Even een tafereeltje dat je misschien herkent. Dinsdagochtend, kwart over negen. Je planningssysteem doet het niet. Je kijkt op de statuspagina van je hostingpartij, en daar staat: ‘we onderzoeken een verstoring’. Je belt, je komt in de wacht, je hangt na acht minuten weer op. Om vier uur ‘s middags staat er nog steeds precies diezelfde zin.
Het gekke is: er wordt op dat moment keihard gewerkt in dat gebouw. Alleen niet aan jouw telefoontje. En sinds afgelopen zaterdag ligt dat net even anders dan de week ervoor.
De Cyberbeveiligingswet (Cbw) is de Nederlandse uitwerking van de Europese NIS2-richtlijn. Hij geldt sinds 15 augustus, zonder overgangsperiode. Ongeveer 8.000 Nederlandse organisaties in achttien sectoren vallen eronder: energie, drinkwater, telecom, datacenters, zorg, vervoer, overheid. Wel alleen de wat grotere partijen daarbinnen, vanaf zo’n vijftig medewerkers of tien miljoen euro omzet. Die moeten zich registreren bij het NCSC, maatregelen nemen, en incidenten gaan melden.
Over dat melden wil ik het hebben, want dat is netjes geregeld. Met een klok erbij zelfs.
Een vroegtijdige waarschuwing binnen 24 uur nadat ze het incident hebben opgemerkt. Een uitgebreidere melding binnen 72 uur. En een eindverslag binnen een maand. Die meldingen gaan naar het CSIRT (het cyber-noodteam voor hun sector) en naar de toezichthouder.
Lees dat rijtje nog eens, en let even op waar die klok naartoe loopt.
Naar het CSIRT dus. En naar de toezichthouder. Daar zit een deadline op, daar zit toezicht op, en daar kan uiteindelijk een boete op staan. Dat is geen formaliteit die je even tussendoor doet, daar besteedt een securityteam zijn eerste uren aan. Terecht ook. Maar wat er nergens bij staat, is een klok richting jou.
Nu wil ik meteen iets rechtzetten, want zo’n zin gaat al gauw klinken als een sneer naar die leverancier. Zo bedoel ik het niet. Die mensen doen exact wat de wet van ze vraagt, en ze doen het waarschijnlijk onder flinke druk. Als je een prioriteitsvolgorde wettelijk vastlegt, dan krijg je die volgorde ook. Dat is geen onwil van je leverancier. Dat is gewoon wat er gebeurt als aan het ene een wettelijke deadline hangt en aan het andere niet.
En ik vind die wet ook echt geen slecht idee, voor de duidelijkheid. Ik denk oprecht dat die achttien sectoren hier over een paar jaar weerbaarder van worden. Dat is winst, ook voor jou, want jij draait op die sectoren.
Alleen: die winst zit in de jaren. Jouw dinsdagochtend zit in de uren.
En daar zit het misverstand dat ik de laatste weken vaak langs hoor komen, meestal in de vorm van iets geruststellends. ‘Gelukkig, mijn hostingpartij valt onder NIS2, dan zit dat wel goed.’ Die gedachte klopt trouwens voor een deel, en dat wil ik niet wegpoetsen. Naast dat melden staat er ook een zorgplicht in die wet: je leverancier moet echt maatregelen nemen, en zijn bestuur moet er zelfs voor in de leer. Daar wordt hij aantoonbaar veiliger van, en jij dus ook. Alleen gaan al die verplichtingen over de kans dat het misgaat. Geen ervan gaat over de vraag of jij het op tijd hoort als het tóch gebeurt. En laat dat nou net het stuk zijn waar jouw dinsdagochtend aan hangt.
En er zit nog iets onder dat gras. Datacenters en cloudpartijen staan netjes in die wet, dus qua sector zit je goed. Alleen geldt die omvangsdrempel gewoon: is jouw hostingboer een club van vijftien man, dan valt hij er waarschijnlijk helemaal niet onder. Dan loopt er dus niet alleen geen klok richting jou, dan loopt er überhaupt geen klok. Even opzoeken hoe groot die partij eigenlijk is, dat is zo gebeurd, en het antwoord scheelt nogal in hoe gerust je kunt zijn.
Dus wat kun je hiermee, op een dinsdagochtend in augustus?
Niet zo veel richting die leverancier. Je gaat de belvolgorde van een datacenter niet veranderen, en met een standaardcontract heb je weinig te eisen. Bij je volgende verlenging ligt dat anders: ik verwacht dat partijen die zelf onder de Cbw vallen dit soort meldafspraken gaan doorzetten naar hun eigen leveranciers, en dat zo’n afspraak daarmee heel gewoon wordt om te vragen. Tot die tijd is er iets wat volledig van jou is: wat jíj doet in die uren dat je niks hoort. Ik noem het maar even een stilteprotocol. Eén A4-tje, voor de één of twee partijen waar je bedrijf echt op stilvalt: je hosting- of datacenterpartij, je telecomaanbieder, de cloud waar je primaire systeem op draait.
Er staan maar drie dingen op.
Om te beginnen een klok, geen gevoel. Schrijf op: horen we om 11:00 nog steeds niets inhoudelijks, dan wachten we niet langer en schakelen we over op wat we dan wél kunnen. Dat moet je nu bepalen, in alle rust, want tijdens zo’n storing wint hoop het altijd van het besluit. Je blijft denken dat het zó opgelost is.
Dan een naam, met een vervanger erachter. Wie mag dat besluit nemen als jij in de trein zit of op vakantie bent? Zonder naam wordt het niemand, en dan schuift het vanzelf door naar het moment dat je klanten jou al gebeld hebben.
En als laatste een berichtje dat al klaarstaat. Wat mail je je eigen klanten terwijl je zelf nog niks weet? Eerlijk zijn over wat je niet weet is prima, daar heeft nog nooit iemand een klant mee verloren. Maar een halve dag radiostilte omdat je zit te wachten op duidelijkheid die jouw kant niet op komt, dat is wat ze onthouden.
Het aardige is dat dit niks van je leverancier vraagt en ook niet van een adviseur. Het is een halfuur aan je eigen keukentafel.
Weet jij eigenlijk hoe lang jouw bedrijf het uithoudt als je belangrijkste leverancier morgenochtend een dag stil ligt? Of heb je het ooit meegemaakt en weet je het maar al te goed? Ik hoor het graag, want ik verzamel dit soort verhalen.