AH moest hack melden vanwege nieuwe cyberwet: 'Verantwoordelijkheid reikt verder'

De hack bij Albert Heijn is een van de eerste grote incidenten sinds de inwerkingtreding van een nieuwe wet over cyberbeveiliging. Die is in augustus ingegaan en geldt voor duizenden belangrijke organisaties. Zij moeten impactvolle cyberaanvallen verplicht melden en bestuurders kunnen persoonlijk aansprakelijk worden gehouden als bedrijven hun cyberbeveiliging niet op orde hebben.

De wet geldt voor overheidsorganisaties en bedrijven die belangrijk zijn voor Nederland. Onder meer de zorg, het drinkwater en banken vallen eronder. Maar ook de levensmiddelensector, met bijvoorbeeld de supermarkten.

"Het gaat om sectoren die essentieel zijn om in Nederland altijd te blijven draaien", zegt Bart Scholten van advies- en keuringsbedrijf Kiwa. "Zij moeten zich verplicht registreren bij het Nationaal Cyber Security Centrum NCSC."

De Cyberbeveiligingswet zorgt ervoor dat voor allerlei sectoren dezelfde regels gelden, zegt Joke Bodewits van advocatenkantoor Hogan Lovells Cadwalader. "Als het goed is, waren bedrijven zich al bewust van cyberrisico's en de maatregelen die ze moesten nemen. Deze wet brengt nieuwe verplichtingen met zich mee."

Zo zijn bedrijven verplicht om (vermoedens van) een cyberincident met grote impact binnen 24 uur te melden. Het gaat bijvoorbeeld om situaties met grote financiële schade. Of om incidenten die de dienstverlening ernstig verstoren, zoals bij Albert Heijn het geval was. Het bedrijf schakelde een deel van zijn IT-systemen uit toen bleek dat er iets aan de hand was.

De gevolgen waren groot: de website en app van Albert Heijn werden onbereikbaar en online bestelde boodschappen konden niet worden bezorgd. Ook lag een aantal distributiecentra volledig stil, waardoor Albert Heijn-supermarkten enige tijd moeilijker bevoorraad konden worden, zei Albert Heijn-topvrouw Margaret Versteden-van Duijn maandag:

Een melding bij het NCSC zorgt er ook voor dat je als getroffen bedrijf gebruik kunt maken van de kennis en expertise van het centrum, zegt Bodewits. "Daar zitten heel goede en gemotiveerde mensen klaar om te helpen en met je mee te denken. Bijvoorbeeld om de signalen door te nemen die erop wijzen dat je getroffen bent."

Na de eerste melding moeten bedrijven na 72 uur een update geven aan het NCSC. "Als je getroffen bent door een cyberincident, gebeurt er heel veel tegelijkertijd", zegt Bodewits. "Het komt vaak voor dat iets wat je dacht, later toch anders bleek te zitten."

De informatie die bij het NCSC binnenkomt, wordt ook doorgestuurd naar toezichthouders die de naleving op de Cyberbeveiligingswet controleren. Voor supermarkten is dat de Nederlandse Voedsel- en Warenautoriteit (NVWA).

"Toezichthouders controleren of bedrijven de juiste maatregelen hebben getroffen", zegt Scholten van adviesbedrijf Kiwa. "In de Cyberbeveiligingswet staat dat organisaties 'passende' maatregelen moeten nemen om cyberincidenten te voorkomen."

Wat precies passend is, kan per situatie verschillen. "Je moet in ieder geval proberen te voorkomen dat er een cyberaanval plaatsvindt, maar ook een plan hebben voor als het tóch gebeurt."

"Die verantwoordelijkheid reikt verder dan het bedrijf zelf", zegt hij. "Ongeveer 8000 bedrijven vallen onder de Cyberbeveiligingswet, maar veel dus ook niet. Dat zijn bijvoorbeeld kleinere bedrijven, de leveranciers van grote bedrijven. Als je wel onder de cyberwet valt, moet je de risico's van bedrijven waarmee jij zaken doet in kaart brengen. Op die manier kun je bijvoorbeeld ook aan hen eisen stellen over hun cyberbeveiliging."

Als de toezichthouder vermoedt dat de cyberbeveiliging onvoldoende was, kan die straffen opleggen. Daarbij kunnen zelfs bestuurders persoonlijk aansprakelijk worden gesteld. Waarschijnlijk is daarvan alleen sprake als zij ernstig verwijtbaar hebben gehandeld, of als er sprake is van opzet, zegt advocaat Bodewits. "Er wordt van bestuurders verwacht dat ze cyberincidenten proberen te voorkomen en het onderwerp serieus nemen."

"De Cyberbeveiligingswet maakt van cybersecurity een onderwerp dat op het hoogste niveau behandeld moet worden", zegt Scholten. "Bedrijven en organisaties kunnen nu niet meer zeggen: dit is iets van de security- of IT-afdeling. Het onderwerp moet in de bestuurskamer besproken worden, met als doel Nederland digitaal weerbaarder maken."