Welkom bij de BIO Bazen. Speciale afleveringen van de qeep talking podcast die helemaal gewijd zijn aan de baseline informatiebeveiliging overheid.
Kees:En dat kan Renco helemaal niet alleen. Er zijn namelijk 2 BIO Bazen die organisaties verder willen helpen. Door normen en standaarden langs de praktijk te leggen. Mijn naam is Kees Hintzbergen. Ik werk al ruim 13 jaar aan security baselines voor overheidsorganisaties.
Kees:Dat maakt mij een BIO Baas, vind ik.
Renco:Ja, ik ben dus Renco Schoemaker, ongeveer even lang actief als zelfstandig adviseur informatiebeveiliging en privacy, vooral bij de overheid. Ik schreef er misschien wel niet aan mee, aar ik heb wel heel wat uren gestoken in de implementatie. Dat maakt ook mij een BIO Baas.
Kees:Een mooie mix tussen inhoudelijke kennis en doorleefde werkervaring. En er wordt ook gelachen.
Renco:Veel plezier met deze nieuwe aflevering van de BIO Bazen.
Kees:Iemand moet het uitleggen toch?
Renco:Kees, goedemorgen Kees.
Kees:Hey, goedemorgen Renco, Renco hoe is het ermee?
Renco:Ja, ja goed goed. Het bevalt mij goed dat we dit op vrijdag doen, weet je wel? Dan ben je toch al wat meer in de... Ik ben in ieder geval op vrijdag in de thuiswerk modus, dus dan hoef ik niet zo te stressen tussen allerlei andere afspraken door. Dus ja, dat best oké.
Renco:En jij?
Kees:Nee, ik vind vrijdagochtend is ook oké. Dit dinsdag en woensdag en donderdag zijn toch drukke dagen eigenlijk voor mij. En dan
Renco:Ja.
Kees:Dan op vrijdag ben je een beetje aan het afwerken en dan komt er wat voorbij. En dan is ook dit gewoon echt helemaal perfect. Het is gewoon een leuke dag. Het is rustig en ik heb me weer een paar keer zitten verwonderen deze week. Ik ik vind verwonderen ook sinds een paar weken echt een leuk woord.
Kees:Ik ik probeer ook echt gewoon naar de wereld te kijken. Ik heb me weer verwonderd en daar gaan we het vandaag niet per se over hebben, maar er gebeuren echt zoveel bijzondere dingen. Als je, als je er maar over hebt.
Renco:Nou, er dus, wat, wat er ook gebeurde is. Ik, ik fiets altijd op vrijdagochtend. Dat doe ik al wel 10 jaar. Dus als ik met jou ga podcasten dan heb ik al in voor dag en dauw soms met weerzin, soms met veel genoegen op de fiets gezeten. Dat doe ik altijd met een vriend samen, maar zo af en toe zit ik ook alleen maak ik ritjes en En dan met zo meteen, was heel grappig, met zo'n strak broekje
Kees:en dan een echte racefiets of wat wat voor wat is het?
Renco:Het is ja, het is de racefiets. Ik heb daar ook fietskleding bij aan. Ik, ik, ik denk niet dat ik helemaal in dat, hoe heet die afkorting ook alweer hè? Van dikke mannen in Likra of zo.
Kees:Die wilt gaat niet meer uit mijn hoofd vandaag. Dit is, dit.
Renco:Maar oké, nou ik, ik denk dat nog wel meevalt. Ik ben namelijk, ik geef niet zo heel veel om fietskleding tot de grote ergernis van mijn vrouw. Want ik stap dus soms op de fiets en zeker als ik des avonds fiets. Dan heb ik dus mijn sokken van mijn werkkleding nog aan. Die zitten dan, dat zijn dus donkerblauwe sokken bijvoorbeeld hè.
Renco:En die komen dan boven mijn fietsschoenen uit. En dan heb ik een kort broekje aan en dan een... Soms zijn mijn fietsshirtjes allemaal in de was. Dan doe ik dus een hardloopshirtje als fietsshirtje aan. Nou, het ziet er.
Renco:Soms heb ik, geneer ik me gewoon. Dus ik denk niet dat ik helemaal in jouw beeld pas van dat Likra, maar goed. Maar wat ik wel wat wou vertellen is ik zat op de fiets en ik de gedachte bekroop mij iets te zelfgenoegzaam, hè? De gedachte bekroop mij ik word eigenlijk nooit ingehaald op de fiets. Je raadt het hè?
Renco:Ik dat komt echt bijna nooit voor. Dus ik ik ja, daar ga ik ook prat op eigenlijk hè? Ik mag altijd wel graag houden van hard fietsen. En ik heb die gedachte nog geen 30 seconden gehad en er komt mij een man voorbij keihard. Ik dacht ja.
