De verantwoordelijkheid stopt niet bij de leverancier
In gesprekken over NIS2 schuift het onderwerp verantwoordelijkheid steeds vaker richting keten en uitbesteding.
Wat NIS2 voor mij echt onderscheidend maakt, is de manier waarop naar verantwoordelijkheid wordt gekeken. In gesprekken hoor ik nog regelmatig dat iets is uitbesteed of door een partner wordt beheerd. Onder NIS2 wordt die redenering steeds minder houdbaar.
De keten kijkt mee
Een vergelijking die ik hierbij vaak gebruik, is die van een auto-ongeluk.
Stel dat een auto betrokken raakt bij een ernstig ongeval doordat een remschijf breekt. De bestuurder geeft aan dat het voertuig recent onderhoud heeft gehad. De garage wijst naar de fabrikant van de remschijf. De fabrikant wijst naar een toeleverancier.
In zo’n situatie wordt zelden één partij direct als schuldige aangewezen. Er wordt gekeken naar de hele keten: wie had welke verantwoordelijkheid en waar had een risico herkend of beperkt kunnen worden?
Precies zo kijkt NIS2 naar IT-incidenten.
Risico blijft jouw verantwoordelijkheid
IT staat tegenwoordig zelden nog op één centrale plek. Het is verspreid over locaties, productielijnen, edge-opstellingen en vaak ondergebracht bij externe dienstverleners.
Maar zodra die IT essentieel is voor je bedrijfsprocessen, blijft de verantwoordelijkheid bestaan. Uitbesteden betekent dat werkzaamheden elders plaatsvinden, niet dat het risico verdwijnt.
Waarom fysieke IT-infrastructuur het verschil maakt
Wat ik in de praktijk zie, is dat fysieke IT-infrastructuur hierin een sleutelrol speelt. Wanneer IT-systemen afhankelijk zijn van de kwaliteit van een ruimte, gebouwgebonden installaties of processen waar je zelf weinig zicht op hebt, wordt de keten kwetsbaar.
En wanneer er iets misgaat, komt de vraag al snel terug of dat risico voorzienbaar was.
Minder afhankelijkheid, meer beheersbaarheid
Daarom zie ik steeds vaker dat organisaties bewust kiezen voor gesloten en autonome fysieke IT-oplossingen. Niet om alles zelf te beheren, maar om kritieke IT voorspelbaar te laten functioneren, ongeacht locatie of ketenpartner.
Koeling, energievoorziening, monitoring en toegangscontrole zijn daarbij geïntegreerd in het systeem zelf. Daarmee wordt de afhankelijkheid van externe omstandigheden kleiner en neemt de beheersbaarheid toe.
Het totaalplaatje telt bij NIS2
Net zoals bij een auto niet alleen gekeken wordt naar de bestuurder, maar naar ontwerp, onderdelen en onderhoud, kijkt NIS2 naar het totaalplaatje.
Niet om schuld toe te wijzen, maar om vast te stellen of verantwoordelijkheid serieus en aantoonbaar is genomen, door de hele keten heen.
Ketenverantwoordelijkheid concreet invullen
Voor mij laat dit zien dat fysieke IT-infrastructuur geen technisch detail is. Het is een manier om ketenverantwoordelijkheid concreet en verdedigbaar invulling te geven.
Wil je meer informatie over fysieke IT-infrastructuur?
André Hiddink werkt als Product Manager IT bij Rittal Nederland en houdt zich bezig met de fysieke randvoorwaarden van betrouwbare IT-omgevingen.
