Two European rules moved cybersecurity from the IT department to the boardroom — in plain language: what changed, what it means for the people at this table, and what has to be in place. Twee Europese regels verplaatsten cyberbeveiliging van de IT-afdeling naar de bestuurskamer — in gewone taal: wat er veranderde, wat het betekent voor de mensen aan deze tafel, en wat er moet staan.
Until now, a cyber incident was an IT failure with a business consequence. NIS2 changes the subject of the sentence. The management body must approve the cybersecurity risk measures, oversee their implementation, and can be held liable when it does not. In the Netherlands the directive arrives as the Cyberbeveiligingswet; DORA applies directly to banks, insurers, investment firms and their critical ICT providers. Delegating the work is allowed. Delegating the responsibility is not.
Business impact: this is a governance question before it is a technical one. Regulators can impose fines that scale with turnover, can order remedies, and for essential entities can temporarily bar individuals from management roles. “We hired a good CISO” is not a defence if the board never saw, questioned or approved what that person did.
Tot nu toe was een cyberincident een IT-storing met een bedrijfsgevolg. NIS2 verandert het onderwerp van de zin. Het bestuur moet de maatregelen voor cyberrisico's goedkeuren, toezien op de uitvoering, en kan aansprakelijk worden gesteld als het dat niet doet. In Nederland komt de richtlijn als de Cyberbeveiligingswet; DORA geldt rechtstreeks voor banken, verzekeraars, beleggingsondernemingen en hun kritieke ICT-leveranciers. Het werk delegeren mag. De verantwoordelijkheid delegeren niet.
Bedrijfsimpact: dit is een governancevraag voordat het een technische vraag is. Toezichthouders kunnen boetes opleggen die meeschalen met de omzet, herstelmaatregelen afdwingen, en bij essentiële entiteiten personen tijdelijk uit bestuursfuncties weren. “We hebben een goede CISO aangenomen” is geen verweer als het bestuur nooit heeft gezien, bevraagd of goedgekeurd wat die persoon deed.
A significant incident is no longer something you disclose when the dust settles. Under NIS2 the sequence is roughly: an early warning within about 24 hours of becoming aware, a fuller notification within about 72 hours, and a final report within about a month. DORA has its own tight timelines for financial entities. Exact deadlines, thresholds and the regulator you report to depend on which regime you fall under — legal must confirm that in advance, not on the day.
Business impact: twenty-four hours is shorter than it sounds. It has to cover detecting the incident, deciding it is “significant”, getting the facts straight enough to write down, and finding the person authorised to send it — possibly at night, possibly on a weekend. Companies that have not rehearsed this miss the window or report wrongly, and the late or inaccurate notification becomes a second offence on top of the incident.
Een significant incident is niet langer iets dat je meldt als het stof is neergedaald. Onder NIS2 is de volgorde ongeveer: een vroege waarschuwing binnen circa 24 uur nadat je ervan weet, een uitgebreidere melding binnen circa 72 uur, en een eindrapport binnen ongeveer een maand. DORA kent eigen strakke termijnen voor financiële instellingen. De exacte termijnen, drempels en de toezichthouder aan wie je meldt, hangen af van het regime waaronder je valt — dat moet juridische zaken vooraf bevestigen, niet op de dag zelf.
Bedrijfsimpact: vierentwintig uur is korter dan het klinkt. Daarin moet het incident worden ontdekt, worden besloten dat het “significant” is, moeten de feiten voldoende op een rij staan om ze op te schrijven, en moet de persoon worden gevonden die bevoegd is om te melden — mogelijk 's nachts, mogelijk in het weekend. Bedrijven die dit niet hebben geoefend, missen de termijn of melden verkeerd, en de late of onjuiste melding wordt een tweede overtreding bovenop het incident.
