Nederlandse IT’ers steunen wettelijke minimumeisen voor cybersecurity

Veel Nederlandse organisaties zijn al wettelijk verplicht om hun digitale beveiliging op orde te hebben. Dat geldt onder meer voor organisaties in vitale sectoren en voor digitale dienstverleners. Zij moeten volgens de Wet beveiliging netwerk- en informatiesystemen (Wbni) adequate beveiligingsmaatregelen nemen om hun netwerken en systemen te beschermen. Voor overheidsorganisaties geldt dat ze moeten voldoen aan de Baseline Informatiebeveiliging Overheid (BIO). Ook voldoen aan de AVG is verplicht.

Hogere kosten dreigen

Mimecast onderzocht bij Nederlandse IT-professionals hoe zij tegen verplichte wettelijke minimumeisen voor cybersecurity en digitale weerbaarheid aankijken. Maar liefst 90% stelt dat dergelijke wetgeving een positief effect heeft op het algehele beveiligingsniveau van de eigen organisatie. Vrijwel alle IT-professionals (96%) stellen dat wettelijke minimumeisen de impact van een cyberaanval kunnen verkleinen.

De verplichtingen zorgen er ook voor dat managers en bestuurders meer aandacht krijgen voor cybersecurity. IT-professionals denken echter ook dat de organisatie met hogere kosten krijgt te maken wanneer er aan wettelijke eisen moet worden voldaan. Ook is er met wettelijke bepalingen minder vrijheid om zelf te bepalen hoe er wordt omgegaan met digitale dreigingen.

Bewust bezig

Dirk Jan Koekkoek van Mimecast denkt ook dat wettelijke minimumeisen voor cybersecurity een positief effect kunnen hebben. “Allereerst wordt iedere Nederlandse organisatie dan gedwongen om bewust bezig te zijn met security. En als een goede basisbeveiliging overal vanzelfsprekend wordt, ook bij kleinere bedrijven, profiteert de hele bv Nederland daarvan. Bijvoorbeeld omdat dit het risico op geslaagde cyberaanvallen via ketenpartners verkleint.”

Toch plaatst Koekkoek ook een kanttekening. “Dergelijke wetgeving moet wel praktisch uitvoerbaar zijn. Het is bijvoorbeeld belangrijk dat alle organisaties gemakkelijk kunnen aantonen dat ze aan de eisen voldoen. Het verplicht stellen van open standaarden zoals DKIM, DMARC en TLS is een goed middel gebleken bij overheidsorganisaties. Waarom zouden we dit model niet doortrekken naar andere sectoren? Sommige organisaties zullen alleen het minimale doen, puur om een vinkje te krijgen. Maar zo werkt cybersecurity niet. De basis is slechts het startpunt.”