AH moest hack melden vanwege nieuwe cyberwet: ‘Verantwoordelijkheid reikt verder’

De hack bij Albert Heijn is een van de eerste grote incidenten sinds de inwerkingtreding van een nieuwe wet over cyberbeveiliging. Die is in augustus ingegaan en geldt voor duizenden belangrijke organisaties. Zij moeten impactvolle cyberaanvallen verplicht melden en bestuurders kunnen persoonlijk aansprakelijk worden gehouden als bedrijven hun cyberbeveiliging niet op orde hebben. De wet geldt voor overheidsorganisaties en bedrijven die belangrijk zijn voor Nederland. Onder meer de zorg, het drinkwater en banken vallen eronder. Maar ook de levensmiddelensector, met bijvoorbeeld de supermarkten. "Het gaat om sectoren die essentieel zijn om in Nederland altijd te blijven draaien", zegt Bart Scholten van advies- en keuringsbedrijf Kiwa. "Zij moeten zich verplicht registreren bij het Nationaal Cyber Security Centrum NCSC." Groot incident verplicht melden De Cyberbeveiligingswet zorgt ervoor dat voor allerlei sectoren dezelfde regels gelden, zegt Joke Bodewits van advocatenkantoor Hogan Lovells Cadwalader. "Als het goed is, waren bedrijven zich al bewust van cyberrisico's en de maatregelen die ze moesten nemen. Deze wet brengt nieuwe verplichtingen met zich mee." Zo zijn bedrijven verplicht om (vermoedens van) een cyberincident met grote impact binnen 24 uur te melden. Het gaat bijvoorbeeld om situaties met grote financiële schade. Of om incidenten die de dienstverlening ernstig verstoren,…