56 | Nederlandse Cybersecuritystrategie 2022-2028 Noten 1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 Hoofdlijnen beleid voor digitalisering (Kamerstukken II, 2021-22, 26 643, nr. 842 herdruk). NCTV, ‘Cybersecuritybeeld Nederland’, 2022 en Glossary NIST Computer Security Resource Center. NCTV, ‘Cybersecuritybeeld Nederland’, 2022. Hoofdlijnen beleid voor digitalisering (Kamerstukken II, 2021-22, 26 643, nr. 842 herdruk). De zes nationale veiligheidsbelangen, zoals beschreven in de Nationale Veiligheid Strategie (NVS) kunnen ieder worden geraakt via de digitale ruimte. NCTV, ‘Cybersecuritybeeld Nederland’, 2021. AIVD, ‘Tweede Kamer geïnformeerd over prioriteiten en accenten AIVD voor 2022’, 2021. NCTV, ‘Cybersecuritybeeld Nederland’, 2018-2022; Onderzoeksraad voor Veiligheid, ‘Kwetsbaar door software: lessen naar aanleiding van beveiligingslekken door software van Citrix’, 2021. Cyber Security Raad, ‘Integrale aanpak cyberweerbaarheid’, 2021. Risicomanagement blijkt vaak organisatorisch complex te zijn. Pijnpunten zijn onder andere het in kaart brengen van informatiestromen, het bewaren van een overzicht van hardware en software, het bijhouden van ontwikkelingen, en het consequent actueel houden van risico’s. Voor het kabinet staat digitale autonomie van de EU voor het vermogen om als mondiale speler, in samenwerking met internationale partners, op basis van eigen inzichten en keuzes haar publieke belangen in de digitale wereld te borgen en digitaal weerbaar te zijn in een onderling verbonden wereld (Kamerstukken II, 2021-22, 26 643, nr. 842). Deze werksessies en de bijeenkomsten om met partijen specifieke doelen te formuleren, zijn begeleid door De ArgumentenFabriek (www.argumentenfabriek.nl). De uitkomst van de enquête en sessies met belanghebbenden is gepubliceerd op www.nctv.nl De term CSIRT wordt in deze strategie gebruikt om te refereren aan een CSIRT, zoals gedefinieerd in NIB1 en NIB2. Zie voor een nadere detaillering van deze twee sporen de brief over de integrale aanpak cybercrime die in november 2022 naar de Tweede Kamer zal worden verstuurd. Cyber Security Raad, ‘Integrale aanpak Cyberweerbaarheid’, 2021. Zie ook de doelen in Pijler III. Zie voor meer informatie over schakelorganisaties https://www.ncsc.nl/onderwerpen/samenwerkingspartnerworden/aansluiting-op-het-landelijk-dekkend-stelsel-lds en samenwerkingsverbanden https://www.digitaltrustcenter.nl/samenwerkingsverbanden. Bijlagen | 57 18 De term CSIRT wordt in deze strategie gebruikt om te refereren aan een CSIRT zoals gedefinieerd in NIB1 en NIB2. 19 Voorstel Richtlijn van het Europees Parlement en de Raad betreffende maatregelen voor een hoog gezamenlijk niveau van cyberbeveiliging in de Unie en tot intrekking van Richtlijn (EU) 2016/1148; Voorstel Richtlijn van het Europees Parlement en de Raad betreffende de veerkracht van kritieke entiteiten (CER-richtlijn). 20 Andere veelgebruikte termen voor operationele technologie zijn o.a. Industrial Control Systems (ICS), ICS Supervisory Control and Data Acquisition (SCADA), industriële controlesystemen en Industrial Automation & Control Systems (IACS). 21 Zie ook de doelen in Pijler II. 22 Zoals de Algemene Beveiligingseisen voor Defensieopdrachten 2019 (ABDO); het voorstel voor een herziene Network Code for cybersecurity aspects of cross-border electricity flows als verdere uitwerking van de Verordening van het Europees Parlement en de Raad betreffende de interne markt voor elektriciteit; het voorstel voor een verordening van het Europees Parlement en de Raad betreffende digitale operationele veerkracht voor de financiële sector. 23 Onderzoeksraad voor Veiligheid, ‘Kwetsbaar door software: lessen naar aanleiding van beveiligingslekken door software van Citrix’, 2021. 