Cyberhygiëne, training en netwerksegmentatie onder de Cyberbeveiligingswet

Wat staat er in de regels?

De wet noemt "basispraktijken op het gebied van cyberhygiëne en opleiding op het gebied van cyberbeveiliging" (artikel 21, derde lid, onder g, Cbw). In de NIS2-richtlijn is dat artikel 21, tweede lid, onder g. Het Cyberbeveiligingsbesluit (Cbb) werkt het uit in artikel 12:

• Personeel en andere mensen die bij u werken zijn, voor zover relevant voor hun functie, bewust van de risico's en passen cyberhygiëne toe.
• U wijst de mensen aan wier rol deskundigheid op het gebied van beveiliging vraagt. Zij krijgen regelmatig opleiding.

Voor telecomaanbieders voegt artikel 5, vierde lid, van de Regeling cyberbeveiliging EZK iets toe "ter uitvoering van" dit onderdeel: u segmenteert uw netwerk- en informatiesystemen in netwerken of zones volgens uw risicoanalyse. Waar passend scheidt u uw systemen ook van die van derden. Een zone is volgens de regeling een logische of fysieke groep systemen met vergelijkbare beveiligingseisen.

"Andere binnen de entiteit werkzame personen" betekent: ook uitzendkrachten, stagiairs en ingehuurde technici die bij u werken.

Cyberhygiëne: de basis voor iedereen

Cyberhygiëne zijn de dagelijkse gewoontes die veel risico wegnemen. Voor een telecombedrijf denkt u aan:

• sterke, unieke wachtwoorden en een wachtwoordmanager;
• MFA op mail, kantoorsystemen en klantportalen;
• updates op laptops en telefoons automatisch aan;
• phishing herkennen en melden, ook telefonische oplichting waarbij iemand zich voordoet als klant of leverancier;
• geen klantgegevens of configuraties in privé-apps of persoonlijke cloudopslag;
• schermvergrendeling en versleutelde laptops.

Leg deze afspraken kort vast, bijvoorbeeld op één pagina die nieuwe medewerkers tekenen.

Opleiding voor wie beveiligingstaken heeft

Een helpdeskmedewerker heeft andere kennis nodig dan een netwerkbeheerder. Maak daarom een eenvoudige indeling:

Voorbeeld van een opleidingsplan

Groep	Wat zij moeten weten	Vorm
Alle medewerkers	Phishing, wachtwoorden, incident melden	Korte training bij indiensttreding en jaarlijks
Helpdesk en klantenservice	Identiteit van bellers controleren, social engineering, wanneer escaleren	Training met praktijkvoorbeelden
Netwerk- en systeembeheer	Veilig beheer, patchbeleid, logging, incidentrespons	Vakinhoudelijke training en oefeningen
Directie	Risico's en maatregelen beoordelen	Bestuurderstraining met certificaat

"Regelmatig" is niet in dagen vastgelegd. Kies zelf een ritme en houd bij wie wat volgde. Voor de directie geldt een aparte plicht met certificaat (artikel 24 Cbw); zie NIS2-cursus voor bestuurders.

Netwerksegmentatie voor telecom

Segmentatie beperkt de schade als iets misgaat. Komt een aanvaller binnen via een kantoorlaptop, dan mag hij niet zomaar bij de beheerinterface van uw core-routers kunnen. Veelgebruikte zones bij een telecombedrijf:

• Beheerzone: beheerinterfaces van netwerkapparatuur, alleen bereikbaar via een jumphost of beheer-VPN met MFA.
• Kernnetwerk en klantverkeer: de routering en het verkeer van klanten, gescheiden van beheer.
• Telefonieplatform: SBC's en servers, met alleen de poorten open die echt nodig zijn.
• Kantoornetwerk: laptops, printers en gasten, apart van alles hierboven.
• Systemen van derden: apparatuur van een leverancier of klant in uw ruimte, in een eigen zone.

Leg per zone vast welke verbindingen naar andere zones zijn toegestaan en waarom. Controleer dat regelmatig, want regels stapelen zich op. Meer over het netwerk van een ISP in NIS2 voor internetproviders.

Waar begint u?

1. Schrijf de basisafspraken voor cyberhygiëne op en bespreek ze met het team.
2. Wijs aan wie beveiligingstaken heeft en plan hun opleiding.
3. Teken uw netwerk op hoofdlijnen en markeer waar beheer, klantverkeer en kantoor elkaar raken.
4. Haal beheerinterfaces als eerste uit bereik van internet en kantoor.

Benieuwd hoe u er nu voor staat? De gratis zelfscan geeft per onderwerp een eerste beeld.

Veelgestelde vragen

Moet iedereen een cybertraining volgen?

Artikel 12 Cbb vraagt dat personeel, voor zover relevant voor de functie, bewust is van de risico's. Wie beveiligingstaken heeft, krijgt regelmatig opleiding. Een vorm of duur schrijven de regels niet voor.

Is segmentatie verplicht voor elk telecombedrijf?

Voor aanbieders van openbare telecomnetwerken en -diensten vraagt artikel 5 van de Regeling cyberbeveiliging EZK segmentatie volgens de risicoanalyse. Hoe ver u gaat, volgt uit die analyse.

Telt de bestuurderstraining ook als opleiding voor personeel?

Nee, dat zijn twee plichten. De bestuurderstraining staat in artikel 24 Cbw. De opleiding van personeel met beveiligingstaken staat in artikel 12 Cbb.