Het Digital Trust Center (DTC) zoekt veertig bedrijven die niet actief zijn in de vitale infrastructuur. Met deze groep wil het adviesorgaan over cybersecurity een proef starten met het delen van actuele dreigingsinformatie met niet-vitale bedrijven en organisaties. Het uiteindelijke doel is om een dienst op te zetten die helpt Nederlander weerbaarder te maken tegen cyberdreigingen.
Dat meldt het DTC in een persbericht.
Huidige wetgeving beperkt delen van dreigingsinformatie
Nederland is een geliefd land onder hackers en cybercriminelen vanwege onze hoogwaardige internetinfrastructuur. Daardoor is ons land echter steeds vaker het doelwit van ransomware-aanvallen, DDoS-aanvallen en andere cyberdreigingen. De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) Pieter-Jaap Aalbersberg gaat zover dat hij gijzelsoftware ‘een risico voor onze nationale veiligheid’ en ‘een plaag voor het MKB’ noemt. Recente rapporten wijzen uit dat deze dreiging niet alleen van statelijke actoren komt, maar ook van niet-staatsgebonden hackers. Volgens experts is het een constante dreiging die ons boven het hoofd hangt.
Instanties als het DTC en het Nationaal Cyber Security Centrum (NCSC) geven gevraagd en ongevraagd advies over cybersecurityvraagstukken aan het kabinet. Daarnaast spelen ze een belangrijke rol in het doorgeven van relevante dreigingsinformatie aan politieke instanties, bedrijven en andere organisaties. Daarbij worden ze echter beperkt door de Wet beveiliging netwerk- en informatiesystemen (Wbni). Deze wet bepaalt namelijk dat de instanties alleen dreigingsinformatie mogen delen met politieke organisaties en bedrijven die onderdeel uitmaken van de vitale infrastructuur. Dan moet je denken aan financiële instellingen, leveranciers van nutsvoorzieningen en telecombedrijven.
Honderden Nederlandse bedrijven waren door deze beperking vorig jaar de dupe. Een beveiligingsonderzoeker bracht het NCSC op de hoogte van een lek in de VPN-software van Pulse Secure. Daardoor lagen de inloggegevens van meer dan 900 bedrijven voor het oprapen voor hackers. Vanwege de Wbni mocht het NCSC niets doen met deze informatie.
Politiek in actie om dreigingsinformatie breder te mogen delen
Het besef dat dit gevaarlijke en onwenselijke situaties met zich meebrengt, is ook doorgedrongen tot de politiek. Het kabinet werkt dan ook aan een wetsvoorstel om dreigingsinformatie ook te delen met bedrijven en organisaties die niet actief zijn in de kritische infrastructuur. “Met dit wetsvoorstel wordt gehoor gegeven aan de roep van het bedrijfsleven om dreigingsinformatie breder te delen. Dit wetsvoorstel voorziet daarmee in de benodigde grondslag voor de verwerking van persoonsgegevens ten behoeve van de digitale weerbaarheid van bedrijven”, zo schreef demissionair minister van Economische Zaken en Klimaat Stef Blok eind juni in een brief aan de Tweede Kamer.
Zijn collega Ferd Grapperhaus, demissionair minister van Justitie en Veiligheid, werkt aan een Landelijk Dekkend Stelsel (LDS). Het doel daarvan is om informatie over digitale dreigingen, kwetsbaarheden en andere cyberincidenten uit te wisselen tussen de Rijksoverheid, commerciële bedrijven en organisaties die in de vitale infrastructuur werkzaam zijn.
DTC Informatiedienst moet weerbaarheid bedrijfsleven vergroten
Demissionair staatssecretaris van Economische Zaken en Klimaat Mona Keijzer schreef in juni in een brief aan de Tweede Kamer dat het wenselijk is dat het DTC op korte termijn een prominentere rol speelt in de uitwisseling van dreigingsinformatie met niet-vitale bedrijven. “Het belang van het waarschuwen van een individueel bedrijf voor een specifieke dreiging met grote impact en grote mogelijk schade weegt daarbij zwaar”, zei ze. Om specifieke kwetsbaarheids- en dreigingsinformatie te delen met niet-vitale Nederlandse bedrijven, start het Digital Trust Center in het derde kwartaal de DTC Informatiedienst.
Het DTC noemt de dienst ‘een belangrijke stap om het Nederlandse niet-vitale bedrijfsleven weerbaarder te maken tegen de toenemende cyberdreigingen’. “Tijdig ingelichte bedrijven kunnen namelijk direct maatregelen nemen om de schade van de kwetsbaarheden te beperken.”
Voordat de DTC Informatiedienst daadwerkelijk van start gaat, start het adviesorgaan een pilot. Hiermee wil ze de effectiviteit van de dienst in praktijk toetsen. Hiervoor zoekt het DTC veertig partijen. “Tijdens de pilot zal het DTC de bedrijfsgegevens van de deelnemende bedrijven controleren op bij het DTC bekende dreigingsinformatie of kwetsbaarheden. Mochten deze gevonden worden dan zullen de betreffende bedrijven hierover worden benaderd”, zo schrijft het adviesorgaan.
Voordelen en voorwaarden aan deelname pilot
Bedrijven die interesse hebben om deel te nemen aan de pilot, worden gevraagd om zich aan te melden bij het DTC. Deelname brengt naar eigen zeggen allerlei voordelen met zich mee. Je vergroot er de cyberweerbaarheid van je bedrijf mee, je verhoogt de veiligheid van de keten waarin je opereert en je kunt een bijdrage leveren aan de opzet van de DTC Informatiedienst.
Het DTC stelt enkele voorwaarden aan de deelname. Allereerst moet het kantoor van de deelnemers in Nederland gevestigd zijn. Daarnaast mogen ze geen vitale aanbieder of digitale dienstverlener zijn. Verder mogen ze niet aangesloten zijn bij een OKTT-organisatie zoals Cyberveilig Nederland of Connect2Trust. Tot slot moeten deelnemers een security verantwoordelijke in dienst hebben, of bereid zijn deze aan te stellen.
De pilot gaat in het vierde kwartaal van dit jaar van start en duurt naar verwachting een jaar. Meer details over de proef vind je op deze pagina.