Both rules make you responsible for the security of the parties you depend on: the software vendor, the hosting provider, the payroll bureau, the managed-service partner. You are expected to know who they are, to assess their risk, to put obligations in the contract, and — under DORA in particular — to have an exit plan for the ones you cannot afford to lose. When their weakness becomes your incident, “it was the supplier” is an explanation, not an excuse.
Business impact: most organisations cannot produce a complete list of their ICT suppliers today, let alone say which contracts contain security, audit and notification clauses. Building that register is unglamorous procurement and legal work. It is also the first thing a regulator asks for after an incident that started at a third party.
Beide regels maken je verantwoordelijk voor de beveiliging van de partijen waarvan je afhankelijk bent: de softwareleverancier, de hostingpartij, het salarisbureau, de managed-servicepartner. Je wordt geacht te weten wie het zijn, hun risico te beoordelen, verplichtingen in het contract vast te leggen en — vooral onder DORA — een exitplan te hebben voor de partijen die je niet kunt missen. Als hun zwakte jouw incident wordt, is “het lag bij de leverancier” een verklaring, geen excuus.
Bedrijfsimpact: de meeste organisaties kunnen vandaag geen volledige lijst van hun ICT-leveranciers produceren, laat staan zeggen welke contracten clausules over beveiliging, audit en melding bevatten. Dat register opbouwen is onopvallend inkoop- en juridisch werk. Het is ook het eerste waar een toezichthouder om vraagt na een incident dat bij een derde partij begon.
The rules do not accept a policy document as evidence. Members of the management body must follow cybersecurity training so they can judge the risks they are approving. Measures must be tested: does the backup restore, does the failover work, does the incident process hold under pressure. Financial entities face the strongest version — regular resilience testing, and for the larger ones advanced threat-led testing in which specialists attack the live organisation with the board's knowledge.
Business impact: this is where the cost sits, and where the value sits. An untested control is a belief. Testing converts beliefs into either confidence or a to-do list, and both are worth more than the belief. For the board the practical change is small: training on the calendar, and test results — not assurances — on the agenda.
De regels accepteren een beleidsdocument niet als bewijs. Leden van het bestuur moeten cyberbeveiligingstraining volgen, zodat ze de risico's die ze goedkeuren kunnen beoordelen. Maatregelen moeten worden getest: herstelt de back-up, werkt de failover, houdt het incidentproces stand onder druk. Financiële instellingen krijgen de zwaarste variant — periodieke weerbaarheidstesten, en voor de grotere partijen geavanceerde dreigingsgestuurde testen waarbij specialisten de echte organisatie aanvallen, met medeweten van het bestuur.
Bedrijfsimpact: hier zitten de kosten, en hier zit de waarde. Een ongeteste maatregel is een overtuiging. Testen zet overtuigingen om in vertrouwen of in een actielijst, en beide zijn meer waard dan de overtuiging. Voor het bestuur is de praktische verandering klein: training in de kalender, en testresultaten — geen geruststellingen — op de agenda.
