Werken uw maatregelen? Effectiviteit meten onder de Cyberbeveiligingswet

Wat staat er in de regels?

De zesde zorgplichtmaatregel is "beleid en procedures om de effectiviteit van maatregelen voor het beheersen van cyberbeveiligingsrisico's te beoordelen" (artikel 21, derde lid, onder f, Cbw). Het Cyberbeveiligingsbesluit zegt in artikel 18 dat u periodiek evalueert hoe doeltreffend uw maatregelen zijn en wat het effect in de praktijk is. U legt het resultaat schriftelijk vast en past maatregelen waar nodig aan.

Voor telecomaanbieders vraagt artikel 3 van de Regeling cyberbeveiliging EZK dat u in uw managementsystematiek vastlegt:

• welke maatregelen u monitort, meet, analyseert en evalueert;
• met welke methoden, zodat de resultaten valide zijn;
• wanneer u monitort en meet;
• wie dat doet;
• wanneer de resultaten worden geanalyseerd en geëvalueerd;
• wie dat doet.

Kort gezegd: wat, hoe, wanneer en wie. Dat kan in één tabel.

Voorbeelden van meetpunten

Kies een klein aantal meetpunten die iets zeggen over uw grootste risico's. Meer is niet altijd beter.

Voorbeeld van een meetplan (verzonnen, ter illustratie)

Maatregel	Wat meet u	Wanneer	Wie
Patchbeheer	Aandeel apparaten met een kritieke kwetsbaarheid ouder dan de eigen termijn	Maandelijks	Netwerkbeheer
Toegangsbeheer	Aantal accounts zonder eigenaar of van vertrokken medewerkers	Per kwartaal	Teamleider beheer
MFA	Aandeel beheertoegangen met een tweede factor	Per kwartaal	Netwerkbeheer
Back-ups	Geslaagde hersteltests en gemeten hersteltijd	Per kwartaal	Systeembeheer
Incidenten	Tijd tussen detectie en beslissing over melden	Na elk incident	Incidentmanager
Bewustwording	Deelname aan training	Halfjaarlijks	Directie

Koppel elk meetpunt aan een doel. Bijvoorbeeld: alle beheertoegangen met een tweede factor, of nul accounts van vertrokken medewerkers.

Hoe meet u betrouwbaar?

De regeling vraagt "valide resultaten". Dat betekent dat de meting klopt en herhaalbaar is. Tips:

• haal cijfers waar kan automatisch uit systemen, zoals uw configuratiebeheer of monitoring;
• gebruik elke keer dezelfde definitie en dezelfde bron;
• laat iemand anders dan de uitvoerder af en toe een steekproef doen;
• schrijf op wat u niet kon meten en waarom.

De evaluatie zelf

Plan een vast moment, bijvoorbeeld eens per jaar, en daarnaast een evaluatie na elk groot incident. Bespreek dan:

1. Wat laten de meetpunten zien?
2. Welke maatregelen werken niet goed genoeg?
3. Zijn er nieuwe risico's, diensten of leveranciers?
4. Wat gaan we aanpassen, wie doet het en wanneer?

Leg de uitkomst vast in een kort verslag. Zo heeft u bewijs als de RDI vraagt hoe u de zorgplicht uitvoert. De RDI schrijft dat zij tijdens een inspectie vraagt hoe u risico's en maatregelen heeft bepaald, en dat zij bewijs kan opvragen.

Neem het bestuur mee

Het bestuur keurt de maatregelen goed (artikel 24 Cbw). Een korte rapportage met de meetpunten helpt de directie om dat goed te doen. Gebruik daarvoor dezelfde tabel, met een kleur per meetpunt: op doel, bijna op doel, niet op doel. Meer over de rol van het bestuur in NIS2 en bestuurdersaansprakelijkheid.

Start u nog met de basis? Begin dan bij de risicoanalyse. Meetpunten kiest u pas als u weet welke risico's het zwaarst wegen.

Veelgestelde vragen

Hoe vaak moet ik evalueren?

Artikel 18 Cbb zegt "periodiek" zonder frequentie. Een jaarlijkse evaluatie plus een evaluatie na elk groot incident is een werkbare eigen afspraak. Leg uw keuze vast.

Moet een externe partij de evaluatie doen?

De regels vragen dat niet. U kunt het zelf doen. Een onafhankelijke blik kan wel helpen. Een essentiële entiteit kan door de toezichthouder ook verplicht worden tot een audit (artikel 72 Cbw).

Hoeveel meetpunten zijn genoeg?

Daar is geen regel voor. Kies er een paar die bij uw grootste risico's horen en die u echt bijhoudt.