Sinds 15 augustus 2026 geldt de Cyberbeveiligingswet. Financiële instellingen werken al sinds januari 2025 onder DORA. Twee wetten met elk hun eigen eisen en toezichthouders, die in de kern hetzelfde vragen: aantoonbare grip op je digitale weerbaarheid. De meeste organisaties lopen daarbij niet vast op de eisen zelf. Ze lopen vast op de eilanden waarop ze die eisen organiseren.
Tip: Masterclass Integrale regie op de Cyberbeveiligingswet →
Estimated reading time: 6 minuten
Bekijk de presentatie van Frank Walraven, CEO van Fully In Control, op Cybersec Netherlands.
Maandagochtend: een kritieke leverancier ligt plat
Je hostingpartij meldt een grote storing. Een deel van je dienstverlening ligt stil. Het crisisteam komt bij elkaar met een reeks vragen. Welke diensten en processen zijn geraakt? Welke risico’s hadden we hierop benoemd? Wat staat er in het contract? Heeft de leverancier zijn eigen continuïteit op orde? Hebben we dit eerder meegemaakt? Moeten we dit incident melden?
De antwoorden bestaan allemaal. Alleen staan ze op tien verschillende plekken: de risico’s in Excel, de contracten in het contractmanagementsysteem, de BIA’s in weer een ander bestand, eerdere incidenten in het ITSM-systeem. Terwijl de klok tikt, ben je vooral aan het zoeken.
Precies over dat scenario gaan de Cyberbeveiligingswet en DORA.
Twee wetten, één kernvraag
De Cyberbeveiligingswet (Cbw) is de Nederlandse invulling van de Europese NIS2-richtlijn. De wet richt zich op zo’n 8.000 bedrijven en overheidsinstellingen die zo belangrijk zijn dat de samenleving last heeft als hun ICT uitvalt. Via de keten krijgen ook hun leveranciers ermee te maken. De wet kent een registratieplicht, een zorgplicht en een meldplicht. Het bestuur is eindverantwoordelijk. Buiten de overheid kunnen bestuurders daar ook persoonlijk op worden aangesproken.
DORA richt zich op de financiële sector en geldt sinds 17 januari 2025 voor instellingen onder toezicht van DNB en de AFM. De verordening vraagt om governance, ICT-risicomanagement en business continuity management. Leveranciers krijgen extra veel aandacht. Dat komt samen in het register of information: een omvangrijk overzicht van je ICT-leveranciers, de diensten die ze leveren en de functies die daarvan afhangen.
Op papier lijkt DORA veel uitgebreider. Lees je de zorgplicht van de Cbw erop na, dan zie je dezelfde onderwerpen terug: risicomanagement, bedrijfscontinuïteit, incidentafhandeling en de beveiliging van de toeleveringsketen. Val je onder allebei, dan gaat DORA voor zodra eisen overlappen.
Masterclass Integrale regie op de Cyberbeveiligingswet
De Cbw heeft een brede scope. Zonder centrale regie is voldoen aan de wet al lastig, laat staan het aantoonbaar maken ervan. In deze gratis masterclass laten Baker Tilly en FullyInControl zien hoe je de Cbw pragmatisch aanpakt binnen je bestaande kaders. En hoe je compliance, controls en bewijslast centraal registreert en monitort. Zo voldoe je niet alleen aan de wetgeving, maar blijf je ook aantoonbaar verbeteren. Meld je aan voor de masterclass →
Waarom afvinken niet werkt
Nieuwe wetgeving roept bij veel organisaties dezelfde reflex op: weer een lijst, dus weer vinkjes zetten. Dat levert aantoonbaarheid op papier op, maar zelden meer weerbaarheid. Het doel van beide wetten is namelijk niet compliance. Het doel is dat je incidenten voorkomt waar het kan en snel herstelt als het toch misgaat.
Het is menselijk gedrag. Wie alleen hoort dat iets moet, zoekt de kortste weg naar een vinkje. Wie begint bij het risico, krijgt mensen die snappen waarom iets ertoe doet.