| Control | Covers | In one line |
|---|---|---|
| Scope | All four | Confirm with legal which regime applies: essential or important entity under NIS2, financial entity under DORA, or both. Everything else follows from this. |
| Named owner | Accountable (01) | One executive accountable for cybersecurity by name, reporting to the board on a fixed cadence. Not a committee. |
| Risk framework | Accountable (01) | The set of measures, the reasoning behind them, and the board's approval — written down and dated. |
| Reporting drill | The clock (02) | An incident classification, a decision tree for “significant”, pre-drafted notifications, and a rehearsal against the clock at least yearly. |
| Supplier register | Suppliers (03) | Every ICT supplier, its criticality, its contract clauses on security, audit and notification, and an exit plan for the critical ones. |
| Board training | Prove it (04) | Cybersecurity training for the management body, recorded and repeated. Also the fastest way to make the other rows land. |
| Testing programme | Prove it (04) | A schedule of tests — restores, failovers, incident exercises, and for financial entities threat-led testing — with results reported to the board. |
| Evidence | All four | Minutes, approvals, test reports, training records, supplier assessments. If it is not documented, to a regulator it did not happen. |
| Maatregel | Dekt | In één zin |
|---|---|---|
| Reikwijdte | Alle vier | Bevestig met juridische zaken welk regime geldt: essentiële of belangrijke entiteit onder NIS2, financiële instelling onder DORA, of beide. Alles volgt hieruit. |
| Eigenaar bij naam | Aansprakelijk (01) | Eén bestuurder die bij naam verantwoordelijk is voor cyberbeveiliging en op vaste momenten aan het bestuur rapporteert. Geen commissie. |
| Risicokader | Aansprakelijk (01) | De set maatregelen, de onderbouwing en de goedkeuring van het bestuur — opgeschreven en gedateerd. |
| Meldoefening | De klok (02) | Een incidentclassificatie, een beslisboom voor “significant”, voorbereide meldingen, en minstens jaarlijks een oefening op de klok. |
| Leveranciersregister | Leveranciers (03) | Elke ICT-leverancier, de kritikaliteit, de contractclausules over beveiliging, audit en melding, en een exitplan voor de kritieke. |
| Bestuurstraining | Bewijs het (04) | Cyberbeveiligingstraining voor het bestuur, vastgelegd en herhaald. Ook de snelste manier om de andere rijen te laten landen. |
| Testprogramma | Bewijs het (04) | Een kalender van testen — herstel, failover, incidentoefeningen, en voor financiële instellingen dreigingsgestuurde testen — met resultaten aan het bestuur. |
| Bewijs | Alle vier | Notulen, goedkeuringen, testrapporten, trainingsregistraties, leveranciersbeoordelingen. Wat niet is vastgelegd, is voor een toezichthouder niet gebeurd. |
Being in scope is a fact for most mid-sized and large organisations in the covered sectors. The risk is being in scope and not knowing it.Onder de regels vallen is een feit voor de meeste middelgrote en grote organisaties in de betrokken sectoren. Het risico is eronder vallen zonder het te weten.
Fines that scale with turnover, remedial orders, temporary bans on management functions, and a public enforcement decision on top of the incident itself.Boetes die meeschalen met de omzet, herstelmaatregelen, tijdelijke uitsluiting van bestuursfuncties, en een openbaar handhavingsbesluit bovenop het incident zelf.
With scope confirmed, a named owner, an approved framework and rehearsed reporting, what remains is the incident itself — which the other briefings address.Met bevestigde reikwijdte, een eigenaar bij naam, een goedgekeurd kader en geoefend melden blijft het incident zelf over — en daar gaan de andere briefings over.
The law names the management body. Legal confirms scope and deadlines; the CEO owns that it gets done.De wet noemt het bestuur. Juridische zaken bevestigt reikwijdte en termijnen; de CEO is eigenaar van de uitvoering.
Scope decision dated and signed (yes / no) · months since the last board training · days since the last reporting rehearsal · % of critical ICT suppliers with contract clauses and an exit plan.Reikwijdtebesluit gedateerd en ondertekend (ja / nee) · maanden sinds de laatste bestuurstraining · dagen sinds de laatste meldoefening · % kritieke ICT-leveranciers met contractclausules en exitplan.
“Failure to meet NIS2 or DORA obligations leads to fines, remedial orders and personal liability for the management body, and turns any security incident into a compliance breach as well.”“Het niet nakomen van NIS2- of DORA-verplichtingen leidt tot boetes, herstelmaatregelen en persoonlijke aansprakelijkheid van het bestuur, en maakt van elk beveiligingsincident ook een compliance-overtreding.”
