RIS311499 Bijlage Agenda Digitaal Veilig Den Haag

logo gemeente den haag.

Agenda Digitaal Veilig Den Haag Gemeente Den Haag Februari 2022

2

Agenda Digitaal Veilig Den Haag

Inhoudsopgave Voorwoord . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 4 Samenvatting. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 6 Toelichting proces agendavorming . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 12 1. Digitale veiligheid op het niveau van de stad. . . . . . . . . . . . . . . . . . . . . . . . . . 14 2. Risicoprofiel Den Haag Internationale Stad. . . . . . . . . . . . . . . . . . . . . . . .. . . . 28 3. Vitale processen. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 34 4. Handelingsperspectief Digitaal Veilig Den Haag. . . . . . . . . . . . . . . . . . . . . . . 42 Bijlage 1 Vitale processen – infrastructuur . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 47 Bijlage 2 Vitale processen – onderwijs. . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . . 53 Bijlage 3 Vitale processen – gezondheidszorg. . . . . . . . . . . . . . . . . . . . . . . . . . . 60 Bijlage 4 Vitale processen – lokale distributie van levensmiddelen. . . . . . . . 65

Agenda Digitaal Veilig Den Haag

3

Voorwoord. Digitale veiligheid is een brede opgave en een snelgroeiende uitdaging voor onze samenleving. Dat is de afgelopen jaren steeds zichtbaarder geworden door bijvoorbeeld grootschalige datalekken en ‘gijzel­software’ aanvallen op gemeenten, ziekenhuizen, onderwijsinstellingen en bedrijven. Experts doen daarom ook een nadrukkelijke oproep aan de overheid om te komen met een stevige aanpak. 1 Door de coronapandemie is sprake van een versnelde introductie van het digitale werken, leren, zorgen en handelen. We zijn daardoor nog afhankelijker geworden van digitalisering en dat betekent dat er voor digitale veiligheid nieuwe en grotere risico’s en uitdagingen ontstaan die kunnen leiden tot grootschalige inbreuk op de privacy van burgers, financiële schade en maatschappelijke ontwrichting. Omdat digitale veiligheid in het DNA zit van Den Haag als Internationale Stad van Vrede & Recht voert de gemeente, vanuit verschillende organisatieonderdelen, op dit thema al jaren activiteiten uit. Het ontbrak tot nu toe echter aan een integrale bestuurlijke agenda en een aanpak voor een Digitaal Veilig Den Haag. Conform het raadsbesluit ‘Visie digitalisering & dienstverlening 2020-2023’ (RIS305093) heb ik daarom samen met de portefeuillehouder Openbare Orde & Veiligheid en veiligheidspartners in de stad en regio de voorliggende agenda ‘Digitaal Veilig Den Haag’ opgesteld.

Deze agenda sluit tevens aan op de resolutie ‘Digitale Veiligheid: kerntaak voor gemeenten’ van de VNG die in februari 2021 is aangenomen en alle gemeenten in Nederland oproept om een dergelijke agenda op te stellen. Het thema digitale veiligheid is relatief nieuw en kan in potentie veel verschillende onderwerpen omvatten. Daardoor is er voor een dergelijke agenda en aanpak nog geen beproefd format of standaardmethode. Veel gemeenten worstelen hiermee. Het is daarom belangrijk weloverwogen keuzes te maken.

1 AD 2 oktober 2021

4

Agenda Digitaal Veilig Den Haag

In deze agenda hebben we gekozen voor een groeipad: een digitaal veilige stad moet eerst de basis op orde hebben (de digitale veiligheid van de gemeentelijke organisatie, crisisbeheersing en lokale vitale processen) en kijken naar dat wat de stad een uniek risicoprofiel geeft. Dat is in het belang van alle inwoners van de stad en het fundament waarop vervolgens in de komende jaren kan worden gewerkt aan het verhogen van de digitale weerbaarheid van inwoners en bedrijven zelf, waarvoor respectievelijk het Integraal Veiligheidsplan 2023-2026 (i.o.) en de Economische Visie Den Haag+ 2030 (RIS303550) leidend (zullen) zijn. Strategische doelstellingen digitaal veilige stad: 1. Een digitaal veilige stad heeft de basis op orde (gemeentelijke organisatie, crisisbeheersing en vitale processen) en begrijpt haar unieke risicoprofiel. 2. Een digitaal veilige stad heeft inwoners die digitaal weerbaar zijn. 3. Een digitaal veilige stad is een plek waar bedrijven veilig digitaal zaken kunnen doen.

De inhoud van deze agenda is tot stand gekomen door gesprekken met tientallen organisaties in de stad en partners van buiten de stad. De agenda is een eerste vertrekpunt om de digitale veiligheid in Den Haag te verbeteren. Zij dient als eerste stap om met elkaar hierover in gesprek te gaan en richting te bepalen om de digitale veiligheid in de stad de komende jaren te verhogen. Daar zullen een volgend college en gemeenteraad ook belangrijke keuzes in moeten maken. In de tussentijd kunnen en mogen we niet stilzitten, daarvoor is de opgave te urgent. In de agenda zijn daarom ook incidentele acties gedefinieerd die tot de zomer van 2022 kunnen worden uitgevoerd om vanuit onze visie en het maatschappelijk belang de eerste stappen te zetten. Saskia Bruines Wethouder Economie, Internationaal en Dienstverlening Jan van Zanen Burgemeester

Agenda Digitaal Veilig Den Haag

5

6

Agenda Digitaal Veilig Den Haag

Samenvatting Een digitaal veilige stad: eerst de basis op orde • Digitale veiligheid is een brede opgave en een snelgroeiende uitdaging voor onze samenleving. Ook op lokaal niveau. • Door de versnelde digitalisering zijn er grotere en nieuwe risico’s en uitdagingen voor digitale veiligheid. • Zo kan een gijzelsoftware aanval niet alleen een organisaties stil leggen, maar zorgen voor acute maatschappelijke verstoring van belangrijke processen in de stad. Bijvoorbeeld als een universiteit of ziekenhuis wordt geraakt. • Of neem de persoonlijke gegevens van onze inwoners die bij grootschalige datalekken en -diefstal online komen, deze worden door criminelen gebruikt om diezelfde inwoners digitaal aan te vallen en op te lichten. • Er zijn veel verschillende verschijningsvormen en er worden veel verschillende termen gebruikt, maar er is een gemene deler: digitale veiligheidsincidenten zijn gebeurtenissen waarbij – door acties van kwaadwillenden of menselijk of technisch falen – de beschikbaarheid, integriteit en/of vertrouwelijkheid van data en ICT-systemen in het geding zijn. Die data of ICT-systemen kunnen vervolgens worden misbruikt voor allerlei oneigenlijke en onwenselijke doeleinden. • Een digitaal veiligheidsincident kan veel maatschappelijke impact hebben.