Renco:Ik die gedachte werd gewoon genadeloos afgestraft en ik dacht natuurlijk ja, dat kan natuurlijk niet gebeuren. Dus het grappige was, ik was zo verbouwereerd, die man die haalt me in en met dat hij me inhaalt zeg ik potverdikke, waar haal je me nou in? En die man die schiet in de lach, want die heeft waarschijnlijk die reactie niet zo heel vaak gehad van een mede fietser. Nou ja, ik heb nog een eind in zijn wiel gefietst. Ik heb met snot voor de ogen weg gefietst en op een gegeven moment sloeg die af.
Renco:Daar was ik ook heel blij mee, want ik dacht of ik... Of hij slaat nu af. Of ik moet toegeven dat ik dit niet langer volhoud. En dan is het voor je ego heel fijn dat die andere vissen afslaat. Ja.
Renco:Dus de les voor mij was niet te zelfgenoegzaam worden, want dan dan word je aangepakt.
Kees:Ja. Ja. Dat is dat
Renco:wel kwijt. En ik ben nog wat anders kwijt. Kees, als ik jou in de podcast heb. Nou, mensen kunnen dit ook natuurlijk zelf zien, omdat wij videopodcasten. In deze podcast kijk je veel vriendelijker dan op jouw LinkedIn foto.
Renco:Daar kijk je best wel boos. Een beetje nors.
Kees:Maar ik kijk altijd boos. Zo ben
Renco:ik geboren. Maar niet hier in de podcast.
Kees:Nee, maar daar kan ik nog wel wat leuks over zeggen. Dat weet natuurlijk ook helemaal niemand die naar ons kijkt. Maar bij de IBD 1 van de kinderen van iemand die bij de IBD werkt die heeft een naam voor Jule en voor mij. En de ene is de lachende snoch. En de andere is de of zoiets.
Kees:Maar in ieder geval en ik ben de lachende snoch. Dus ik maar ik lach ook inderdaad vrij vaak, maar als ik gewoon kijk zonder dat ik een uitdrukking heb, dan kijk ik niet altijd vriendelijk zeg maar.
Renco:Ja, dus standaard uitdrukking, gezichtsuitdrukking is een beetje nors wou je zeggen.
Kees:Ja, zoiets. Ja, Ja, dit lijkt inderdaad wel meer.
Renco:Ik zit even op mijn andere. Ik leg hem
Kees:er even naast. Ja, daar heb je
Renco:ook geen bril op. Dus ik weet niet of deze foto oud is of dat je gewoon ook wens hebt.
Kees:Ik heb alleen maar een leesbril. Ik wil jou graag een beetje scherp zien, maar op zich kan ik dit ook gewoon zonder broek. Ja. Maar het blijft van die tijd. Ik ben niet zo ijdel dat ik dan die bril niet wil opzetten of zo.
Kees:Het is wat het is.
Renco:Nou voordat we de inhoud ingaan dan Kees, nou 1 ding moet ik ook kwijt. Ik erger mij eraan dat ik in mijn bril de reflectie zie van mijn beeldscherm. Soms heb ik ook een extra verlichting aan en dan zie je dat natuurlijk direct gereflecteerd in je bril. Dat heb jij ook. Ja.
Renco:Is dat erg? Nee, klein leed, maar toch denk ik, ik irriteer me daar soms aan. Vooral als je een je scherm deelt of zo en je hebt een groot veel wit op in je browser, dan zie je dat echt nou ja, ik zie ik zie het bijvoorbeeld nu ook, hè?
Kees:En toch...
Renco:Weet je
Kees:wat ik gedaan heb? Nou?
Renco:Ik ben naar de opticien gegaan. Met een beetje gêne heb ik dit verhaal daar moeten vertellen. Ik heb dus gezegd, ik ben een man van 41, hè. Ik heb gezegd ja, ik film mezelf af en toe. En ik vind die reflectie in mijn bril vervelend.
Renco:Ik wil graag, kan je daar iets aan doen? Kan ik daar iets aan doen? En toen zei die ja, daar kan je ontspiegelde glazen nemen. Toen zei ik nou, is dat dan wil ik wel weten hoe duur dat is. Waarschijnlijk sla ik stijl achterover, achterover, maar ik dacht ik wil het toch weten.
Renco:Toen pakte hij mijn bril en toen zei hij je hebt al. Onspiegelde glazen. Toen zei ik nou, dan heb ik dus hele slechte ontspiegelde glazen, want ze ontspiegelen helemaal niet. Ik weet niet hoe los jij dit op? Of heb je ook weer neergelegd?
Kees:Het is zo tegenwoordig willen ze je ook allemaal een blauw filter verkopen. Alles alles voor de filtertjes. En op het moment dat je een blauw filter in je glas krijgt, wordt de ontspiegeling opgeheven. Dus dan verkopen ze je weerspiegeling en een blauw filter, maar door het blauw filter gaat je glas weer meer spiegelen. Echt.
