46 | Nederlandse Cybersecuritystrategie 2022-2028 Governance, evaluatie en monitoring | 47 Evaluatie en monitoring Aanpak De digitale veiligheid van Nederland is onlosmakelijk verbonden met technologische en maatschappelijke ontwikkelingen. Cybersecuritymaatregelen die vandaag effectief zijn, kunnen morgen alweer achterhaald zijn. Voor deze strategie en het bijbehorende actieplan is daarom gekozen voor een adaptieve benadering. Om in te kunnen spelen op trends, actuele dreigingen en risico’s, moeten de maatregelen die volgen uit de Nederlandse Cybersecuritystrategie in de loop van de tijd kunnen worden uitgewerkt, aangepast of versterkt. De Nederlandse Cybersecuritystrategie (NLCS) is de vierde Nederlandse integrale cybersecuritystrategie. Voor het opstellen van deze monitoring- en evaluatieprogrammering is gebruik gemaakt van de methodiek van de Strategische Evaluatie Agenda (SEA).46 Het doel van deze methode is om op een gestructureerde manier monitoring- en evaluatieactiviteiten te plannen, zodat op de juiste momenten relevante inzichten voor leren en verantwoorden worden verkregen. Daarbij is het van belang om te onderzoeken wat wel en niet werkt, zodat de overheid en andere partners zo effectief mogelijke (beleids)interventies kunnen doen en investeringen zoveel mogelijk resultaat opleveren voor de samenleving. Het is echter niet eenvoudig om het effect van cybersecuritybeleid te meten, zoals onder andere is beschreven door de Cyber Security Raad.45 Allereerst bestaat deze strategie uit verschillende doelen die erop gericht zijn Nederland in staat te stellen de economische en maatschappelijke kansen van digitalisering te verzilveren en tegelijkertijd onze veiligheid te beschermen. Het succesvol realiseren van de doelstellingen van deze strategie is daarmee een optelsom van allerlei verschillende factoren. Ten tweede zijn veiligheidsinterventies gericht op het voorkomen van incidenten. Het is per definitie ingewikkeld om te meten hoeveel en wat voor incidenten er voorkomen zijn. Ten derde is cybersecurity ook afhankelijk van externe factoren. Het is de vraag in hoeverre de verbetering van cybersecurity is toe te schrijven aan het cybersecuritybeleid zelf. De evaluatieaanpak van deze strategie moet hier dus rekening mee houden. Evaluatieprogramma Leidende principes vanuit de Rijksoverheid voor cybersecuritybeleid en wetgeving: • Digitale veiligheid is integraal onderdeel van de digitaliseringsopgave van Nederland. • Digitale veiligheid, weerbaarheid en veerkracht dienen gemeengoed te zijn. Cyberrisico’s zijn integraal onderdeel van een bredere risicobeoordeling. In lijn daarmee nemen organisaties maatregelen die proportioneel, realistisch en, waar nodig, sectorspecifiek zijn. • Organisaties, overheden en bedrijven hebben ieder een eigen verantwoordelijkheid om hun digitale weerbaarheid op orde te brengen en up-to-date te houden; de overheid informeert, stimuleert, faciliteert, verleent bijstand op basis van risicobeoordeling en stelt (juridische) kaders en intervenieert waar nodig, daarbij rekening houdend met het volwassenheidsniveau van organisaties en het belang dat organisaties vertegenwoordigen. • Het is voor organisaties en burgers duidelijk waar en wanneer zij terecht kunnen voor informatie, kennis en bijstand. • De Rijksoverheid en medeoverheden geven het goede voorbeeld, en hebben een weerbaarheidsniveau dat past bij de risico’s. Dat is nodig om onze publieke belangen te beschermen. • Effectieve en efficiënte inzet van capaciteit binnen de overheid door zaken doeltreffend te organiseren, tijdig te handelen en zoveel mogelijk samen te werken. De Nederlandse Cybersecuritystrategie is het generieke kader dat versnippering van de inzet op digitale veiligheid tegengaat, dit is de basis. Hier bovenop is er ruimte voor specifieke invulling onder andere door sectorale beleidskaders, strategieën, agenda’s, routekaarten op deelonderwerpen of aanvullende normenkaders. • Publiek-private samenwerking is en blijft het fundament - de krachten bundelen. Publiekprivate samenwerking is erop gericht om concrete en meetbare resultaten te behalen. • Digitale veiligheid is grensoverschrijdend en daarom is internationale samenwerking in EUen NAVO-verband en daarbuiten essentieel. Nederland neemt hierbij een voortrekkersrol. Waar mogelijk wordt gezocht naar oplossingen in internationaal en Europees verband om de cybersecurity en digitale autonomie te versterken. Het is echter van belang om te blijven werken aan het verbeteren van ons inzicht in de effecten van cybersecuritybeleid, om ook in de toekomst een effectieve cybersecurityaanpak te hebben. Hiervoor is er een monitoring- en evaluatieprogrammering opgesteld bij de Nederlandse Cybersecuritystrategie, waarbij is uitgegaan van wat er wel mogelijk is. Ex-ante fase Onder het vorige kabinet is er voor het eerst een evaluatie uitgevoerd van de Nederlandse Cybersecurity Agenda (NCSA).47 Naar aanleiding van de ervaringen met de NCSA is er bij het opstellen van deze strategie voor gekozen om een striktere scheiding tussen strategie en actieplan aan te brengen. De strategie kan meer toekomstgericht en duurzaam zijn, met daarbij een adaptief actieplan om bij veranderingen in de belangen, de dreiging, de weerbaarheid of andere politiek-bestuurlijke behoeften te kunnen bijsturen of intensiveren. Daarnaast kunnen acties die afgerond zijn weer leiden tot vervolgacties, bijvoorbeeld als er een verkenning of onderzoek wordt gedaan. Andere aandachtspunten die uit deze evaluatie meegenomen (of meegenomen worden in het opstellen van de actieplannen) zijn het expliciet beleggen van eigenaarschap en verantwoordelijkheden en beoogde acties en effecten concreter te beschrijven. Ten slotte is het van belang om meer aandacht te schenken aan de meetbaarheid van de beoogde resultaten en effecten van de strategie en (tussentijdse) evaluatie. In de evaluatie van de NCSA wordt een methodiek voorgesteld om te komen tot een logische opbouw van een strategie. Deze is gevolgd door hoofddoel-