28 | Nederlandse Cybersecuritystrategie 2022-2028 Dit leidt tot de volgende subdoelen: • Organisaties weten wat de cybersecuritybasismaatregelen zijn en passen deze toe. • Overheidsorganisaties en NIB2-organisaties voldoen aan hoge veiligheidseisen op basis van (nieuwe) wet- en regelgeving. • Organisaties zijn zich op alle niveaus (ook bestuurlijk) bewust van het belang van cybersecurity. • Organisaties richten hun risicomanagement ook op digitale risico's en maken dit vaker inzichtelijk. • Toezicht op de digitale weerbaarheid van organisaties is meer afgestemd op risico's voor zichzelf, hun sector en hun belang voor anderen. Organisaties reageren, herstellen en leren snel en adequaat op en van cyberincidenten en –crises Voor een effectieve voorbereiding op digitale incidenten dienen organisaties incident-, continuïteit- en herstelplannen te ontwikkelen, passend bij het (risico)profiel van de organisatie. Deze plannen moeten regelmatig geoefend worden, binnen de eigen organisatie en met partners in de sector en keten zodat werknemers weten hoe te handelen ten tijden van incidenten. Hierbij is ook aandacht nodig voor effecten die kunnen optreden in de fysieke wereld. Mocht een incident toch plaatsvinden dan is het voor organisaties van belang dat zij hulp hebben georganiseerd. Daarnaast heeft het NCSC een wettelijke bijstandsrol, waarbij de primaire focus ligt op nationale veiligheid en het voorkomen van maatschappelijke ontwrichting. Het NCSC is verantwoordelijk voor de operationele coördinatie en regie in tijden van landelijke crises. Ook zorgt de overheid voor samenhangende publieke- en private cybersecuritydienstverlening bij incidenten, bijvoorbeeld samen met (vertrouwde) cybersecuritybedrijven.24 Zo stimuleert de Rijksoverheid ook dat organisaties meer en beter samenwerken om cybercapaciteiten bij crises zo effectief en efficiënt mogelijk in te zetten. Doelen | 29 Voor een respons bij een landelijke cybercrisis is een efficiënte samenwerking tussen overheidsorganisaties, het bedrijfsleven, de wetenschap en maatschappelijke organisaties van groot belang ─ ook over lokale, regionale en nationale grenzen heen. De overheid stimuleert dat bij overstijgende cyberincidenten en -crises volwaardig geïntegreerd wordt gehandeld op basis van een overkoepelend landelijk kader in de vorm van het Landelijk Crisisplan Digitaal. We moeten ten slotte lessen blijven trekken uit incidenten- en crises. Daartoe zullen organisaties onderling actiever ervaringen en geleerde lessen moeten delen, waarbij vertrouwen voorop staat. Overheidsorganisaties delen gerichter informatie om zo beter inzicht te krijgen in de mate van weerbaarheid van organisaties, sectoren en ketens, waar mogelijk in samenwerking met bijvoorbeeld het bedrijfsleven of brancheorganisaties. De overheid benut dit inzicht om te sturen daar waar de weerbaarheid achterblijft bij de dreiging. Om dit mogelijk te maken is aandacht voor de meetbaarheid van weerbaarheid, meer inzicht in de kosten en baten van cybersecurityincidenten- en maatregelen onontbeerlijk. Dit leidt tot de volgende subdoelen: • Organisaties zijn in staat snel te reageren op en te herstellen na een cyberincident en oefenen hiermee. • De overheid biedt samenhangende cybersecuritydienstverlening met een herkenbaar aanspreekpunt voor organisaties. • De overheid, bedrijven en wetenschap werken intensief samen om cybersecurity-expertise effectief in te zetten. • Organisaties werken goed samen in geval van (landelijke) cybersecuritycrises, passend bij (boven)regionale en (inter)nationale crisismechanismen. • Organisaties evalueren cyberincidenten, leren hiervan en delen deze lessen onderling. Acties met prioriteit pijler I Onderstaande acties geven de prioriteiten voor de lopende kabinetsperiode weer waarmee het kabinet invulling geeft aan de doelstellingen uit deze pijler. Een uitgebreid overzicht van acties wordt weergegeven in de bijlage. Dat actieplan wordt jaarlijks geactualiseerd en geeft inzicht in de onderliggende acties, verwachte doorlooptijd en verantwoordelijken. A. Versnippering binnen het stelsel tegengaan • Het tijdig ontvangen van informatie over dreigingen en kwetsbaarheden op een manier die past bij het volwassenheidsniveau van de organisatie is een van de belangrijkste elementen voor een digitaal weerbaar Nederland. Om dit te realiseren moet de beschikbare capaciteit en expertise zo effectief mogelijk ingezet worden. Versnippering binnen het cybersecurity informatiedelingsstelsel moet zoveel mogelijk worden tegengegaan. Het NCSC, DTC en CSIRT-DSP worden daarom samengevoegd tot één nationale cybersecurity autoriteit. Deze nieuwe organisatie zal in samenwerking met publiek en private parners, vitale en niet-vitale organisaties, overheden en burgers voorzien van beveiligingsinformatie en handelingsperspectief, passend bij hun volwassenheidsniveau. • Van de overige schakelorganisaties binnen het cybersecurity informatiedelingsstelsel wordt beoordeeld welke van hun taken (beveiligingsinformatie verspreiden; bijstand verlenen; oefeningen organiseren etc.) centraal (bij de nationale cybersecurity autoriteit) of sectoraal belegd moeten worden. • Cybersecurity is een dreiging die publiek-privaat aangepakt moet worden. Een belangrijk element hierin is gezamenlijk verzamelen en duiden van dreigingsinformatie. Daarom start het kabinet met uitwerken van publiek-privaat platform voor informatie-en kennisdeling. B. Vrijblijvendheid voorbij • Met de implementatie van de NIB2 richtlijn worden ruim 5000 bedrijven in Nederland verplicht om cybersecurity incidenten te melden en specifieke maatregelen te nemen om hun digitale weerbaarheid te verhogen. Er wordt toezicht gehouden op de naleving van deze plichten. Deze plichten gelden nu nog maar voor slechts 200 organisaties in Nederland, deze uitbreiding zorgt dus voor een verhoging van de digitale weerbaarheid van aangewezen organisaties. • Het kabinet neemt daarnaast verschillende maatregelen om de digitale weerbaarheid van specifieke sectoren te verhogen. Zo komen er extra normen voor de zorg- en onderwijssectoren. Het kabinet stelt verschillende tools beschikbaar om organisaties te helpen om hier aan te voldoen. Gemeenten en provincies krijgen te maken met aangescherpte beveiligingseisen. Om hen hierbij te helpen worden vanuit het ministerie van BZK meerdere ondersteuningsprogramma’s worden aangeboden. Tenslotte is het kabinet van mening dat niet alleen de digitale weerbaarheid van IT-systemen aandacht moet krijgen maar ook de weerbaarheid van OT (operationele technologie). Dit zijn complexe digitale systemen die onze sluizen aansturen of de productie in fabrieken reguleren, de impact van uitval is hoog. Het kabinet zet daarom in op het vergroten van kennis en bewustzijn van de risico’s bij organisaties die gebruik maken van deze systemen. >>