Kees:Ja, kom
Renco:je van de regende drukker.
Kees:Ja en zo word je dus gewoon ja, dat.
Renco:Maar maar zie jij jezelf, Kees, zie jij jezelf naar de opticien gaan? Jij bent nog een stukje ouder dan ik ben. Dan zeg je tegen die opticien ja, ik film mijzelf. Ik heb een videopodcast en en ik irriteer mij in de de browser die ik in mijn bril gereflecteerd zie. Kan je er wat aan doen?
Renco:Zou je je daar ongemakkelijk bij voelen bij zo'n grap?
Kees:Ik heb het gezegd bij de opticien. Ik zeg ik stoor mij aan het feit dat ik bij met toen ik deze bril kocht dit jaar.
Renco:Toen zei
Kees:ik van ik stoor mij aan het feit dat ik zie dat ik zelf kan zien wat op mijn beeldscherm staat. En nou kun je natuurlijk niet inhoudelijk lezen, maar je kunt wel zien of ik een ander scherm open. Dat vind ik gewoon niet fijn. Ik wil gewoon tijdens een vergadering een ander scherm kunnen openen, omdat ik even iets wil checken.
Renco:Zegt die nou zegt die dan ja
Kees:dan het was een ze trouwens. Dan zegt ze nou dan doen we geen blauw filter, want dat zorgt ervoor dat de weerspiegeling deels wordt opgeheven. Ja, voor de rest ja, ontspiegelen is is is ook niet optimaal, maar het gaat minder speech voor. Maar het is beter niks.
Renco:Oké nou en
Kees:als ik nu ik
Renco:dacht dat ik mij moest je neer voor deze vraag, maar dat valt dus wel mee.
Kees:Ik zie in mijn brilglas zie ik gewoon ons alle 2 zeg maar zitten nu als ik nu kijk. Ik zie gewoon 2 2 de de 2 blokjes van het scherm. Maar ja, beetje.
Renco:Maar met het risico dat mensen natuurlijk echt denken dat wij alleen maar ouwehoeren op vrijdag. Moeten we het ook nog eens even ergens over gaan hebben?
Kees:Ja, maar we zijn, we het is nu dat kunnen we wel even zeggen, het is nu 8 over 10. En we zijn al begonnen om 5 over half 10 met een praatje kapot. Dus we zijn al even onderweg. Nu gaan het echt ergens over hebben.
Renco:Ja, we moeten natuurlijk ook eerst dingen kwijt die niet on-air gezegd kunnen worden. Dus dat doen we allemaal daarvoor en dan komt er een soort gekuiste versie en die kunnen we dan on-air Zeker.
Kees:De verwondering hebben we al uitgesproken.
Renco:De verwondering, ja. Nou, het onderwerp waar we het over wilden gaan hebben is het onderwerp van de bestuurstraining zeg maar. Of niet alleen de training, gewoon de verantwoordelijkheden die vanuit cyberbeveiligingswet aan de bestuurder worden toegewezen. Ja. Nou, ik geef zelf ook trainingen op het gebied van die BIO, ook op het gebied van cyberbeveiligingswet.
Renco:De vraag die daar toch eigenlijk steevast voorbij komt is 1 bestuur, hè? Waarom bestuur? Oké, dat leg ik dan uit. Dan... Maar dan komt de vraag en mijn directie dan?
Renco:Ja. En ik merk bij mezelf dat ik ook denk ja... Had nou niet die wetgever beter gewoon de ambtelijke top kunnen aanwijzen? Hoe zie jij dat?
Kees:Ja, daar ben ik met je eens. Want dat vind ik namelijk ook. Maar het is is ons zouden ons even moeten vragen. Dat hebben ze niet gedaan.
Kees:Ja, kijk.
Renco:Hè, ja. Maar toen hadden we dat deze podcast niet.
Kees:Nee, dat klopt. Maar nee, maar wat ik heb begrepen, ik heb het hier en daar wat rond gevraagd. Hebben de bestuurders er zelf om gevraagd? Hebben zichzelf Die hebben die hebben zelf gezegd wij willen wel een opleiding hebben. Wij willen daar wel verantwoordelijk voor zijn.
Kees:Maar ik vind het toch steeds maar maar met al mijn ervaring binnen en dan vooral gemeenteland natuurlijk. Merk ik gewoon dat het de politieke top binnen een bijvoorbeeld gemeente. Ja, ze komen binnen. Ze worden hè ze zijn gekozen. Dan worden ze portefeuillehouder.
