Cybersecurityexpert waarschuwt mkb-ondernemers: ‘Ga ervan uit dat je ooit de sjaak bent’
De cybersecurityexpert Arjan Benschop windt er in De Ondernemer Live geen doekjes om: zelfs bij giganten als Ahold Delhaize en Odido gaat het mis. Maar hoe voorkom je dat een cyberaanval het einde van jouw bedrijf betekent? Hij deelt vijf cruciale basistips én legt uit waarom ook het mkb de nieuwe Cyberbeveiligingswet niet kan negeren.
Arjan Benschop is oprichter van HOB ICT Security in Lopik, een cybersecurityspecialist voor organisaties en bedrijven in het middensegment. Zijn bedrijf richt zich sinds 2020 op het digitaal weerbaar maken en houden van ondernemingen, met name in de maakindustrie, logistiek en zorg.
„Wat vandaag qua cybersecurity op orde is, is morgen achterhaald. De vraag is niet of je als bedrijf geraakt wordt, maar wanneer. Dat geldt niet alleen voor kleine bedrijven, maar ook de grootste. Kijk naar Odido eerder dit jaar. En Ahold Delhaize deze week’’, aldus Arjan.
Cyberaanval Delhaize Ahold en Odido
Bij de ernstige cyberaanval op Odido afgelopen februari zijn de persoonsgegevens van zo’n 6,2 miljoen accounts (waaronder klanten van Odido en het merk Ben) buitgemaakt. Ahold Delhaize – het moederbedrijf van Albert Heijn, Etos en Gall & Gall – werd afgelopen zondagmiddag getroffen door een cybersecurity-incident. Met grote gevolgen: boodschappen worden niet bezorgd, distributiecentra liggen deels stil, bonusacties werken niet en websites liggen eruit.
“Zorg op z’n minst dat je de basis op orde hebt, dat je snel kunt detecteren en weet wie je moet bellen”
De expert wil niet speculeren over de oorzaak. „Simpelweg omdat ik de details niet ken, die zullen later deze week wel bekend worden. Ik weet wel dat het alle hens aan dek is voor Ahold. En neem van mij aan dat Ahold een bedrijf is dat de zaakjes op het gebied van cybersecurity bovengemiddeld goed op orde heeft.’’
Arjan: „Maar hoe goed je bedrijf ook beveiligd is, zeg nooit: het overkomt mij niet. Want eens ben je gewoon de sjaak. En dan is de vraag: hoe erg ben je de sjaak? Je kunt je er ook niet 100 procent tegen wapenen, want de ontwikkelingen gaan zo ontzettend snel en kwetsbaarheden en lekken worden steeds vaker gevonden. Zorg op z’n minst dat je de basis op orde hebt, snel kunt detecteren en weet wie je moet bellen.’’
Cyberbeveiligingswet en de gevolgen voor het mkb
Tijdens De Ondernemer Live laat Arjan Benschop ook zijn licht schijnen op de nieuwe Cyberbeveiligingswet (Cbw) en de gevolgen daarvan voor het mkb. De wet, sinds 15 augustus van kracht, is de Nederlandse vertaling van de Europese NIS2-richtlijn.
De wet verplicht zo’n 8.000 Nederlandse organisaties in achttien sectoren zich te registreren, aantoonbare cybersecurity te bieden en incidenten binnen 24 uur te melden. Ook kunnen bestuurders van deze organisaties persoonlijk aansprakelijk worden gesteld als het misgaat en later blijkt dat ze de boel niet op orde hebben, aldus Arjan.
„Dat gaat om flinke boetes, tot maximaal tien miljoen euro of 2 procent van de omzet. Bestuurders moeten ook een verplichte training volgen om te laten zien dat ze de materie snappen en voldoende in cybersecurity in hun bedrijf hebben geïnvesteerd. Wanneer een bedrijf wordt geraakt en achteraf blijkt dat de bestuurder nalatig is geweest, wordt hij of zij persoonlijk aansprakelijk gesteld.’’
Afhankelijkheid van digitalisering en toegenomen dreigingen
Deze verbetering is noodzakelijk door de grotere afhankelijkheid van digitalisering en de toegenomen dreigingen. Arjan: „Ik ben heel blij dat deze wet er is. Cyberaanvallen kunnen daardoor niet worden voorkomen, maar ik hoop vooral dat de impact kleiner wordt. Ik vergelijk het weleens met een brandverzekering: elk bedrijf heeft er een. Ik vind dat elk bedrijf ook voldoende cybersecuritymaatregelen moet treffen.’’
“Een groot bedrijf kan kleinere bedrijven in de keten vragen hoe zij hun cybersecurity hebben geregeld”
De wet reikt veel verder dan die 8.000 grote bedrijven en organisaties, vervolgt de cybersecurity-expert. „Grotere bedrijven zijn verplicht hun zorgplicht aan partners en leveranciers in de keten voor te leggen. Dat gaat vaak om mkb-bedrijven. Mkb’ers vallen buiten deze plicht, maar een groot bedrijf kan kleinere bedrijven in de keten wel vragen hoe zij hun cybersecurity hebben geregeld.’’
Lees ook: Nieuwe cyberwet treedt in werking: ‘Boetes oplopend tot 10 miljoen euro’ dreigen voor mkb’ers
‘Onderschat de gevaren niet’
„Vrijwel al onze klanten hebben hiermee in meer of mindere mate te maken. Als ze het niet voor elkaar hebben, kan een bedrijf zeggen: ik stop met jou en zoek een bedrijf dat het wél op orde heeft. Ik verwacht dat als er meer incidenten komen, er ook wetgeving komt voor de kleinere bedrijven.’’
Arjan: „Het is een illusie om het als bedrijf allemaal zelf te willen doen. Genoeg partijen zijn erin gespecialiseerd. Wij volgen de markt en zorgen continu voor updates om te voorkomen dat een ondernemer op zijn of haar rug komt te liggen. Laat je niet bang maken, maar onderschat de gevaren niet. Zorg in elk geval dat de basis op orde is. Het is een kostenpost, maar het zorgt ook voor jouw bedrijfscontinuïteit.’’