24 Zie ook de doelen in Pijler II. 25 Hier wordt het verhalen van schade bedoeld door de afnemer bij de leverancier als gevolg van het niet voldoen aan gestelde beveiligingsvereisten voor de veiligheid van hun product of dienst. 26 Zie ook het Evaluatierapport Roadmap Digitaal Veilige Hard- en Software (Kamerstukken II, 2021-2022, 26643, nr. 867). 27 Op basis van een gedelegeerde handeling onder de Europese richtlijn voor radio apparatuur, de Radio Equipment Directive, 2014/53/EU; De Europese cyberbeveiligingverordening, of Cyber Security Act, 2019/881; De uitvoeringswet cyberbeveiligingsverordening. 28 Implementatiewet richtlijnen verkoop goederen en levering digitale inhoud; Op basis van de EU verordening voor medische apparatuur, 2017/745. 29 VN-Reglement nr. 155 — Uniforme bepalingen voor de goedkeuring van voertuigen met betrekking tot cyberbeveiliging en het beheersysteem voor cyberbeveiliging. 30 Met horizontale maatregelen worden niet-sector specifieke maatregelen bedoeld. 31 De nadruk binnen deze pijler ligt op het aanpakken van statelijke actoren en criminelen omdat hier de voornaamste dreiging voor Nederlandse belangen vanuit gaat. Dit laat onverlet dat ook andere kwaadwillende actoren een dreiging kunnen vormen, zoals hacktivisten. Waar relevant kunnen activiteiten die bijdragen aan het bereiken van doelen in deze pijler ook ten goede komen aan de aanpak van andere kwaadwillende actoren. 32 Zie ook de doelen in Pijler I. 33 Zie ook de doelen in Pijler I. 34 Naast de genoemde organisaties zijn er ook andere opsporingsdiensten die in specifieke gevallen een rol kunnen spelen om kwaadwillende actoren op te sporen, aan te pakken en te verstoren zoals de Douane, de Fiscale Inlichtingen- en Opsporingsdienst (FIOD) en de Koninklijke Marechaussee. 35 Als het laatste redmiddel kan Defensie zowel onder normale als in buitengewone omstandigheden (extra) voortzettingsvermogen leveren ter ondersteuning van het civiele gezag. 36 Resolutie door de Algemene Vergadering van de Verenigde Naties (A/RES/53/70) over ‘developments in the field of information and telecommunications in the context of international security’, 1998. 37 Verenigde Naties, ‘Report of the Group of Governmental Experts on Advancing responsible State behaviour in cyberspace in the context of international security’, 2021; Verenigde Naties, ‘Open-ended working group on developments in the field of information and telecommunications in the context of international security: final substantive report’, 2021. 38 NCTV, ‘Cybersecuritybeeld Nederland, 2022. 39 Behavioural Insights Netwerk Nederland, ‘Gedragsadviezen Gedragswetenschappelijk perspectief op vijf grote maatschappelijke vraagstukken: klimaat, digitalisering, kansengelijkheid, wonen en niet-gebruik van voorzieningen’, 2022. 40 Centraal Bureau voor de Statistiek, ‘de Veiligheidsmonitor 2022’, 2022. 41 Deze pijler hangt nauw samen met de bestrijding van cybercriminaliteit zoals ook in pijler 4 aan bod komt. 42 Cyber Security Raad, ‘Integrale aanpak cyberweerbaarheid’, 2021. 43 Onderzoeksraad voor Veiligheid, ‘Kwetsbaar door software: lessen naar aanleiding van beveiligingslekken door software van Citrix’, 2021. 44 In lijn met motie van het lid Amhaouch c.s. over een analyse van de effectiviteit van initiatieven om personeelstekorten in de technieksector op te lossen (Kamerstukken II, 20212022, 35925 XIII, nr. 38). 45 Cyber Security Raad, ‘Advies inzake de focus en aanpak van het evaluatieonderzoek van de Nederlandse Cybersecurity Agenda (NCSA)’, 2020. 46 https://www.toolboxbeleidsevaluaties.nl 47 Kamerstukken II 2020-2021, 26643, nr. 763. 48 Zie voor de verdeling per departement Budgettair overzicht bij het regeerakkoord 'Vertrouwen in de toekomst’, 2017. 49 Een deel van de acties baseert zich op de implementatie van Europese regelgeving, zoals NIB2, CER en CRA, waarvoor de onderhandelingen nog lopen. De precieze benodigde investeringen voor deze trajecten zijn momenteel nog niet te overzien.