Kees:Ja. Misschien wel van informatiebeveiliging. Over 4 jaar Ja. Mogen ze misschien nog blijven zitten als hun partij weer voldoende stemmen haalt of ze gaan weg. Dus ze zijn Uittijdelijk.
Kees:Ze zijn vooral bezig met externe zichtbaarheid. Bedrijfsvoering stond nooit hoog op de agenda van het bestuur van het hè van van het college zeg maar.
Renco:Ja, meer iets voor het antwoordapparaat.
Kees:Ja, precies. Toch? Bedrijfspoeling. Precies. Dus daarom zou ik zeggen en en de keren dat ik heb gepraat over bestuurders training of ze gegeven.
Kees:Ik ik probeer altijd om de directeur bedrijfsvoering of de gemeentesecretaris minimaal ook in de training te krijgen. Ja,
Renco:vind ik heel logisch. Maar ja, maar goed. Maar, maar ik vind van alle verklaringen waarom die bestuurder toch aangewezen staat, vind ik dit nog wel de beste verklaring. In de zin dat ze zichzelf opgeworpen hebben. Dat vind ik eigenlijk nog wel elegant.
Renco:Dat ik denk nou, dat is eigenlijk best wel een beetje tof.
Kees:Zeker.
Renco:Maar en dus je kunt inderdaad zeggen nou, kunnen we oplossen als je hem zo'n training aanbiedt dat je ook gewoon de de algemeen directeur of desnoods de concern directie of de het m t of het d t samen neemt, Dus dat je het bestuur neemt en dat je de ambtelijke top ook meeneemt in die training. Maar mensen vragen aan mij, dus aan mij dan van nou hè moet ik mijn directie ook trainen? En dan zeg ik nou ik denk het wel, want omdat jouw bestuurder die zal de verantwoordelijkheden delegeren. Ja. Want de bestuurder heeft natuurlijk heel veel verantwoordelijkheid, dus die delegeert deze verantwoordelijkheid, wat toch ik denk in de ogen van een bestuurder een bedrijfsvoeringsaangelegenheid is.
Renco:Of dat nou helemaal waar kun je nog over twisten, maar dat zo wordt het denk ik gezien. Dus wordt het gedelegeerd. Maar die hoe ik het dan betoog is de toezichthouder zal degene aanspreken die door de wet de verantwoordelijkheden opgelegd krijgt. Dus als de RDE zich meldt bij een gemeente, dan zal de RDE zich melden bij de het bestuur van die gemeente. Lijkt mij.
Renco:Ja. En dan kan je zeggen als bestuur wij hebben dat gedelegeerd. Prima. Maar ik denk dan niet dat die RDE zich naar de gemeentesecretaris laat sturen. Die RDE die wil denk ik blijven praten met dat bestuur, want die zijn aangewezen in de wet.
Renco:Of denk jij dat dat anders zal lopen?
Kees:Nee, ik denk dat als de dat de RDI niet anders kan dan de dan de wet uitvoeren. En dus kijken ze of de bestuurders getraind zijn.
Renco:En. Ja, maar ja dat is, maar ik bedoel eigenlijk ook de verantwoordelijkheden die de die het bestuur toebedeeld heeft gekregen hè? Dus niet alleen het het volgen van de training, maar ook het doel waarom je die training moet volgen of op dat stukje.
Kees:Ja, Dat denk ik ook. Dat ze dat doen.
Kees:Maar oké, dus
Renco:is de conclusie je als je als bestuur delegeert en dat doe je. Dat doe je. Ik geloof niet dat het anders kan. Je delegeert dus zal ons standpunt dan zijn dat als je delegeert en dat doe je, rust de verplichting tot het volgen van die bestuurderstraining ook op de ambtelijke top.
Kees:Ik ja, dat zou ik wel willen.
Renco:Het is het. Want het staat misschien niet zo hard in de wet, maar dat volgt wel uit deze redenering.
Kees:En sterker nog, hebben het nu natuurlijk over extern toezicht, maar dat is natuurlijk ook horizontaal toezicht hè. Er is ook nog een raad. Dus je traint wel het bestuur, maar niet de raad. Gaat het, hoe gaat de raad dat dan controleren?
Renco:Ja, ja, dat is een goede vraag. Die vraag die heb ik al langer durf ik te zeggen.
Kees:Ja, nee, maar zeg maar een bestuurder is natuurlijk nog nou ja, goed. Een raadslid is komt ook van een partij. Stond alleen niet bovenaan op de lijst en dus werden ze geen wethouder, maar wel raadslid. Maar dan hebben ze,
Renco:maar dan hebben ze
Kees:een controlerende taak. Ja. Ja, hoe dan? En, en ik ook zo bijzonder vind is dat zeg maar zo'n portefeuillehouder wijst middelen toe hè. Dus er is een wethouder portefeuille bedrijfsvoering of enof informatiebeveiliging.
