Veel NIS2-discussies blijven hangen op maatregelen, tooling of audits. Voor bestuur, directie, RvC en RvT is echter een eerdere vraag van belang: welke belangen moeten wij beschermen? Pas als dat beeld scherp is, wordt duidelijk waarop zorgplicht, incidentrespons, leveranciersbeheersing en investering zich moeten richten.
Een indeling naar te beschermen belangen geeft daarvoor een bruikbaar bestuurlijk vertrekpunt. Niet iedere organisatie heeft exact dezelfde prioriteiten. Een zorginstelling zal bijvoorbeeld sterker sturen op patiëntveiligheid, personeels- en gegevensbeschermingsbelangen, terwijl een productiebedrijf nadrukkelijker moet kijken naar operationele continuïteit, productgerelateerde belangen en supply-chain-afhankelijkheden.
“Begin bij de dienstverlening die door moet gaan en de schade die je wilt voorkomen. Daarna kun je bepalen welke informatie, systemen, leveranciers en mensen bescherming nodig hebben.”
Wouter Parent
Welke belangen in de praktijk relevant kunnen zijn
In de praktijk kan onderscheid worden gemaakt tussen onder meer financiële, juridische, operationele, veiligheids-, reputatie-, personeels-, strategische, klant-, innovatie-, omgevings-, leveranciers- en gegevensbeschermingsbelangen. Die indeling helpt om cyberrisico’s niet te verengen tot ICT-uitval alleen.
Waarom dit helpt in de bestuurskamer
Te beschermen belangen vertalen cyberbeveiliging naar bestuurlijke taal. In plaats van te spreken over uitsluitend technische kwetsbaarheden, ontstaat dan een gesprek over continuïteit van zorg, integriteit van financiële gegevens, vertrouwelijkheid van juridische stukken, betrouwbaarheid van productie, reputatierisico en naleving van wet- en regelgeving.
Voorbeeld: dezelfde maatregel, andere bestuurlijke betekenis
Een back-upmaatregel kan in een accountantskantoor vooral zien op financiële en juridische belangen. In een ziekenhuis kan diezelfde maatregel direct raken aan patiëntveiligheid en beschikbaarheid van medische informatie. De control lijkt hetzelfde, maar het bestuurlijk gewicht verschilt sterk.
Zo gebruik je deze indeling praktisch
- breng per kernproces in kaart welke belangen worden geraakt bij verstoring;
- koppel die belangen aan concrete data, systemen, locaties en leveranciers;
- bepaal per belang welke rapportages bestuur en toezicht periodiek willen zien;
- verbind restrisico’s aan formele besluitvorming en vastlegging.
Te beschermen belangen als basis voor prioriteiten
Te beschermen belangen zijn geen theoretische exercitie. Zij helpen juist om keuzes te maken: waar is extra assurance nodig, waar is redundantie vereist, waar volstaat monitoring en waar is een fallback of exit-scenario bestuurlijk onmisbaar?
Veelgestelde vragen over governance
Moeten wij alle belangencategorieën formeel uitwerken?
Nee. Het gaat om een werkbare selectie die aansluit op de sector, maatschappelijke taak, continuïteit en gegevenshuishouding.
Is dit vooral nuttig voor grote organisaties?
Nee. Ook middelgrote organisaties hebben baat bij een helder beeld van welke belangen prioriteit hebben. Juist dat maakt proportionaliteit mogelijk.
Hoort reputatie ook echt in een NIS2-discussie thuis?
Ja. Reputatieschade is een reëel gevolg van incidenten en daarom een logisch onderdeel van bestuurlijke weging, ook wanneer een ander belang het primaire wettelijke criterium vormt.
Prioritering
Maak bestuurlijke prioriteiten expliciet
Wil je bepalen welke te beschermen belangen in je organisatie het zwaarst wegen? Gebruik de NIS2 quickscan als vertrekpunt of neem contact op voor een gerichte bestuurlijke sessie.