De Nederlandse aanpak van digitale veiligheid moet snel en fundamenteel veranderen om te voorkomen dat de maatschappij ontwricht raakt door cyberaanvallen. Dat concludeert de Onderzoeksraad voor Veiligheid in het rapport ‘Kwetsbaar door software’. De Onderzoeksraad onderzocht beveiligingslekken die ontstonden bij duizenden organisaties door kwetsbaarheden in software van Citrix. De conclusies en aanbevelingen gelden ook voor andere kwetsbaarheden, zoals nu in Log4J.
Overheid moet sneller alarmeren
Een belangrijke aanbeveling is om kwetsbare organisaties sneller te waarschuwen. Het blijkt dat Nederlandse overheidsorganisaties en bedrijven zeer kwetsbaar zijn voor cyberaanvallen en dat er geen nationale structuur is waarbinnen alle potentiële slachtoffers van cyberaanvallen tijdig worden gewaarschuwd.
De kritieke problemen in Citrix werden op 19 december 2019 gemeld. Het Nationaal Cyber Security Centrum (NCSC) heeft onmiddellijk overheidsdiensten en vitale organisaties gealarmeerd. Andere organisaties werden door het NCSC echter niet gewaarschuwd.
Het NCSC ziet voor zichzelf wettelijk geen mandaat om organisaties buiten de overheidsdiensten en vitale organisaties te waarschuwen. Het is volgens de Onderzoeksraad van groot belang dat er vanuit de overheid een centrale aanpak komt om dreigingen te signaleren en alle potentiële slachtoffers van cyberaanvallen zo snel en direct mogelijk te waarschuwen, met voldoende mandaat en wettelijke waarborgen.
Hogere eisen aan leveranciers
De overheid moet ook meer doen om veiligheid af te dwingen. Veilige software is allereerst de verantwoordelijkheid van de fabrikant. De Onderzoeksraad stelt dat fabrikanten meer zouden moeten investeren om de veiligheid van software voortdurend te verbeteren. Afnemers van software hebben te weinig instrumenten om daar wat aan te doen.
De Onderzoeksraad doet de aanbeveling om op Europees niveau kwaliteitseisen aan software te stellen om softwarefabrikanten te dwingen verantwoordelijkheid te nemen voor de veiligheid van hun product. De Onderzoeksraad adviseert overheden en het bedrijfsleven hun krachten te bundelen. Door samen te werken kunnen ze hun positie richting softwarefabrikanten versterken en hun schaarse expertise beter benutten.