Kees:Je kunt ook niet zeggen dat de gemeentesecretaris verantwoordelijk is. Want hij hij heeft het budgetrecht niet. Dus toch? Aan de andere kant is de eindverantwoordelijke voor de dagdagelijkse business wel de gemeentesecretaris.
Renco:Ja, precies die heeft natuurlijk wel wat budgettaire ruimte lijkt mij als ambtelijk eindverantwoordelijke. Ik snap dat je niet dat je niet uiteindelijk over gaat, Je hebt een college en dan heb je ook nog een raad die natuurlijk een akkoord moet geven op de begroting. Dus er zitten een hele bestuurlijke laag boven die het uiteindelijk voor het zeggen heeft als de euro's verdeeld moeten worden. Dus daaruit is het dan eigenlijk wel weer logisch dat dat je ook de verantwoordelijkheid voor informatie... Stel je voor dat een college en een raad zegt 0 euro na informatiebeveiliging.
Renco:En je bent dan als gemeentesecretaris of als secretaris-generaal of hoe het ook nog mag heten ben je eindverantwoordelijk voor alle verplichtingen vanuit de CBW. Maar dan moet je ze met 2 handen op de rug moet je ze uitvoeren. Dat gaat natuurlijk ook niet werken.
Kees:Nee, maar dit scenario wat je nu noemt, ik denk echt dat het
Kees:voorkomt. Ik denk het echt.
Renco:Ja, maar dan is het dus wel een pluspunt dat die bestuurder zelf aan de lat staat voor die verplichtingen, want dan is dat weer in balans. Degene die erover gaat hè, de de de middelen, die wordt ook aangesproken op de risico's. En op de training et cetera.
Kees:Ja. Ik zou ervoor willen pleiten dat als de de BIO 2 wordt natuurlijk ook herzien hè? Iedere paar jaar, dus ook volgend jaar is er een, komt er een BIO 2 versie 2 eind volgend jaar als alles goed gaat. De BIO 2 versie 2, dat wordt heel verwacht. De BIO 2 versie 2 komt eind volgend jaar.
Kees:Dat is dat is wel zeker denk ik. En maar dan is er natuurlijk ook ruimte voor de minister van BZK om de regeling aan te passen.
Renco:Ja, want de de ministeriële regeling mag de minister zonder instemming van het parlement aanpassen, hè. Dus de AMvB en de wet moeten door het parlement, maar de ministeriële regeling hoeft dat niet. Ja.
Kees:Ja. Ja, dus waarom zouden ze, maar ik vind het ook niet erg dat bestuurders die bestuurders training krijgen. Ik ben voor, maar ze doen het werk En ze hebben ook echt waarschijnlijk geen idee. Ook niet met training.
Renco:Maar jullie, jij geeft vanuit jouw bedrijf ook trainingen bedoel. Welke zelf respecterende adviseur op het gebied van informatiebeveiliging die ziet zijn kans schoon om ook iets van deze trainingstaart mee te pakken, denk ik. Ik doe dat in ieder geval wel. Jij, jij doet het vanuit jouw bedrijf ook. Als jij deze vraag krijgt in een aanvraag traject, moeten een bestuurderstraining willen we graag bij je afnemen.
Renco:Wie moeten daar komen? Nou, het zit al in de naam, bestuur. Hou je, zeg jij dan oké, doe dat bestuur of of begin jij dan uit jezelf met nou je moet die groep groter maken, want jullie als bestuur delegeren dus moet je ook de club aan wie je delegeert onderdeel maken van die training.
Kees:Ja, maar het is zo die training zie ik niet alleen maar als het bestuur zich bewust maken van die 10 aandachtsgebieden uit de CBW. Ik ik vind de training ook een uitermate geschikt moment om de CISO en bestuur dichter bij elkaar te brengen. Dus ik zet ook echt de CISO op een podium. Ik en ik en ja, ik noem ook direct nodig ook gerust de directeur bedrijfsvoering en de gemeentesecretaris uit en waarschijnlijk nog de concern controle. Zelfs die nog.
Kees:Ja. Want dat is natuurlijk wel.
Kees:De concern controle. Waar risico bij elkaar komt binnen de gemeente alle risk, dat is bij de concern controle.
Renco:Exact, dat wou ik net zeggen. Die concern controle heeft natuurlijk een grote rol dat risicomanagement proces wat nog sterk financieel gedreven is en daar heeft hij gewoon de eind eigenlijk de eind procesverantwoordelijkheid voor risicomanagement ligt bij de concerncontrole.
Kees:Exact.
Renco:Ja, dus die moet ook mee. Want in een ideale situatie wat mij betreft bereik je de scope van dat risicomanagement proces uit door daar ook security risico's in te gaan besturen in dat proces. Maar daar moet die conser controller die daarvoor aan de lat staat, ja, moet het ook ook weten wat hij dan in zijn processen er gratis bijkrijgt hè. Dus dan moet hij wel in geloven ja, zo'n training kan daar enorm bij helpen.
