Nederland is niet alleen erg laat met een eigen wetsvoorstel voor de nieuwe cyberbeveiligingsrichtlijn NIS2, ook ziet Louise de Gier dat het hoofdstuk over governance nog aangepast moet worden. Zij betwijfelt of met dit governance artikel wel het basisniveau wordt gehaald waar NIS2 van uitgaat.

Cybercrime is een van de grootste bedreigingen voor organisaties wereldwijd. De Europese Unie heeft al in 2016 een richtlijn opgesteld die Europa weerbaarder moet maken tegen cybercrimebedreigingen. Deze richtlijn bood niet de juiste regelgeving om de steeds grotere uitdagingen op het gebied van cybercrime tegen te gaan. 

Bovendien is de richtlijn op zeer uiteenlopende wijze uitgevoerd door de verschillende lidstaten, wat leidde tot versnippering van de Europese markt. Daarom is een nieuwe richtlijn, NIS2, opgesteld die de te grote verschillen moet wegwerken en netwerk en informatiesystemen binnen Europa beter moet beveiligen. NIS2 geldt voor veel meer sectoren dan de oude richtlijn: in totaal 18, zoals energie, gezondheidszorg, vervoer, digitale infrastructuur, beheer van ICT diensten, overheid en fabrikanten van bepaalde producten.

De nieuwe cyberbeveiligingsrichtlijn gaat uit van een basisniveau. Lidstaten kunnen verplichtingen vaststellen of handhaven die een hoger cyberbeveiligingsniveau waarborgen maar niet een lager niveau. Een ander belangrijk doel is het verhogen van de cyberhygiene. Organisaties moeten intern een cultuur van risicobeheer ontwikkelen en bevorderen.

Bestuur aansprakelijk

Nieuw is dat het bestuur maatregelen moet nemen voor het beheren van cyberbeveiligingsrisico s. Het bestuur moet toezien op de uitvoering en het kan aansprakelijk worden gesteld als het niet aan deze verplichtingen voldoet. Ook moet het bestuur opleidingen volgen zodat het voldoende kennis krijgt op het gebied van cybermanagement.

Deze versturen we 3-4x per jaar.