Naast directe financiële schade (zoals het betalen van losgeld, het moeten stilleggen van de bedrijfsvoering of dienstverlening, of het volledig opnieuw moeten opbouwen van ICT-systemen) en niet-financiële schade (zoals privacy schendingen, emotio­nele schade en reputatieschade) kan een dergelijk incident ook leiden tot een fysiek veiligheidsincident of -crisis, met alle maatschappelijke gevolgen en schade van dien. • Aanvallers die een digitaal veiligheidsincident veroorzaken kunnen digitale criminelen of statelijke actoren zijn. Zij maken daarbij gebruik van kwetsbaarheden in soft- en hardware, zoals slimme consumenten-apparatuur die vaak nog niet veilig is, en waardevolle persoonsgegevens die door eerdere digitale veiligheidsincidenten, zoals datalekken of datadiefstal, op het internet zijn beland. Het aanvalsoppervlak waar aanvallers zich op richten wordt steeds groter. Ketenpartners, toeleveranciers en medewerkers van organisaties zijn in toenemende mate het doelwit. • Inhoudelijke maatregelen om de digitale veiligheid te verhogen richten zich op mens, organisatie en techniek in 5 stappen: identificatie van risico’s, preventie, detectie, respons en herstel.

• Een digitaal veilige stad moet eerst de basis op orde hebben (de digitale veiligheid van de gemeentelijke organisatie, het stelsel van crisisbeheersing en lokale vitale processen) en kijken naar dat wat de stad een uniek risicoprofiel geeft. Dat is in het belang van alle inwoners van de stad (burgers en bedrijven) en het fundament waarop vervolgens in de komende jaren kan worden gewerkt aan het verhogen van de digitale weerbaarheid van inwoners en bedrijven zelf.

Agenda Digitaal Veilig Den Haag

7

Rol van de gemeente & uitgangspunten agenda • De gemeente is verantwoordelijk voor de digitale veiligheid van de eigen organisatie, maar heeft voor digitale veiligheid richting organisaties in de stad formeel (nog) geen verantwoordelijkheid. Organisaties zijn en blijven in de eerste plaats zelf verantwoordelijk voor hun digitale veiligheid. De opgave is echter zo complex dat geen enkele organisatie het meer volledig zelf kan regelen. Terwijl de maatschappelijke impact van digitale veiligheidsincidenten groeit. • Hierdoor is er sprake van een zwaarwegend publiek belang om actie te ondernemen. We kiezen er in deze fase daarom voor om informeel regie te nemen, samenwerking aan te jagen (mobiliseren, realiseren en leren) en een leiderschaps-/voorbeeldrol te pakken vanuit onze eigen activiteiten op het gebied van digitalisering en digitale veiligheid. • Daarbij is het uitgangspunt dat we niet alles zelf bedenken, maar doorlopend met stakeholders in de stad in gesprek zijn en samenwerken. We willen verdere versnippering van initiatieven op het gebied van digitale veiligheid voorkomen, dus bouwen we voort op onze eigen successen en sluiten we slim aan bij bestaande initiatieven en bewezen successen van anderen (in de stad, maar ook van de G4, VNG en het Rijk).

• De agenda Digitaal Veilig Den Haag is een eerste momentopname en geen eindproduct, maar de start van een proces om de komende jaren te werken aan het verhogen van de digitale veiligheid van de stad. Dat vereist ook een meerjarige aanpak en investeringen. Deze agenda biedt dieper inzicht in digitale veiligheid en de risico’s en uitdagingen op het niveau van de stad. De agenda bevat incidentele acties die tot de zomer van 2022 kunnen worden uitgevoerd om vanuit onze eigen visie en belang de eerste stappen te zetten en er zijn beknopte scenario’s opgenomen die gelijktijdig kunnen worden uitgewerkt voor de periode 2022-2025.

Bestaande activiteiten en blinde vlekken • De informatiebeveiliging van de gemeentelijke organisatie (inclusief de voorbereiding op crisisbeheersing en vitale processen en infrastructuur waar de gemeente zelf voor verantwoordelijk is) zijn reeds onderdeel van bestaand beleid. Het Strategisch beleidskader informatieveiligheid 2019-2022 (RIS304162) is hiervoor leidend. Sommige (innovatieve) projecten waar de gemeente voor haar eigen digitale veiligheid reeds aan werkt, lenen zich mogelijk voor opschaling richting andere organisaties in de stad. • Ook wordt er al gewerkt aan het bestrijden van digitale criminaliteit en het verhogen van de digitale veiligheid en weerbaarheid van inwoners en bedrijven in Den Haag. Er zijn bijeenkomsten voor het MKB georganiseerd en de gemeente traint en begeleidt – samen met de Politie – buurtambassadeurs in het project Digitaal Veilig in de Wijk. Het Integraal Veiligheidsplan 2023-2026 (i.o.) en De Economische Visie Den Haag+ 2030 (RIS303550) zijn hierin leidend. • Deze 2 thema’s zijn daarom geen onderdeel van deze agenda, die zich richt op de huidige blinde vlekken in het fundament van een digitaal veilige stad: het risicoprofiel van de stad en de digitale veiligheid van vitale processen van derden in Den Haag.

• Sommige activiteiten die de gemeente al succesvol uitvoert voor de digitale veiligheid van de eigen organisatie, zoals Hack The Hague, hebben de potentie om te worden uitgebreid naar andere toonaangevende organisaties in de stad. Ook heeft de gemeente de afgelopen jaren ingezet op de ontwikkeling van de Security Delta, waardoor er in de stad een sterk netwerk is ontstaan van publieke en private organisaties die samenwerken aan o.a. digitale veiligheid. De stad beschikt met de Haagse Hogeschool, TNO, TU Delft en Universiteit Leiden over sterke kennisinstellingen met veel kennis, expertise hebben en activiteiten op het gebied van digitale veiligheid. Op dit fundament wordt voortgebouwd.

