Volgens de raad blijkt in de praktijk dat bedrijven niet genoeg beseffen dat zij verplicht zijn te zorgen voor digitale beveiliging en dat ze bij incidenten erger moeten voorkomen. Dat kan ertoe leiden dat systemen niet genoeg beveiligd zijn, maar ook dat er producten op de markt komen die kwetsbaar zijn voor hacks, cyberaanvallen en lekken.

De raad adviseert werkgeversorganisatie VNO-NCW om het er met de leden over te hebben en invulling te geven aan die verplichte zorg voor digitale veiligheid. Het nieuwe kabinet moet het voortouw nemen in de discussie, maar ook de wetten van Europese lidstaten op elkaar afstemmen.

Handreiking

Om te helpen heeft de CSR op zijn site een ‘handreiking’ gezet met een overzicht van de belangrijkste juridische zorgplichten voor bedrijven als het gaat om cybersecurity. Aan die adviezen hebben veel partijen gewerkt, zoals de Radboud Universiteit, het Openbaar Ministerie en de Consumentenbond.

Handreiking Ieder bedrijf heeft digitale zorgplichten. Handreiking voor bedrijven op gebied van cybersecurity

Wat staat er in de handreiking?

Een gebrek in uw cybersecurity – digitale veiligheid – kan ertoe leiden dat bedrijfsgeheimen en persoonsgegevens door een hack of menselijke fout op straat komen te liggen. Grote storingen kunnen zelfs tot gevolg hebben dat de business continuity van uw bedrijf in gevaar komt.

Het bestuur van uw bedrijf is verantwoordelijk voor cybersecurity. Bij kleinere bedrijven ligt de verantwoordelijkheid bij de directeur.

‘Cybersecurity’ heeft drie aspecten:

‘Beschikbaarheid’: uw ICT is beschikbaar en gebruikers hebben toegang tot het systeem.
‘Integriteit’: de door u verwerkte gegevens zijn volledig en juist. De processen waarmee gegevens worden verwerkt, zijn juist en controleerbaar.
‘Vertrouwelijkheid’: alleen geautoriseerde gebruikers hebben toegang tot uw ICT en de gegevens.

Beveiligingsincidenten

Cybersecurity kan in gevaar komen door ‘beveiligingsincidenten’.

Beveiligingsincidenten zijn bijvoorbeeld:

Een werknemer verliest een laptop of usb-stick.
Een hacker dringt het intranet van het bedrijf binnen.
Malware zorgt ervoor dat uw ICT niet goed werkt.
Een onbevoegd persoon verkrijgt een wachtwoord waarmee hij toegang heeft tot

Persoonsgegevens

De verwerking van persoonsgegevens leidt tot zorgplichten op het gebied van cybersecurity. Persoonsgegevens zijn gegevens die betrekking hebben op een persoon, de ‘betrokkene’. Voldoende is dat de betrokkene identificeerbaar is aan de hand van de gegevens in uw bedrijf.

Gegevensbescherming

Indien uw bedrijf persoonsgegevens verwerkt, heeft het zorgplichten op grond van de Wet Bescherming Persoonsgegevens (‘WBP’). De Algemene Verordening Gegevensbescherming (‘AVG’) breidt deze plichten verder uit. Zij is van toepassing vanaf 25 mei 2018. Op dat moment vervalt de WBP. De regels verplichten uw bedrijf in het bijzonder om passende technische en organisatorische beveiligingsmaatregelen te nemen, waaronder begrepen een adequate cybersecurity.

Aanwijzingen invulling zorgplichten

De Autoriteit Persoonsgegevens heeft verschillende beleidsregels gepubliceerd waarin de zorgplichten worden uitgewerkt.

De bijzondere zorgplichten op het gebied van de bescherming van persoonsgegevens worden in deze handreiking niet uitgewerkt. Hieronder volgt een aantal belangrijke aanwijzingen.

Uw bedrijf houdt rekening met cybersecurity voordat er wordt begonnen met de verwerking van de persoonsgegevens (‘privacy-by-design’, waaronder begrepen ‘security-by-design’).
Uw bedrijf voert een risicoanalyse uit voordat er wordt begonnen met de verwerking van de persoonsgegevens. Als er grote risico’s voor de betrokkenen bestaan, voert uw bedrijf een ‘privacy impact assessment’ uit.
Uw bedrijf verzamelt en bewaart alleen noodzakelijke gegevens (‘dataminimalisatie’).
Uw bedrijf beperkt de verspreiding van en de toegang tot de persoonsgegevens tot een minimum.
Uw bedrijf meldt inbreuken in verband met persoonsgegevens (‘datalekken’) binnen 72 uur aan de Autoriteit Persoonsgegevens. Als er een hoog risico bestaat dat de inbreuk in verband met persoonsgegevens ongunstige gevolgen heeft voor de betrokkenen, meldt uw bedrijf de inbreuk ook aan de betrokkenen.

De rol van werknemers

Een hoog niveau van cybersecurity kan slechts worden bereikt als het belang ervan is doorgedrongen tot de hele organisatie. De werkgever neemt daartoe organisatorische maatregelen.

Uw bedrijf stelt beleidsregels of protocollen op het gebied van cybersecurity op. U verspreidt deze beleidsregels onder de werknemers en werkt ze, indien nodig, bij. U houdt toezicht op de naleving van deze regels.
Uw bedrijf informeert en traint de werknemers die te maken hebben met ICT. De mate en wijze van de training zijn afgestemd op de functie en verantwoordelijkheden van de werknemer.
Binnen uw bedrijf is het duidelijk wie er verantwoordelijk is voor de beveiliging en wie contactpersoon is voor vragen en meldingen omtrent de beveiliging.
De werknemers weten bij wie zij beveiligingsincidenten kunnen en moeten melden. Zij worden gestimuleerd om dit consequent te doen, onder andere door het creëren van een cultuur van alertheid, door cybersecurity bespreekbaar te maken en door werknemers te ‘belonen’ voor het melden van beveiligingsincidenten (die zij niet zelf moedwillig hebben veroorzaakt). Er bestaat een procedure voor het melden van incidenten.
De informatie over deze beveiligingsincidenten en de manier waarop en tijdspanne waarin zij zijn opgelost, wordt doorgegeven aan het management.