Maatregel j: MFA, beveiligde spraak en noodcommunicatie

Wat staat er in de wet?

Artikel 21, derde lid, onderdeel j, van de Cyberbeveiligingswet (Cbw) noemt: "wanneer gepast, het gebruik van multifactor-authenticatie- of continue-authenticatieoplossingen, beveiligde spraak-, video- en tekstcommunicatie en beveiligde noodcommunicatiesystemen binnen de entiteit".

Let op de laatste woorden: binnen de entiteit. Het gaat hier om uw eigen organisatie, niet om de dienst die u aan klanten verkoopt. Voor die dienst gelden andere bepalingen, zoals de zorgplicht zelf en de regels over cryptografie.

Wat betekent "wanneer gepast"?

De woorden maken de maatregel niet vrijblijvend. De toelichting bij het Cyberbeveiligingsbesluit (Cbb) legt uit dat de invulling van maatregelen volgt uit uw risicoanalyse. U maakt dus een afweging en legt die vast. Komt u tot de conclusie dat iets bij u niet gepast is, dan moet u dat kunnen uitleggen.

Bovendien staat een deel van maatregel j elders steviger. De drie onderdelen verschillen daardoor in gewicht.

Maatregel j per onderdeel, voor een telecomaanbieder onder de Regeling cyberbeveiliging EZK

Onderdeel	Waar het verder geregeld is	Wat dat betekent
Multifactor-authenticatie	Art. 6 lid 2 onder a Regeling EZK	Sterke authenticatie voor bevoorrechte accounts en systeembeheeraccounts is vereist. De toelichting noemt phishing-bestendige MFA als voorbeeld.
Beveiligde spraak, video en tekst	Geen nadere uitwerking gevonden in Cbb of regeling	Eigen afweging op basis van uw risico's.
Noodcommunicatie	Art. 9 lid 5 onder b en c Cbb	Het crisisplan beschrijft de communicatiemiddelen, en wanneer passend de noodvoorzieningen, waaronder beveiligde noodcommunicatie.

De praktische uitwerking van MFA op netwerkapparatuur staat in MFA voor beheertoegang. Continue authenticatie wordt in het Cbb en de regeling niet verder uitgewerkt. Het NCSC noemt passkeys de veiligste inlogmethode, en hardwaresleutels zijn daarvan een vorm. Dat is een advies, geen wettelijke eis.

Bent u hoster, cloudaanbieder of MSP? Dan gelden artikel 9 Cbb en de regeling niet (artikel 4 Cbb) en volgt u Uitvoeringsverordening (EU) 2024/2690.

Noodcommunicatie: als uw eigen netwerk wegvalt

De toelichting geeft het voorbeeld van een entiteit die voor goede crisisbeheersing ook bij uitval van algemene telecommunicatienetwerken met medewerkers op verschillende locaties moet kunnen communiceren. Voor een telecombedrijf ligt dit dichtbij. Stel, uw core valt uit. Dan kunnen ook weg zijn:

• uw eigen telefooncentrale en het piketnummer;
• mail en chat, als die via uw eigen verbinding of platform lopen;
• uw ticketsysteem, monitoring en wachtwoordkluis;
• de VPN waarmee engineers op afstand inloggen.

Stel uzelf daarom één vraag: als alles op ons eigen netwerk stilvalt, hoe bereikt de dienstdoende engineer dan de directie, de leverancier en het NCSC?

Een praktische invulling

Onderstaande punten zijn een voorbeeld, geen wettelijke eis. Kies wat past bij uw risico's en omvang.

• Een communicatiekanaal dat niet van uw eigen netwerk afhangt, bijvoorbeeld mobiele toestellen op het netwerk van een andere aanbieder.
• Een versleutelde groepschat die het crisisteam kent en vooraf heeft getest, met beheerde leden.
• Een papieren of offline contactlijst met medewerkers, leveranciers, datacenter en de bevoegde instanties.
• Vaste afspraken over wie wat zegt als er geen enkel kanaal werkt, zoals een verzamelpunt op een bekende locatie.
• Toegang tot de wachtwoordkluis en de runbooks zonder uw eigen netwerk.

Beveiligde spraak en tekst in het dagelijks werk

Bespreekt u wachtwoorden, kwetsbaarheden of een lopend incident? Maak dan afspraken over het kanaal. Na een inbraak kan een aanvaller meelezen in uw eigen mail of chat, dus een lopend incident bespreekt u bij voorkeur buiten de systemen die mogelijk geraakt zijn. Kies vooraf welk middel daarvoor geldt en leg het vast in uw beleid voor incidentbehandeling.

Testen hoort erbij

Volgens artikel 9, vijfde lid, Cbb test en beoefent u het crisisplan periodiek. De wet noemt geen frequentie, die bepaalt u zelf. Een korte oefening kan al veel opleveren: laat het crisisteam een uur lang alleen de noodkanalen gebruiken. Werkt de groepschat, zijn de nummers actueel, en weet iemand de mobiele nummers van de leverancier? Zie ook het back-up- en herstelplan.

Veelgestelde vragen

Is een speciale noodtelefoon verplicht?

Nee, de regels schrijven geen specifiek middel voor. U beschrijft in uw crisisplan de communicatiemiddelen en, wanneer passend, de noodvoorzieningen.

Mag ik een gewone chat-app gebruiken in een crisis?

De regels verbieden dat niet. Weeg wel af of de app versleuteld is, wie er toegang heeft en of u leden kunt verwijderen als iemand vertrekt.

Waar leg ik mijn afweging vast?

In uw risicoanalyse en crisisplan. De gratis zelfscan laat zien waar u staat. Sjablonen voor onder meer continuïteit vindt u in het portaal, dat u 30 dagen gratis kunt proberen, zonder betaalgegevens.