Uniek risicoprofiel van Den Haag • Den Haag heeft als Internationale Stad van Vrede, Recht en Veiligheid een uniek risicoprofiel. • De vele internationale organisaties die Den Haag rijk is, zoals Europol, ICC en OPCW, zijn een belangrijke banenmotor voor de stad en het fundament van het unieke, internationaal erkende profiel van Den Haag als Internationale Stad van Vrede en Recht. Hun werk is cruciaal voor de internationale rechtsorde en democratie. Zij houden zich in toenemende mate ook bezig met digitale veiligheid in de wereld. Hun aanwezigheid is ook zeer bepalend voor het risicoprofiel van Den Haag.

8

Agenda Digitaal Veilig Den Haag

• Want daar waar andere steden vooral te maken hebben met digitale criminelen, lopen meerdere organisaties in Den Haag een verhoogd risico om het doelwit te worden van statelijke actoren. Dit blijkt o.a. uit publicaties van de AIVD en de verijdelde hackpoging op de OPCW in 2018. Statelijke actoren die het werk van deze organisaties digitaal willen saboteren of beïnvloeden richten zich rechtstreeks op deze organisaties en hun medewerkers of indirect op de stedelijke functies die deze medewerkers, danwel internationale organisaties in hun geheel, als basisvoorzieningen nodig hebben. Eerder waarschuwde de Rijksoverheid dat juist deze statelijke actoren zich richten op vitale processen. Die vitale processen zijn niet alleen essentieel voor de internationale organisaties maar voor alle bewoners van Den Haag. • Bij het opstellen van deze agenda is gebleken dat er bij (een deel van de) internationale organisaties in de stad behoefte is om samen te werken aan informatiedeling, een crisisoefening en het verhogen van het bewustzijn over digitale veiligheid. Daarnaast is gebleken dat het wenselijk is om meer inzicht te krijgen in de (mogelijke) dreiging van verschillende statelijke actoren op lokaal niveau en dat Den Haag haar positie als internationaal knooppunt voor digitale veiligheid kan versterken. Voor de periode t/m de zomer 2022 zijn in de agenda daarom diverse acties opgenomen.

De Rijksoverheid en Haagse kennis­ instellingen zijn hierbij cruciale partners.

Digitalisering in de stad: gebundelde aanpak digitale veiligheid van lokaal vitale processen • De digitale veiligheid van lokaal vitale processen, die niet onder de directe verantwoordelijkheid van de gemeente vallen, is voor de gemeente een nieuw thema. In reflectie op de pandemie is voor deze agenda gekeken naar de ‘klassieke’ infrastructuur van ‘elektriciteit’, ‘connectiviteit’, ‘water’ en ‘mobiliteit’ en het ‘onderwijs’, de ‘gezondheidszorg’ en de ‘lokale distributie van levensmiddelen’.2 • Organisaties uit die vitale processen zijn zelf verantwoordelijk voor hun eigen digitale veiligheid, maar de uitval van deze processen kan leiden tot acute, grootschalige maatschappelijke ontwrichting. Door de versnelde digitalisering zijn het aanvalsoppervlak, (keten)afhankelijkheden en kwetsbaarheden van deze organisaties sterk gegroeid. • Gijzelsoftware en de AVG/GDPR zijn de voornaamste motivatie voor organisaties om te investeren in digitale veiligheid, maar beperkte beschikbare budgetten (bijvoorbeeld in het onderwijs en de zorg) zijn nog steeds een limiterende factor. • Uit de gevoerde gesprekken blijkt dat het volwassenheidsniveau van organisaties in de stad sterk varieert: er zijn organisaties die een hoog volwassenheidsniveau hebben en organisaties die nog een lange weg te gaan hebben.

Over het algemeen geldt: kleine organisaties hebben niet de benodigde schaalgrootte om digitale veiligheid te organiseren (niet de capaciteit, kennis en middelen), terwijl zulke organisaties soms juist het maatschappelijk belang het meest dienen (bijv. kleinschalige zorg). Dit is een spanningsveld. • Tijdens de ontwikkeling van deze agenda is gebleken dat er bij (een deel van de) organisaties in de stad behoefte is aan (meer) kennis- en informatiedeling, crisisoefeningen en netwerkvorming op lokaal niveau (zowel binnen hun proces als cross-sectoraal). Ook wordt meer bestuurlijke aandacht gewenst genoemd. De meerwaarde van de gemeente wordt gezien als aanjager en informele regisseur. Met name aan de ‘voorkant’, dus bij de preventieve kant van digitale veiligheid. Voor de ‘achterkant’, dus de respons kant van digitale veiligheid, wordt de Veiligheidsregio Haaglanden vaak genoemd als cruciale partij. • De Veiligheidsregio Haaglanden is leidend voor de (voorbereiding op) crisisbeheersing bij grootschalige maatschappelijke verstoring en fysieke veiligheidsincidenten, ook als die het gevolg zijn van een digitaal veiligheidsincident. De Veiligheidsregio speelt geen rol in de acute crisisbeheersing van digitale veiligheidsincidenten an sich. Daar zijn vooral bedrijven actief en het NCSC van de Rijksoverheid als het organisaties uit de nationaal vitale processen betreft.

Er is op dit moment geen enkele partij die lokaal 2 N  B: op nationaal niveau zijn door de Rijksoverheid (criteria voor) vitale processen vastgesteld en in wetgeving vastgelegd. Dat zorgt voor organisaties uit deze processen én de Rijksoverheid voor formele verantwoordelijkheden en verplichtingen. Op lokaal niveau zijn er voor vitale processen geen criteria of wetgeving. In deze agenda is het actuele publiek belang als uitgangspunt genomen en van daaruit gekeken naar lokale processen. Om (verwarring over) te veel verschillende termen te voorkomen is daarbij gekozen om ook voor belangrijke lokale processen de term vitaal te gebruiken. Daarbij is het verschil met nationaal vitale processen dat er voor organisaties uit de lokaal vitale processen en de gemeente op lokaal niveau geen formele verantwoordelijkheid of verplichting is. De algemeen geldende nationale regelgeving op het gebied van digitale veiligheid is uiteraard wel van toepassing.

