De Cyber Security Raad (CSR) constateert dat het Nederlandse bedrijfsleven nog te weinig doet aan digitale veiligheid, terwijl het wél verplicht is.

Het is een taak voor het kabinet om actiever af te dwingen dat bedrijven hun digitale beveiliging goed op orde hebben. Het bedrijfsleven moet er bewuster van worden gemaakt dat het een zorgplicht heeft, die ook omhelst dat software en apparatuur veilig moeten blijven. Dat stelt de Cyber Security Raad (CSR) woensdag in een advies aan de regering. De Cyber Security Raad (CSR) is een onafhankelijk landelijk adviesorgaan van het kabinet waarin vertegenwoordigers van bedrijfsleven, overheid en  wetenschap zitting hebben.

Plicht
Volgens de huidige wet- en regelgeving hebben bedrijven de plicht om te zorgen voor een adequate digitale beveiliging. Mocht zich toch een incident voordoen, dan hebben zij de plicht de gevolgen ervan te beperken en verdere incidenten te voorkomen. In de praktijk blijkt dat bedrijven hier onvoldoende van op de hoogte zijn. Dat kan er bijvoorbeeld toe leiden dat bedrijven hun systemen onvoldoende beveiligen en er producten op de markt worden gebracht die onvoldoende tegen hacken zijn beveiligd.

Advies
De CSR heeft het kabinet geadviseerd zelfregulering ten aanzien van ‘zorgplichten’ te stimuleren, het voortouw te nemen in een discussie hierover, en de wetgeving van Europese lidstaten op elkaar af te stemmen. VNO-NCW heeft het advies gekregen om met haar leden over dit onderwerp in gesprek te gaan en invulling te geven aan de verplichte zorg voor digitale veiligheid.

Ieder bedrijf heeft de verplichting de eigen digitale beveiliging goed op orde te hebben, in afstemming met andere partijen waarmee wordt samengewerkt. Een schending van deze ‘zorgplichten’ kan leiden tot aansprakelijkheid. Als een bedrijf software, mobiele telefoons, of andere producten of diensten met een ICT-toepassing verwerkt, dienen deze adequaat beveiligd te zijn tegen hacken. Dit kan alleen als cybersecurity al in het ontwikkelstadium van deze producten en diensten wordt meegenomen.

Veel bedrijven zijn zich onvoldoende bewust van deze verplichtingen. Daarnaast zijn er bedrijven die hun verantwoordelijkheid bewust negeren en vervolgens aansprakelijkheid trachten te ontlopen via ontsnappingsclausules in contracten. Dit is niet toegestaan onder het consumentenrecht, en ook onder het ondernemingsrecht valt niet alle verantwoordelijkheid uit te sluiten.

Aansprakelijkheid
Het bestuur of de directie van een bedrijf is er verantwoordelijk voor dat het bedrijf inzicht heeft in de cybersecurityrisico’s en daartegen adequate maatregelen neemt. Gebeurt dit niet, dan kunnen zij aansprakelijk zijn voor de schade die consumenten en andere bedrijven lijden. Door nieuwe technologische ontwikkelingen, zoals Internet of Things en eHealth, neemt het risico op digitale én fysieke schade sterk toe. De verwachting van de CSR is dan ook dat schade in de toekomst steeds vaker verhaald zal worden.