Als raadsman van ondernemers met operationele productieprocessen zijn de reguliere juridische vraagstukken vaak gebaseerd op (contractuele) afspraken met derden, zoals afnemers of leveranciers. Tot voor kort was bekendheid met dreiging van schade of aansprakelijkheid vanwege (onvoldoende) cybersecurity en cyber-awareness niet of nauwelijks aanwezig.

Het belang van cybersecurity en cyber-awareness in operationele productieprocessen is de afgelopen tijd sterk toegenomen. Hacks en andere vormen van cyberaanvallen kunnen grote schade veroorzaken, zoals door het overnemen van technologisch aangestuurde processen, met alle juridische consequenties van dien. Dit kan leiden tot financiële gevolgen en verstoringen in bedrijfsactiviteiten, zoals het niet kunnen bevoorraden van supermarkten of vertragingen in de logistiek. Steeds meer wordt duidelijk dat ook verzekeraars aanvullende en verzwaarde eisen stellen aan verzekerden om hun zorgplicht te vervullen waarbij zij ervoor dienen te zorgen dat zij hun organisatie met name goed beveiligd hebben op het gebied van cyber-security.

Die zorgplicht die hierbij van bedrijven wordt verwacht wordt alleen maar groter. Momenteel is al sprake van de Wet beveiliging netwerk- en informatiesystemen (Wbni) waarin de NIS1 richtlijn in is uitgewerkt. In uitbreiding daarop loopt momenteel een implementatietermijn van de NIS2-Richtlijn (Een Netwerk- en Informatiebeveiligingsrichtlijn) die in Europees verband is opgesteld en welke richtlijn in oktober 2024 in Nederland moet zijn omgezet in de Nederlandse Wet.

Met deze richtlijn worden omvangrijke wijzigingen aangebracht op het gebied van regels met betrekking tot cybersecurity voor “vitale onderdelen binnen de Europese samenleving”. Het draait hier (nog) initieel om toepassing van de richtlijn in “kritieke” en “zeer kritieke” sectoren. Tot op heden zijn geïdentificeerd als de zeer kritieke sectoren: energie, vervoer, bankensector, infrastructuur voor de financiële markt, gezondheidszorg, drinkwater, afvalwater, digitale infrastructuur, beheer van ICT diensten (B2B), overheid en ruimtevaart. En tot de volgende zeven kritieke sectoren zijn geïdentificeerd: post- en koeriersdiensten, afvalstoffenbeheer, vervaardiging, productie- en distributie van chemische stoffen, productie, verwerking en distributie van levensmiddelen, vervaardiging, digitale aanbieders, onderzoek.

Hoewel de richtlijn lijkt te worden toegespitst op de voornoemde sectoren is de verwachting dat het ook een effect zal hebben op de leveranciers van de bedrijven die in voornoemde sectoren actief zijn. Immers, de bedrijven die onder de NIS2 richtlijn vallen, zullen in het kader van risicoaansprakelijkheid hun verplichtingen (ook ten aanzien van cyber-security) naar verwachting verleggen naar hun leveranciers. Het is mede daardoor de verwachting dat de uitwerking van de NIS2 richtlijn niet enkel beperkt zal worden tot bedrijven actief in de benoemde sectoren, maar ook een breder bereik zal hebben in de laag daaronder, waaronder bij leveranciers. Dat vraagt, vooruitlopend op oktober 2024, om meer cybersecurity-awareness.

Het valt hierbij op dat computersystemen (IT/ICT) vaak wel voorzien zijn van beveiliging, zoals virusscanners en dual-layer beveiliging, maar de operationele technologieën die binnen een bedrijf worden gebruikt, vaak nog niet of onvoldoende beschermd zijn. Hierdoor kunnen digitale inbraken via hacks plaatsvinden, met alle nadelige gevolgen van dien. Dit wordt vaak pas opgemerkt wanneer het te laat is, bijvoorbeeld bij digitale gijzeling (ransomware).

Wat kunnen wij voor u en uw onderneming betekenen op het gebied van cybersecurity?

Schouten – Advocaten erkent het belang van preventieve maatregelen en biedt in samenwerking met een gespecialiseerd OT Cyber Security bedrijf een inventarisatie aan (OT Assessment). Deze inventarisatie identificeert de zwakke punten in de operationele processen van uw organisatie, waarna advies wordt gegeven hoe deze punten snel en veilig kunnen worden aangepakt.

Na de inventarisatie ontvangt uw organisatie een rapportage met daarin de aandachtspunten en aanbevelingen. Op basis hiervan kan de beveiliging verder worden versterkt, zodat de focus weer volledig op de bedrijfsactiviteiten kan liggen. Het hele traject, van inventarisatie tot rapportage, kan binnen 1 tot 2 werkdagen worden afgerond.

Diverse productie- en logistieke bedrijven hebben al gebruik gemaakt van de OT Cyber Security Inventarisatie om hun onderneming veiliger te maken. Zij lopen hiermee ook al vooruit op de implementatie van de NIS2 richtlijn per oktober 2024.

Als u meer informatie wenst over deze inventarisatie en hoe deze kan worden uitgevoerd voor uw organisatie, kunt u contact opnemen met de heer mr. M.F. Schouten via 030 – 69 250 14 of per e-mail mfschouten@schouten-advocaten.nl