Agenda Digitaal Veilig Den Haag

9

10

Agenda Digitaal Veilig Den Haag

het overzicht en inzicht heeft en van daaruit werkt aan preventieve maatregelen van – en tussen – lokaal vitale processen. De Veiligheidsregio Haaglanden werkt op dit moment aan een nieuw regionaal risicobeeld en beleidsplan. • De gemeente lijkt lokaal de aangewezen partij die 1) het netwerk van organisaties uit lokaal vitale processen in deze fase bij elkaar kan brengen en 2) het netwerk tussen deze organisaties kan versterken als fundament voor kennisdeling, informatiedeling en samenwerking ten behoeve van het verhogen van de digitale veiligheid (preventie en respons). • Daarbij kunnen netwerk- en clusterorganisaties een belangrijke rol spelen. Want digitale veiligheid moet niet op zichzelf staan, maar onderdeel worden van reeds bestaande samenwerkingen en trajecten binnen de processen/sectoren. Te denken aan Stichting Transmurale Zorg Haaglanden voor de zorg en de platforms PO en VO voor het onderwijs. Dit vergt mogelijk op termijn inzet op het versterken van de kennispositie en capaciteit van zulke organisaties. Ook netwerkorganisaties op het gebied van digitale veiligheid, zoals HSD, ECP en connect2trust, kunnen hierin mogelijk een rol spelen. • Voor het verhogen van de digitale veiligheid van de lokaal vitale processen is gekozen voor een gebundelde aanpak.

Aan de hand van de 5 stappen – identificatie van risico’s, preventie, detectie, respons en herstel – zijn de gewenste ontwikkeling op de lange termijn geschetst en concrete acties weergegeven die t/m juni 2022 in gang kunnen worden gezet. Voor de lange termijn is een meerjarige aanpak en investering noodzakelijk. De korte termijn acties zullen op zichzelf nog onvoldoende zijn om de digitale veiligheid in de stad integraal te verhogen. Zij dragen wel bij aan het hiervoor benodigde fundament.

Handelingsperspectief Digitaal Veilig Den Haag • De inzet op de digitale veiligheid van Den Haag is een politieke keuze die draait om de vraag of we de regie op de digitale veiligheid in de stad een kerntaak van de gemeente vinden. Het is aan de raad om hierover een uitspraak te doen en de inzet en ambitie te bepalen. • Als de raad van mening is dat de regie op digitale veiligheid een kerntaak is, werken we uit wat er organisatorisch nodig is om deze kerntaak adequaat en duurzaam te vervullen, zowel binnen de eigen organisatie als richting onze (veiligheids)partners en uitvoeringsorganisaties. Die uitwerking leggen we vervolgens voor besluitvorming voor aan de raad. • Afhankelijk van de keuze en het ambitieniveau zijn er verschillende scenario’s mogelijk. Om hier meer gevoel bij te geven zijn 3 voorbeeld-scenario’s geschetst: 1) incidentele inspanning, 2) structurele, meerjarige inzet, en 3) voorbeeldrol & leiderschap in de stad. • De opgave is urgent, daarom starten we, vanuit bestaande tijdelijke formatie en middelen, alvast met de in deze agenda genoemde incidentele acties om vanuit een sterke visie en het maatschappelijk belang de eerste stappen te zetten voor een Digitaal Veilig Den Haag. De komende maanden trekken we o.a.

samen met de G4-gemeenten en VNG op richting de Rijksoverheid om 1) een uitspraak te krijgen over de formele verantwoordelijkheid, bevoegdheden en nationale opdracht voor gemeenten op het gebied van digitale veiligheid, en 2) een betere informatiepositie te krijgen ten behoeve van ons (doorlopend) situationeel beeld van de digitale veiligheid van de stad. Na de zomer zullen we de raad informeren over de voortgang van deze incidentele acties.

Agenda Digitaal Veilig Den Haag

11

Toelichting proces agendavorming Beleidscontext Het coalitieakkoord 2019-2022 opent met het hoofdstuk ‘Veilige Stad’: ‘Iedereen moet zich veilig kunnen voelen in Den Haag. We willen daarom Den Haag nog veiliger maken voor onze bewoners, ondernemers en bezoekers.’ Een veilig Den Haag is ook een digitaal veilig Den Haag. In verschillende kaderstellende beleidsdocumenten en activiteiten wordt (op onderdelen) ook al aandacht besteed aan (aspecten van) digitale veiligheid. Zo richt het ‘Strategisch beleidskader informatieveiligheid 2019-2022’ (RIS304162) zich op de ‘informatiebeveiliging’ van de eigen bedrijfsvoering en dienstverlening van de gemeente. En is in het Integraal Veiligheidsplan 2019-2022’ (RIS301821), de ‘Economische Visie Den Haag+ 2030’ (RIS303550) en de ‘Den Haag Resilience Strategie (RIS302022) aandacht besteed aan digitale veiligheid en weerbaarheid van de stad. In laatstgenoemde strategie zijn ‘cyberaanvallen’ en ‘uitval vitale diensten’ aangemerkt als risico (shock) voor Den Haag. En in de Economische Visie wordt tevens ingezet op het versterken van het kennis en innovatie ecosysteem voor digitale veiligheid in Den Haag (de ‘Security Delta’). Het huidige Integraal Veiligheidsplan loopt nog t/m 2022. Conform de reguliere beleidscyclus wordt daarom in 2022 een nieuw Integraal Veiligheidsplan voor de periode 2023-2026 gepresenteerd.

Daarnaast wordt met partners in de regio gewerkt aan de nieuwe Regionale Beleidsplannen 2023-2026 voor zowel de Politie Eenheid Den Haag als de Veiligheidsregio Haaglanden. De voorliggende agenda Digitaal Veilig Den Haag zorgt voor verdere begripsvorming over de lokale problematiek en risico’s op het gebied van digitale veiligheid, een lokaal handelingsperspectief en waardevolle input voor de actualisatie van voornoemde kaderstellende beleids­documenten binnen de reguliere beleidsvormingscyclus.