Kees:Ja. Ja. Ik zie die training als een uitgelezen moment om buiten de dag dagelijkse dingen eens een keer gewoon een aantal uren met elkaar van gedachten te wisselen over het onderwerp cybersecurity. En en gewoon eens de diepte in te gaan over wat dat eigenlijk is en wat dat betekent voor je organisatie en wat je eraan kunt doen. Dus ja, wat dat betreft ben ik ben ik heel blij met de CBW.
Kees:Maar ik ben maar ik vind dat de de dat nu alleen bestuurders aangewezen zijn, dat vind ik echt te weinig.
Renco:Ja, dus eigenlijk te beperkt hè? En getuigen het heel, het grote aantal vragen wat ik, ik daar in ieder geval over krijg zo door de tijd heen. Voelt iedereen aan van hé, maar dit zijn niet de mensen die aan de knoppen zitten en de mensen die wel aan de knoppen zitten die moeten ook deze training krijgen. En ik ja, ik antwoord daar ook altijd op ja, dat is heel logisch om dat te doen. De wet zegt het niet.
Renco:Dat je dat zo moet doen, maar het volgt wel logisch uit de delegatie. Volgt wel logisch dat die andere club het ook niet volgt.
Kees:Ik vind het ook wel... Hé, maar bijzonder met bewustwording. Ik ik ga toch nog even 1 ding zeggen. Gaat? We hebben het dan komt er dan wordt een bewust van eenstraject gestart bij een organisatie.
Kees:En dan hebben ze het altijd over gebruikers. Maar de bestuurders vergeten ook dat ze gebruikers zijn. Dus gebruikers doen
Renco:het, zijn zijn speciale gebruikers, hè?
Kees:Ja, nee, je hebt dus de operatie en daar nog wat lager boven en dan het bestuur. Maar die gebruikers die krijgen het voor de kiezen en de rest hoeft dat nooit te doen. Want die zijn geen, die zijn geen gebruiker. Die zijn management. Maar die zijn net zo goed gebruiker.
Renco:Ja. Dus dat. Ja. Nou, ik ik trek nog vanuit een risicoperspectief zijn die gebruikers, die managers en die bestuurders, die hebben juist een hoger risicoprofiel. Op bijvoorbeeld spear phishing is veel interessanter natuurlijk bij een manager die ook middelen heeft en beslissingen kan nemen en aan betalingen kan authoriseren en dat soort gekkigheid.
Renco:Dus ja, het is natuurlijk de omgekeerde wereld dat iemand met zo'n risicoprofiel dan inderdaad claimt dat dat voor hem of haar niet van toepassing is. Dan denk ik het is de wereld op zijn kop. Het is als we ergens moeten beginnen, beginnen we bij jou. En jij zegt het over jezelf. Nee, voor mij niet.
Kees:Ja, maar het begint toch ook bij het laten zien van het juiste gedrag?
Renco:Ja, dat is wel ja, ja. Ik heb ergens gaandeweg geaccepteerd dat dat toch meer uitzondering is dan regel, Dus dat veel bestuurders toch uit desinteresse of onbegrip of gebrek aan tijd of prioriteit eigenlijk hier het minimale aan doen. Dat is mijn ervaring. Ik denk ook dat die training gaat daar niet heel veel in veranderen denk ik, omdat je als bestuur toch delegeert. En als bestuur ben je overal eindverantwoordelijk voor.
Renco:Dus ja, denk ik dan, security. Je komt gewoon op een stapel van dingen waar het bestuur eindverantwoordelijk voor is. Die training die gaat wel helpen, maar die gaat niet de dynamiek wezenlijk veranderen denk ik.
Kees:Nee, het bestuurders natuurlijk gewoon de generalist. En kan misschien Ja, denk bepaalde rest hebben van zichzelf, maar eigenlijk is de generalist. Dus het enige wat hij wil weten is is er een probleem? Moet het nu worden opgelost? Kan het later worden opgelost?
Kees:Ja. En hoeveel gaat
Kees:het kosten? Ja en dat
Renco:moet dan afgewogen worden tegen alle andere dingen die ook allemaal geld kosten en er is altijd te weinig. Dus ja, breng het allemaal maar bij elkaar. En ik ben nog wel even benieuwd Kees, want je had net over die 10 maatregelen, hè. Dat zijn die artikel 21 maatregelen uit NIS 2 slash CBW. Dit zijn natuurlijk gewoon dezelfde.
