Het uitwisselen van Informatie over cyberaanvallen moet centraal georganiseerd worden. Nu is informatie nog te veel versnipperd over verschillende organisaties waardoor met name bedrijven onvoldoende op de hoogte zijn van dreigingen en incidenten. Dat stelt de Cyber Security Raad (CSR). Die adviseurs van het kabinet komen met een aantal voorstellen om de situatie te verbeteren.
In het rapport met adviezen over informatie-uitwisseling over cybercrime schrijft CSR dat het delen van kennis op dit moment vooral gericht is op overheden en vitale sectoren (onder andere energie-, telecom- en transportsector – red.).
De raad stelt dat het delen van dreigingsinformatie buiten die vitale sectoren in hoge mate tekort schiet. In het rapport staat: ‘Het niet als vitaal aangemerkte deel van het bedrijfsleven heeft bewust of onbewust een informatietekort, omdat zij onvoldoende of niet zijn aangesloten op de structuur waarbinnen cybersecurity gerelateerde informatie wordt gedeeld. Er bestaat een aantal publiek-private samenwerkingsverbanden waarbij dreigingsinformatie en handelingsperspectieven worden gedeeld, maar dit vormt geen dekkend geheel.’
CSR bepleit dat bestaande informatieknooppunten beter informatie delen om tot een landelijk stelsel voor informatie-uitwisseling te komen. De ministeries van Economische Zaken en Veiligheid & Justitie moeten daar volgens de raad de verantwoordelijkheid voor dragen. (Zie ook de adviezen in onderstaand kader).
Gebrek aan aangiftes
De raad maakt zich ook zorgen over het gebrek aan aangiftes. Veel bedrijven houden cyberincidenten onder de pet uit angst voor reputatieschade. Door die houding ontbreekt een duidelijk overzicht van de omvang en impact van incidenten.
CSR: ‘Cybercriminaliteit neemt in omvang toe en vormt een steeds grotere bedreiging. De groeiende dreiging voor de cybersecurity van Nederland wordt vooral veroorzaakt door beroepscriminelen en statelijke actoren. Door het gebrek aan meldingen en aangiftes is er een incompleet beeld van cybercrime in Nederland. Inzicht in cybercrime is noodzakelijk om effectiever erop in te kunnen spelen.’
Om tot meer aangiftes te komen, moet de situatie bij de politie verbeteren. ‘Op dit moment is er vaak onvoldoende zichtbare opvolging van de aangifte en vindt nauwelijks terugkoppeling plaats over wat er met de aangifte is gedaan’, schrijft de raad.
Leveranciers
Volgens de raad is er ook een belangrijke rol weggelegd voor leveranciers van internetproducten en -diensten. Zij spelen een essentiële rol in het veilig maken en houden van organisaties.
‘Zij dienen een goede invulling te geven aan hun zorgplichten en hun klanten te ontzorgen door het leveren van relevante en toegankelijke informatie bij het veilig houden van hun digitale infrastructuur.’
Adviezen Cyber Security Raad
De adviezen van de Cyber Sesurity Raad zijn gericht op de overheid en het bedrijfsleven. ‘Alleen als de verbetering van informatie-uitwisseling op het terrein van cybersecurity en cybercrime in gezamenlijkheid wordt opgepakt, gaat het werken’, stelt de raad.
De raad adviseert de minister van Economische Zaken en de staatssecretaris van Veiligheid en Justitie gezamenlijk:
Voer in samenwerking met de private sector een zoveel mogelijk op bestaande structuren gebaseerd landelijke dekkend stelsel van informatieknooppunten in. Versnel in dit kader de invoering van een Digital Trust Centre voor het bedrijfsleven dat geen deel uitmaakt van de vitale infrastructuur.
De raad adviseert de minister van Economische Zaken
Maak een financiële stimulans mogelijk voor brancheorganisaties, zodat zij hun functie op het terrein van cybersecurity richting het bedrijfsleven kunnen vervullen.
De raad adviseert de staatssecretaris van Veiligheid en Justitie:
Versnel de uitrol van het Nationaal Detectie Netwerk (NDN) en maak het mogelijk informatie uit het NDN breed te delen met het bedrijfsleven.
De raad adviseert de minister van Economische Zaken, de voorzitter van VNO-NCW, de voorzitter van MKB-Nederland de voorzitter van Nederland ICT, de voorzitter van het CIO Platform Nederland, de voorzitter van de Kamer van Koophandel en voorzitters van brancheverenigingen gezamenlijk:
Maak het bedrijfsleven cyberbewust en motiveer hen een actieve rol in het delen van dreigingsinformatie en opvolgen van handelingsperspectieven op zich te nemen in het kader van het landelijk dekkend stelsel.
Stimuleer bedrijven om melding en/of aangifte van cybercrime te doen.
Zorg voor een cross sectorale aanpak van ISAC’s waarbij de ketengedachte centraal staat. De initiatieven die Schiphol en de Rotterdamse Haven met hun ketenpartners hebben ontwikkeld zijn daar goede voorbeelden van.
De raad adviseert De Korpschef Nationale Politie:
Maak het doen van melding en/of aangifte van cybercrime door slachtoffers laagdrempeliger en zorg voor een goede terugkoppeling over de opvolging ervan.
De raad adviseert de Korpschef Nationale Politie en het College van procureurs-generaal gezamenlijk:
Intensiveer en structureer de publiek-private samenwerking om de informatiepositie met betrekking tot cybercrime te versterken.
