Cybersecurity Act: de impact op jouw organisatie

De digitale wereld evolueert razendsnel en wordt steeds complexer. Tegelijkertijd nemen cyberdreigingen toe in zowel omvang als impact. Of het nu gaat om slimme apparaten thuis of om grootschalige ICT-systemen bij zorginstellingen en overheden, alles is afhankelijk van verbonden netwerken. De Europese Unie speelt hierop in met de Cybersecurity Act (CSA), een verordening die is ontworpen om het vertrouwen in digitale producten, diensten en processen te versterken.

Het is belangrijk om de Cybersecurity Act niet te verwarren met de nationale Cyberbeveiligingswet (Cbw), die de Nederlandse implementatie van de Europese NIS2-richtlijn is. Vorig jaar heeft mijn collega Melanie een blog geschreven over de Cyberbeveiligingswet en op welke manier NIS2 in nationale wetgeving wordt geïmplementeerd.

Op wie is de CSA nou echt van toepassing?

De CSA is van toepassing op leveranciers en fabrikanten van digitale producten en diensten, zoals software, cloudoplossingen en netwerkapparatuur. Zij moeten kunnen aantonen dat hun producten veilig zijn en voldoen aan Europese eisen. Toch merken ook zorginstellingen, gemeenten en het mkb de effecten: zij gaan in de toekomst steeds vaker werken met gecertificeerde oplossingen en krijgen daardoor meer zekerheid over de betrouwbaarheid van hun ICT. De CSA raakt dus de hele keten, en biedt zo een praktisch instrument om vertrouwen en veiligheid in de digitale samenleving te versterken.

De sleutelspelers binnen de CSA

De CSA vestigt een gelaagd certificeringskader waarin diverse sleutelspelers samenwerken om de betrouwbaarheid van ICT-oplossingen te garanderen.

1. Het Europees Agentschap voor Cyberbeveiliging(ENISA) fungeert als architect. Het ontwikkelt certificatieschema's op basis van risicobeheer en bepaalt de drie beveiligingsniveaus.
2. De Europese Commissie transformeert deze ontwerpen vervolgens in bindende wetgeving.
3. De handhaving en uitvoering liggen bij de lidstaten, onder toezicht van de Nationale Cyberbeveiligingscertificeringsautoriteiten (NCCA’s). In Nederland wordt de rol van NCCA ingevuld door de Rijksinspectie Digitale Infrastructuur (RDI), in samenwerking met het Ministerie van Economische Zaken.

In de praktijk heb je alleen te maken met de door het RDI geaccrediteerde laboratoria die jouw ICT-product, -dienst of -proces evalueert en uiteindelijk ook certificeert.

De weg naar certificering

Op het moment van schrijven is certificering nog vrijwillig en er zijn nog weinig ICT-producten of -diensten gecertificeerd. Echter, het is de verwachting dat deze certificering op den duur een wettelijke vereiste zal worden. Het is dus verstandig om nu alvast rekening te houden met de vereisten. Zorg ervoor dat bij de ontwikkeling van nieuwe producten en diensten direct security by design wordt toegepast. Wees voorbereid en voldoe aan de voorkant aan de eisen van de Europese Unie.

Beveiligingsniveaus

Per certificeringsschema wordt er gecertificeerd op drie verschillende beveiligingsniveaus: basis, substantieel en hoog. Het benodigde niveau hangt af van het risico en de impact van een incident met het specifieke product, dienst of proces.

Voorbeelden voor de verschillende beveiligingsniveaus zie je in onderstaande tabel:

Aan de hand hiervan kunnen organisaties beoordelen welk beveiligingsniveau passend is.

De stappen naar een CSA-certificaat

Het traject begint niet bij de audit, maar bij het ontwerp. Kies allereerst een passende certificeringsschema. Op het moment van publicatie is EUCC het enige goedgekeurde schema waarop daadwerkelijk gecertificeerd kan worden; andere schema’s zijn op dit moment nog in ontwikkeling.

1. Ontwerp en niveaukeuze

Bepaal welk beveiligingsniveau past bij risico’s, klantverwachtingen en gebruikscontext. Vertaal dat naar ontwerpkeuzes, teststrategie en documentatie.

2. Gap-scan en evidence opbouw

Leg vast hoe je threat modeling, secure coding, logging, patching en incidentafhandeling geregeld zijn. Verzamel aantoonbaar bewijs.

3. Evaluatiefase

Een geaccrediteerd evaluatielab toetst of beveiligingsfuncties en processen doen wat ze beloven.

4. Besluit en certificering

De conformiteitsbeoordelaar weegt de bevindingen en geeft bij positieve uitkomst een certificaat af.

5. Onderhoud en levenscyclus

Certificaten zijn maximaal vijf jaar geldig en worden opgenomen in het ENISA-register. Tijdens de geldigheid toon je blijvend kwetsbaarheidsmanagement, patchmanagement, incidentafhandeling en continuïteitsmaatregelen aan, zodat het certificaat zijn waarde behoudt.

Voordelen voor jouw organisatie

Een certificaat levert zowel leveranciers als gebruikers tastbare voordelen op. Voor leveranciers versnelt het de verkoop en inkoop, omdat één erkenning in alle lidstaten geldig is en discussies per land daarmee verdwijnen. Tegelijk zorgt certificering intern voor meer structuur in ontwerp, testen en beheer, waardoor teams voorspelbaarder leveren en minder tijd kwijt zijn aan losse securityvragen of audits. Voor afnemers en auditors wordt het vergelijken van aanbieders eerlijker en transparanter, wat due diligence en aanbestedingen eenvoudiger maakt.

Hoe sta je er vandaag voor?

Niet elk certificeringsschema is al volledig uitgewerkt en de Europese regels blijven zich ontwikkelen, maar dat is geen reden om te wachten. Organisaties die nu al security by design implementeren, patch- en kwetsbaarheidsbeheer strak organiseren, incident- en wijzigingsbeheer goed vastleggen en een lifecycle- en EOL-plan klaar hebben, plukken daar straks direct de vruchten van. De stap naar certificering wordt dan een natuurlijke vervolgstap, in plaats van een haastige eindspurt. Een CSA-certificaat ondersteunt bovendien de aantoonbaarheid richting normen als ISO 27001 en NEN 7510.

De Cybersecurity Act biedt een praktisch en uniform kader voor het verbeteren van digitale veiligheid. Voor organisaties is dit een kans om het vertrouwen bij klanten te winnen en tegelijkertijd te voldoen aan de Europese regelgeving.

Heb je producten, diensten of processen die mogelijk gecertificeerd moeten worden? Of wil je alvast oriënteren op waar je op dit moment staat? Neem dan contact met ons op. Wij helpen je graag bij het beoordelen van risico’s, het selecteren van het juiste beveiligingsniveau en om alvast mee te denken voor een passend ontwikkelings- en certificeringsbeleid.