Renco:Nou, NCC heeft natuurlijk op haar pagina daar uitgebreid aandacht aan besteed. Hoe je die 10 dingen allemaal concreet kan maken en dus in het cyberbeveiligingsbesluit staat natuurlijk opgenomen waar die training aan moet voldoen, hè. Dus dat is niet iets wat de minister in zijn eigen regeling kan bijstellen. Ja. Dus waar het over moet gaan.
Renco:Tot en met de de certificaten. Ik vind ik moet er wel even een beetje op lachen. Het gaat vrij ver.
Kees:Nee, het gaat veel te ver.
Renco:Ja, het werkt een beetje de lachspieren als je die artikelen gewoon allemaal op naleest. Maar jij zei net van Ik
Kees:ik denk ook.
Renco:Hè, je je zei ik zie die training als een
Kees:1 bestuurder moet wat concepten weten. En het zeg maar dat wat me wel stoort is dat ze zo diep en en dat iedereen maar steeds van de daken schreeuwt dat ze cyber beveiligingstraining moeten hebben. Dat ze alle begrippen tot in de diepte moeten kennen. Nee, voor mij hoeft dat misschien ook niet te weten. Is niet relevant.
Kees:Voor mij ook niet nee.
Renco:Nou, je hebt eigenlijk mijn vraag dan al geraden. Want ik vind ook als je zo'n training geeft, je moet al die punten af. Dus je moet best wel aardig wat tijd al besteden aan die 10 maatregelen. Omdat de site bij beveiligingsbesluiten zegt daar moet het over gaan.
Kees:Ja. Terwijl als ik het voor het
Renco:zeggen heb zou ik meer tijd willen besteden aan het het systeem, het management systeem, een rol van het bestuurder in. En dat probeer ik concreet te maken voor ze.
Kees:Ik kreeg van de week een vraag van van een collega en die zegt ja, wat is nou het allerbelangrijkste van het IsmS? Wat moet het bestuur doen? Ik zeg het bestuur moet ieder jaar een management review doen voor het IsmS. Als ze dat nu niet doen Ja, rechtse beoordelingen. Krijgen ze in deze een iso certificaat.
Kees:Laat staan, dus dan kunnen ze als als we, we hebben nu bepaald we doen de iso 7001. En 9 punt 3 management review dat is gewoon een minimaal 1 keer per jaar, dat is een eis. Dus dat is het summum. Ja, de bestuurder moet zich ervan gewissen dat het proces van risicomanagement de cyclus en de registratie van alles daaromheen dat dat werkt. En hij hoeft niet in detail te weten wat er allemaal geregistreerd is, maar hij moet zich ervan gewissen dat het werkt.
Kees:Dat is de minimale eis.
Renco:Ja, hoe ik het dan uitleg is dat eigenlijk de CISO die zal dat voorbereiden over het algemeen hè direct directiebeoordeling slash management review is natuurlijk gewoon hetzelfde. Hè dus die die CISO die zal alles netjes bij elkaar harken tot een overal samenhangend geheel wat gepresenteerd wordt aan die directie. En die directie die moet het eigenlijk dan overnemen hè. Die moet eigenlijk die verantwoordelijkheid pakken. Er zit voor mij ook iets in van decharge, hè.
Renco:Dat je ook zegt van hé wat achter ons ligt dat dat is goed geweest of nou wij nemen daar verantwoordelijkheid voor of hè dus de directie pakt het heel duidelijk over. Ja. Tekent ook en zegt nu is het van ons. Zowel wat geweest is, alsook het richting geven aan wat nog moet komen. Ja.
Renco:En dat dus daar zou denk ik in die training zou daar meer aandacht voor moeten zijn, denk ik.
Kees:Ja, maar het is ook niet een training zoals wij hem bedacht hebben bij bij ons bedrijf. Het is niet een training die bestaat uit heel schools stapels met slides over die 10 onderwerpen. Wij doen die training als een discussie met de bestuurders. En dat is echt een heel ander type training dan de training die we doen bijvoorbeeld met een CISO.
Renco:Ja nee al zoals ik hem geef zeg maar de ik heb geef CBW trainingen voor inhoudelijke mensen hè. Dus dat zijn iso's of juristen of iedereen die het maar wil. Dat is een tweedaagse training en de bestuurders variant die is een dagdeel. En die variant die ik geef die ja, die die checkt gewoon keurig alle boxes voor die CBB. Dus daar zitten ook die 10 onderwerpen in en 4 uur, ik weet niet hoe lang jouw bestuurders training is, maar 4 uur.
Kees:Wij reiken ook alle onderwerpen wel. Maar het is een maar het is meer een 1 open discussie langs de de 10 onderwerpen dan dat het een Poolse exercitie is waarbij je tot in de diepte die 10 onderwerpen uitwerkt. Zo gaat het niet.
Renco:Hoeveel uren neem je dan Kees? Hoeveel uren heb je daarvoor reserveer je ervoor?
