Geopolitieke spanningen, door natiestaten geleide cyberoperaties en de snelle opkomst van AI veranderen het wereldwijde cyberwetgevingslandschap ingrijpend. Dat concludeert NCC Group in de vijfde editie van zijn Global Cyber Policy Radar. Cyberbeleid is geen technisch niche-onderwerp meer, maar een instrument van nationale veiligheid en geopolitieke machtsuitoefening. Voor organisaties betekent dit nieuwe en complexere compliance-eisen.
NCC Group, het moederbedrijf van Fox-IT, presenteert de vijfde editie van zijn Global Cyber Policy Radar. Het rapport signaleert dat cyberwetgeving wereldwijd steeds nadrukkelijker wordt gevormd door geopolitieke belangen, economische strategie en nationale veiligheidsoverwegingen, in plaats van door puur technische of sectorspecifieke drijfveren.
Drie bepalende trends
Volgens NCC Group zijn er drie ontwikkelingen die het mondiale cyberwetgevingslandschap momenteel het sterkst bepalen.
Als eerste noemt het bedrijf digitale soevereiniteit. Overheden eisen steeds meer controle op over data, cloudinfrastructuur, technologische toeleveringsketens en kritieke diensten. Omdat een gezamenlijk internationaal kader ontbreekt, leidt dit tot verdere fragmentatie van het wereldwijde cyberlandschap.
Daarnaast meldt NCC Group dat AI-security vaker wordt afgedwongen via bestaande cyberwetgeving dan via nieuwe, zelfstandige AI-wetgeving. Organisaties worden daardoor strenger beoordeeld op de manier waarop zij AI inzetten en beveiligen.
Ten slotte geeft het bedrijf aan dat cyberverantwoordelijkheid steeds nadrukkelijker bij de boardroom wordt neergelegd. Toezichthouders richten zich direct op senior leiderschap en leggen persoonlijke verantwoordingsplicht op aan bestuurders.
Van verdediging naar offensief
Een tweede centrale conclusie van het rapport betreft de verschuiving in de houding van overheden tegenover cyberoperaties. NCC Group stelt dat zuiver defensief optreden door steeds meer landen als onvoldoende wordt beschouwd. Offensieve cybercapaciteiten worden daarmee een vast onderdeel van nationale veiligheidsstrategieën.
Als voorbeeld noemt het rapport recente Amerikaanse cyberoperaties die in verband worden gebracht met Iran. Deze illustreren, aldus NCC Group, hoe cybercapaciteiten verweven raken met bredere militaire en geopolitieke strategieën. Een groeiend aantal Europese landen, waaronder Nederland, volgt dit voorbeeld.
Deze ontwikkeling brengt risico’s mee voor internationaal opererende organisaties. Bij het ontbreken van afgesproken internationale spelregels vergroot de uitbreiding van offensieve cyberactiviteiten de kans op escalatie en maakt zij compliance complexer. Daarnaast neemt de druk op bedrijven toe om mee te werken aan door overheden geleide cyberinitiatieven.
Wetgevingskaders stapelen zich op
Tegelijkertijd treden Europese wetgevingskaders als NIS2, DORA, de EU Cyber Resilience Act en de AI Act in werking of worden al actief gehandhaafd. NCC Group stelt dat organisaties hierdoor geconfronteerd worden met strengere eisen op het gebied van governance, weerbaarheid en besluitvorming op bestuursniveau.
Katharina Sommer, Director of Government Affairs and Analyst Relations bij NCC Group, benadrukt dat cyberbeleid inmiddels een verlengstuk is geworden van geopolitiek. Nu het vertrouwen tussen staten afneemt, wordt cyberwetgeving volgens haar steeds vaker bepaald door nationale veiligheidsbelangen en de strategische inzet van cybercapaciteiten. Sommer geeft aan dat organisaties die hier vroeg op inspelen, aantoonbaar werken aan weerbaarheid en cybersecurity stevig op bestuursniveau verankeren, het best zijn voorbereid op een verder fragmenterend landschap.
NCC Group adviseert organisaties in het rapport om proactief hun cyber governance te versterken, hun positie ten aanzien van publiek-private samenwerking te verduidelijken en bestuurders voor te bereiden op een omgeving waarin cyberrisico’s, geopolitiek en regelgeving onlosmakelijk met elkaar verbonden zijn.
