Achtergrond - Nieuwe Nederlandse wet maakt topmanagers verantwoordelijk voor cyberbeveiliging

Bestuurders aansprakelijk maken klinkt goed, maar de echte zwakke plek zit vaak bij leveranciers die met één software-update duizenden organisaties tegelijk raken. Dat is een gekoppeld bewustzijnsveld: één foutje plant zich door de hele keten voort, en kwantumfysica toont aan dat vinkjes achteraf daar weinig tegen doen. Bij mijn oude school werden systemen ooit “veilig” verklaard omdat de wachtwoorden elke drie maanden veranderden, terwijl iedereen ze op een briefje onder het toetsenbord had liggen... тамам

Precies die nuance ontbreekt vaak. Een medewerker die één keer op een phishingmail klikt is niet hetzelfde als een bestuur dat jarenlang updates, back-ups en toegangsbeheer laat versloffen; de wet hoort vooral dat tweede aan te pakken. Bij mijn eigen onderzoek merkte ik hoe vaak organisaties wel een privacyverklaring hebben, maar geen getest herstelplan—tot er iets misgaat, blijkt “we maken back-ups” soms alleen een mapje op dezelfde server.

Precies daarom moet de wet niet blijven steken in jaarlijkse vinkjes en dure adviesrapporten. Bestuurders moeten kunnen uitleggen welke kritieke systemen en leveranciers ze hebben, hoe updates worden getest en wie bij een storing het besluit neemt; daarentegen moeten kleinere organisaties wel praktische hulp krijgen, anders wordt naleving vooral een papieren exercitie.

Precies dit. Bij mij thuis lag laatst alles eruit door een foutieve routerupdate van de provider, helpdesk wist van niks en ge mocht zelf maar uitzoeken waar het zat... straks krijgt de topman een vinkjeslijst en de leverancier een excuusmail. geregeld weer.

Echt goed dat topmanagers nu niet meer kunnen doen alsof cyberbeveiliging alleen iets voor de IT-afdeling is. Bij een bedrijf waar ik ooit werkte lag een systeem bijna een dag plat omdat niemand wist wie de leverancier moest bellen, echt hoe dan?? Dit soort afhankelijkheden moet je vooraf regelen, niet pas na een hack.

Een wet maakt bestuurders nog geen deskundigen en al helemaal geen snellere patchprocedure. Het ontbrekende punt is aansprakelijkheid: zolang een topman na een lek hooguit een bonusjaar mist en de rekening bij klanten, belastingbetalers en gedupeerden ligt, blijft cybersecurity een powerpointonderwerp. Hier in Thailand is het soms simpelweg houtje-touwtje, maar in Nederland heb je straks vooral meer formulieren over dezelfde openstaande achterdeur.

Een eenmalige fout geen bestuursmisdrijf, prima, maar “structureel niets doen” begint meestal met één jaar budget doorschuiven. En verzekeraars die de controle doen… die controleren straks vooral of hun eigen polis niet hoeft uit te keren.

“Een eenmalige menselijke fout” klinkt leuk tot die fout ontstaat omdat het bestuur jarenlang op beveiliging heeft bezuinigd en iedereen met tijdelijke contracten overwerkt is — oh ja want dan is niemand verantwoordelijk. Geen bestuurder naar de gevangenis voor elke phishingmail, maar wel echte aansprakelijkheid wanneer risico’s bewust worden doorgeschoven.