De weg naar gestroomlijnde cyberincidentrapportage in de EU

Het wordt steeds belangrijker voor bedrijven om effectief en snel cyberincidenten te rapporteren. De Europese Unie (EU) heeft een reeks wetten en richtlijnen geïmplementeerd om de veiligheid van digitale infrastructuur te beschermen, zoals de General Data Protection Regulation (GDPR) en de Network and Information Security Directive (NIS2). De noodzaak voor consistentie in de rapportage is duidelijk, aangezien bedrijven te maken krijgen met verschillende verplichtingen die hen dwingen incidenten bij meerdere instanties en binnen een bepaalde tijd te melden.

FERMA, de Federatie van Europese Risicomanagementverenigingen, heeft daarom opgeroepen tot een vereenvoudiging van de rapportagevereisten binnen de EU. Hun rapport, de "Cyber Reporting Stack," legt uit dat de uiteenlopende en soms tegenstrijdige eisen uit verschillende EU-regelgevingen zorgen voor verwarring en extra administratieve lasten voor bedrijven. Het doel van FERMA is om beleidsmakers te overtuigen dat harmonisatie van de rapportageprocessen niet alleen de administratieve lasten zou verlagen, maar ook de gehele efficiëntie van incidentresponsen kan verbeteren.

De 'Cyber Reporting Stack' en FERMA’s oproep

Het rapport dat door FERMA in samenwerking met WTW is opgesteld, biedt praktische aanbevelingen voor risicomanagers over het omgaan met de verschillende cyberregelgevingen binnen de EU. FERMA pleit voor een gestroomlijnde aanpak die de uiteenlopende vereisten van wetten zoals NIS2, DORA, CRA en GDPR combineert. Deze aanpak zou bedrijven helpen om efficiënter te voldoen aan hun verplichtingen zonder te worden belemmerd door complexe en onnodige administratieve processen. FERMA zegt dat bedrijven hierdoor meer tijd en middelen kunnen besteden aan het effectief beheren van cyberrisico’s, in plaats van vast te lopen in complexe rapportageprocessen.

Lees meer...

Lees ook:
Albert Heijn schakelt systemen uit om erger te voorkomen. Wat leert dit over bedrijfscontinuïteit?

Daarnaast wijst FERMA erop dat de huidige regels geen technische specificaties bevatten voor risicobeheersingsmaatregelen, en dat ze ook geen rekening houden met de verzekeringstechnische aspecten van incidenten. Dit gebrek aan duidelijkheid maakt het moeilijk voor bedrijven om zich goed voor te bereiden en om te bepalen welke maatregelen zij moeten nemen om te voldoen aan de wetgeving.

FERMA geeft aan dat de Europese Commissie niet alleen moet werken aan een vereenvoudiging van de rapportageprocessen, maar ook moet nadenken over hoe deze processen samengevoegd kunnen worden met bestaande bedrijfsprocessen, zodat er een samenhangend en efficiënte aanpak ontstaat voor alle betrokken partijen.

Overzicht van EU-wetgeving en incidentrapportages

De EU heeft verschillende cyberwetgevingen ingevoerd om de veiligheid van digitale infrastructuren te versterken. Zo vereist de Network and Information Security Directive (NIS2) dat bedrijven binnen 24 uur na een incident melding maken bij de bevoegde autoriteiten, gevolgd door een volledige rapportage binnen 72 uur. De Digital Operational Resilience Act (DORA) en de Cyber Resilience Act (CRA) stellen vergelijkbare eisen voor financiële instellingen en ontwikkelaars van digitale producten. Bovendien bevat de GDPR regels voor de melding van datalekken binnen 24 uur. Deze uiteenlopende eisen maken het moeilijk voor bedrijven om efficiënt te rapporteren zonder in de war te raken door verschillende tijdlijnen en procedures.

Bedrijfskosten en verzekeringsimplicaties

De complexiteit van deze rapportagevereisten zorgt ervoor dat bedrijven vaak aan meerdere instanties moeten rapporteren met verschillende deadlines, wat leidt tot verwarring en extra kosten. Bovendien variëren de sancties per wetgeving en land, wat onzekerheid kan veroorzaken over de naleving en de risico’s voor boetes. Het is duidelijk dat een geharmoniseerde aanpak bedrijven zou helpen om de impact van cyberincidenten beter te beheren zonder vast te lopen in een wirwar van rapportageverplichtingen.

Daarnaast stelt FERMA dat de onzekerheid over verzekeringsdekking een belangrijk probleem is. Niet alle boetes die voortvloeien uit non-compliance vallen binnen de dekking van verzekeringspolissen. Dit verschilt per land en afhankelijk van de voorwaarden van de verzekeraar. FERMA roept de Europese Commissie daarom op om verzekeringsimplicaties beter in toekomstige cyberwetgeving te integreren, zodat bedrijven meer duidelijkheid krijgen over wat wel en niet wordt gedekt.