NIS2 en DORA, een principle-based benadering van cybersecurity

Bart Groothuis (VVD) kan niet ontkennen dat sommige standaarden wat doorslaan. Hij hoopt dat er de komende jaren ruimte komt voor een rationalisatie.

Bart Groothuis is Europarlementariër voor de VVD en rapporteur voor NIS2, Europa’s nieuwe cybersecurity-richtlijn. Vanuit deze rol was hij ook nauw betrokken bij de totstandkoming van  DORA, het zusje van NIS2, dat ziet op de cybersecurity van financiële instellingen. In gesprek met Rudrani Djwalapersad van EY pleit hij voor een goed stelsel van wet- en regelgeving, maar ook voor rationalisatie. “Ik ben van nature kritisch op wetgeving.”

“De financiële sector krijgt momenteel een historische hoeveelheid wet- en regelgeving voor zijn kiezen. Er is geen twijfel over dat dit hier en daar uitdagingen oplevert. Het is dan ook begrijpelijk dat er binnen de sector wat weerstand is. Toch zijn er veel goede ontwikkelingen. Een mooi signaal is bijvoorbeeld een onderzoek van kredietbeoordelaar Moody’s, met als conclusie dat de NIS2-directive (Network and Information Systems 2) per saldo ‘credit positive for doing business in Europe’ was. Vooral vanwege bedrijfscontinuïteit en om de bedrijfsvoering na een digitale aanval te kunnen voortzetten. Dat is natuurlijk een mooi compliment. Aan de andere kant ben ik van nature kritisch op wetgeving. Mede daarom heb ik onlangs amendementen op de Cybersecurity Act (CSA) door het parlement heen gekregen, waarmee we zorgen dat de EU niet-technische cybersecurity-wetgeving oneigenlijk gebruikt als industriepolitiek-instrument om Amerikaanse cloudpartijen buitenspel te zetten. En daarmee ook onszelf schade aan te doen.

Bread & butter

Ik sluit ook de ogen niet voor verschuivingen in de sector door wetgeving die al door het parlement heen is. Eén daarvan is dat DORA nieuwe eisen oplevert voor technologiepartners van financiële instellingen. Zij krijgen daardoor ook te maken met toezichthouders, zoals De Nederlandsche Bank en de AFM, en potentieel ook met grote financiële sancties als ze niet aan de wet voldoen. Die eisen zijn voor grote partijen goed haalbaar – veilig business doen is tenslotte hun bread and butter en vanwege hun schaal kunnen ze ook investeren in specifieke maatregelen. Maar voor kleinere partijen kan de implementatie van deze nieuwe eisen lastig zijn. Je ziet in de sector nu inventarisaties op dit gebied plaatsvinden en het is waarschijnlijk onvermijdelijk dat banken vanwege DORA hier en daar afscheid nemen van bepaalde partners. 

Te veel regels

Tot slot in algemene zin: ik vind dat we te veel regels neerleggen bij bedrijven en dat die regels niet altijd goed uitpakken. De GDPR functioneert bijvoorbeeld erg slecht voor veel partijen – vraag bij wijze van spreken maar aan een postduivenvereniging hoe ze met persoonsgegevens moeten omgaan en dan weet je al genoeg. Ik ben hoopvol gestemd dat er de komende jaren ruimte komt voor een rationalisatie. Je hoort dat tussen de regels ook door in de woorden van Ursula von der Leyen, de voorzitter van de Europese Commissie. Zij kondigde recent een tweede fase aan van de digitale en energietransitie: na een stortvloed van regels gaat competitiveness een grote rol spelen de komende jaren.”