Sinds 15 augustus 2026 geldt in Nederland de Cyberbeveiligingswet (Cbw), de Nederlandse uitwerking van de Europese NIS2 richtlijn. De wet legt de verantwoordelijkheid voor cyberrisico's bij het bestuur. Dat roept een praktische vraag op: houden toegangsbeheer en MFA ook stand als iemand de servicedesk belt?
Wat is de Cyberbeveiligingswet?
De Cbw geldt voor organisaties die essentiële of belangrijke diensten leveren, in 18 sectoren. Denk aan energie, drinkwater, digitale infrastructuur, zorg, overheid en vervoer. Volgens Security Management gaat het om ruim 8000 organisaties. Organisaties moeten zelf beoordelen of zij eronder vallen.
De wet kent drie plichten:
- Zorgplicht. Maatregelen nemen om de risico's voor de beveiliging van netwerk en informatiesystemen te beheersen.
- Meldplicht. Significante incidenten binnen de wettelijke termijnen melden.
- Registratieplicht. Registreren bij het NCSC.
Wat vraagt de wet van het bestuur?
Het bestuur is eindverantwoordelijk voor cyberrisicobeheersing. Bestuurders moeten voldoende kennis hebben om risico's en beveiligingsmaatregelen te beoordelen, en daarvoor een passende training volgen. Cyberveiligheid is daarmee niet alleen een onderwerp voor IT, maar ook voor de bestuurskamer.
Toegangsbeheer en MFA in NIS2
NIS2 artikel 21 noemt de maatregelen die organisaties moeten nemen. Daaronder vallen beleid voor toegangsbeheer (lid 2 onder i) en het gebruik van multifactorauthenticatie (lid 2 onder j).
Een specifieke methode om bellers aan de servicedesk te verifiëren noemt de richtlijn niet.
Waar de servicedesk in beeld komt
Toegangsbeheer en MFA beschermen de aanmelding. Maar ze moeten ook kunnen worden hersteld, bijvoorbeeld na een vergeten wachtwoord of bij een nieuwe telefoon. Dat herstel kan via de servicedesk lopen. Wie de servicedesk een reset laat uitvoeren, gaat om die maatregelen heen.
Dat dit in de praktijk gebeurt, beschrijven CISA en FBI in hun advies over Scattered Spider. Daarmee is de reset via de servicedesk een logische plek om te toetsen of uw maatregelen voor toegangsbeheer en MFA in de praktijk standhouden.
Wat kunt u doen?
- Test of uw servicedesk standhoudt. Een account takeover assessment laat zien of uw servicedesk een account vrijgeeft aan iemand die belt. Altijd binnen getekende autorisatie.
- Kijk waar het proces ruimte laat. Een procesanalyse laat zien waar beleid en praktijk uit elkaar lopen.
- Kies technische verificatie. Technische maatregelen vervangen het oordeel van één medewerker door een control die de beller zelf moet doorstaan.
- Neem het bestuur mee. Het rapport en de eindpresentatie geven het bestuur een concreet beeld van het risico.
