RDI: Leveranciers grote boosdoener bij telecomstoringen

De RDI analyseerde de incidentmeldingen uit de telecomsector van het afgelopen jaar. Een incident wordt door de toezichthouder gedefinieerd als een storing in de beveiliging of de continuïteit van een netwerk of dienst. De conclusies uit het onderzoek leggen een kwetsbare keten bloot. Hoewel telecombedrijven de regie over hun netwerken proberen te behouden, blijkt ruim driekwart van de problemen te herleiden naar toeleveranciers. Een bekend praktijkvoorbeeld hiervan is een externe partij die een software-update doorvoert die vervolgens mislukt, waardoor duizenden klanten urenlang zonder internet zitten. De inspectie benadrukt dat de telecomaanbieder in dergelijke gevallen altijd zelf juridisch en operationeel verantwoordelijk blijft voor de levering van de dienst.

Fysieke schade versus softwarefouten

Vrijwel alle binnengekomen meldingen (92 procent) over het afgelopen jaar hadden direct impact op de eindgebruiker; klanten konden tijdelijk geen of slechts beperkt gebruikmaken van internet of telefonie.

Kijkend naar de bronoorzaken is er een duidelijke tweedeling te zien. In de meerderheid van de gevallen (56 procent) heeft een incident een tastbare, fysieke oorzaak. Hierbij moet met name worden gedacht aan kabelbreuken die ontstaan tijdens graafwerkzaamheden. Daarnaast is 36 procent van de incidenten te wijten aan softwarematige problemen, zoals configuratiefouten of misgelopen updates in de netwerksystemen.

Sector grijpt in met betere monitoring

Het rapport van de toezichthouder laat zien dat incidenten wel leiden tot zelfreflectie binnen de sector. Zestig procent van de gedupeerde telecompartijen geeft aan direct aanvullende maatregelen te nemen na een storing. Dit varieert van het heronderhandelen van contracten en afspraken met leveranciers tot het aanschaffen van extra back-upapparatuur en het intensiever trainen van het eigen personeel.

Opvallend is dat in veertig procent van de gevallen specifiek wordt geïnvesteerd in het verbeteren van de monitoring. Denk hierbij aan temperatuursensoren voor koelsystemen in datacentra of geautomatiseerde waarschuwingssystemen die direct alarm slaan zodra vitale netwerkapparatuur uitvalt. Volgens de RDI had dit soort basismonitoring een aanzienlijk deel van de incidenten in een veel eerder stadium kunnen signaleren, waardoor de impact beperkt had kunnen blijven.

Strengere wetgeving op komst

Het melden van netwerkstoringen met aanzienlijke maatschappelijke gevolgen is voor telecomaanbieders wettelijk verplicht onder de Telecommunicatiewet. Het overtreden van deze meldplicht, of het te laat melden, kan rekenen op sancties. De RDI hamert erop dat aanbieders ook bij onvolledige informatie binnen 24 uur een eerste melding moeten doen; ontbrekende details kunnen later worden aangeleverd.

De regels worden dit jaar bovendien verder aangescherpt met de introductie van de nieuwe Cyberbeveiligingswet (Cbw). Onder deze nieuwe wetgeving verandert de procedure en moeten significante incidenten centraal worden gemeld bij zowel de toezichthouder als het sectorale CSIRT (Computer Security Incident Response Team).

De inspectie hoopt dat de sector de cijfers gebruikt om de digitale weerbaarheid te verhogen, al waarschuwt de RDI tegelijkertijd dat er nog werk aan de winkel is. Uit eerdere inspecties bleek namelijk al dat met name bij aanbieders van vast internet het interne meldproces nog lang niet altijd op orde is. De RDI benadrukt dat alle binnengekomen meldingen strikt vertrouwelijk worden behandeld en louter worden gebruikt om het toezicht effectiever in te richten en trends te delen met de markt.