8 | Nederlandse Cybersecuritystrategie 2022-2028 risico’s voor het totale ecosysteem waaronder vitale sectoren en processen, bij de minst volwassen digitale deelnemers ligt: individuen, kleine bedrijven, en lokale overheden. Vele meer volwassen organisaties, techbedrijven en overheidsinstanties werken aan een veiliger en meer stabiel internet, maar gaan er tegelijkertijd impliciet van uit dat individuen in staat zijn te bepalen welke beveiliging ze moeten installeren en hoe een passwordmanager te gebruiken. Natuurlijk is en blijft eigen cyberhygiëne van eenieder een wezenlijk punt, maar vanuit systemisch oogpunt ontoereikend om onze belangen digitaal weerbaar te houden. Als kabinet hebben we daar een taak, namelijk ervoor zorgen dat het ecosysteem bijdraagt en dienend is aan onze publieke waarden en de randvoorwaarden van cybersecurity daarin dekt. Veel (digitale) systemen, diensten en processen zijn niet ontworpen met cybersecurity en risicomanagement als fundament (security-by-design en security-by-default) met als gevolg dat de eindgebruikers verantwoordelijk zijn om ons systeem digitaal veilig te houden. In andere sectoren is het ecosysteem in de loop der jaren uitgewerkt in een uitgebalanceerde samenstelling van instrumenten, zoals wettelijke veiligheidseisen, certificeringen, keurmerken en verplichte opleidingen. Op den duur zal ook voor de cyberveiligheid van digitale producten en diensten dergelijke structuren worden opgezet. Het kabinet zet daarom in op het versterken en transformeren van het digitale ecosysteem waarbij één organisatie of één individu niet langer de zwakste schakel kan zijn. Dat betekent dat een herschikking van de verantwoordelijken van alle spelers in het ecosysteem noodzakelijk is waarbij de juiste rechten en plichten bij de juiste partijen terecht komen. Het herschikken van verantwoordelijkheden in de digitale ruimte vergt de inzet van een uitgebalanceerd samenspel aan instrumenten: van intensievere publiek-private samenwerking tot nieuwe wetgeving, met als doel een ecosysteem te creëren waarbij burgers en (kleine) bedrijven in beginsel veilige producten en diensten kunnen afnemen. Inleiding en context | 9 In het kader de Europese digitaal eengemaakte markt, het streven naar een gelijk speelveld en veilige (Internet of Things) producten en diensten zet het kabinet daarbij zo veel mogelijk in op het ontwikkelen van Europese wet- en regelgeving. In Europees verband zijn inmiddels diverse wettelijke maatregelen en initiatieven gerealiseerd om dit te bewerkstelligen. We zullen uiteindelijk moeten komen tot een situatie waarbij elke partij die deel uitmaakt van het digitale ecosysteem inzicht heeft in zijn bijdrage aan de veiligheid en stabiliteit van het totaal. Dit vergt een systeemtransformatie. Geen enkele partij kan dat alleen, ook de overheid niet. Het is een gezamenlijke inspanning waarbij alle deelnemers aan de transformatie bijdragen. Dat is niet vrijblijvend. Cybersecurity zal immers altijd een gedeelde verantwoordelijkheid blijven tussen degene die de (digitale) infrastructuur bouwen, degenen die deze beheren en degenen die deze gebruiken. Dit vergt samenwerking, maar ook stevige coördinatie, zodat dat de inspanningen in samenhang verlopen en uiteindelijk meer zijn dan de som der delen. Het kabinet beschrijft in de Nederlandse cybersecuritystrategie de visie op een digitaal veilig Nederland waarin burgers en bedrijven ten volle kunnen profiteren van deelname aan de digitale samenleving, vrij van zorgen over cyberrisico’s. Dit is de stip op de horizon. Op sommige thema’s zal de realisatie van deze visie meerdere kabinetsperioden in beslag nemen of zelfs een permanent streven blijven. Met de strategische doelen en het actieplan beschrijft het