Met de komst van de Europese NIS2-richtlijn verschuift cybersecurity van een technische randvoorwaarde naar een kernverantwoordelijkheid voor bedrijven in de voedselketen. Wat lang werd gezien als een ICT-issue, raakt steeds nadrukkelijker aan leveringszekerheid, internationale handel en maatschappelijke stabiliteit. 

Nederland heeft ervoor gekozen om het toezicht op de NIS2 onder te brengen bij de bestaande sectorale toezichthouders. Dat betekent dat de Nederlandse Voedsel- en Warenautoriteit verantwoordelijk wordt voor de voedselzekerheidsketen, een domein waarin cybersecurity een nieuw werkveld is waarvoor ook nieuwe specialistische kennis nodig is, die moet worden geworven.

De impact van NIS2 reikt echter verder dan alleen het toezicht alleen. Bedrijven hebben een ‘zorgplicht’ en zijn daarmee verantwoordelijk voor de borging van hun hele ICT-keten. Dus niet alleen hun eigen systemen, maar ook voor de koppeling met de systemen van hun leveranciers – ook als zij in Brazilië of China zitten.

Voor de levensmiddelensector met veel internationale en complexe vertakkingen, betekent de NIS2 een fundamentele verandering. Bedrijven moeten niet alleen hun eigen systemen op orde hebben, maar ook inzicht krijgen in de cyberbeveiliging van directe partners wereldwijd. Dat maakt de opgave niet alleen technisch, maar ook organisatorisch en strategisch aanzienlijk zwaarder.

Niet alle bedrijven krijgen met hetzelfde toezicht te maken. Binnen NIS2 wordt onderscheid gemaakt tussen ‘belangrijke’ en ‘essentiële’ entiteiten. Voor het merendeel van de bedrijven geldt een reactieve benadering: toezicht vindt vooral plaats bij of na incidenten of indien er signalen zijn van verhoogd risico. Naast deze groep belangrijke bedrijven is er een kleinere groep bedrijven, die wordt aangewezen door het ministerie van Landbouw, Visserij, Voedselzekerheid en Natuur middels een vitaalbeoordeling als ‘essentieel’.

Deze essentiële bedrijven vallen onder proactief toezicht en worden actief geaudit. Dit betekent dat zij naast voedselveiligheid ook op cyber- en fysieke weerbaarheid worden gecontroleerd. De bedrijven die als ‘essentieel’ worden aangewezen, krijgen na aanwijzing 10 maanden de tijd om de vereisten te implementeren.

Deze versturen we 3-4x per jaar.