeeld”, vertelt Dave Hughes, partner bij Eversheds Sutherland, aan IO. “Effectief toezicht op belangrijke leveranciers en derden, ondersteund door continue monitoring en duidelijke contractuele afspraken, wordt een essentieel onderdeel van het aantonen van cyberweerbaarheid.”

Het is ook belangrijk om te bedenken dat de CSRB nieuwe verwachtingen met zich meebrengt over wat de beste praktijken op het gebied van cyberbeveiliging en weerbaarheid vanuit een technisch controleperspectief inhouden. Het Cyber ​​Assessment Framework (CAF) van de NCSC zal hierbij een sleutelrol spelen, dus elke organisatie die haar cyber- en compliance-strategie toekomstbestendig wil maken, zou hier kennis van moeten nemen.

En dan nog een belangrijke verandering: de CSRB zal toezichthouders de bevoegdheid geven om continu toezicht te houden op organisaties die onder de regelgeving vallen, in tegenstelling tot het huidige incidentgestuurde model. Dit is momenteel nog theoretisch en zal afhangen van vele factoren, waaronder de financiering en capaciteit van de toezichthouders. Maar het geeft wel aan dat de overheid steeds meer verwacht dat naleving iets is dat continu beheerd moet worden.

Verbonden en continu

Experts zijn het erover eens. "Statische jaarlijkse compliance is achterhaald wanneer cybercriminelen niet wachten op een audit. Als de CSRB in de huidige vorm wet wordt, kunnen cloudproviders, datacenters en MSP's worden gecontroleerd vóórdat een incident plaatsvindt, en niet alleen op vaste tijdstippen of na een aanval", legt Martin van Axians UK uit.

“Daarnaast vereist het wetsvoorstel een waarschuwing van 24 uur, gevolgd door een volledig rapport binnen 72 uur aan zowel de sectorregulator als de NCSC, waarbij in sommige gevallen ook klanten op de hoogte moeten worden gesteld. Dit vereist continue monitoring. Zonder continu inzicht in uw netwerk kunt u de vereiste organisaties niet tijdig informeren.”

Aben Pagar, hoofd van de afdeling digitale risicoconsulting bij Konexo, is het hiermee eens. "Continue monitoring en assurance worden steeds belangrijker naarmate toezichthouders verder kijken dan momentopnames van de naleving," vertelt hij aan IO. "Organisaties hebben voortdurend inzicht nodig in risico's, de effectiviteit van controles en de resultaten op het gebied van veerkracht. Organisaties die continu toezicht, testen en verbetering kunnen aantonen, zullen waarschijnlijk beter gepositioneerd zijn dan organisaties die uitsluitend vertrouwen op periodieke nalevingsoefeningen."

Organisaties moeten niet alleen hun complianceprogramma's loskoppelen van momentopnamen van de huidige situatie, maar ze moeten ook beter nadenken over de overlappingen tussen functies die van oudsher gescheiden zijn, voegt Pagar eraan toe.

"Organisaties erkennen dat cyberweerbaarheid niet op zichzelf staat. Kwesties zoals AI-governance, privacy, gegevensbescherming en technologische risico's zijn steeds meer met elkaar verweven, waardoor een meer holistische benadering van governance en risicomanagement nodig is", betoogt hij.

Een volwassen aanpak zoals deze, waarbij continue naleving als springplank naar weerbaarheid wordt gebruikt, is voor veel organisaties nog ver weg , zo blijkt uit het meest recente onderzoek van de overheid naar cyberbeveiligingsinbreuken . Maar er bestaat geen twijfel over dat dit de richting is waarin toezichthouders zich bewegen.

Morris van de CSRB omschrijft veerkracht als "zowel een technische als een culturele kwestie" voor bedrijven.

"Ondanks de eisen van de nieuwe wetgeving moeten organisaties zich richten op het verankeren van een veerkrachtige mentaliteit en cultuur in de kern van hun bedrijfsprocessen," concludeert hij.

"Dit betekent strategische planning voor veerkracht op bestuursniveau, gevolgd door een samenhangende implementatie in de bedrijfsvoering, met duidelijke plannen en verantwoordelijkheden voor de belangrijkste veerkrachtmaatregelen."

Begin nu maar vast met plannen.

Breid je kennis uit

Blog: Hoe ransomware een probleem voor de bedrijfscontinuïteit is geworden

Podcast: Phishing for Trouble S2 E10: Built to Last: How Compliance Enables Business Resilience

Webinar: Beheers de naleving van de regelgeving in de toeleveringsketen