Waarom cybersecurity in de boardroom thuishoort

De frequentie en complexiteit van cyberaanvallen, toenemende Europese regelgeving en geopolitieke ontwikkelingen maken van cybersecurity een boardroom issue.

In het kort:

• Onder andere wettelijke cybersecurity kaders zijn essentieel om de collectieve veiligheid te waarborgen en deze continu te verbeteren.
• Cybersecurity raakt de hele organisatie en vraagt om scherpe keuzes over kritieke functies ten behoeve van de organisatie weerbaarheid.
• Hiermee is cybersecurity geen kostenpost, maar een continue investering en een onderwerp dat blijvend om aandacht in de boardroom vraagt.

Cybersecurity als structureel bestuursvraagstuk

Cybersecurity is al jaren één van de grootste bedrijfsrisico’s en is inmiddels uitgegroeid tot een structurele uitdaging op bestuursniveau. Waar cyberincidenten voorheen voornamelijk werden gezien als technische storingen, raken ze nu direct de kern van organisaties: van de continuïteit van de bedrijfsvoering en de financiële stabiliteit tot de reputatie en zelfs vitale maatschappelijke functies. “Het is niet alleen een IT-issue, maar een volwaardig business issue,” benadrukt Rudrani Djwalapersad, Partner Technology Consulting & Cybersecurity bij EY. Cyberaanvallen worden steeds frequenter en geavanceerder, terwijl organisaties afhankelijker zijn geworden van digitale ketens. Daarnaast zorgen toenemende Europese regelgeving en geopolitieke spanningen voor een onvoorspelbaar dreigingslandschap. Dit vraagt om een fundamenteel andere mindset van West-Europese organisaties. Bestuurders en toezichthouders kunnen zich niet meer beperken tot incidentrapportages achteraf; structurele aandacht voor cybersecurity op boardniveau is noodzakelijk.

Dreigingen van ransomware tot geopolitieke dreigingen

Ransomware is nog steeds de meest voorkomende aanvalsvorm, waarbij organisaties digitaal gegijzeld worden om losgeld af te dwingen. Aanvallers gaan steeds gerichter te werk en kiezen doelwitten waarvan zij verwachten dat betaling onvermijdelijk is, bijvoorbeeld door de afhankelijkheid van snel herstel en kwetsbaarheid door de aard van vertrouwelijke informatie, maar ook het ontbreken van back-ups of herstelcapaciteit. En door betaling blijft de business case voor de aanvaller aanwezig en blijft ransomware hardnekkig op nummer één van cyberaanvallen staan.

Daarnaast zijn er diverse zogenaamde key disruptors als nieuwe dreigingen. Geopolitieke instabiliteit speelt hierbij een steeds grotere rol, waarbij cyberaanvallen worden ingezet als verlengstuk van internationale spanningen. Digitale sabotage kan snel escaleren naar fysieke ontwrichting. Ook nieuwe technologieën zoals AI en quantum computing bieden kansen maar ook risico’s.

Regeldruk als versneller van cyberweerbaarheid

Europa heeft digitalisering en cyberweerbaarheid hoog op de agenda gezet, wat resulteert in een stroom aan nieuwe wet- en regelgeving. Op organisatie-niveau zijn drie kaders zijn vooral relevant: regels voor digitale operationele weerbaarheid in de financiële sector, de nieuwe cyberbeveiligingsrichtlijn NIS2 en de wetgeving rond de weerbaarheid van kritieke entiteiten.

Daarnaast is er wetgeving op product-niveau die vereist dat digitale producten gedurende hun volledige levenscyclus veilig blijven.

Hoewel deze regels soms als belastend worden ervaren, is de onderliggende logica helder: zonder wettelijke kaders zou de collectieve beveiliging onvoldoende verbeteren. Vergelijk het met verkeersregels: bedoeld om collectieve veiligheid te waarborgen, niet om te pesten.

Peter Kornelisse, Partner Technology Risk bij EY: “De uitdaging is dat veel regelgeving risicogebaseerd is. In plaats van exacte maatregelen voor te schrijven, leggen deze regels de verantwoordelijkheid bij de organisatie zelf. Dit vraagt om volwassen governance, waarbij organisaties werken met een geïntegreerd control framework dat continu wordt aangepast aan nieuwe eisen.”

NIS2: urgentie en complexiteit

Voor veel organisaties is NIS2 momenteel het meest urgent. Deze richtlijn verplicht organisaties in essentiële en belangrijke sectoren om hun cyberweerbaarheid aantoonbaar op orde te brengen. Een eerste stap is bepalen of NIS2 van toepassing is, wat in de praktijk ingewikkeld kan zijn, vooral bij internationale organisatiestructuren. Een verkoopkantoor kan buiten scope vallen, terwijl een fabriek in hetzelfde land er wel onder valt.

Verder is het belangrijk te beseffen dat NIS2 een richtlijn is en geen verordening, waardoor lidstaten van de EU elk zelf in lokale wetgeving dienen om te zetten. Multinationale organisaties krijgen daardoor te maken met verschillende nationale varianten.

Ongeacht deze onzekerheden is het van belang dat organisaties nu al aan de slag gaan, omdat het voldoen NIS2-wetgeving een behoorlijke inspanning en doorlooptijd kan vragen. De boodschap: wachten op formele wetgeving brengt aanzienlijke risico’s met zich mee.

De waarde van investeren in weerbaarheid

Cybersecurity wordt vaak gezien als kostenpost, maar dit perspectief is te beperkt. Organisaties met aantoonbaar sterke digitale weerbaarheid kunnen profiteren van lagere verzekeringspremies en cybersecurity kan zelfs een concurrentievoordeel opleveren. Klanten en partners verlangen steeds vaker bewijs van cyber-weerbaarheid.