De zorgplicht is een van de belangrijkste verplichtingen uit de Cyberbeveiligingswet (Cbw). Organisaties die onder de wet vallen, moeten passende en evenredige technische, operationele en organisatorische maatregelen nemen om risico's voor de beveiliging van hun netwerk- en informatiesystemen te beheersen.
De zorgmaatregelen hebben betrekking op de netwerk- en informatiesystemen die worden gebruikt voor de werkzaamheden of diensten waarvoor de organisatie onder de Cyberbeveiligingswet valt.
Wat houdt de zorgplicht in?
De zorgplicht verplicht organisaties om maatregelen te nemen die passen bij de risico's waarmee zij worden geconfronteerd. Daarbij moeten organisaties rekening houden met factoren zoals de aard van hun activiteiten, de kans dat risico's zich voordoen, de ernst van mogelijke gevolgen en de beschikbare technische mogelijkheden.
De zorgplicht is risicogebaseerd. Dit betekent dat organisaties eerst inzicht moeten hebben in hun risico's en op basis daarvan passende maatregelen moeten treffen.
De 10 zorgplichtmaatregelen
De Cyberbeveiligingswet schrijft voor dat organisaties in ieder geval maatregelen moeten treffen op de volgende gebieden:
- Maatregel 1: Beleid over risicoanalyse en beveiliging van netwerk- en informatiesystemen;
- Maatregel 2: Incidentenbehandeling;
- Maatregel 3: Bedrijfscontinuïteit, zoals back-upbeheer en herstelplannen, en crisisbeheer;
- Maatregel 4: Beveiliging van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten ten aanzien van de relaties met rechtstreekse leveranciers en dienstverleners;
- Maatregel 5: Beveiliging bij het verwerven, ontwikkelen en onderhouden van netwerk- en informatiesystemen, waaronder de respons op en bekendmaking van kwetsbaarheden;
- Maatregel 6: Beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico’s te beoordelen;
- Maatregel 7: Basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging;
- Maatregel 8: Beleid en procedures voor het gebruik van cryptografie en, waar aangewezen, encryptie;
- Maatregel 9: Beveiligingsaspecten ten aanzien van personeel, toegangsbeleid en beheer van assets;
- Maatregel 10: Waar passend, het gebruik van multifactorauthenticatie- of continue authenticatie, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de organisatie.
Bestuurlijke verantwoordelijkheid
De Cyberbeveiligingswet legt ook verantwoordelijkheden bij het bestuur van organisaties. Het bestuur moet toezicht houden op de uitvoering van de zorgplicht en de maatregelen voor het beheersen van cyberbeveiligingsrisico's goedkeuren.
Daarnaast moeten bestuurders beschikken over voldoende kennis en vaardigheden om cyberrisico's en de maatregelen die worden genomen te kunnen beoordelen. Om die reden bevat de wet ook een trainingsplicht voor bestuurders.
Nadere uitwerking van de zorgplicht
De zorgplicht is nader uitgewerkt in het Cyberbeveiligingsbesluit (Cbb) en in ministeriële regelingen. Hierin zijn aanvullende eisen gesteld aan de invulling van de zorgplicht. Ook kunnen sectorspecifieke bepalingen worden opgenomen.
Organisaties kunnen daarnaast gebruikmaken van bestaande normenkaders, zoals ISO 27001, NEN 7510 en BIO 2.0, om invulling te geven aan de zorgplicht.
Ondersteuning
Het Nationaal Cyber Security Centrum (NCSC) biedt diverse adviesproducten die organisaties kunnen ondersteunen bij het treffen van passende maatregelen en het invullen van de zorgplicht.
