Cyberbeveiligingswet

In Nederland fungeert het Nationaal Cyber Security Centrum (NCSC) als centraal loket voor registratie en meldingen. De handhaving ligt bij toezichthouders zoals de Rijksinspectie Digitale Infrastructuur (RDI). Afhankelijk van de sector kan ook toezicht worden gehouden door bijvoorbeeld de Inspectie Gezondheidszorg en Jeugd (IGJ) of de Inspectie Leefomgeving en Transport (ILT). Daarnaast heeft de overheid de verplichting om organisaties te ondersteunen bij incidenten; het NCSC moet hier een duidelijke invulling aan geven.

Baseline Informatiebeveiliging Overheid

Voor overheidsorganisaties geldt al de Baseline Informatiebeveiliging Overheid (BIO). De huidige versie (BIO 1.04) bevat een set beheersmaatregelen gebaseerd op het risiconiveau van een systeem. Deze maatregelen worden vastgesteld via een baseline-toets die het BasisBeveiligingsNiveau (BBN) bepaalt. Met de komst van de Cbw verschijnt ook een nieuwe versie van deze norm: BIO 2.0. Deze wordt verplicht voor alle overheidsinstellingen.

Belangrijke verschillen met BIO 1.04:

• Risicogebaseerd: de vaste lijst met maatregelen maakt plaats voor een verplichte risicoanalyse.
• Sterkere koppeling aan ISO 27001: naast de geüpdatete Annex A-maatregelen, bevat de BIO 2.0 nu ook elementen uit de ‘harmonized structure’ zoals risicomanagement en governance.
• Expliciet voor OT: Operationele Techniek (OT) krijgt voor het eerst een duidelijke plek in de norm.

De verwachting is dat BIO 2.0 tegelijk met de Cbw in werking treedt.

BIO 2.0 implementeren

Voor gemeenten en waterschappen betekent BIO 2.0 een fundamentele verandering. De overgang van een vaste maatregelenset naar een risicogebaseerde aanpak vraagt om een volwassen Information Security Management System (ISMS) – bij voorkeur conform ISO 27001.

De expliciete aandacht voor OT-omgevingen maakt dit traject extra uitdagend. Veel Chief Information Security Officers (CISO’s) zullen hiervoor nieuwe kennis en tooling moeten inzetten.