De Cyber Security Raad (CSR) constateert een ernstig informatietekort bij het Nederlandse bedrijfsleven als het gaat om informatie over cybersecurity. Alleen de rijksoverheid en organisaties in de vitale infrastructuur wisselen onderling cruciale informatie uit, andere bedrijven en organisaties blijven ervan verstoken. De raad heeft eerder deze maand  advies uitgebracht aan meerdere partijen, om ook het niet-vitale bedrijfsleven te voorzien van dreigingsinformatie en advies hoe te handelen. In dit kader pleit de raad onder andere voor de snelle komst van een Digital Trust Centre en het mogelijk maken van een financiële stimulans voor brancheorganisaties.

De urgentie van het onderwerp is volgens de CSR hoog: “Het tijdig beschikken over de juiste informatie is van groot belang voor de digitale weerbaarheid van organisaties, publiek én privaat. Het bedrijfsleven dat als niet vitaal staat aangemerkt heeft bewust of onbewust een ernstig informatietekort, omdat zij onvoldoende of niet zijn aangesloten op de structuur waarbinnen informatie over cybersecurity wordt gedeeld. Deze bedrijven vormen daardoor een makkelijk doelwit voor cybercriminelen. Een goede landelijke informatievoorziening helpt de weerbaarheid van Nederland te verhogen.”Daarom adviseert de CSR onder andere de minister van Economische Zaken, de staatssecretaris van Veiligheid en Justitie, brancheorganisaties en bedrijven een landelijk dekkend stelsel in te richten waarbinnen overheid en bedrijfsleven informatie uit kunnen wisselen. Een stelsel waarin met behulp van een Digital Trust Centre publieke en private partijen, zoals het Nationaal Cyber Security Centrum, de Algemene Inlichtingen en Veiligheidsdienst en het bedrijfsleven nauw met elkaar samenwerken. Dit zou via zogenaamde ‘schakelpunten’ kunnen lopen die informatie op een eenvoudige en toegankelijke manier verspreiden onder de doelgroep.

Financiële stimulans

De raad acht het van belang dat bedrijven voldoende in staat zijn opvolging te geven aan de ontvangen dreigingsinformatie en adviezen. Bij grote bedrijven is dat meestal geen probleem, bij het mkb en maatschappelijke organisaties ontbreekt kennis en expertise. Een op te richten Digital Trust Centre (DTC) kan helpen bij het verbeteren van hun cybersecurity. De Tweede Kamer heeft hierover recent een motie aangenomen, maar het is volgens de CSR een misvattingte denken dat enkel de komst van een DTC de oplossing is. “Het is van belang het hele stelsel van informatie-uitwisseling opnieuw in te richten en hiaten te dichten, wil het Nederlandse bedrijfsleven digitaal veiliger worden. Het CSR adviseert tevens de Rijksoverheid een financiële stimulans voor brancheorganisaties mogelijk te maken, zodat brancheorganisaties een functie op het terrein van cybersecurity richting het bedrijfsleven kunnen vervullen.”

In haar adviesrapport ‘Naar een landelijk dekkend stelsel van informatieknooppunten. Advies inzake informatie-uitwisseling met betrekking tot cybersecurity en cybercrime’ stelt de CSR dat het doel van haar advies is het verbeteren van de informatie-uitwisseling in Nederland door (1) de invoering van een landelijk dekkend stelsel van informatieknooppunten, (2) het scheppen van de randvoorwaarden voor succesvolle informatie-uitwisseling via de informatieknooppunten en (3) het vergroten van het inzicht in cybercrime door het stimuleren van het doen van meldingen en het versterken van de publiek-private samenwerking op dit terrein. Als succesfa

Succesfactoren

De raad onderscheidt hiervoor de volgende belangrijke succesfactoren:

1. Een landelijk dekkend stelsel van informatieknooppunten voor informatie-uitwisseling dat het hele Nederlandse bedrijfsleven bestrijkt;2.
2. Het bedrijfsleven is in staat snel opvolging te geven aan dreigingsinformatie en handelingsperspectieven;
3. Leveranciers van internetproducten en -diensten hebben een actieve houding ten aanzien van de invulling van de zorgplichten, zodat de producten en diensten intrinsiek veilig zijn;
4. Het eenvoudig kunnen melden/aangifte doen van cyberincidenten bij de politie.

Gerichte adviezen

De adviezen in het CSR-rapport zijn gericht op de overheid en het bedrijfsleven. “Alleen als de verbetering van informatie-uitwisseling op het terrein van cybersecurity en cybercrime in gezamenlijkheid wordt opgepakt, gaat het werken.”

De raad doet de volgende aanbevelingen:

Aan de minister van Economische Zaken en de staatssecretaris van Veiligheid en Justitie:Voer in samenwerking met de private sector een zoveel mogelijk op bestaande structuren gebaseerd landelijke dekkend stelsel van informatieknooppunten in. Versnel in dit kader de invoering van een Digital Trust Centre voor het bedrijfsleven dat geen deel uitmaakt van de vitale infrastructuur.

Aan de minister van Economische Zaken:Maak een financiële stimulans mogelijk voor brancheorganisaties, zodat zij hun functie op het terrein van cybersecurity richting het bedrijfsleven kunnen vervullen.

Aan de staatssecretaris van Veiligheid en Justitie: Versnel de uitrol van het Nationaal Detectie Netwerk (NDN) en maak het mogelijk informatie uit het NDN breed te delen met het bedrijfsleven.

Aan de minister van Economische Zaken, de voorzitter van VNO-NCW, de voorzitter van MKB-Nederland de voorzitter van Nederland ICT, de voorzitter van het CIO Platform Nederland, de voorzitter van de Kamer van Koophandel en voorzitters van brancheverenigingen:

1. Maak het bedrijfsleven cyberbewust en motiveer hen een actieve rol in het delen van dreigingsinformatie en opvolgen van handelingsperspectieven op zich te nemen in het kader van het landelijk dekkend stelsel;
2. Stimuleer bedrijven om melding en/of aangifte van cybercrime te doen;
3. Zorg voor een cross sectorale aanpak van ISAC’s waarbij de ketengedachte centraal staat. De initiatieven die Schiphol en de Rotterdamse Haven met hun ketenpartners hebben ontwikkeld zijn daar goede voorbeelden van.

Aan de Korpschef Nationale Politie: Maak het doen van melding en/of aangifte van cybercrime door slachtoffers laagdrempeliger en zorg voor een goede terugkoppeling over de opvolging ervan.

Aan de Korpschef Nationale Politie en het College van procureurs-generaalnlijk: Intensiveer en structureer de publiek-private samenwerking om de informatiepositie met betrekking tot cybercrime te versterken.

Het integrale adviesrapport treft u hier aan:https://www.cybersecurityraad.nl/binaries/CSR-advies%202017%20nr.%202%20-%20Naar%20een%20landelijk%20dekkend%20stelsel%20van%20informatieknooppunten_tcm56-269317.pdf.