De CBW is live! Waar blijft de NIS3?

14 dagen voordat de tekst van de NIS2 werd goedgekeurd, presenteerde OpenAI op 30 november 2022 de eerste publieke versie van ChatGPT. Afgelopen zomer waarschuwde het Europese cybersecurity-agentschap ENISA dat AI Frontier-modellen cybersecurity hebben veranderd in een AI-wedloop waarin de tijd tussen kwetsbaarheid en uitval of verhelpen is teruggebracht tot enkele uren: het vinden van kwetsbaarheden is niet meer de uitdaging, maar het razendsnel valideren, prioriteren en verhelpen ervan.

Toch hebben veel organisaties hier nu geen tijd voor. Zij zijn namelijk in ieder EU-land waarin zij actief zijn, bezig met het voldoen aan alle verschillende nationale eisen met betrekking tot meldplicht, zorgplicht en toezicht in hun nationale vertalingen van de NIS2. Het voorkomen van boetes krijgt daarmee voorrang boven de actuele risico’s van nieuwe technologie.

Wie controleert CSIRT?

Terwijl veel organisaties voor het eerst te maken krijgen met een toezichthouder, rijst wel de vraag: wie houdt er toezicht op hoe overheden en nationale CSIRT’s (Computer Security Incident Response Team) hun taken uitvoeren? Waarom valt bijvoorbeeld het scannen op kwetsbaarheden door de politie onder de Wet Computercriminaliteit en door de inlichtingendiensten onder de Wet op de Inlichtingen- en Veiligheidsdiensten, maar is er geen juridisch kader als het NCSC nu datzelfde mag gaan doen als ons nationale CSIRT? En hoeveel dubbele of onjuiste meldingen gaat dit straks per land opleveren voor organisaties die onder de NIS2 vallen?

En er zijn al meer verbeterpunten zichtbaar. Op één plek incidenten melden als je in meerdere landen actief bent, van één bron alle informatie één keer krijgen en één toezichthouder op alle sectoren. Kortom: we zijn nog maar net begonnen en de roep om verbeteringen van de NIS2 in een NIS3 neemt al toe.

En tegelijkertijd moeten we in Nederland nu met de CBW en WWKE aan de slag. Dat is een mooie spagaat. Vakministers, ons nationale CSIRT, de verplichte en de vrijwillige sectorale CSIRT’s, de schakelorganisaties en samenwerkingsverbanden die samen het CyberWeerbaarheidsNetwerk vormen, staan al voor een enorme klus die geen van hen alleen kan klaren. Alleen samen komen we van handelingsperspectief tot handeling.

Welke handeling krijgt prioriteit?

En welke handeling staat centraal? Aandacht geven aan compliance is begrijpelijk, hier voorrang aan geven boven actuele dreigingen is echter onvergeeflijk. We zullen moeten accepteren dat de juridische wereld altijd achter zal lopen op de digitale technologische werkelijkheid waar kleine, grote en multinationale organisaties zich in bevinden. Er zullen dus dreigingen zijn die nu aangepakt moeten worden, ook al betekent dit dat je dan niet of later compliant bent.

Dat betekent ook flexibiliteit als het gaat om toezicht. Wederzijds vertrouwen en intensieve (inter)nationale samenwerking kan de achterstand tussen praktijk en juridische theorie verkleinen. Een aanpak vanuit ‘vertrouwen is goed maar controle is beter’ zal de achterstand slechts vergroten.

Vanuit Stichting Connect2Trust proberen wij bovengenoemde zaken ook voor het voetlicht te brengen. Zowel de ruim 300 jonge cybersecurity professionals die we afgelopen augustus te gast hadden bij onze CyberSQUAD, als iedereen die wij op 6 oktober hebben verwelkomd bij Connect2Koeroo - een side event van de ONE Conference – brengen we in dat kader bij elkaar. Vertrouwen bouw je namelijk vóór een cyber-crisis, niet tijdens - en al helemaal niet met AI.

Raymond Bierens is voorzitter van de stichting Connect2Trust, strategisch adviseur en onderzoeker aan de Vrije Universiteit Amsterdam.