In samenwerking met de stad De agendavorming is gestart met een brede inventarisatie van het thema. Daarbij is met meer dan 70 stakeholders en experts van publieke en private organisaties gesproken en zijn veel onderzoeksrapporten en beleidsdocumenten (lokaal, regionaal, nationaal en Europees) uitvoerig bestudeerd. Hierbij is ook onderzocht wat andere steden op dit thema doen. Vervolgens heeft er een verdiepingsslag plaatsgevonden voor de digitale veiligheid van vitale processen en Den Haag als Internationale Stad van Vrede & Recht. Daarbij is met meer dan 100 stakeholders gesproken. Die gesprekken hebben geleid tot de inhoud van deze agenda. De komende periode wordt deze agenda met deze organisaties besproken en zal de coalitie verder worden uitgebouwd.

12

Agenda Digitaal Veilig Den Haag

Vrijwillig en vertrouwelijk Het is belangrijk om te benadrukken dat de gesprekken met de organisaties in de stad een vrijwillig en vertrouwelijk karakter hadden. De gemeente heeft op het gebied van digitale veiligheid geen formele toezichthoudende rol en is daarom afhankelijk van de vrijwillige deelname van organisaties en de informatie die deze organisaties wel en niet willen en kunnen delen. Dat aspect dient ook in acht te worden genomen bij aannames en uitspraken over de digitale veiligheid van desbetreffende organisaties. De gemeente heeft voor het opstellen van deze agenda geleund op de gesprekken met de organisaties en heeft dus geen mogelijkheden om de besproken informatie onafhankelijk te kunnen toetsen, controleren en beoordelen. De gesprekken waren vertrouwelijk van aard. Het publiekelijk delen van zulke informatie kan veiligheids­risico’s met zich meebrengen. Daarom zijn in deze agenda geen organisaties met naam en toenaam genoemd, tenzij daar expliciet toestemming voor is gegeven.

Momentopname, geen eindproduct De ontwikkelingen op het gebied van digitale veiligheid gaan ontzettend snel. Deze agenda is daarom een vertrekpunt om die te verbeteren en zal de komende tijd aan verandering onderhevig zijn. Het is daarmee het startpunt voor een ontwikkelproces om als gemeente de komende jaren structureel meer aandacht te besteden aan de digitale veiligheid van de stad.

Uitgangspunt Eén van de belangrijkste uitgangspunten van deze agenda is dat we als gemeente zoveel als mogelijk afstemmen met en aansluiten bij bestaande structuren en initiatieven in de stad, regio en nationaal. Hoewel het altijd beter kan, zijn de bestaande structuren en het stelsel voor openbare orde en veiligheid in Nederland bijzonder effectief. Digitale veiligheid is een betrekkelijk nieuw veiligheidsvraagstuk en wezenlijk anders dan fysieke veiligheid, maar dat betekent niet dat daarvoor lokaal een apart, nieuw stelsel moet worden opgetuigd. We willen geen losstaande activiteiten organiseren die niet door stakeholders worden gesteund. Het veld is versnipperd en het talent en de middelen zijn in Nederland beperkt. Samenwerking is daarom essentieel om adequaat te kunnen handelen tegen de bedreigingen van vandaag en de toekomst.

Agenda Digitaal Veilig Den Haag

13

De Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) in het Cybersecuritybeeld Nederland 2021: “Digitale processen vormen het ‘zenuwstelsel’ van de maatschappij, omdat ze onmisbaar zijn voor het ongestoord functioneren daarvan. [...] COVID-19 heeft de digitalisering van processen in een stroomversnelling gebracht, onder meer in de gezondheidszorg en het onderwijs. De digitale en de fysieke wereld zijn sterker verweven geraakt en steeds minder goed van elkaar te onderscheiden. Er zijn amper nog processen zonder digitale component.”

14

Agenda Digitaal Veilig Den Haag

1. Digitale veiligheid op het niveau van de stad Om concreet te kunnen werken aan de digitale veiligheid van Den Haag is het belangrijk om stil te staan bij 1) de trends & ontwikkelingen, 2) de afbakening van digitale veiligheid, 3) de rol van de gemeente, en 4) het groeipad voor een digitaal veilig Den Haag.

1.1

Trends & ontwikkelingen

Afgelopen jaar is gebleken dat digitale veiligheid een brede opgave én een groeiende uitdaging is.

Nieuwe uitdagingen door versnelde digitalisering Onze samenleving en economie zijn tegenwoordig in hoge mate afhankelijk van data & ICT-systemen en dat maakt digitale veiligheid steeds crucialer. De pandemie heeft de digitale transitie verder versneld. We zijn als samenleving veel meer activiteiten en processen gaan digitaliseren en brengen bestaande ICT-systemen over naar de cloud, zodat alles overal en altijd beschikbaar is. Dat zorgt voor nieuwe economische kansen en oplossingen voor grote maatschappelijke problemen, maar voor digitale veiligheid creëert het ook nieuwe risico’s en uitdagingen. Bijvoorbeeld voor de bescherming van persoonsgegevens die door grootschalig test- en contactonderzoek worden verzameld. Of bij werknemers die vanuit huis met hun eigen apparatuur veilig moeten kunnen inloggen op het bedrijfsnetwerk of zelfs industriële processen of infrastructuurobjecten aansturen. Digitale veiligheid is, ook op lokaal niveau, dus essentieel om de maatschappij te laten functioneren en de privacy van onze inwoners te beschermen.

Nieuw inzicht in lokale vitale processen De corona lockdown heeft inzichtelijk gemaakt wat er gebeurt als bepaalde stedelijke functies, zoals het onderwijs en de detailhandel, geen reguliere doorgang meer kunnen vinden, maar (deels) worden opgeschort of online moeten plaatsvinden. Ook is het belang van een goed functionerende gezondheidszorg en de lokale distributie van levensmiddelen in een crisiscontext gebleken. Hierdoor is zichtbaar geworden wat de stad nodig heeft om op een bepaald basisniveau te kunnen functioneren en hoe belangrijk digitale continuïteit en veiligheid is in relatie tot deze functies.