| Framework | What it requires of you | When a supplier hands you their report | When this incident happens |
|---|---|---|---|
| NIS2 | Risk management measures approved and overseen by the management body, incident reporting on the roughly 24-hour, 72-hour and one-month schedule, supply chain security, and training for management. | A supplier's own NIS2 status does not discharge your duty. Ask for their measures, their incident notification commitment to you, and who their regulator is. | The incident and the notification are judged separately. A late or missing notification is its own offence, even if the incident was handled well. |
| DORA | An ICT risk framework, incident classification and reporting, resilience testing including threat-led testing for larger firms, and a register of ICT third-party arrangements with mandatory contract clauses and exit strategies. | Critical ICT providers fall under direct oversight. Your register of information must list them and the contract must contain the mandatory clauses. A report does not replace the clauses. | Major ICT incidents go to the financial supervisor on DORA's own timelines. The classification criteria decide what counts, so have them written down before you need them. |
| SOC 2 | Nothing directly — it is an assurance report, not a law. But NIS2 and DORA expect you to assess suppliers, and SOC 2 is the evidence most suppliers offer. | Read the scope, the period, the exceptions and the complementary user entity controls. A clean SOC 2 covers what was tested, not everything you rely on. | An incident at a SOC 2 supplier appears as an exception in their next report — long after your notification deadline passed. Contract clauses, not the report, get you told in time. |
| ISAE 3402 | Nothing directly — same logic as SOC 2, and common in Europe for outsourced financial processes. | Check that the controls tested are the ones your compliance depends on, and that the period covers your reporting year. | A control failure at the service organisation is disclosed to user auditors. Your own regulatory notification duty runs regardless, and much sooner. |
| Kader | Wat het van u vraagt | Als een leverancier u zijn rapport geeft | Als dit incident u treft |
|---|---|---|---|
| NIS2 | Risicobeheersmaatregelen die door het bestuur zijn goedgekeurd en worden bewaakt, incidentmelding volgens het schema van circa 24 uur, 72 uur en een maand, ketenbeveiliging, en training voor het bestuur. | De eigen NIS2-status van een leverancier ontslaat u niet van uw plicht. Vraag naar hun maatregelen, hun meldtoezegging aan u, en wie hun toezichthouder is. | Het incident en de melding worden apart beoordeeld. Een te late of ontbrekende melding is een eigen overtreding, ook als het incident goed is afgehandeld. |
| DORA | Een ICT-risicokader, incidentclassificatie en -melding, weerbaarheidstesten inclusief dreigingsgestuurde testen voor grotere instellingen, en een register van ICT-derdenovereenkomsten met verplichte contractclausules en exitstrategieën. | Kritieke ICT-leveranciers vallen onder direct toezicht. Uw informatieregister moet ze vermelden en het contract moet de verplichte clausules bevatten. Een rapport vervangt de clausules niet. | Ernstige ICT-incidenten gaan naar de financiële toezichthouder volgens de eigen termijnen van DORA. De classificatiecriteria bepalen wat meetelt; leg ze vast voordat u ze nodig hebt. |
| SOC 2 | Niets rechtstreeks — het is een assurancerapport, geen wet. Maar NIS2 en DORA verwachten dat u leveranciers beoordeelt, en SOC 2 is het bewijs dat de meeste leveranciers aanbieden. | Lees de reikwijdte, de periode, de afwijkingen en de aanvullende maatregelen die van u als gebruiker worden verwacht. Een schoon SOC 2-rapport dekt wat is getest, niet alles waarop u vertrouwt. | Een incident bij een SOC 2-leverancier verschijnt als afwijking in hun volgende rapport — lang nadat uw meldtermijn is verstreken. Contractclausules, niet het rapport, zorgen dat u tijdig wordt geïnformeerd. |
| ISAE 3402 | Niets rechtstreeks — dezelfde logica als SOC 2, en in Europa gebruikelijk voor uitbestede financiële processen. | Controleer of de geteste maatregelen de maatregelen zijn waarvan uw compliance afhangt, en of de periode uw rapportagejaar dekt. | Een tekortkoming bij de serviceorganisatie wordt aan de auditors van de klanten gemeld. Uw eigen meldplicht aan de toezichthouder loopt onverminderd door, en veel eerder. |