kabinet op welke manier het de komende jaren zal bijdragen aan het realiseren van de visie. Fasering, prioritering en keuzes maken zijn daarbij nodig want het realiseren van een digitaal veilig Nederland zal jaren in beslag nemen. Niet alle ambities zullen op korte of middellange termijn kunnen worden gerealiseerd. Daar waar het realiseren van de ambities extra middelen behoeft, kiest het kabinet er in deze fase voor om structureel te investeren in de AIVD en de MIVD met als doel beter zicht en grip te krijgen op de dreiging. Daarnaast worden er ook middelen beschikbaar gesteld om het Landelijk Dekkend Stelsel van cybersecurity samenwerkingsverbanden te versterken, onder andere door de doorontwikkeling van het NCSC richting een nationale CSIRT en door het centraliseren van overheidsschakelorganisaties waar dit kan en dit het publieke belang dient. Tenslotte worden er middelen beschikbaar gesteld voor departementen met grote sectorale uitdagingen zodat zij de digitale weerbaarheid van deze sectoren gericht kunnen versterken. In het algemeen geldt dat er voor het uitvoeren van de acties zoals verwoord in het actieplan voldoende dekking is. Wanneer er echter sprake zal zijn van vervolgstappen of aanvullende (wetgevings)trajecten als gevolg van de acties, zal additionele dekking gevonden moeten worden. In de bijlagen staat een uitgebreidere toelichting op de financiële onderbouwing van deze strategie. De strategie zal tevens duidelijk maken wat concreet van de overheid kan worden verwacht en waarvoor ze ook aanspreekbaar is. Samenwerking in het cybersecuritydomein De strategie is tot stand gekomen met een brede betrokkenheid van vele publieke, private en maatschappelijke organisaties en bouwt voort op eerdere kabinetsbrede cybersecuritystrategieën uit 2011, 2013 en 2018. Voor de totstandkoming en implementatie van de strategie werken alle ministeries samen, ook met publieke en private partners. De minister van Justitie en Veiligheid is coördinerend bewindspersoon voor cybersecurity, en verantwoordelijk voor de aanpak van cybercrime, en voert regie op de uitvoering van deze strategie en de monitoring daarvan. Echter, voor het behalen van de cybersecuritydoelen houdt iedere partij zijn eigen taken en verantwoordelijkheden Tot slot is er een nauwe samenhang met de inzet van het kabinet op digitalisering, onder regie van de staatssecretaris voor Koninkrijksrelaties en Digitalisering, zoals uiteengezet in de hoofdlijnenbrief digitalisering van 8 maart 2022.1 Cybersecurity: het geheel aan maatregelen om relevante digitale risico’s tot een aanvaardbaar niveau te reduceren. Dit omvat ook het omgaan met risico’s op schade of uitval van digitale systemen en de beschikbaarheid, integriteit en vertrouwelijkheid van gegevens. De maatregelen kunnen zijn gericht op het voorkomen van cyberincidenten en - wanneer cyberincidenten zich hebben voorgedaan - deze te ontdekken, schade te beperken en herstel eenvoudiger te maken. Wat een aanvaardbaar niveau is, is de uitkomst van een risico-afweging.2 Digitale weerbaarheid: het vermogen om (relevante) risico’s tot een aanvaardbaar niveau te reduceren door middel van een verzameling van maatregelen om cyberincidenten te voorkomen en wanneer cyberincidenten zich hebben voorgedaan deze te ontdekken, schade te beperken en herstel eenvoudiger te maken. Wat een aanvaardbaar niveau van weerbaarheid is, is de uitkomst van een risico-afweging. Die kan helpen om de juiste technische, procedurele of organisatorische maatregelen te kiezen.3 Cybercriminaliteitsbestrijding: bestrijding van criminaliteit waarbij een computersysteem wordt aangevallen of misbruikt voor criminele activiteiten. Cybercrimebestrijding is een integraal onderdeel van de cybersecurity aanpak.