Samen houden we Nederland digitaal veilig

Een huisarts opent een patiëntendossier. Een gemeente verwerkt een aanvraag. In de haven wordt een container vrijgegeven en op kantoor logt iemand in om aan het werk te gaan. Achter ieder van die alledaagse handelingen zit een netwerk van organisaties, systemen, leveranciers en verbindingen.

Op papier hebben al die organisaties hun eigen verantwoordelijkheid. Digitaal zijn ze nauw met elkaar verweven. Een storing bij een leverancier kan de dienstverlening van tientallen klanten raken. Misbruik van één beheeraccount kan toegang geven tot meerdere omgevingen. Een kwetsbaarheid in veelgebruikte software duikt zelden op maar één plek op.

Dat netwerk is wat we met NIS2 proberen te beschermen.

Sinds 15 augustus 2026 is de Cyberbeveiligingswet, de Nederlandse uitwerking van de Europese NIS2-richtlijn, van kracht. Ruim 8.000 organisaties die essentiële of belangrijke diensten leveren, hebben nu verplichtingen rond risicobeheersing, registratie, bestuur en het melden van incidenten. Die verantwoordelijkheden zijn per organisatie belegd. Het resultaat moet op nationale schaal zichtbaar worden: Nederland moet als geheel beter bestand zijn tegen digitale dreigingen.

Ik vind dat een belangrijk verschil. Als we NIS2 vooral bespreken als een verzameling eisen, maken we er al snel een administratief project van. Dan zijn we straks aantoonbaar druk geweest en mogelijk nog steeds onvoldoende voorbereid op de dreiging waarvoor de wet is bedoeld.

Nederland is het systeem dat we beschermen

Het Cybersecuritybeeld Nederland 2025 spreekt over een riskante mix in een onvoorspelbare wereld. Statelijke actoren, cybercriminelen en andere aanvallers richten zich op Nederlandse doelwitten. Daarnaast kunnen softwarefouten en andere verstoringen grote gevolgen hebben. Onze digitale afhankelijkheden zorgen ervoor dat de impact zich door organisaties en sectoren kan verplaatsen.

Ook het Microsoft Digital Defense Report 2025 laat zien hoe dat speelveld verandert. Cybercriminaliteit is verder geïndustrialiseerd en statelijke actoren verbreden hun doelwitten. Microsoft zag bijvoorbeeld dat Russische actoren ook kleinere organisaties in NAVO-landen aanvielen, soms als mogelijke opstap naar een groter netwerk.

Aanvallers zoeken zelden de sterkste voordeur. Een bruikbare zijingang is ook prima. Dat kan een account van een IT-dienstverlener zijn, een kwetsbaar apparaat aan de rand van het netwerk of een leverancier met toegang tot meerdere klanten. De organisatie waar een aanval wordt ontdekt, is daardoor lang niet altijd het einddoel. Soms is zij de eerste plek waar een breder patroon zichtbaar wordt.

Een individuele organisatie kan zich hier maar ten dele tegen wapenen. Zij beschikt over haar eigen logging, kennis en contacten. Een aanvaller opereert intussen over omgevingen, landsgrenzen en sectoren heen. Onze gezamenlijke waarnemingen leveren daarom een veel bruikbaarder beeld op dan ieder afzonderlijk kan samenstellen.

Sommige risico’s organiseer je samen

Boeren ontdekten lang geleden al dat een gedeeld belang reden kan zijn om samen te werken. Ze bleven zelfstandig en bleven soms elkaars concurrent, terwijl ze zaken als financiering en inkoop gezamenlijk organiseerden. De coöperatie gaf hen iets wat ieder afzonderlijk moeilijk kon opbouwen.

Bij digitale weerbaarheid werkt hetzelfde principe. Een aanvalsmethode wordt niet minder gevaarlijk wanneer we de kennis erover voor onszelf houden. Een technische indicator, een kwetsbaarheid of een nieuwe werkwijze van een aanvaller kan ook buiten de eigen organisatie nuttig zijn. Wie die informatie ontvangt, kan in de eigen omgeving zoeken en soms ingrijpen voordat er schade ontstaat.

De Cyberbeveiligingswet geeft een deel van die samenwerking structuur. Door registratie ontstaat beter zicht op de organisaties die belangrijke en essentiële diensten leveren. De zorgplicht versterkt afzonderlijke organisaties en vraagt aandacht voor risico’s in hun toeleveringsketen. Bij een significant incident bereikt een melding zowel de toezichthouder als het betreffende sectorale CSIRT.

