In de gesprekken die wij de afgelopen maanden voeren met directies en bestuurders, zien wij vrijwel overal hetzelfde patroon. De organisatie is serieus aan de slag gegaan met NIS2. Er is beleid opgesteld, een risicoanalyse uitgevoerd, leveranciers zijn aangeschreven. En toch loopt de cyclus niet. Niets wordt getoetst. Niets wordt bijgesteld.
Dat is geen kwestie van onwil. Het is een fundamentele misvatting over wat de zorgplicht eigenlijk vraagt.
Tien maatregelen, maar geen systeem
De Cyberbeveiligingswet (Cbw) verplicht organisaties tot tien zorgplichtmaatregelen. De meeste directies behandelen die maatregelen als afzonderlijke taken: dit regelen we bij IT, dat leggen we vast in een document, dat stuurt de jurist uit. Het resultaat? Een dossier dat klopt op papier, maar niet werkt in de praktijk.
Wat de wet vraagt, is iets anders. De tien maatregelen zijn geen losse acties die je eenmalig afrondt. Ze zijn onderdelen van een samenhangende besturingscyclus: risico’s identificeren, maatregelen treffen, toetsen of ze werken, en bijstellen waar nodig. Plan, do, check, act.
Wie dat onderscheidt niet maakt, is na een jaar terug bij af. De wereld verandert, dreigingen ontwikkelen zich, en maatregelen die vandaag passend zijn kunnen morgen tekortschieten. Zonder cyclische aanpak ontstaat schijnzekerheid: alles lijkt geregeld, totdat het misgaat.
Aantoonbaarheid begint bij gedrag, niet bij documenten
Toezichthouders kijken niet alleen naar wat er op papier staat. Ze kijken naar hoe een organisatie omgaat met risico’s in de praktijk. Zijn die risico’s actueel in beeld? Worden maatregelen periodiek getoetst? Is er inzicht in incidenten en bijna-incidenten? Wordt daarvan geleerd?
Aantoonbaarheid zit dus niet primair in documenten, maar in gedrag en besluitvorming. Een organisatie die kan laten zien dat zij periodiek risico’s herijkt, keuzes maakt en die keuzes vastlegt, staat sterker dan een organisatie met een perfect maar statisch beleidsdocument.
Bestuurlijke betrokkenheid is daarbij geen formaliteit. Het is een expliciet onderdeel van wat de wet verwacht. Niet alleen goedkeuren, maar begrijpen, bevragen en richting geven. Een goedgekeurde beleidsnota is het begin, geen eindpunt.
Het verschil tussen compliance en beheersing
Er is een wezenlijk verschil tussen organisaties die NIS2 behandelen als een complianceproject en organisaties die het behandelen als een governancevraagstuk.
De eerste groep vraagt: hebben we alles afgevinkt? De tweede vraagt: werkt ons stelsel van maatregelen, en hoe weten we dat? Die tweede vraag is moeilijker. Ze vraagt structurele aandacht van de directie, een vaste reviewcyclus, en de bereidheid om bij te sturen als iets niet werkt. Maar het is ook de enige vraag die ertoe doet als het misgaat.
Want incidenten zullen zich voordoen. De vraag is niet óf, maar wanneer. Dan telt niet of u alle maatregelen op papier had staan, maar of uw organisatie in staat is om te reageren, te herstellen en te leren.
Waar het in de praktijk vaak misgaat
In de praktijk zien we een aantal terugkerende knelpunten:
- Eigenaarschap is diffuus
Cybersecurity wordt vaak gezien als een IT-verantwoordelijkheid, terwijl NIS2 expliciet vraagt om bestuurlijke verantwoordelijkheid. Zonder duidelijke eigenaar op directieniveau blijft het versnipperd. - De ‘check’-fase ontbreekt
Maatregelen worden ingevoerd, maar zelden structureel getest. Werkt het incidentresponseproces echt? Worden back-ups daadwerkelijk teruggezet? Zonder toetsing blijft effectiviteit een aanname. - Risicoanalyses verouderen snel
Een eenmalige risicoanalyse geeft een momentopname. Als deze niet periodiek wordt herijkt, stuurt de organisatie op achterhaalde inzichten. - Leveranciersbeheer is een papieren exercitie
Vragenlijsten worden verstuurd en gearchiveerd, maar zelden inhoudelijk opgevolgd. Terwijl juist in de keten grote risico’s zitten. - Van inspanning naar sturing
De stap die organisaties moeten maken, is die van inspanning naar sturing. Niet méér doen, maar beter organiseren.
Dat begint met fundamentele keuzes:
- Beleg expliciet eigenaarschap
Wijs een verantwoordelijke aan op directieniveau die eindverantwoordelijk is voor het functioneren van het stelsel, niet alleen voor de uitvoering. - Richt een vaste cyclus in
Zorg voor periodieke momenten waarop risico’s, maatregelen en incidenten worden besproken. Niet ad hoc, maar structureel onderdeel van de governance. - Maak effectiviteit meetbaar
Definieer hoe u bepaalt of maatregelen werken. Denk aan tests, audits, oefeningen en KPI’s die daadwerkelijk iets zeggen over weerbaarheid. - Verbind beleid aan praktijk
Zorg dat beleidskeuzes terugkomen in operationele processen, en dat signalen uit de praktijk weer terugvloeien naar het beleid. - Durf bij te sturen
Misschien wel de belangrijkste: accepteer dat niet alles in één keer goed is. Volwassenheid zit in het vermogen om te leren en aan te passen.
Wat de wet werkelijk vraagt
De wet vraagt geen perfectie. Ze vraagt volwassenheid: begrijpen waar de risico’s liggen, daar bewuste keuzes in maken, en die keuzes kunnen uitleggen. Dat betekent ook: kunnen verantwoorden waarom u bepaalde risico’s accepteert, waarom u bepaalde maatregelen prioriteit geeft, en hoe u omgaat met beperkingen in tijd, geld en capaciteit.
Het gaat dus niet om het vermijden van risico’s, maar om het beheerst omgaan met risico’s.
De vraag die ertoe doet
De kernvraag voor iedere directie is dan ook niet: zijn we compliant? Maar: hebben wij grip op onze digitale risico’s, en kunnen wij dat aantonen?
Wie in uw organisatie voelt de verantwoordelijkheid om dit stelsel draaiende te houden? En heeft diegene voldoende mandaat om bij te sturen als dat nodig is? Daar ligt in de praktijk het verschil tussen organisaties die voorbereid zijn op NIS2 en organisaties die dat dénken te zijn.
