Bambi en de koplampen

Het nieuwe jaar en de nieuwe realiteit vragen om actie. Daarom dit nieuwjaarsartikel van mijn hand in de hoop dat dit mensen wakker schudt.

Jarenlange vrede heeft ons in slaap gesust. Ondanks alle oorlogen en het geweld dat bijna dagelijks te zien is op het nieuws, zijn er sinds de Koude Oorlog geen echte zorgen meer geweest over een statelijke dreiging tegen Nederland. Dat heeft gevolgen gehad voor de investeringen in Defensie, maar ten minste zoveel als het gaat over de weerbaarheid van Nederland. De samenleving is daardoor haar zelfredzaamheid verloren. Ze is gewend geraakt aan een overheid en een bedrijfsleven die de continuïteit van zorg, dienstverlening, energie en andere vitale processen faciliteren. Maar deze processen zijn kwetsbaar.

De dreiging waar we ons momenteel tegen moeten weren speelt zich af in het schemergebied tussen oorlog en vrede. Activiteiten met de bedoeling onze open en democratische rechtsstaat te destabiliseren zijn aan de orde van de dag, waardoor de weerbaarheid van de samenleving als geheel onder druk komt te staan. Russische schepen brengen onze energie-infrastructuur op de Noordzee in kaart. Chinese malware werd aangetroffen op Nederlandse defensiesystemen. De Algemene Rekenkamer luidde in 2019 al de noodklok omtrent de cyberveiligheid van onze vitale waterwerken. 

En we weten eigenlijk wel dat dit slechts het topje van de ijsberg is. We horen immers onze inlichtingendiensten en de NCTV aan de lopende band waarschuwen voor onder andere cyberactiviteiten, spionageactiviteiten, politieke ondermijning en concrete aanvallen op vitale infrastructuur en processen. Maar we zijn naïef en blijven denken dat de maatschappij hier geen gevolgen van gaat ondervinden. We kijken als Bambi in de koplampen.

Ik ben nu meer dan zeven jaar actief in het veld van de nationale veiligheid en er dringt zich één waarheid aan mij op die ik graag wil delen. Openheid en transparantie zijn een groot goed. Ze maken controle van de macht voor eenieder mogelijk. Dit is een belangrijk onderdeel van de verworvenheden van onze democratische rechtsstaat. De rechtsstaat die wij als Defensie beloven te beschermen. Deze verworvenheden kunnen echter veranderen in kwetsbaarheden als het geen vrede meer is. En de harde realiteit is: het is geen vrede meer. 

Uit de nieuwste Risico- en Crisisbarometer van de NCTV blijkt dat Nederlanders zich het meest zorgen maken over cyberdreigingen als het gaat om dreigingen voor de nationale veiligheid. Ik deel die zorg en wil daarom een lans breken voor geheimen. En niet omdat we iets te verbergen hebben, maar zeker wel wat te beschermen. 

De overheid doet haar best om zowel de samenleving, zichzelf als het bedrijfsleven bewust te maken van de risico’s van een cyberaanval. Ook internationaal is er beweging. De EU heeft de NIS2-richtlijn ingevoerd, die ingaat op de risico’s die netwerk- en informatiesystemen bedreigen en de verplichtingen waaraan verschillende sectoren moeten voldoen om informatie veilig te houden. Deze richtlijn wordt momenteel omgezet in nationale wetgeving, de Cyberbeveiligingswet. Echter, recent onderzoek wijst uit dat slechts een derde van de ICT-verantwoordelijken in het bedrijfsleven wel eens van de NIS2-richtlijn heeft gehoord of goed op de hoogte is van wat dit voor hun bedrijf gaat betekenen. En een richtlijn om onder andere informatie veilig te houden doet niet meer ter zake als de informatie al openbaar is. 

We passen ons niet snel genoeg aan ten opzichte van de veranderende dreigingssituatie. We benen het niet bij. We produceren lijvige rapporten waarin we veel te precies opschrijven wat de kwetsbaarheden zijn in onze digitale en fysieke weerbaarheid omdat we richtlijnen opvolgen die niet meer passen bij de huidige tijd. Denk aan jaarverslagen van organisaties maar ook aan rapporten van de Algemene Rekenkamer,  accountantskantoren, het Adviescollege ICT-toetsing en verschillende toezichthouders. 

Ik ben dus voor méér geheimen waar het onze veiligheid betreft. Wanneer die bij de overheid of het bedrijfsleven niet op orde is, komt de nationale veiligheid in het gedrang. De vaststelling ‘Maar we hebben toch niets te verbergen’ gaat hier niet op. We hebben namelijk iets te beschermen. Kwetsbaarheden in beveiliging open en bloot rapporteren is naïef. Niet alleen die van Defensie en de politie, maar juist ook van alle andere vitale sectoren. Dus ook energiebedrijven, vervoersbedrijven, ziekenhuizen en communicatiebedrijven. Er zijn te veel mensen en organisaties die met te veel interesse naar onze kwetsbaarheden kijken om daar gebruik van te kunnen maken en ons te bedreigen. Momenteel maken we landen met een offensief cyberprogramma wijzer dan ze moeten zijn.

De samenleving staat voor een grote uitdaging. We zijn niet in oorlog, gelukkig niet. Maar vrede is het ook niet. En om onze open en democratische rechtsstaat te beschermen, zullen we minder open moeten zijn. Zo ontsnapt Bambi aan de koplampen.