Organisaties kunnen via hun sectorale CSIRT toegang krijgen tot dreigingsinformatie, waarschuwingen en ondersteuning. Voor de sectoren waarin het NCSC die rol vervult, biedt het onder meer dreigingsanalyses, detectie-informatie en incidentbijstand. Wanneer een kwetsbaarheid of crisis meerdere sectoren raakt, kan het NCSC ook de respons en informatie-uitwisseling coördineren.

Zo kan een waarneming bij één organisatie de verdediging van andere organisaties versterken. Daar begint voor mij de werkelijke waarde van NIS2.

Wat niet in een wetsartikel past

Een wet kan organisaties verplichten zich te registreren, maatregelen te nemen en significante incidenten te melden. De reflex om elkaar vroegtijdig op te zoeken ontstaat niet vanzelf. Die moeten we samen ontwikkelen.

Dat gaat ook over de informatie waarvoor geen wettelijke meldplicht bestaat. Een verdachte werkwijze die nog wordt onderzocht. Een bijna-incident waar nét op tijd is ingegrepen. Een patroon in malware of phishing dat bij verschillende klanten terugkomt. Of een les uit een incident die een andere organisatie veel uitzoekwerk kan besparen.

Hier wordt het in de praktijk lastig. Informatie kan onvolledig zijn. Organisaties vrezen reputatieschade of willen een lopend onderzoek en hun klanten beschermen. Een securitybedrijf kan bovendien kennis bezitten waaraan commerciële waarde wordt toegekend. Dat zijn reële belangen. Ze vragen om duidelijke afspraken over vertrouwelijkheid, zorgvuldigheid en de kanalen waarlangs informatie wordt gedeeld.

Maar als iedereen wacht op volledige zekerheid, komt een waarschuwing vaak te laat. En als iedere partij bruikbare dreigingsinformatie uitsluitend voor zichzelf houdt, kan niemand profiteren van het beeld dat gezamenlijk beschikbaar had kunnen zijn.

De gefaseerde meldplicht onder de Cyberbeveiligingswet laat zien dat snelheid en volledigheid niet hetzelfde zijn. Bij een significant incident volgt zo snel mogelijk een vroegtijdige waarschuwing, uiterlijk binnen 24 uur na kennisname. Het onderzoek loopt dan meestal nog. Naast verplichte meldingen kunnen organisaties bij het NCSC ook vrijwillig melding doen van andere incidenten of bijna-incidenten. Die informatie helpt om het nationale dreigingsbeeld actueel te houden.

De minimale verplichting is daarmee slechts het vertrekpunt. Collectieve weerbaarheid groeit wanneer delen een normale professionele handeling wordt: gericht, veilig en met oog voor het belang van de ontvanger. Vandaag heeft een ander iets aan jouw waarneming. Morgen ben jij afhankelijk van wat een ander heeft gezien.

Je kunt alleen delen wat je zelf ziet

Deze collectieve aanpak ontslaat geen enkele organisatie van haar eigen verantwoordelijkheid. Sterker nog: samenwerking levert pas iets op wanneer iedere deelnemer voldoende zicht heeft op zijn eigen omgeving.

Daar krijgt ‘Basis op Orde’ voor mij zijn bredere betekenis. Identity en toegangsbeheer moeten kloppen. Logging en monitoring moeten bruikbare signalen opleveren. Organisaties moeten hun belangrijkste processen, systemen en leveranciers kennen. Herstelvoorzieningen moeten aantoonbaar werken. En tijdens een incident moet duidelijk zijn wie een besluit mag nemen en wie er gebeld wordt.

Zonder die basis blijft een aanval langer onzichtbaar en is er weinig bruikbare informatie om te delen. Met die basis kan een organisatie sneller duiden wat er gebeurt, welke dienstverlening geraakt kan worden en voor wie het signaal nog meer relevant is.

Dat geldt ook voor ons. InSpark beheert en beveiligt onderdelen van klantomgevingen en is daarmee zelf een schakel in het netwerk. Wij kunnen technische signalen zien waarvoor de klant de bedrijfsmatige context heeft. Het is onze verantwoordelijkheid om die beelden snel samen te brengen, transparant te zijn over onze eigen rol en relevante patronen via de juiste kanalen beschikbaar te maken.

Daarom zegt een vinkje uiteindelijk weinig over digitale weerbaarheid. Het interessante moment komt wanneer er werkelijk iets gebeurt. Ziet iemand het? Begrijpen de betrokken partijen wat het betekent? Weten zij elkaar te vinden? En helpt wat zij leren ook de rest van het netwerk vooruit?

Voor mij is NIS2 geslaagd wanneer we op die vragen steeds vaker ‘ja’ kunnen antwoorden. De wet organiseert verantwoordelijkheden en brengt partijen bij elkaar. Wij moeten daar een werkende gemeenschap van maken.

Zo houden we Nederland digitaal veilig.