Aanvallen van statelijke actoren De afgelopen jaren is ook gebleken dat de samenleving afhankelijk is van grote (buitenlandse) techbedrijven en dat er statelijke actoren actief grote organisaties aanvallen om hun geopolitieke belangen te behartigen. Zulke statelijke actoren zoeken naar de meest kwetsbare plekken in de omgeving van een organisatie om aan te vallen. Dat kunnen bijvoorbeeld de medewerkers, maar ook toeleveranciers zijn.

Agenda Digitaal Veilig Den Haag

15

Dergelijke geavanceerde aanvallers richten zich in toenemende mate op ketens en proberen zo lang mogelijk onder de radar te blijven. Daardoor worden zulke aanvallen vaak laat opgemerkt. De aanvallers nestelen zich digitaal in de organisatie om zoveel mogelijk data te vergaren en op het voor hen meest gunstige moment data of systemen te manipuleren of te saboteren. Als het vitale processen betreft kan dit leiden tot grote maatschappelijke ontwrichting en financiële schade zoals zichtbaar is geworden bij de SolarWinds Hack in december 2020, de Microsoft Exchange hack in 2021, of de gijzelsoftware aanval op Colonial Pipeline in de VS in 2021. Laatstgenoemde legde in een groot deel van de VS de distributie van benzine stil en dat leidde tot chaos bij pompstations.

Digitale criminaliteit Het zijn echter niet alleen statelijke actoren die aanvallen uitvoeren. Ook criminelen voeren voor financieel gewin aanvallen uit. Er waren het afgelopen jaar in Nederland talrijke aanvallen met ‘gijzelsoftware’ met zeer ingrijpende gevolgen voor de getroffen organisaties, zoals bij de Universiteit van Maastricht, de gemeente Hof van Twente, de Veiligheidsregio Gelderland en NWO. Ook waren er het afgelopen jaar veel gevallen, zoals het datalek bij de GGD of de hack bij InHolland, waarbij een groot aantal persoonsgegevens illegaal werd verhandeld. Onlangs luidde de Autoriteit Persoonsgegevens de noodklok. En volgens het CBS en de Politie is er door de pandemie sprake van een verschuiving van traditionele naar digitale criminaliteit. Vooral traditionele criminaliteit zoals zakkenrollerij (-47%), woninginbraak (-23%) en winkeldiefstal (-13%) daalden sterk, maar tegelijkertijd registreerde de Politie meer online criminaliteit zoals verkoopfraude, valsheid in geschrifte en hacken. In totaal was er voor online criminaliteit sprake van een toename van 54% in vergelijking met 2019. Voor de Eenheid Den Haag was er sprake van een toename van 42%. De daadwerkelijke aantallen, dreigingen, risico’s en schade in Den Haag zijn op dit moment lastig te kwantificeren omdat de aangiftebereidheid laag is.

Digitale criminaliteit, waarvan inwoners en bedrijven het slachtoffer zijn, is een generiek en groeiend probleem in heel Nederland.

1.2

Afbakening digitale veiligheid

Voor de afbakening is gekeken naar de juridische kaders, bestaande bovenlokale agenda’s, de verschillende termen en perspectieven die in de praktijk worden gebruikt, de wijze waarop er sprake kan zijn van een digitaal veiligheidsincident en het verschil tussen fysieke en digitale veiligheidsincidenten.

Veel verschillende invalshoeken vanwege ontbreken heldere regelgeving over de rollen en verantwoordelijkheden Uit de gevoerde gesprekken en het bestuderen van relevante regelgeving en beleidsontwikkelingen werd duidelijk dat er veel verschillende definities en invalshoeken voor digitale veiligheid mogelijk zijn en veel organisaties en steden andere accenten leggen. Een belangrijke reden hiervoor is het ontbreken van een uitgebreid juridisch kader voor de rol van gemeenten naar partijen in de stad voor digitale veiligheid. De gemeente Den Haag voldoet op dit moment weliswaar aan alle juridische verplichtingen die er voor digitale veiligheid gelden. Dat is in feite enkel de Baseline Informatiebeveiliging Overheid, die van toepassing is op de informatiebeveiliging van de eigen gemeentelijke organisatie. Er bestaan voor gemeenten (nog) géén andere juridische verplichtingen of bindende afspraken die specifiek ingaan op de digitale veiligheid in de stad zelf. Dat maakt dat veel gemeenten zoekende zijn naar hun rol en verantwoordelijkheid op dit gebied. De inzet van gemeenten is op dit terrein daarom in hoge mate afhankelijk van de ambities en doelen die gemeenten zelf stellen.

5 categorieën op basis van bovenlokale agenda’s (VNG en Rijksoverheid) Om richting te geven aan de Haagse agenda zijn 2 bovenlokale agenda’s in het bijzonder relevant: 1) de Nederlandse Cybersecurity Agenda van de Rijksoverheid uit 2018 en 2) de Agenda Digitale Veiligheid (ADV) van de VNG uit 2020. De nationale agenda richt zich vooral op de beveiliging van data en systemen in het algemeen en voor de nationale vitale infrastructuur, ofwel ‘vitale processen’, in het bijzonder. Ook richt deze

16

Agenda Digitaal Veilig Den Haag

agenda zich expliciet op de ‘dreiging van statelijke actoren’. De VNG heeft een andere, iets bredere focus en onderscheid voor digitale veiligheid 3 categorieën: de ‘eigen informatiebeveiliging van de gemeente’, ‘cybercrisisbeheersing’ en ‘digitale criminaliteit’. Beide agenda’s benoemen het belang van bewuste risicoafwegingen op basis van (mogelijke) kwetsbaarheden en de potentiële impact van een incident. In beide agenda’s wordt géén aandacht besteed aan privacy, desinformatie, online ordeverstoringen en social media monitoring. Als beide agenda’s naast elkaar worden gelegd komen daar dus de volgende 5 categorieën uit naar voren:

De ‘gemeente’ (interne organisatie)

De ‘stad’ (extern, derden)

Eigen informatiebeveiliging gemeente Cybercrisisbeheersing Digitale criminaliteit Vitale processen Dreiging van statelijke actoren

Wirwar van termen zorgt voor onduidelijkheid Er worden in de praktijk veel verschillende termen gebruikt, zoals cybersecurity, cybercrime en cyberresilience, en steeds ander soorten incidenten genoemd, zoals ransomware, phishing, DDoS-aanvallen en malware. Dat kan verwarrend zijn. Want die termen en incidenten kennen allemaal net een andere invalshoek en doelgroep. En door het gebruik van al die Engelse woorden klinkt het vaak ook spannender en vooral moeilijker dan het is. Daardoor denken mensen soms onterecht dat ze niets aan digitale veiligheid kunnen doen of dat ze geen kans maken om slachtoffer te worden. We kiezen er in deze agenda daarom voor om alleen te spreken over digitale veiligheid en verder daar waar mogelijk Nederlandse termen te gebruiken.

