Het beleid op cybersecurity kampt met structurele problemen, stelt de Nederlandse overheid. Gebruikers van ICT-diensten hebben te weinig verstand van beveiliging en onveilige software blijft vaak (lang) onveilig. Om cybersecurity effectief te maken, zou verregaande standaardisatie nodig zijn, maar dat stuit weer op andere bezwaren.
De regering heeft haar reactie gepubliceerd op een consultatie van de Europese Commissie. Brussel zoekt naar manieren om publiek-private samenwerking te versterken en langs die weg de ICT-beveiliging te verbeteren. Het maatschappelijk belang van ICT wordt steeds groter en daarmee wordt beveiliging steeds meer beschouwd als een publiek belang, dus met een rol voor overheid en toezichthouders. Het consultatiedocument heeft nog een voorlopig karakter, eind maart wordt het voltooid.
In de nationale cybersecurity strategie van oktober 2015 heeft de regering al de belangrijkste risico’s omschreven. Dit zijn economische spionage/diefstal van bedrijfsgeheimen en sabotage van infrastructuur. Ten derde is de privacy van het individu kwetsbaar voor aanvallen.
Er is geen goede beveiligingssoftware beschikbaar. Het probleem volgens de overheid is de grote informatie-asymmetrie die er bestaat tussen de makers van software en hun klanten. Klanten kunnen niet beoordelen hoe de prijs en kwaliteit van beveiliging is. Dat maakt het voor aanbieders lonender om te zeggen dat hun product veilig is, dan om het veiliger te maken.
Het document beschrijft verder drie problemen voor de komende vier jaar. Ten eerste de balans tussen cybersecurity en privacy. ‘Privacy by design’ en ‘privacy by default’ worden noodzakelijk geacht.
Daarnaast moet het principe ‘security by design’ veel sterker gaan gelden in software, anders blijven er problemen met te laat of niet patchen van (vaak verouderde) systemen.
Ten derde ontstaat er steeds meer noodzaak om internet aan te merken als ‘kritieke ruimte’. Dit staat echter haaks op het open en innovatieve karakter van het internet.
Nederland stelt dat security and privacy by design een belangrijke rol moet gaan krijgen in de nieuwe regels van de Europese Commissie. Daarbij moet de focus niet alleen liggen op nieuwe ontwikkeling, maar ook op invoering en uitwerking van bestaande kennis.
