Nieuwe wetgeving verlegt de verantwoordelijkheid naar het bestuur
De Cyberbeveiligingswet implementeert de Europese NIS2-richtlijn in Nederland. De wet geldt voor organisaties die essentiële of belangrijke diensten leveren in achttien sectoren, waaronder energie, drinkwater, gezondheidszorg, digitale infrastructuur en vervoer. Organisaties moeten zelf beoordelen of zij onder de wet vallen.
Wie binnen de reikwijdte valt, krijgt te maken met een registratieplicht, zorgplicht en meldplicht. Significante incidenten moeten binnen de wettelijke termijnen worden gemeld. Daarnaast is het bestuur eindverantwoordelijk voor de beheersing van cyberrisico’s en moeten bestuurders over voldoende kennis beschikken om risico’s en maatregelen te kunnen beoordelen.
De Wet weerbaarheid kritieke entiteiten richt zich aanvullend op ongeveer 500 aangewezen organisaties en verbindt digitale risico’s met fysieke dreigingen, sabotage, natuurrampen en andere verstoringen van essentiële dienstverlening.
In een industriële omgeving wordt een cyberincident direct operationeel
Een cyberincident blijft in een productie- of logistieke omgeving zelden beperkt tot informatievoorziening. Machines, sensoren, warehouse-systemen, onderhoudsplanning, transportbewegingen, leveranciersportalen en cloudtoepassingen zijn onderling verbonden. Uitval kan daardoor gevolgen hebben voor veiligheid, productie, kwaliteit, leverbetrouwbaarheid en klantverplichtingen.
Juist de verbinding tussen IT en operationele technologie maakt de opgave complex. Een verouderde machinebesturing kan bedrijfskritisch zijn, terwijl aanpassing invloed heeft op validatie, veiligheid of beschikbaarheid. Een leverancier kan op afstand toegang nodig hebben voor onderhoud, maar daarmee ook onderdeel worden van het risicoprofiel.
Cyberweerbaarheid vraagt daarom niet alleen om technische beveiliging. De organisatie moet vooraf weten welke processen werkelijk kritisch zijn, welke afhankelijkheden bestaan en wie onder druk bevoegd is om productie, toegang of dienstverlening stil te leggen.
Het risico ligt tussen afdelingen in
IT kent de digitale infrastructuur. Operations begrijpt welke processen niet mogen uitvallen. Engineering kent de beperkingen van machines en installaties. Inkoop beheert leveranciers en externe toegang, terwijl finance, legal en quality de financiële, contractuele en compliancegevolgen beoordelen.
Wanneer iedere discipline uitsluitend haar eigen deel beheert, blijft het integrale risico tussen de functies liggen. De zorgplicht uit de Cyberbeveiligingswet begint daarom met een risicoanalyse, maar de bestuurlijke waarde ontstaat pas wanneer bevindingen worden vertaald naar prioriteiten, investeringen, eigenaarschap en concrete beslissingen.
Een goed beveiligingsplan zonder uitvoerbaar incidentmandaat is onvoldoende. Hetzelfde geldt voor een continuïteitsplan dat geen rekening houdt met digitale afhankelijkheden of leveranciers in de keten.
Niet iedere organisatie heeft dezelfde leider nodig
Afhankelijk van schaal en complexiteit kan het eigenaarschap liggen bij een CIO, CISO, CTO, COO, Operations Director of een programmaverantwoordelijke voor digitale en operationele weerbaarheid. De functietitel is minder belangrijk dan het mandaat en de aansluiting op de werkelijke risicostructuur.
De verantwoordelijke leider moet technologie kunnen begrijpen zonder cybersecurity tot een technisch specialisme te reduceren. Tegelijk moet deze persoon operationele belangen kunnen wegen, het bestuur voorzien van heldere scenario’s en maatregelen uitvoerbaar maken over locaties, systemen en partners heen.
- Digitale en operationele risico’s in één bestuurbaar overzicht verbinden.
- Prioriteiten stellen op basis van continuïteit, veiligheid en bedrijfsimpact.
- IT, OT, engineering, operations en leveranciers rond één aanpak organiseren.
- Meld-, escalatie- en besluitvorming onder tijdsdruk vooraf vastleggen.