Beschikbaarheid, integriteit en vertrouwelijkheid van data & ICT-systemen Als wordt uitgezoomd kan worden gesteld dat een incident op het gebied van digitale veiligheid altijd te maken heeft met de beschikbaarheid, integriteit en vertrouwelijkheid van data en ICT-systemen. Als deze in het geding komen kan dat grote gevolgen hebben, zowel op maatschappelijk niveau als voor individuele personen en organisaties. Daarbij zijn er ook veel sociaal-maatschappelijke factoren en aspecten die hierbij belangrijk zijn. Zo kan de problematiek met daders en slachtoffers ook worden bekeken vanuit een criminologisch, geopolitiek of economisch perspectief en zijn de oplossingen om digitale veiligheid te verhogen ook niet alleen technisch van aard.

Mens, organisatie en techniek Om de beschikbaarheid, integriteit en vertrouwelijkheid van data en ICT-systemen te waarborgen zijn maatregelen nodig die zich richten op de mensen (die gebruik dan wel misbruik maken van data en ICT­-systemen), de organisatie (als entiteit, maar ook intern beleid en processen) en de techniek (ofwel de infrastructuur van internetconnectiviteit, hardware en software).

Agenda Digitaal Veilig Den Haag

17

Waar hebben we het over? Data: is de informatie die is opgeslagen op computers, zoals digitaal beschikbare gegevens over (bedrijfs)processen, producten, gebruikers, klanten en andere groepen. Data kan zowel gestructureerd als ongestructureerd zijn. ICT-systemen: de systemen die gebruikt worden om data te verwerken. Beschikbaarheid: betekent dat data & ICT-systemen toegankelijk zijn voor toegestane gebruikers wanneer ze deze nodig hebben. Er is sprake van een incident als het systeem niet of nauwelijks meer te gebruiken is, bijvoorbeeld door gijzelsoftware of een ddos-aanval. Integriteit: betekent dat de data in een ICT-systeem niet is veranderd of gemanipuleerd door iemand die formeel geen recht heeft om de informatie aan te passen. Er is sprake van een incident als de data in een systeem wordt veranderd waardoor deze onbetrouwbaar of inconsistent wordt. De Stuxnet-aanval in Iran in 2010 was hiervan een voorbeeld. Vertrouwelijkheid: betekent dat de data die in een ICT-systeem is opgeslagen alleen beschikbaar is voor degene die formeel toegang heeft tot die informatie. Er is sprake van een incident als iemand informatie kan zien, kopiëren of onttrekken, terwijl die daar formeel geen toestemming voor heeft. Datalekken zijn hiervan het meest concrete voorbeeld.

Identificatie, preventie, detectie, respons en herstel Zulke maatregelen dienen ter identificatie van risico’s en om te zorgen voor preventie, detectie, respons en herstel bij incidenten en crises op het gebied van digitale veiligheid. Het doel daarvan is om de kans dat de beschikbaarheid, integriteit en/of vertrouwelijkheid van data & ICT-systemen worden aangetast zoveel mogelijk te beperken en – mocht dat om wat voor reden onverhoopt toch gebeuren – de schade zo klein mogelijk en beheersbaar te houden.

Volledig aanvalsoppervlakte Mensen en organisaties moeten daarbij kijken naar hun volledige aanvalsoppervlakte: alles wat aan het internet is gekoppeld is – soms via een omweg – online benaderbaar. Niet alleen websites, laptops en telefoons, maar ook bijvoorbeeld modems en slimme apparatuur zoals energiemeters en zonnepanelen. Als daarvan de beveiliging niet goed is geregeld, kunnen kwaadwillenden daarvan misbruik maken door de data en ICT-systemen onbruikbaar te maken waarmee die niet meer beschikbaar is, te manipuleren waarmee de integriteit van gegevens wordt geraakt of openbaar te maken waarmee vertrouwelijke gegevens openbaar worden. Dit gebeurt in toenemende mate geautomatiseerd, doordat aanvallers het internet monitoren op kwetsbaarheden en onbeveiligde apparaten en vervolgens proberen binnen te dringen via de kwetsbaarheden die ze vinden. Ook richten aanvallers die niet rechtstreeks in de ICT-systemen van een organisatie weten te komen zich op de toeleveranciers, ketenpartners of medewerkers van die organisatie. Bijvoorbeeld door te proberen hun inloggegevens te stelen en vervolgens onder de naam van die medewerker in het systeem in te loggen en onder die identiteit bij het beoogde doel binnen te dringen.

Code, kwetsbaarheden en het belang van updates Om een aanval uit te voeren moet een aanvaller, met behulp van computercode, voor zichzelf toegang creëren tot de data en het ICT-systeem. Dat werkt als volgt: computers begrijpen geen menselijke taal, maar maken gebruik van machinetaal. Het schrijven van machinetaal is heel veel werk en daarom gebruiken

18

Agenda Digitaal Veilig Den Haag

mensen vooral programmeertalen (daarvan zijn er duizenden) om de zogenoemde broncode van een computerprogramma te schrijven (ook wel programmeren of coderen genoemd). Met de code van deze programma’s kunnen computers worden aangestuurd om berekeningen en handelingen uit te voeren. In de code staan namelijk de instructies voor wat een computerprogramma moet doen als zij een specifieke opdracht krijgt van de gebruiker van de computer of een ander programma op de computer. Nu is het schrijven van code mensenwerk. En daarbij worden soms fouten gemaakt of blijken dingen in de praktijk anders te werken dan verwacht of gehoopt. Het computerprogramma is dan wel gewoon te gebruiken, maar is dan tegelijkertijd kwetsbaar voor misbruik door aanvallers. Deze kwetsbaarheden worden vaak ook ‘vulnerabilities’, ‘(zero day) exploits’, ‘gaten’, ‘lekken’ of ‘achterdeurtjes’ genoemd. Er is dan in feite sprake van een gat in de beveiliging van een programma. Omdat code vaak uit duizenden of zelfs miljoenen regels programmeertaal bestaat worden er doorlopend kwetsbaarheden gevonden. De maker of eigenaar van een computerprogramma probeert die gaten vervolgens te dichten door ‘updates’ te ontwikkelen en uit te brengen. Als deze updates door de gebruiker worden geïnstalleerd, het zogenoemde ‘patchen’, wordt dat specifieke gat in de code gedicht en kunnen aanvallers daarvan geen gebruik meer maken.

