De "Wet gegevensverwerking en meldplicht cybersecurity (Wgmc)" is op 9 november 2018 vervangen door de "Wet beveiliging netwerk- en informatiesystemen (Wbni).

Zie https://wetten.overheid.nl/BWBR0039866/, https://wetten.overheid.nl/BWBR0041515/ en https://www.ncsc.nl/actueel/dossiers/wetgeving-cybersecurity.html.

Kort antwoord: Nee.

Verluchtigend puntje. Ik had ooit mijn machientje gecolocate staan. Bij XS4all. Maar toen al in het server centrum van KPN. In de avond plofte er wat in het kastje. Er zat niks anders op dan een afspraak te boeken met de ambtenaren van het server centrum. En die waren helemaal in de commersieele markt gedoken, alle guru cursussen gedaan, en alles hallo en in de gloria. Maar aan de werktijden bleef niet te tornen natuurlijk. Hele nacht wakker gelegen, en zo vroeg mogelijk eruit. Want op het kastje draaide alles, ook de mail server.

Het ding was al vroeg weer aan de praat. Ik rij opgelucht naar huis (na nog een uurtje moitoren of er echt niks geks meer gebeurde). Ik kom thuis, en open mijn emails. Het werkte. Er stond echter een email van een gebruiker, die helemaal over zijn zeik was of we voortaan niet voor een crash even fatsoenlijk een email daarover konden sturen (en ik had een uptime van 99,99999999999% hè?). Maar desondanks, of misschien daardoor, was hij bloedlink.

Waarom vertel ik dit? De man had, vanuit zijn perspectief gezien gewoon gelijk. Dat is punt 1. Je kunt wel gaan terugmailen dat een gecrashte mailserver dus ook geen emails meer stuurt. Maar daar heeft je trouwe gebruiker niks aan. Die had een dure PC, het werkte altijd, en nu ineens niet.

Punt 2 is veel belangrijker. Als het over datalekken gaat. De ergste zijn de lekken die je zelf niet door hebt. Het heeft alles met punt 1 te maken. Er worden vertrouwelijke gegevens naar je gestuurd. En een excuus van, tjah, het was een zero day, het kèn es gebeuren, we hebben het al opgelost maar god weet wie nu allemaal je prive data of bedrijfsdata heeft, daar kunnen we niks aan doen. Het werkt nu eenmaal zo. We kunnen er zelf ook niet elke milliseconde bovenop zitten.

Daar heeft je gebruiker niks aan. Om welke data het dan ook moge gaan.

Die man had gewoon gelijk. Die moest mijn uitleg niet weten, maar had zich geen zorgen gemaakt als de dooie server dan toch minstens een berichtje had gestuurd. Want hij lag blijkbaar, als trouwe (en gratis ook nog denk ik!) gebruiker, die nacht net zo wakker als ik. Misschien nog wakkerder. En het is altijd nog de gebruiker die je huur betaalt.

Wat lekken betreft, zinvol om niet alleen paranoia te zijn over als het gebeurt. Maar ook een plan te hebben voor als het dan tóch gebeurt. Je kunt er beter in je eentje van wakker liggen, dan alle mensen die in je database staan. Of alle bedrijfsgeheimen. Elk security scenario dient een plan te bevatten over wat te doen als alle security faalt, en dat al weken niet gemerkt is. Vooral dat laatste is het meest pijnlijke. Al die experts die zeggen dat alles onder controle is, maak een plan B voor als ze toch nog wat vergeten waren. Vooral als die zeker weten dat het dit keer echt hun schuld niet was.