Prinsjesdag investeringen in cybersecurity: Dweilen met de geldkraan open?

Eelco Stofbergen
Internationaal onderzoek laat zien dat datalekken wereldwijd bij grote bedrijven veel voorkomen en dat dit een negatieve impact heeft op de beurskoers van de geraakte bedrijven. Hoewel in het genoemde onderzoek van CGI en Gemalto slechts twee Nederlandse datalekken zijn onderzocht komen datalekken in Nederland ook regelmatig voor. Uit rapportages van bijvoorbeeld de Autoriteit Persoonsgegevens (AP) blijkt dat duizenden datalekken zijn gemeld. En het Nationaal Cybersecurity Centrum (NCSC) geeft aan zij vele honderden cybersecurity incidenten hebben afgehandeld.

Hoewel het aangehaalde wereldwijde onderzoek weinig zegt over Nederland is het evident dat datalekken en cyberincidenten ook hier impact hebben op organisaties: incidenten krijgen uitgebreide aandacht in de media, klanten uiten hun ongenoegen op social media, mogelijk wordt er omzet misgelopen en het herstel kost veel geld. Daar bovenop zijn er nog de dreigende boetes van toezichthouders zoals de Autoriteit Persoonsgegevens.
De Nederlandse overheid erkent het belang van cybersecurity. Op Prinsjesdag werd bekend gemaakt dat de overheid 26 miljoen euro extra investeert in de bestrijding van cyber crime en de verhoging van cybersecurity. Een groot deel van dit geld gaat naar de politie, het Openbaar Ministerie, het NCSC en de inlichtingendiensten. Een ander deel gaat naar de oprichting van een Digital Trust Center voor het midden- en kleinbedrijf (MKB). Het Digital Trust Center (DTC) is een idee van de branchevereniging Nederland ICT, bedoeld om het MKB de adviseren op het gebied van cybersecurity. Het NCSC geeft namens de overheid ook al advies en dreigingsinformatie, maar beperkt zijn dienstverlening tot organisaties in de vitale infrastructuur. Het DTC moet deze lacune gaan opvullen.
Deze investering zijn goed nieuws voor de online veiligheid van Nederland, al kun je stellen dat het nog verre van voldoende is. Zeker als je het vergelijkt met de bedragen die het Verenigd Koninkrijk uitgeeft aan cybersecurity. Een grotere investering zou zeker goed zijn, maar voor nu biedt deze kapitaalinjectie voor de betrokken organisaties de mogelijkheden om hun taken beter uit te kunnen voeren.
Digitale weerbaarheid van bedrijven, daar gaat het om
Maar de overheidsinvestering is maar één kant van het verhaal. Deze investeringen gaan naar advies, toezicht, response. Maar op nationale schaal blijft dit een investering in wat experts de second line of defense noemen, de tweede verdedigingslinie. De grootste slag zal gemaakt moeten worden in de verhoging van de digitale weerbaarheid van bedrijven zelf. Zij vormen de eerste en belangrijkste verdedigingslinie. En die slag kan en zal niet betaald worden uit de 26 miljoen euro die de overheid nu heeft vrijgemaakt.
Uit het recente rapport van PostNL topvrouw Herna Verhagen blijkt dat organisaties nog te weinig investeren in cybersecurity. De aanbeveling in dat rapport is om tien procent van het IT budget te besteden aan cybersecurity. Op dit moment varieert dat percentage volgens onderzoeksbureau Gartner gemiddeld tussen de vijf en acht procent, afhankelijk van de sector.
Nu het belang van ICT voor burgers, bedrijven en overheden blijft toenemen zal de impact van cybersecurity incidenten steeds groter worden. Niet alleen op beurskoersen, maar uiteindelijk ook op onze maatschappij en iedereen daarbinnen: onze levens hangen inmiddels af van ICT. Om dat risico het hoofd te bieden zal er, naast de aangekondigde budgetverhoging van de genoemde cyber-overheidsorganisaties, geïnvesteerd moeten worden door alle bedrijven en overheidsorganisaties om de digitale weerbaarheid te verhogen.
 De auteur van dit artikel Eelco Stofbergen is Director Cybersecurity bij CGI Nederland.