Dat is althans de voorspelling van Stibbe-advocaat Nynke Brouwer, gespecialiseerd in de juridische aspecten van cybersecurity.
Brouwer sprak woensdag in Amsterdam op het eerste Tech Meets Law Congres, een initiatief van opleidingsinstituten Dialogue en CPO. Volgens haar is het na de regelgeving over persoonlijke gegevens (AVG), nu de beurt aan andere data die cruciaal zijn voor de samenleving.
Hoeksteen
Om die data te beschermen tegen aanvallen van buitenaf is het hoognodig de beveiliging op te schroeven, aldus Brouwer. ‘Cybersecurity kun je zien als hoeksteen van de samenleving. Alles raakt in toenemende mate met elkaar verbonden. De toenemende verwevenheid vergroot tegelijkertijd het aanvalsoppervlakte en daarmee de impact die een aanval heeft op onze samenleving. Het wordt steeds belangrijker dat we kunnen bouwen op vertrouwelijkheid, integriteit en beschikbaarheid.’
Een concrete EU-maatregel is NIS 2, die eind vorig jaar in Brussel is vastgesteld. Deze richtlijn moet nog door de Nederlandse overheid worden omgezet in nationale wetgeving. Waar de eerste Network and Information Security uit 2016 zich vooral richtte op de beveiliging van cruciale infrastructuur zoals energienetwerken en bankwezen, wordt de reikwijdte met NIS 2 enorm uitgebreid. ‘Waar het bij NIS 1 ging om 500 bedrijven, gaat het bij NIS 2 naar schatting om zesduizend bedrijven.’
Meldplicht
Deze bedrijven krijgen niet alleen te maken met een aanscherping van de regels voor de beveiligingsmaatregelen voor de eigen organisatie, maar ook ten aanzien van toeleveranciers. Ook komen er strikte regels over de meldplicht. Binnen 24 uur dient de toezichthouder op de hoogte worden gebracht van een schadelijke aanval of datalek. Nalatige bestuurders kunnen straks aansprakelijk worden gesteld, aldus Brouwer. Ook voor toezichthouders gaan er bepalingen gelden waaraan ze in de toekomst moeten voldoen.