Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten vanaf 15 augustus van kracht

vandaag “van kracht” maar welke clubs zijn nou al écht aangewezen/onder welke toezichthouder vallen ze precies? 8.000 en 500 klinkt lekker rond, maar waar is de lijst of tenminste de criteria zodat je als organisatie kan checken of je erin zit. En dat NCSC “ondersteunt via registratie en diensten” — oké, maar is dat verplicht of vrijwillig en wie garandeert dat die info niet straks via WOO/lekken bij de verkeerde partij belandt? bron/link naar het entiteitenregister + meldportaal graag, anders blijft het vooral beleidsproza.

Leuk zo’n wet, maar de meeste incidenten beginnen nog steeds met “klik even op deze factuur” bij een medewerker die nooit training kreeg en een IT-club die pas na 3 maanden budget krijgt. als je alleen meldplicht + risicopapierwerk optuigt zonder dat je ook iets doet aan basis-hygiëne (MFA, patchen, back-ups testen, leveranciers die overal admin hebben), dan ontwerp je vooral een meldfabriek waar iedereen bang wordt om überhaupt nog iets te zeggen.

Kijk, iedereen blijft hangen op “lijstje wel/niet publiek”, maar de echte pain wordt dat meldplicht = direct kostenpost: meer SOC-uren, audits, boetes als je te laat bent en vooral leveranciers die ineens hun tarieven + contractvoorwaarden opkrikken omdat ze “NIS2-ready” zijn. Dit wordt gewoon een nieuwe risicopremie op IT, en MKB’ers gaan pas wakker worden als hun verzekeraar na een incident zegt: ja sorry, je had geen aantoonbaar risicobeheer dus we keren niet uit… bearish voor je budget, bullish voor security-consultants.

Dat hele “bestuurstraining verplicht” is op papier mooi, maar in de praktijk krijg je dus bestuurders die vooral leren hoe je kunt aantonen dat je ‘in control’ bent, niet hoe je een keten van leveranciers en cloudclubs echt in het gareel krijgt. En daar zit het sociologische ding: enerzijds zegt de staat “jullie zijn verantwoordelijk”, anderzijds is de macht over je systemen allang uitbesteed aan partijen die je als middelgrote organisatie amper kunt dwingen, behalve met een contract waar je jurist ook hoofdpijn van krijgt. Ben benieuwd hoe toezichthouders hiermee omgaan: ga je de boete geven aan het ziekenhuis of waterbedrijf, terwijl de echte kwetsbaarheid bij de ingehuurde MSP zit die bij 30 klanten dezelfde admin-wachtwoorden rondstrooit…? Klinkt als weer zo’n systeem waar de zwakste schakel ook nog de rekening krijgt, lekker dan.

Iedereen focust op meldplicht/boetes, maar de echte chaos wordt de “coordinated disclosure” kant: zodra je een 0day in je leverancier ziet, mag je ‘m niet meer ff stil fixen maar moet je gaan afstemmen met NCSC/toezichthouder terwijl je productie in brand staat. En dan zit je met lawyers die de incident response pipeline throttlen omdat “formele melding” belangrijker is dan patchen, dit is gewoon een bug in het systeem.

het probleem is dat dit soort wetten vooral op IT focussen, terwijl de echte klap vaak in de operationele infrastructuur zit: OT/SCADA, bruggen, sluizen, pompen, verkeerscentrales, allemaal spul met lange levensduur en leveranciers die “even patchen” niet kunnen zonder stilstand en risico’s. de oplossing is dat je NIS2/CER meteen koppelt aan assetmanagement en onderhoudsplanning: segmentatie, logging en remote access strak regelen, maar ook budget en venstertijden afdwingen voor vervanging/updates, anders krijg je papier-compliance en blijft de vitale keten technisch gewoon uit 2003 draaien.

8.000 organisaties “vanaf vandaag” en dan eerst nog registreren, CSIRT kiezen, bestuur op cursus… even rekenen: dat is alsof je maandag start met rijles en dinsdag de busdienst moet overnemen. Benieuwd welke toezichthouder straks als eerste boetes gaat strooien, want zonder capaciteit is dit vooral: vinkjes zetten en hopen dat je incident pas na Q4 komt. En ja, NCSC “diensten” klinkt leuk, maar als iedereen tegelijk belt bij de eerste massale ransomwaregolf is het gewoon wachtrijmuziek.

Die hele Cbw/Wwke gaat weer uit van het klassieke idee dat je “risico’s beheerst” met formulieren en een meldportaal, maar kwantumfysica toont aan dat het systeem zich juist gedraagt naar de meet-opzet: als je alles op meldplicht/registratie zet, creëer je een angstveld en dan gaan incidenten óf verstopt óf opgeblazen worden, allebei ruis. En niemand durft het te zeggen maar het grootste lek is niet de hacker, het is de verstrengeling van al die ketenpartijen (cloud/MSP/OT) in één bewustzijnsveld; je kunt één entiteit registeren tot je een ons weegt, als de keten decoherent is klapt het toch, wet of geen wet.