Cyber Security Raad: ‘Bedrijven moeten meer doen aan digitale veiligheid’

Succesvolle cyberaanvallen, hacks en digitale lekken zijn regelmatig in het nieuws. De Cyber Security Raad (CSR) constateert dat het Nederlandse bedrijfsleven nog te weinig doet aan digitale veiligheid, terwijl dit wel verplicht is.

Volgens de huidige wet- en regelgeving hebben bedrijven de plicht om te zorgen voor een adequate digitale beveiliging. Mocht zich toch een incident voordoen, dan hebben zij de plicht de gevolgen ervan te beperken en verdere incidenten te voorkomen. In de praktijk blijkt dat bedrijven hier onvoldoende van op de hoogte zijn. Dat kan er bijvoorbeeld toe leiden dat bedrijven hun systemen onvoldoende beveiligen en er producten op de markt worden gebracht die onvoldoende tegen hacken zijn beveiligd.

Advies aan politiek en VNO-NCW

De CSR adviseert het Kabinet zelfregulering ten aanzien van ‘zorgplichten’ te stimuleren, het voortouw te nemen in een discussie hierover en de wetgeving van Europese lidstaten op elkaar af te stemmen. VNO-NCW krijgt het advies om met haar leden over dit onderwerp in gesprek te gaan en invulling te geven aan de verplichte zorg voor digitale veiligheid.

Als ondersteuning publiceert de CSR op zijn website een handreiking met een overzicht van de belangrijkste juridische zorgplichten voor bedrijven op het gebied van cybersecurity en de belangrijkste handvatten om deze plichten in te vullen. Diverse topjuristen, Radboud Universiteit, Openbaar Ministerie, Nederland ICT, CIO Platform Nederland en Consumentenbond hebben hieraan meegewerkt. Nederland ICT en het CIO Platform Nederland hebben inmiddels aangegeven hun achterban te willen assisteren bij de implementatie van de handreiking.

Negeren van verantwoordelijkheid

Ieder bedrijf heeft de verplichting de eigen digitale beveiliging goed op orde te hebben, in afstemming met andere partijen waarmee wordt samengewerkt. Een schending van deze ‘zorgplichten’ kan leiden tot aansprakelijkheid. Indien een bedrijf software, mobiele telefoons, of andere producten of diensten met een ICT-toepassing verwerkt, dienen deze adequaat beveiligd te zijn tegen hacken. Dit kan alleen als cybersecurity al in het ontwikkelstadium van deze producten en diensten wordt meegenomen.

Veel bedrijven zijn zich onvoldoende bewust van deze verplichtingen. Daarnaast zijn er bedrijven die hun verantwoordelijkheid bewust negeren en vervolgens aansprakelijkheid trachten te ontlopen via ontsnappingsclausules in contracten. Dit is niet toegestaan onder het consumentenrecht, en ook onder het ondernemingsrecht valt niet alle verantwoordelijkheid uit te sluiten.

Steeds vaker aansprakelijk

Het bestuur of de directie van een bedrijf is er verantwoordelijk voor dat het bedrijf inzicht heeft in de cybersecurityrisico’s en daartegen adequate maatregelen neemt. Gebeurt dit niet, dan kunnen zij aansprakelijk zijn voor de schade die consumenten en andere bedrijven lijden. Door nieuwe technologische ontwikkelingen, zoals Internet of Things en eHealth, neemt het risico op digitale en fysieke schade sterk toe. De verwachting van de CSR is dan ook dat schade in de toekomst steeds vaker verhaald zal worden.

Meer over
Lees ook
Cyber Defence moet innovatie versnellen

Cyber Defence moet innovatie versnellen

Wat meer optimisme over onze weerbaarheid voor cyberaanvallen is goed voor Nederland, vindt Roel van Rijsewijk, directeur Cyber Defence bij Thales. Het is ook goed dat de Nationaal Coördinator Terrorismebestrijding en Veiligheid onlangs in het Cybersecuritybeeld Nederland 2019 opnieuw de noodklok luidde over de kwetsbaarheid van de Nederlandse...

'De Benelux loopt achter op het gebied van cybersecurity, India presteert het best'

'De Benelux loopt achter op het gebied van cybersecurity, India presteert het best'

Organisaties over de hele wereld lopen vast in hun voortgang op het gebied van cybersecurity en riskeren verlamming nu cybercriminelen steeds geavanceerder te werk gaan. Dit blijkt uit het rapport 2019 Risk:Value – ‘Destination standstill. Are you asleep at the wheel?’ van NTT Security, een gespecialiseerd beveiligingsbedrijf en expertisecentrum voor...

Cybersecurity vitale waterwerken niet waterdicht

Cybersecurity vitale waterwerken niet waterdicht

Tunnels, bruggen, sluizen en waterkeringen kunnen nog beter worden beveiligd tegen cyberaanvallen. Rijkswaterstaat heeft de afgelopen jaren veel werk verzet en noodzakelijke maatregelen in kaart gebracht om waterkeringen beter te beveiligen. Maar die veiligheidsmaatregelen zijn niet allemaal uitgevoerd. De Algemene Rekenkamer constateert dat de minister...