- Bestuur en management voorzien van voldoende kennis en toetsbare voortgang.
Ketenweerbaarheid vergroot de leiderschapsopgave
Ook ondernemingen die niet rechtstreeks onder de Cyberbeveiligingswet vallen, kunnen de gevolgen merken. Opdrachtgevers in kritieke sectoren zullen scherper kijken naar leveranciers, toegangsrechten, continuïteitsafspraken en aantoonbare beheersing. Cyberweerbaarheid wordt daarmee steeds vaker onderdeel van contracten, audits en leveranciersselectie.
Voor industriële dienstverleners, technische handel en logistieke partners ontstaat een dubbele opdracht: de eigen organisatie beschermen en tegelijkertijd kunnen aantonen dat de dienstverlening geen onaanvaardbaar risico toevoegt aan de keten van de klant.
Dat vraagt om leiders die commercie en compliance niet tegenover elkaar zetten. Betrouwbare beheersing kan juist een voorwaarde worden om toegang te behouden tot kritieke klanten en langlopende contracten.
Schaars zijn de leiders die technologie en operatie werkelijk verbinden
Er zijn veel professionals met ervaring in informatiebeveiliging en veel leiders met operationele verantwoordelijkheid. Schaarser zijn mensen die beide werelden op bestuurlijk niveau kunnen verbinden en daarbij ervaring hebben met complexe industriële assets, ketenafhankelijkheden en incidentbesluitvorming.
De meest relevante kandidaten zijn bovendien vaak niet actief op zoek. Zij werken al in omgevingen waar continuïteit en risico zwaar wegen en bewegen alleen wanneer het mandaat, de positie van het bestuur en de ruimte om werkelijk te veranderen overtuigend zijn.
Een gerichte search begint daarom niet met een algemene functietitel. Eerst moet duidelijk zijn welke processen kritisch zijn, welke verandering nodig is en waar beslissingsbevoegdheid komt te liggen. Pas daarna kan de relevante kandidatenmarkt zorgvuldig worden afgebakend en persoonlijk worden benaderd.
Vijf vragen voor directie en toezicht
De nieuwe wetgeving geeft aanleiding om niet alleen de technische maatregelen, maar ook het leiderschapsmandaat te toetsen. Directies kunnen beginnen met vijf vragen:
- Valt de organisatie rechtstreeks onder de Cyberbeveiligingswet of de Wet weerbaarheid kritieke entiteiten, en wie bewaakt die beoordeling?
- Welke digitale en fysieke processen zijn bepalend voor veiligheid, productie en dienstverlening?
- Wie heeft integraal mandaat over IT, operationele technologie, leveranciers en continuïteit?
- Kan het bestuur aantoonbaar risico’s, maatregelen en resterende kwetsbaarheid beoordelen?
- Beschikt de organisatie over voldoende senior leiderschap om plannen ook onder operationele druk uit te voeren?
Cyberweerbaarheid begint bij duidelijk eigenaarschap
De Cyberbeveiligingswet maakt expliciet wat in kritieke omgevingen al langer geldt: digitale veiligheid is onderdeel van ondernemingscontinuïteit en daarmee een bestuurlijke verantwoordelijkheid. Technologie is essentieel, maar zonder helder mandaat, samenhang en uitvoeringskracht blijft de organisatie afhankelijk van losse maatregelen.
Get Headhunted Group ondersteunt industriële, technische en logistieke organisaties bij het vinden van vaste leiders en senior specialisten die technologie, operatie, risico en governance kunnen verbinden. Wilt u vertrouwelijk bespreken welk mandaat uw organisatie nodig heeft? Dan brengen wij de relevante markt en passieve professionals gericht voor u in kaart.
Controleerbare bronnen
Wat dit betekent voor een concrete search
Een benoeming wordt sterker wanneer de organisatie vooraf keuzes maakt over mandaat, resultaat, beslissingsruimte en context. Dat geeft richting aan research, maakt de benadering geloofwaardig en helpt kandidaten eerlijk beoordelen.
Get Headhunted Group ondersteunt directies en aandeelhouders bij het vertalen van die bestuurlijke opgave naar een gerichte search. Niet met advertenties of een algemene database, maar door de relevante markt opnieuw in kaart te brengen en passieve professionals persoonlijk te benaderen.