Nederland voert opnieuw strengere Europese cyberregels in. Met de implementatie van de NIS2 via de nieuwe Cyberbeveiligingswet (Cbw) worden duizenden bedrijven verplicht hun digitale risico’s structureel te beheersen, incidenten snel te melden en verantwoordelijkheid op bestuursniveau te borgen. Toezicht wordt aangescherpt en boetes kunnen oplopen tot miljoenen euro’s. En dat blijkt nodig wantde wet legt vooral een ongemakkelijke waarheid bloot: ondanks jarenlange investeringen in cybersecurity hebben veel organisaties nog altijd onvoldoende zicht op hun werkelijke kwetsbaarheden. Strengere regels vergroten de druk op bestuurders, maar dwingen vooral tot een fundamenteel andere kijk op risico.
De illusie van controle
De invoering van NIS2 zal door veel organisaties worden benaderd als een compliancevraagstuk. Processen worden ingericht, verantwoordelijkheden belegd en rapportagelijnen aangescherpt. Daarmee ontstaat al snel het gevoel dat de basis op orde is. Dat gevoel is misleidend.
Compliance suggereert controle, maar zegt weinig over daadwerkelijke weerbaarheid. Cybercriminelen toetsen geen beleidsdocumenten, maar zoeken naar praktische zwakheden. En die bevinden zich zelden in de onderdelen waar organisaties hun aandacht op richten.
De mythe van de ‘high-tech hack’
We stellen ons cyberaanvallen nog te vaak voor als hoogtechnologische operaties, uitgevoerd door gespecialiseerde groepen met geavanceerde middelen. Dat beeld klopt deels, maar verhult een belangrijker realiteit: veel succesvolle aanvallen zijn juist eenvoudig en opportunistisch. De recente datalekken bij onder meer Booking.com, Basic-Fit en Odido laten zien dat niet de best beveiligde systemen worden aangevallen, maar de minst zichtbare. Aanvallers kiezen niet de moeilijkste route, maar de meest toegankelijke.
Tegelijkertijd ligt de focus binnen organisaties vaak op de bekende maatregelen: firewalls, two-factor authentication, endpoint monitoring en phishingtraining. Allemaal essentieel. Maar cybersecurity is geen optelsom van maatregelen, het is een keten — en die is zo sterk als de zwakste schakel. De ongemakkelijke realiteit: die schakel zit vaak niet waar organisaties hem verwachten. Daarmee wordt één conclusie onvermijdelijk: niet de kwaliteit van afzonderlijke maatregelen is doorslaggevend, maar het gebrek aan overzicht.
De groei van blinde vlekken
De IT-omgeving van organisaties is de afgelopen jaren fundamenteel veranderd. Vrijwel elk toestel is vandaag verbonden met het netwerk en dus onderdeel van het aanvalsoppervlak. Een van de meest onderschatte toegangspoorten is de printer. Dat zijn al lang geen passieve randapparaten meer, maar volwaardige netwerktoestellen met een eigen besturingssysteem, processor, opslagcapaciteit en koppelingen met andere systemen. Weinig mensen weten bijvoorbeeld dat documenten die je afdrukt digitaal worden bewaard. Toegang tot een printer is in veel gevallen dus toegang tot (een deel van) het netwerk.
Toch worden printers zelden als volwaardig onderdeel van de securitystrategie behandeld. Ze draaien op verouderde software, worden minder frequent geüpdatet en vallen buiten de standaard monitoring. Niet omdat ze onveilig zijn, maar omdat ze niet als kritisch worden gezien. En precies daar zit het probleem. Aanvallers zoeken niet naar de best beveiligde ingang, maar naar de makkelijkste, meest vergeten of verouderde toegang.
Geen technisch probleem, maar een denkfout
De invoering van NIS2 en de Cyberbeveiligingswet is een noodzakelijke stap. Maar wetgeving corrigeert geen verkeerde aannames. De kern van de uitdaging ligt niet in technologie, maar in hoe organisaties naar hun infrastructuur kijken. Zolang bepaalde systemen buiten de scope van security vallen, blijft er een categorie risico’s bestaan die per definitie kwetsbaar is. Cybersecurity vraagt daarom om een integrale benadering. Niet alleen de mens, maar elk verbonden apparaat moet onderdeel zijn van het risicobeheer. Wat buiten beeld blijft, blijft een potentiële ingang.
De nieuwe wetgeving zou dan ook tot een andere reflex moeten leiden. Niet: hoe voldoen we aan de regels? Maar: waar zit onze zwakste schakel? En vaker dan gedacht staat die gewoon naast de koffiemachine.
Meer informatie: www.sharp.nl
