Van de acht- tot tienduizend Nederlandse organisaties die onder de Cyberbeveiligingswet (Cbw) vallen, heeft minder dan de helft zich geregistreerd. Volgens het Nationaal Cyber Security Centrum (NCSC) stonden er gisteren aan het begin van de avond 2.942 registraties in het Cbw-entiteitenregister. Inclusief verbonden organisaties, die nauw met elkaar verweven zijn door eigendom of zeggenschap, komt het totaal op 4.144 registraties.

Morgen, 15 augustus, treedt de Cyberbeveiligingswet officieel in werking. Vanaf dat moment gelden strengere verplichtingen voor circa negenduizend organisaties die essentiële of belangrijke diensten leveren, verspreid over achttien sectoren zoals energie, drinkwater, digitale infrastructuur, gezondheidszorg, overheid en vervoer. De wet legt hogere normen op voor de beveiliging van netwerk- en informatiesystemen.

Ondanks de naderende deadline is er deze maand nog geen grote toename in registraties zichtbaar. Tot nu toe zijn er in augustus 653 registraties, iets meer dan de 599 in juli, met nog dertien werkdagen te gaan. Het is nog te vroeg om te bepalen welke sectoren vooroplopen of achterblijven in het registratieproces.

Organisaties zijn verplicht zich te registreren in het nationaal entiteitenregister van het NCSC en moeten zelf beoordelen of zij onder de Cyberbeveiligingswet vallen. Daarnaast zijn zij verantwoordelijk voor het tijdig en actueel houden van hun registratiegegevens. Het NCSC ontvangt regelmatig vragen over registratie, onder meer over complexe bedrijfsstructuren en buitenlandse bedrijven zonder KvK-nummer die zich willen inschrijven. In dergelijke gevallen biedt het NCSC maatwerk en ondersteuning.

Volgens Thomas Margner, technisch directeur bij TrendAI, nemen veel organisaties een afwachtende houding aan en hebben zij nog niet vastgesteld of de wet op hen van toepassing is. Vooral organisaties die niet eerder met dit toezicht te maken hadden, zijn terughoudend. Uit onderzoek van Grant Thornton blijkt dat slechts een derde van de mkb-bedrijven die onder de wet vallen, actief bezig is met compliance, terwijl ruim de helft nog aan het begin staat.

Een belangrijk nieuw aspect van de wet is dat managers persoonlijk aansprakelijk kunnen worden gesteld voor tekortkomingen in de cybersecurity, zoals het ontbreken van training. De verantwoordelijkheid voor het beheersen van cyberrisico’s ligt daarmee nadrukkelijk op bestuursniveau. Michel Woudstra van Rohde & Schwarz Networks & Cybersecurity stelt dat cybersecurity met de inwerkingtreding van NIS2 definitief van de serverruimte naar de bestuurskamer is verhuisd. De persoonlijke aansprakelijkheid van de bedrijfsleiding wordt hiermee vastgelegd.

Christian Boertje, directeur van Boem Cybersecurity, benadrukt dat toezichthouders bij ernstig falen ook maatregelen kunnen nemen tegen bestuurders zelf. Dit begint met aanwijzingen en het opleggen van verbetermaatregelen. Organisaties kunnen zich voorbereiden door zich tijdig te registreren en hun cybersecuritybeleid op orde te brengen.