Het Nationaal Cyber Security Centrum (NCSC) mag voortaan relevante dreigingsinformatie verstrekken aan bedrijven die actief zijn in de niet-vitale infrastructuur. Vanaf vandaag is de Wet beveiliging netwerk- en informatiesystemen (Wbni) aangepast, wat inhoudt dat er een wettelijke grondslag is om dreigings- en incidentinformatie te delen met andere organisaties. Zo wil het kabinet Nederland digitaal nog weerbaarder maken.
Dat laat het NCSC weten via een persbericht.
Zo wil het kabinet de digitale weerbaarheid van Nederland vergroten
Nederland heeft een snelle en stabiele internetinfrastructuur. Zodoende is ons land geliefd bij internationale bedrijven en instanties. Digitalisering brengt allerlei voordelen met zich mee, maar kent ook een keerzijde. “De afhankelijkheid van digitale processen heeft ons ook kwetsbaar gemaakt voor uitval en voor de activiteiten van kwaadwillenden”, zo waarschuwden de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en het NCSC in juli in het rapport Cybersecuritybeeld Nederland 2022. Deze week waarschuwden de veiligheidsdiensten nog voor de gevaren van statelijke actoren als Rusland en China.
Om Nederland digitaal weerbaarder te maken tegen cyberaanvallen door hackers en statelijke actoren, was het noodzakelijk om de Wbni aan te passen. In deze wet staat dat het NCSC en het Digital Trust Center (DTC) dreigingsinformatie alleen met bedrijven uit de vitale infrastructuur mogen delen, zoals energieleveranciers, internetproviders, havenbedrijven en financiële instellingen.
Deze beperking heeft in het verleden meer dan eens voor een hoop ellende gezorgd. In de zomer van 2020 lagen de gebruikersnamen en wachtwoorden van de computersystemen van meer dan 900 bedrijven op straat. Het NCSC wist hiervan, omdat een beveiligingsonderzoeker de instantie daarvan op de hoogte had gebracht. Toch kon het NCSC niets met deze informatie: de betreffende bedrijven maakten immers geen deel uit van de vitale infrastructuur.
Wettelijke basis om dreigingsinformatie te delen
Toenmalig minister van Economische Zaken en Klimaat Stef Blok gaf zijn ambtenaren in juni 2021 de opdracht om de Wbni dusdanig aan te passen dat ook niet-vitale bedrijven en organisaties geïnformeerd mochten worden over dreigings- en incidentinformatie. In afwachting daarvan gaf de huidige minister van Justitie en Veiligheid, Dilan Yeşilgöz-Zegerius, afgelopen mei toestemming aan het NCSC om toen al te beginnen met het verstrekken van dreigingsinformatie.
Maar vanaf vandaag hoeft de NCSC niet langer te anticiperen op de wetswijziging. De aangepaste Wbni is in werking getreden. Schakelorganisaties of OKTT’s (Objectief Kenbaar Tot Taak) mogen vanaf nu dreigingsinformatie met hun achterban delen. Tevens is er nu een grondslag voor het NCSC om in bijzondere gevallen dreigings- en incidentinformatie met andere aanbieders zelf te delen. Ook wanneer er geen schakelorganisatie is om deze informatie aan te verstrekken.
NCSC heeft lang gewacht op deze dag
Hans de vries, directeur van het NCSC, is blij met de komst van de wetgeving. “Vandaag is een dag waar we lang op hebben gewacht als organisatie en ik ben dan ook blij dat het eindelijk zo ver is. We kunnen vanaf vandaag informatie over bijvoorbeeld een kwetsbaarheid of ransomware-aanval die eraan komt ook delen met organisaties die niet tot de vitale organisaties of de Rijksoverheid behoren. Zo maken we ook die organisaties digitaal veiliger en daarmee Nederland.”
