Het ministerie van Economische Zaken en Klimaat is een internetconsultatietraject gestart over het vergroten van de digitale weerbaarheid van Nederlandse bedrijven en organisaties. Het kabinet wil dat bedrijven die niet tot de vitale sector behoren ook geïnformeerd en geadviseerd kunnen worden over cyberdreigingen. Daarnaast probeert de regering om de samenwerking tussen bedrijven op het gebied van digitale weerbaarheid te bevorderen.
De internetconsultatie genaamd ‘Wet bevordering digitale weerbaarheid bedrijven’ staat sinds maandag online.
Huidige regelgeving vormt belemmering voor optimale bescherming
Ransomware-aanvallen, datalekken, spearphishingaanvallen, DDoS-aanvallen, identiteitsfraude: vandaag de dag worden we vrijwel continu bedreigd door dit soort cyberaanvallen en digitale vormen van oplichting. Niet alleen nietsvermoedende burgers zijn het slachtoffer van hackers en cybercriminelen: ook hardwerkende ondernemers zijn regelmatig het doelwit. Om burgers, bedrijven en andere instanties te waarschuwen over recente digitale dreigingen, zijn het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) opgericht. Tevens zijn ze er om ons te adviseren over hoe we onze digitale weerbaarheid kunnen vergroten.
Op papier klinkt het mooi, maar de werkelijkheid is weerbarstig. De Wet beveiliging netwerk- en informatiesystemen (Wbni) bepaalt namelijk dat alleen de Rijksoverheid en bedrijven die onderdeel uitmaken van de vitale sector of kritische infrastructuur (nutsvoorzieningen, financiële instellingen, providers) ingelicht mogen worden als er concrete aanwijzingen zijn voor specifieke dreigingen. Deze beperking zorgde er afgelopen jaar voor dat meer dan 900 Nederlandse bedrijven niet wisten dat gebruikersnamen en wachtwoorden van hun computersystemen online stonden. Als de Wbni niet zo star was, had dit veel ellende kunnen voorkomen.
Behoefte om dreigingsinformatie breder te delen
Daarvan is demissionair minister van Economische Zaken en Klimaat (EZK) Stef Blok zich bewust. Hij heeft zijn ambtenaren de opdracht gegeven om een wet te bedenken die de digitale weerbaarheid van bedrijven vergroot. Het resultaat is de Wet bevordering digitale weerbaarheid bedrijven (Wbdwb). “Met dit wetsvoorstel wordt gehoor gegeven aan de roep van het bedrijfsleven om dreigingsinformatie breder te delen. Dit wetsvoorstel voorziet daarmee in de benodigde grondslag voor de verwerking van persoonsgegevens ten behoeve van de digitale weerbaarheid van bedrijven”, schrijft minister Blok.
In de Memorie van toelichting staat dat het ministerie van EZK “de digitale weerbaarheid van het niet-vitale bedrijfsleven in Nederland” wil verbeteren. Alleen wanneer de digitale veiligheid van het gehele bedrijfsleven op orde is, kunnen de kansen van digitalisering optimaal benut worden. In het ergste geval komt het voortbestaan van een onderneming in het geding, of verzwakt het de concurrentiepositie van ons land.
Wetsvoorstel heeft economisch en maatschappelijk effect
Instanties als het DTC verstrekken nu voornamelijk algemene informatie over cyberdreigingen aan niet-vitale bedrijven. “Er is echter ook behoefte om het bedrijfsleven over specifieke digitale dreigingen en kwetsbaarheden te informeren”, aldus de minister. Hij verwacht dat bedrijven eerder zullen reageren als ze worden gewezen op concrete dreigingen. Dat is goed voor het specifieke bedrijf, maar ook voor het gehele Nederlandse bedrijfsleven.
Tevens wijst minister Blok op de onderlinge afhankelijkheden van bedrijven en de digitale leveranciersketen. “Het belang van digitale veiligheid en beveiliging groeit omdat de (on)veiligheid van het ene bedrijf, via deze verbindingen invloed kan hebben op de (on)veiligheid eerder of verderop in de keten.” Verder verwacht de minister zowel een economisch als maatschappelijk effect als dreigingsinformatie ook met niet-vitale bedrijven en organisaties wordt gedeeld.
Voor een goede uitvoering van het wetsvoorstel, is het noodzakelijk om persoonsgegevens te verwerken. Dat is het geval als beveiligingsexperts analyses maken om een specifieke dreigingen te achterhalen. Of als er contact opgenomen moet worden met bedrijven. Het is mogelijk dat bedrijfsgegevens dan herleidbaar zijn tot een individu. Het kabinet gaat aan de Autoriteit Persoonsgegevens om advies vragen hoe ze zo min mogelijk inbreuk maakt op de privacy van ondernemers.
Internetconsultatie duurt acht weken
In de Memorie van toelichting is ruimte gereserveerd voor advies en consultatie. Via de website internetconsultatie.nl kunnen burgers, bedrijven, organisaties en maatschappelijke instanties hun mening geven over het wetsvoorstel en de Memorie van toelichting. Zij hebben hiervoor acht weken de tijd. De consulatie eindigt op maandag 23 augustus.
Meer initiatieven in de pijplijn om informatie-uitwisseling te versnellen
De Wbdwb is niet het enige initiatief van het kabinet om sneller dreigingsinformatie te delen met niet-vitale bedrijven. Demissionair minister van Justitie en Veiligheid Ferd Grapperhaus werkt aan een Landelijk Dekkend Stelsel (LDS) om sneller informatie tussen vitale en niet-vitale organisaties te delen. De Cyber Security Raad (CSR) sprak eerder dit jaar de vrees uit dat er hierdoor veel kostbare tijd verloren zou gaan. Daarom pleitte de instantie voor een ‘spoedreparatie’ in de huidige wetgeving.
Demissionair staatssecretaris van Economische Zaken en Klimaat Mona Keijzer wil de bevoegdheden van het DTC uitbreiden. Het adviesorgaan lanceert in het derde kwartaal de Informatiedienst DTC om sneller dreigingsinformatie tussen vitale en niet-vitale bedrijven en organisaties uit te wisselen. Ook denkt ze na over de randvoorwaarden wanneer een organisatie zich een OKTT mag noemen. ‘OKTT’ staat voor Organisatie die Kenbaar Tot Taak. Dit zijn partijen die als schakelorganisatie of tussenpersoon dienen om relevante dreigings- en incidenteninformatie uit te wisselen tussen publieke en niet-vitale organisaties.