Kees:Dat is tussen 2 en een half en 3 en een half uur. Het hangt er een beetje van af Wat de we vragen ook aan de Ciso van van de organisatie welke aandachtspunten wil je nog meegeven? Wil je zelf wel nog op het podium staan? Moeten we jouw positie versterken? Dat soort dingen vragen we ook.
Kees:Dus tussen de 2 en een half en 3 en een half uur dan heb je echt een hele leuke discussie gehad. En meer tijd hebben ze ook niet overigens. Zijn er gewoon druk aan gegaan.
Renco:Maar ik was laatst bij een overheidsorganisatie daar hadden ze ook deze trainingen op de rol en niet voor mij voor alle duidelijkheid. Maar toen zeiden ze ja, een hele dag. Toen dacht ik echt wow dat jullie wie dat is een hele goede verkoper geweest. Dat jullie.
Kees:Er zijn aanbieders die echt een volledige dag doen. Ook nog niet? Ja. En toen ik dat las dacht ik van, hoezo? Heb ik niet al?
Renco:Denk dat je dan ook legoblokjes moet, lego mee moet nemen of zo? Wat moet je anders de hele dag doen? Geen
Kees:idee. Geen idee. Het lijkt morgen een pijnlijke exercitie worden als het een dag moet duren.
Renco:Ja, ik denk ook dat managers en bestuurders ook die worden natuurlijk ook wel rustig. Die zitten dan ook een mail te doen en ja, die die hebben wel, ik denk die hebben helemaal niet die tijd en de rust in de agenda niet om hier een hele dag aan te besteden. Dus ook al heb je dat op papier voor elkaar gekregen, dan ben ik nog benieuwd hoe dat in de praktijk dan uit de verf komt. Of iedereen inderdaad een dag lang de kop erbij heeft Of dat de ene aan het bellen is. Die ander zit gewoon zijn mail bij te werken.
Renco:En de 3e die zegt het na 2 uur, ik heb een meeting. Ik ben over 3 uur terug. Nou ja, je weet allemaal hoe dat ja, hoe het gaat. Nou, is dit nou ook goede reclame geweest voor onze trainingen Kees? Of hebben we nou
Kees:Nee, hebben wel wat over. Ja, We hebben over het over onze training gepraat, maar dat was niet de discussie. Discussie ging over moeten alleen de bestuurders op training of we moeten we ook eigenlijk gewoon de gemeentesecretaris. Nog misschien nog een aantal mensen. Want eigenlijk zijn dat de mensen die me iedere dag met de laarzen in de glijstuin.
Kees:Net zoals de Chicop.
Renco:Ik ik doe wel, ik merk dat ik wel mijn best doe om een beetje afscheid te nemen van mijn exclusieve gemeente woordenschat, hè. Dus ik, de gemeentesecretaris is natuurlijk heel duidelijk de ambtelijke eindverantwoordelijke bij een lokale overheid. Ik zit nu bij de rijksoverheid voor het eerst, dus ik leer allemaal nieuwe afkortingen. Super leerzaam. En ik ja.
Kees:Gaat dan de minister ook op training? Gaat de minister dan ook zeg maar bij bij de SG op bezoek om te kijken hoe het gaat?
Renco:Ik heb die vraag heb ik van de week nog gesteld en het antwoord was ja, de minister gaat op training. En toen vroeg ik ook van en dan ook de PSG, de of de s g, de secretaris-generaal en de PSG, de plaatsvervangend secretaris-generaal. Daar daar diegene aan wie ik het vroeg in het antwoord.
Kees:Op de PSV natuurlijk gewoon de gemeentesecretaris. Van een Ja. Een departement.
Renco:Ja, inderdaad. Dat lijkt gewoon op elkaar. Ja. Hé, wij maken er een, ik wou zeggen we maken er eind aan. Dat klinkt wel heel drastisch.
Renco:Wij sluiten deze gezellige podcast af Kees. En over 2 weken dan zijn we er gewoon gezellig weer toch?
Kees:En dan hoop ik dat ik hem weer een paar keer heb kunnen verwonderen.
Renco:Precies. Anders trekken we gewoon eentje uit de backlog en dan praten we daar een half uur over. En dan vertel ik nog over mijn bril glazen en dat komt helemaal goed dan. Goed. Ja, Kees, goed fijne dag nog en tot over Fijne dag,
Kees:tot over 2 weken. Dank voor het luisteren naar de BIO Bazen.
Renco:Vond je dit waardevol? Vertel het aan een collega en abonneer je in je favoriete podcast app op.
Kees:Alle afleveringen vind je ook op de biobazen punt n l.
Renco:Tot de volgende aflevering van de BIO Bazen.
Kees:Iemand moet het uitleggen toch?
