Cyberdreigingen zijn allang geen ver-van-je-bed-show meer.\u00a0Ransomware, datalekken en verstoringen van\u00a0netwerk- en informatiesystemen\u00a0raken steeds vaker ook accountantskantoren. Met de komst van de Cyberbeveiligingswet verandert de manier waarop organisaties met\u00a0risico\u2019s moeten omgaan ingrijpend.\u00a0Voor veel accountants betekent dit dat cybersecurity straks niet alleen goed geregeld moet zijn, maar dat ook aantoonbaar is hoe risico\u2019s worden herkend, beoordeeld, opgelost of beperkt.\u00a0In deze blog leggen we uit wat de Cyberbeveiligingswet inhoudt, wat er verandert ten opzichte van de huidige wetgeving en wat dit betekent voor accountants en accountantskantoren.\u00a0Zodat jij\u00a0inhoudelijk op de hoogte\u00a0bent\u00a0op de Cyberbeveiligingswet.\u00a0<\/p>\n\n\n\n
De Cyberbeveiligingswet\u00a0<\/em>(Cbw) is een toekomstige nieuwe Nederlandse wet die organisaties verplicht om hun digitale beveiliging structureel op orde te brengen en te houden. De wet is de Nederlandse uitwerking van de Europese NIS2-richtlijn en is bedoeld om de digitale en economische weerbaarheid van\u00a0Europese bedrijven in kritische sectoren,\u00a0te versterken.\u00a0<\/p>\n\n\n\n In een tijd waarin cyberincidenten steeds geavanceerder en frequenter worden, stelt de Cyberbeveiligingswet duidelijke eisen aan hoe organisaties hun netwerken en informatiesystemen beveiligen, en hoe zij omgaan met incidenten. Waar de eerdere NIS-richtlijn en de huidige Wet beveiliging netwerk- en informatiesystemen (<\/em>Wbni) vooral gold voor een beperkte groep vitale aanbieders, vallen er aanzienlijk meer bedrijven onder de Cbw. De wet wordt naar verwachting van kracht in 2026 en vervangt dan de bestaande Wbni. <\/p>\n\n\n\n Met de overgang van de Wbni naar de Cbw worden de verplichtingen en verantwoordelijkheden rondom cybersecrurity voor bedrijven aangescherpt en duidelijker gemaakt. Waar risicomanagement onder de oude wet al bestond, wordt dit met de Cyberbeveiligingswet een stuk concreter. Organisaties moeten duidelijk inzicht hebben in hun cyberrisico\u2019s en kunnen laten zien wat zij doen om die risico\u2019s te beperken. Dat vraagt om duidelijke keuzes, vastgelegde afspraken en maatregelen die passen bij de organisatie. Denk aan zowel technische beveiliging als duidelijke processen en verantwoordelijkheden binnen het bedrijf. Ook wordt er meer nadruk gelegd op de beveiliging van de toeleveringsketen. Een kwetsbaarheid bij een leverancier kan immers directe gevolgen hebben voor de eigen organisatie. <\/p>\n\n\n\n Daarnaast wordt de meldplicht aangescherpt. Ernstige cyberincidenten moeten binnen 24 uur worden gemeld bij het Nationaal Cyber Security Centrum (NCSC)<\/strong>. Tegelijkertijd krijgen toezichthouders, zoals de Rijksinspectie Digitale Infrastructuur (RDI)<\/strong>, meer bevoegdheden om inspecties uit te voeren en in te grijpen. In uitzonderlijke gevallen kan dat toezicht zich zelfs richten op individuele bestuurders, waarmee de bestuurlijke verantwoordelijkheid duidelijker wordt vastgelegd. <\/p>\n\n\n\n De Cyberbeveiligingswet kent een aantal duidelijke kernverplichtingen. Centraal staat de zorgplicht. Organisaties moeten zelf een risicoanalyse uitvoeren en op basis