Cybersecuritybeeld Nederland

Het Cybersecuritybeeld Nederland 2020 (CSBN 2020) biedt inzicht in de digitale dreiging en de belangen die daardoor kunnen worden aangetast. Het gaat ook in op de weerbaarheid tegen de digitale dreiging en op de digitale risico’s. Het accent ligt daarbij op de nationale veiligheid. Het CSBN is een jaarlijkse publicatie van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en is door de NCTV, in samenwerking met het Nationaal Cyber Security Centrum, opgesteld.

Digitale risico’s onverminderd groot

De digitale risico’s voor Nederland zijn onverminderd groot en niet fundamenteel veranderd. Vanuit het perspectief van nationale veiligheid gaat het vooral om de risico’s van (voorbereidingen voor) sabotage en spionage door statelijke actoren. Ook bestaat het risico van (grootschalige) uitval van digitale diensten, processen of systemen. Verder is er het risico van cyberaanvallen door criminele actoren die het te doen is om economisch gewin. Afpersing door de inzet van ransomware blijkt succesvol. Mogelijk is er onder criminelen sprake van toenemende intenties en capaciteiten om procesbesturingssystemen van vitale processen te raken. Ransomware, maar ook informatiediefstal of digitale manipulatie door criminelen heeft primair impact op de organisatie die daarvan het slachtoffer is. Toch ondervinden ook andere diensten, processen, systemen en organisaties die daarvan afhankelijk zijn of daarmee in verbinding staan de – potentieel dus ook voor de maatschappij cruciale - gevolgen.

Digitale dreiging permanent

Net als in 2019 kan ook nu worden geconcludeerd dat de digitale dreiging een permanent karakter heeft en dat cyberincidenten kunnen leiden tot maatschappij-ontwrichtende schade. Hoewel maatschappelijke ontwrichting door cyberincidenten zich in Nederland nog niet heeft voorgedaan, valt dat in de toekomst niet uit te sluiten.

Digitale veiligheid randvoorwaarde voor functioneren maatschappij

Digitale veiligheid is onlosmakelijk verbonden met de nationale veiligheid. Dit geldt in het bijzonder voor digitale veiligheid van vitale processen en voor de (mondiale) digitale ruimte, hét digitale fundament van onze maatschappij. Het is tegelijkertijd een ruimte die actoren mondiaal misbruiken voor cyberaanvallen en het is potentieel terrein voor conflicten tussen staten. Vitale processen zijn eveneens essentieel voor de maatschappij én doelwit van (vooral) statelijke actoren tijdens of ter voorbereiding op conflicten. De digitale ruimte en vitale processen zijn nauw met elkaar verweven. Eveneens van belang is de digitale veiligheid van andere voor de maatschappij cruciale organisaties, diensten en processen. Digitale risico’s staan niet los van elkaar en kwetsbaarheden bij de een kunnen gevolgen hebben voor de ander.

Digitale weerbaarheid nog niet overal op orde

Digitale weerbaarheid is nog niet overal op orde. Daardoor zijn partijen extra kwetsbaar voor cyberincidenten. Dat geldt zeker wanneer er onvoldoende basismaatregelen zijn getroffen, om eerste barrières op te werpen tegen cyberaanvallen, schade te beperken en herstel eenvoudiger te maken wanneer incidenten zich toch voordoen. Tegelijkertijd blijft weerbaarheid tegen cyberincidenten een weerbarstige opgave. Digitale diensten en processen zijn onderling verweven. Systemen bestaan uit vele componenten van hard- en software en zijn verbonden met allerlei andere systemen. Er zijn onveilige producten en diensten in de markt. ‘Gebruikers’ gedragen zich in de digitale ruimte (onbewust) niet veilig. Dit alles introduceert potentiële kwetsbaarheden die niet alleen de gelegenheid bieden voor cyberaanvallen, maar ook kunnen leiden tot uitval.

Digitale risico’s staan niet los van andere risico’s

Digitale risico’s van een land, sector of partij zijn met elkaar en met andersoortige risico’s verbonden. Digitale diensten, processen en systemen maken onderdeel uit van een groter geheel, de mondiale digitale ruimte. De financiële crisis van 2008 en de COVID-19 pandemie in 2020 (hebben) laten zien dat incidenten snel en op grote schaal wereldwijd kunnen doorwerken naar andere domeinen en de samenleving en economie in het hart kunnen raken. Ook cyberincidenten kunnen dat effect hebben. Dat geldt zeker wanneer incidenten zich op grote schaal gelijktijdig, opeenvolgend of samen met andere incidenten zouden voordoen. Een combinatie van een grootschalig cyberincident en de COVID-19 pandemie zou bijvoorbeeld grote gevolgen hebben.

Als de digitale weerbaarheid van landen of organisaties tekort schiet, dan heeft dat ook gevolgen voor andere landen en organisaties. Als landen of organisaties hun digitale weerbaarheid wel op peil hebben, dan nog kunnen ze in de problemen komen door cyberincidenten bij anderen.

Vergroting weerbaarheid belangrijkste instrument om digitale risico’s te beheersen

Vergroting van digitale weerbaarheid blijft het belangrijkste instrument om digitale risico’s in voldoende mate te kunnen beheersen. Zowel de kans dat cyberincidenten zich voordoen, als de impact ervan, kunnen zo worden verkleind. Digitale weerbaarheid kan vergroot worden met technische, procedurele of organisatorische maatregelen. Andere manieren zijn bijvoorbeeld wetgeving, subsidieverlening, scholing om gebruikers te bekwamen in veilig gedrag, voorlichtings- en bewustwordingscampagnes, samenwerking tussen partijen en normerende kaders voor digitalisering van diensten en processen en het ontwerp van systemen.

Het vergroten van digitale weerbaarheid is zeker niet alleen een opgave voor technische experts. Het is ook, of wellicht vooral, een vraagstuk van governance en/of risicomanagement voor bestuurders van organisaties en (groepen van) landen.

Infographic Cybersecuritybeeld Nederland 2020