Het kabinet heeft ingestemd met een wetsvoorstel om de digitale weerbaarheid van het bedrijfsleven te versterken. Naast bedrijven en organisaties in de vitale infrastructuur krijgen ook instanties in de niet-vitale sector straks relevante dreigingsinformatie aangereikt. Op deze manier wil het kabinet het Nederlandse bedrijfsleven weerbaarder maken tegen hackers en digitale dreigingen.
Dat meldt minister van Economische Zaken en Klimaat Micky Adriaansens in een persbericht.
Huidige wetgeving staat digitale weerbaarheid in de weg
Op dit moment is het zo dat bedrijven en organisaties die werkzaam zijn in de niet-vitale sector niet geïnformeerd mogen worden over actuele cyberaanvallen en andere digitale dreigingen. Dat komt omdat de Wet beveiliging netwerk- en informatiesystemen (Wbni) dat verbiedt. De wet bepaalt dat het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) dreigingsinformatie alleen met bedrijven uit de vitale infrastructuur mogen delen. Dan moet je denken aan energieleveranciers, leveranciers van nutsvoorzieningen, internetproviders, telecombedrijven en financiële instellingen.
Deze beperking zorgt in praktijk soms voor een hoop ellende. In de zomer van 2020 lagen de gebruikersnamen en wachtwoorden van de computersystemen van meer dan 900 bedrijven op straat. Het NCSC wist hiervan, omdat een beveiligingsonderzoeker de instantie daarvan op de hoogte had gebracht. Toch kon het NCSC niets met deze informatie: de betreffende bedrijven maakten immers geen deel uit van de vitale infrastructuur.
Kabinet wil niet-vitale bedrijven gerichter informeren
Dat was onacceptabel, zo oordeelde toenmalig minister van Economische Zaken en Klimaat Stef Blok. Hij gaf zijn ambtenaren de opdracht om aan een wetsvoorstel te werken om de digitale weerbaarheid van niet-vitale bedrijven te verbeteren. “Met dit wetsvoorstel wordt gehoor gegeven aan de roep van het bedrijfsleven om dreigingsinformatie breder te delen. Dit wetsvoorstel voorziet daarmee in de benodigde grondslag voor de verwerking van persoonsgegevens ten behoeve van de digitale weerbaarheid van bedrijven”, aldus minister Blok destijds.
De opvolger van Blok, minister Adriaansens, laat nu weten dat het wetsvoorstel in kannen en kruiken zit. Het voorstel maakt het mogelijk om ook bedrijven in de niet-vitale sector gericht te informeren en adviseren over kwetsbaarheden, incidenten en digitale dreigingen. Daarnaast wil de wet samenwerkingsverbanden tussen bedrijven op het gebied van digitale weerbaarheid stimuleren. Ongeveer twee miljoen Nederlandse bedrijven en organisaties zullen daarvan profiteren.
“Bedrijven zijn in eerste instantie zelf verantwoordelijk voor digitale veiligheid. Maar de gevolgen van cyberincidenten kunnen erg groot zijn. Het kan leiden tot lege supermarktschappen of het stilvallen van industriële productie. Daarom wil ik Nederlandse bedrijven actiever en gerichter kunnen informeren en adviseren over actuele digitale dreigingen of incidenten, zodat zij sneller kunnen handelen”, zo vertelt minister Adriaansens.
Bedrijfsleven probeert op eigen kracht digitale weerbaarheid te versterken
De overheid is niet de enige partij die met initiatieven komt om de digitale weerbaarheid van het bedrijfsleven te vergroten. De marktsector werkt al bijna een jaar aan een zogeheten IT-verklaring. Als een bedrijf geld wil lenen, zal hij aan een aantal minimum eisen op het gebied van beveiliging moeten voldoen. Het idee hierachter is dat ondernemers beter hun best gaan doen om zich te beschermen tegen ransomware, DDoS-aanvallen en andere digitale dreigingen.
Sinds februari van dit jaar is het Nederlands Security Meldpunt actief. Dat is een waarschuwingssysteem dat bedacht is om informatie over cyberdreigingen te delen met het bedrijfsleven. “We leveren informatie over daadwerkelijk kwetsbare systemen niet alleen aan partijen die zich actief registreren, maar ook ongevraagd naar organisaties die dit nog niet hebben gedaan”, zo vertelde Frank Breedijk van het Dutch Institute for Vulnerability Disclosure (DIVD) bij de lancering van het meldpunt.
Update (21 april 2022): het wetsvoorstel om dreigingsinformatie breder te delen, is naar de Tweede Kamer verzonden. Dat meldt het Nationaal Cyber Security Centrum (NCSC) in een persbericht. Wanneer de inhoudelijke behandeling van het wetsvoorstel plaatsvindt, is onbekend.
Update (19 mei 2022): in afwachting van een nieuwe wet mag het Nationaal Cyber Security Centrum (NCSC) nu al relevante dreigings- en incidentinformatie met niet-vitale bedrijven en organisaties delen. De oorlog in Oekraïne benadrukt het belang daarvan, zo schrijft minister van Justitie en Veiligheid Yeşilgöz-Zegerius in een brief aan de Tweede Kamer.
Omdat een wettelijke grondslag hiervoor momenteel ontbreekt, mag het NCSC anticiperen op het wetsvoorstel. Dat houdt in dat de instantie vertrouwelijke gegevens als persoonsgegevens, IP-adressen, e-mailadressen en namen van aanbieders met derden mag delen, zolang het wetsvoorstel in behandeling is in de Eerste en Tweede Kamer. “De Autoriteit Persoonsgegevens is bevoegd om de naleving van de Algemene verordening gegevensbescherming te handhaven”, waarschuwt de minister.
Tot slot benadrukt Yeşilgöz-Zegerius dat het NCSC alleen “in zeer uitzonderlijke gevallen” deze gegevens mag verstrekken aan niet-vitale bedrijven. “Van belang is daarbij dus wel dat ruimere verstrekking enkel en alleen plaatsvindt in gevallen van zwaarwegende redenen van maatschappelijke aard, waarin het noodzakelijk is om dreigings- en incidentinformatie te verstrekken om nadelige maatschappelijke ontwrichting te voorkomen of te beperken”, aldus de bewindsvrouw.