Neem multifactorauthenticatie. Die voer je niet in omdat de Cbw of DORA dat voorschrijft. Die voer je in omdat je ongeautoriseerde toegang wilt beperken. Het risico is het vertrekpunt. De wet is daarna een van de kaders waar diezelfde maatregel aan bijdraagt.
Het echte probleem: eilanden
De eisen uit beide wetten landen bij verschillende mensen. De CISO gaat over informatiebeveiliging. Business continuity ligt bij een BCM-manager of bij proceseigenaren. Inkoop en contractmanagement beheren de leveranciers. IT en security operations handelen incidenten af. Internal audit kijkt er achteraf nog eens overheen.
Ieder van hen bewaart informatie op een eigen plek. Beleid staat op SharePoint, assets in de CMDB, leveranciers in het inkoopsysteem en verbeteracties in weer andere spreadsheets. Elk eiland kan op zich prima georganiseerd zijn. Toch ben je als geheel niet in control.
Het levert ook dubbel werk op. Informatiebeveiliging inventariseert risico’s en maatregelen, waarna BCM grotendeels dezelfde exercitie nog eens doet. Third party risk management legt de leveranciers vervolgens opnieuw vast. Digitale weerbaarheid ontstaat pas als je de samenhang tussen die domeinen bestuurbaar maakt.
Drie principes voor integrale regie
- Beheer risico’s, geen regelgeving. Digitale weerbaarheid is het uitgangspunt. Compliance volgt daaruit.
- Verbind de domeinen. Informatiebeveiliging, risicomanagement, BCM, incidentmanagement en third party risk management horen in één samenhangend geheel. Dat is niet alleen een systeemkwestie. Het vraagt ook samenwerking tussen afdelingen.
- Maak compliance een resultaat. Aantoonbaarheid komt voort uit een managementsysteem dat continu werkt volgens de PDCA-cyclus, met ruimte voor de specifieke eisen die een wet daarnaast stelt.
Dat laatste principe heeft een direct praktisch voordeel. Een maatregel beheer je één keer vanuit het risico. Daarna koppel je hem aan de Cbw, DORA, ISO 27001, NEN 7510 of BIO2. Dezelfde maatregel kan een eis uit de BIO volledig afdekken en in DORA maar voor een klein deel. Zo zie je meteen waar je nog iets moet aanvullen. Volgens Frank dekt een goed ingericht, risicogestuurd model al zo’n 80 procent van nieuwe regelgeving af. Een nieuwe wet uit Brussel of Den Haag betekent dan geen nieuw compliance-programma meer. Alleen de specifieke eisen komen er nog bovenop.
Van momentopname naar continu inzicht
Compliance is geen foto van één moment. Aanvallers veranderen hun werkwijze voortdurend. Je organisatie en de regelgeving veranderen mee. Daarom draai je de cyclus steeds opnieuw: scope bepalen, risicoanalyses en BIA’s uitvoeren, leveranciers classificeren, maatregelen invoeren, periodiek toetsen en oefenen, management reviews houden en bijsturen.
Het bestuur moet daarbij op elk moment kunnen zien waar de grootste risico’s liggen, wie de kritieke leveranciers zijn en of alles op tijd gebeurt. Soms is niet compliant zijn op een onderdeel zelfs een bewuste keuze. Dat mag, zolang het bestuur ervan weet.
Van zoeken naar besluiten
Terug naar die maandagochtend. In één samenhangend model ga je in een paar klikken van leverancier naar dienst, van dienst naar proces en van daaruit naar risico’s, contractafspraken en eerdere incidenten. Het crisisteam is dan aan het besluiten in plaats van aan het zoeken. Dat is ook het idee achter het Integraal Management Platform van FullyInControl: van compliance-administratie naar een managementsysteem waarmee je echt kunt bijsturen.
Dit artikel is gebaseerd op de presentatie die Frank gaf op Cybersec Netherlands.
Grip op de Cyberbeveiligingswet en DORA?
Wil je weten hoe je beide wetten vanuit één samenhangend beheersmodel regelt? We denken graag met je mee. Neem contact met ons op →