daarvan passende technische en organisatorische maatregelen nemen om hun netwerk- en informatiesystemen te beveiligen. Dit is geen eenmalige taak, maar een continu proces waarin ook aandacht nodig is voor interne processen, medewerkers en leveranciers. <\/p>\n\n\n\n Daarnaast geldt er een meldplicht. Cyberincidenten die de dienstverlening kunnen verstoren, moeten zo snel mogelijk \u00e9n uiterlijk binnen 24 uur worden gemeld bij het NCSC, gevolgd door een rapportage. <\/p>\n\n\n\n Tot slot is er een registratieplicht. Organisaties die onder de wet vallen moeten zich registreren in het entiteitenregister. Op de naleving van deze verplichtingen wordt actief toezicht gehouden door onder andere de Rijksinspectie Digitale Infrastructuur. <\/p>\n\n\n\n Voor\u00a0accountants en accountantskantoren\u00a0betekent de Cyberbeveiligingswet vooral dat cybersecurity geen vrijblijvende randvoorwaarde meer is. Waar informatiebeveiliging nu vaak leunt op beroepsnormen, richtlijnen en verwachtingen van klanten, introduceert de\u00a0Cbw\u00a0wettelijke verplichtingen met toezicht en mogelijke sancties.\u00a0Accountantskantoren die onder de wet vallen moeten aantoonbaar risico\u2019s in kaart brengen,\u00a0de risico\u2019s periodiek\u00a0herevalueren\u00a0en de genomen maatregelen daarop aanpassen.\u00a0Ook incidenten die impact hebben op de dienstverlening moeten sneller en formeler worden gemeld dan nu het geval is.\u00a0Daarnaast wordt het bestuur nu duidelijk verantwoordelijk voor hoe de cyberbeveiliging wordt ingericht,\u00a0en aangestuurd. Dat is niet per se nieuw, maar met de Cyberbeveiligingswet moeten bestuurders wel laten zien dat zij hier actief mee bezig zijn\u00a0en\u00a0beschikken over voldoende kennis\u00a0om\u00a0hierover onderbouwde beslissingen te nemen. Cyberbeveiliging wordt daarmee een vast onderdeel van risicomanagement en de dagelijkse bedrijfsvoering.\u00a0<\/p>\n\n\n\n Of een accountantskantoor onder de Cyberbeveiligingswet valt, hangt af van meerdere factoren. De wet geldt voor organisaties die worden aangemerkt als essenti\u00eble of belangrijke entiteit. Daarbij speelt niet alleen de sector een rol, maar ook de positie van het kantoor binnen de keten. Accountantskantoren kunnen namelijk indirect met de wet te maken krijgen wanneer zij als dienstverlener onderdeel zijn van de keten van een Cbw-plichtige organisatie. In dat geval worden ook aan hen eisen gesteld op het gebied van informatiebeveiliging. <\/p>\n\n\n\n Daarnaast wordt er gekeken naar de omvang van het kantoor. Accountantskantoren met 50 of meer medewerkers, of met een jaaromzet en\/of balanstotaal van meer dan 10 miljoen euro, kunnen daardoor onder de Cyberbeveiligingswet vallen. <\/p>\n\n\n\n Of een accountantskantoor onder de Cyberbeveiligingswet valt, hangt af van meerdere factoren. De wet geldt voor organisaties die worden aangemerkt als essenti\u00eble of belangrijke entiteit. <\/p>\n\n\n\nVan\u00a0Wbni\u00a0naar\u00a0Cbw: wat verandert er?\u00a0<\/strong><\/h2>\n\n\n\n
Wat houdt de Cyberbeveiligingswet concreet in?\u00a0<\/strong><\/h2>\n\n\n\n
Wat verandert er voor accountants?\u00a0<\/strong><\/h2>\n\n\n\n
Valt mijn accountantskantoor onder de Cyberbeveiligingswet?\u00a0<\/strong><\/h3>\n\n\n\n