Cybersecurity: meer dan een IT-probleem

Cybersecurity wordt nog vaak gezien als een technisch verhaal van firewalls en antivirussoftware. Maar dat beeld klopt al lang niet meer. Vandaag is cyberveiligheid een strategische bestuursverantwoordelijkheid, waarin processen, mensen en regelgeving minstens even belangrijk zijn als technologie.

^“Cybersecurity wordt nog vaak herleid tot IT,” zegt Karine Goris, Chief Security Officer bij Belfius. “Maar het is veel meer geworden dan dat. Het is vandaag ook een juridisch en compliance-gedreven domein.” Volgens haar is de focus de voorbije twintig jaar grondig verschoven. “Het kwam oorspronkelijk uit de ‘nerdwereld’, maar intussen zijn naast technologie ook mensen en processen cruciaal.”

Mensen als grootste risico

Cyberaanvallen richten zich steeds minder op systemen en steeds meer op mensen. “We zien een duidelijke verschuiving naar sociale engineering. De mens wordt vaker de zwakke schakel,” aldus Goris. Dat maakt interne procedures essentieel. “Als iemand via mail vraagt om een loon op een andere rekening te storten, moet HR de reflex hebben om dat te controleren. Cybersecurity gaat dus ook over bedrijfsprocessen en waakzaamheid.”

De groeiende dreiging vertaalt zich ook in meer regelgeving. “Europa heeft de voorbije jaren het voortouw genomen om digitale weerbaarheid te versterken,” zegt Jan De Blauwe, COO bij NVISO en voorzitter van de Belgische Cybersecurity Coalition. “Regelgeving zoals NIS2 en DORA focust niet enkel op techniek, maar ook op governance en verantwoordelijkheid op bestuursniveau.”

Voor de financiële sector is DORA een belangrijk kader. “Voor ons komt dat niet plots uit de lucht vallen,” zegt Goris. “We investeren al jaren in cybersecurity. DORA formaliseert vooral wat we al deden.” Met NIS2 wordt die logica uitgebreid naar veel meer sectoren. “Dat is positief,” vindt Goris. “Het verhoogt de basismaturiteit van Belgische bedrijven en maakt hen weerbaarder.”

Waar bedrijven mee worstelen

Veel organisaties weten echter niet goed waar te beginnen. “Bedrijven komen vooral met twee vragen,” zegt Pieter Batsleer, solution lead bij NVISO. “Welke regelgeving geldt voor mij? En hoe voldoe ik daar pragmatisch aan?”

Vooral die eerste vraag blijkt complex. “NIS2 maakt onderscheid tussen ‘essential’ en ‘important’ entiteiten. Een grote uitdaging zit ook in het capteren van welke andere regelgevingen van toepassing zijn. Zo is er ook bijvoorbeeld de CRA (Cyber Resilience Act) die van toepassing is op heel wat (om niet te zeggen bijna alle) producten met een digitale component die op de Europese markt geplaatst worden. Met verplichtingen voor producenten, importeurs en distributeurs van al die producten.” Daarnaast is er de praktische kant. “Compliance vraagt extra formalisatie en aantoonbaarheid,” zegt Batsleer. “Maar veel regels laten toe om risicogebaseerd te werken. Met een goed onderbouwde en geformaliseerde aanpak kom je al ver.”

De uitdaging voor kmo’s

Voor kmo’s lijkt die nieuwe realiteit vaak zwaar. “Ik begrijp dat dit intimiderend kan klinken,” zegt Goris. “Maar cybercriminelen viseren vandaag alle sectoren, ook kleine bedrijven.” Volgens De Blauwe ontstaat bovendien een kettingreactie: “Zo ontstaat er een hele dynamiek waarbij bedrijven aan hun leveranciers dezelfde risico-beperkende vereisten opleggen als diegene die op hen van toepassing zijn. Zelfs wie juridisch niet onder NIS2 valt, krijgt vragen over cybersecurity.” 

Het risico bestaat dat bedrijven dit als een administratieve last zien. “Een checkbox-oefening helpt niemand,” waarschuwt hij. “Elke minuut op papier is een minuut minder voor echte beveiliging.” Externe begeleiding kan dan een oplossing zijn. “Er zijn steeds meer gespecialiseerde partijen die kmo’s helpen om een haalbaar basisniveau te bereiken,” zegt Goris.

Alle experts benadrukken dat cyberveiligheid meer is dan voldoen aan regels. “Cybersecurity is geen vinklijstje, maar een continu proces,” aldus Goris. “Het moet deel worden van de bedrijfscultuur.”  Die mentaliteitsverandering bereikt ook de bestuurskamer. “Onder NIS2 worden bestuurders expliciet mee aansprakelijk,” zegt Batsleer. “Dat klinkt streng, maar werkt vooral als hefboom. Plots wordt cyber een strategisch thema.” Bovendien levert investeren in security ook zakelijke voordelen op. “Een goed beleid verbetert databeheer, leveranciersbeheer en digitale hygiëne,” zegt De Blauwe. “Het creëert vertrouwen en maakt innovatie makkelijker.”

Dreiging blijft toenemen

Ondanks alle inspanningen groeit de cyberdreiging. “Het aantal phishingmails blijft stijgen en ze worden steeds professioneler,” merkt Goris op. “Met AI worden aanvallen bovendien moeilijker te herkennen.” Toch is fatalisme geen optie. Cybersecurity wordt alleen maar belangrijker.
“Net zoals je financiële of operationele risico’s beheert, moet je ook cyberrisico’s structureel meenemen,” besluit Goris. “Met expertise en een langetermijnvisie kunnen organisaties echt weerbaarder worden,” vult De Blauwe aan. De boodschap is duidelijk: cybersecurity is geen IT-project, maar een essentieel onderdeel van modern ondernemerschap, vandaag én morgen. •