Omdat er zoveel code regels zijn duurt het soms lange tijd voordat een kwetsbaarheid wordt gevonden en gepubliceerd. Als een (kwaadwillende) partij al eerder van die kwetsbaarheid wist en daar misbruik van heeft gemaakt, kan het zijn dat een aanval daardoor al lange tijd onopgemerkt is gebleven of zelfs nog steeds de gang is.

Implicaties voor aanpak digitale veiligheid Vanwege het bovenstaande is het bij digitale veiligheid niet voldoende om alleen in te zetten op maatregelen die zich richten op preventie van incidenten, maar vooral ook op de detectie, respons en het herstel. Organisaties moeten inmiddels ervan uitgaan dat ze op een zeker moment een keer slachtoffer zullen worden van een incident (of dat misschien onopgemerkt zelfs al zijn) en zich daar ook goed op voorbereiden. Crisisbeheersing is daardoor een belangrijk thema, evenals tijdige detectie van een aanvaller. Ook toont het voorgaande dat de aard van de problematiek rondom digitale veiligheid op veel punten anders is dan fysieke veiligheid.

Verschil tussen fysieke en digitale veiligheid: incident en impact Bij fysieke veiligheid is sprake van een incident als er een gebeurtenis plaatsvindt die direct in de fysieke wereld negatieve maatschappelijke impact heeft. Zoals bijvoorbeeld een uitslaande brand, overstroming, onrust of rellen. Bij digitale veiligheid is echter al sprake van een incident als er een kans is dat er een digitale gebeurtenis plaatsvindt die in potentie kan leiden tot financiële en niet-financiële schade en negatieve maatschappelijke impact. Dit heeft te maken met de eerder beschreven aard van digitale veiligheid: het is soms moeilijk om erachter te komen dat een kwetsbaarheid is misbruikt, dus zekerheidshalve moet je er dan vanuit gaan dat dit is gebeurd en er dus mogelijk sprake is van een incident. Zo kan een kwetsbaarheid in een e-mailprogramma ervoor zorgen dat er (onopgemerkt) vertrouwelijke informatie en persoonsgegevens op straat belanden of dat het programma zelf kan uitvallen waardoor organisaties niet meer kunnen mailen en hun bedrijfsvoering en dienstverlening stil komt te vallen. Het vervolgeffect is dat processen in de fysieke wereld uitvallen. Door te patchen wordt de kwetsbaarheid onschadelijk gemaakt. Een digitaal veiligheidsincident kan dan geen fysiek veiligheidsincident meer worden.

Een digitaal veiligheidsincident kan dus leiden tot dezelfde maatschappelijke impact als een fysiek veiligheidsincident. Een tramlijn kan bijvoorbeeld uitvallen doordat een ICT-systeem uitvalt of doordat er een boom op de bovenleiding terecht komt. De impact is hetzelfde: de tram kan niet rijden. Alleen de oorzaak en (een deel van de) oplossing zijn anders. Voor het bestrijden van maatschappelijke impact is de bestaande structuur voor crisisbeheersing, georganiseerd rondom de veiligheidsregio, leidend.

Agenda Digitaal Veilig Den Haag

19

Verschil tussen fysieke en digitale veiligheid: locatie Daar komt bij dat anders dan in de fysieke wereld bij een digitaal veiligheidsincident de dader en slachtoffer (een persoon of het object) niet fysiek op dezelfde plek aanwezig hoeven te zijn. Er zijn wel voorbeelden van aanvallen waarbij aanvallers op locatie een netwerk proberen binnen te dringen (zoals bij de OPCW in Den Haag in 2018), maar dat is eerder de uitzondering dan de regel: het merendeel van de aanvallen gebeurt op afstand via het internet. Zo opereren de meest statelijke actoren vanuit hun thuisland en zijn de criminele bendes die zorgen voor een golf aan gijzelsoftware aanvallen ook veelal uit het buitenland afkomstig. Een dadergerichte aanpak is in het digitale domein daarom op lokaal niveau minder voor de hand liggend dan in de fysieke wereld.

Verschil tussen fysieke en digitale veiligheid: publiek-private verhoudingen Ten slotte is een belangrijk verschil tussen fysieke en digitale veiligheid het eigenaarschap van de ‘openbare’ ruimte en infrastructuur. In de fysieke wereld is de openbare ruimte van alle inwoners en wordt deze betaald met belasting. De fysieke infrastructuur is grotendeels in (semi-)publieke handen. In de digitale wereld is de openbare ruimte van private partijen en wordt deze betaald met advertenties en persoons­ gegevens. Ook de digitale infrastructuur, van smartphones en de kantooromgeving tot aan glasvezel­ netwerken en datacenters, is grotendeels in private handen. Het fysieke verkeer loopt over de wegen die van de overheid zijn. Het digitale verkeer loopt over de systemen die grotendeels van private bedrijven zijn. Dat heeft belangrijke consequenties voor de publiek-private verhoudingen en de rol en sturingsmogelijkheden van de overheid om alles in het digitale domein in goede banen te leiden.

Afbakening digitale veiligheid • Digitale veiligheid gaat over het identificeren van risico’s en de preventie, detectie, respons en herstel met betrekking tot een digitaal veiligheidsincident of -crisis. • Bij een digitaal veiligheidsincident of -crisis is de beschikbaarheid, integriteit of vertrouwelijkheid van data en ICT-systemen in het geding. • Dit kan gebeuren door menselijke of technische fouten en kwaadwillende acties. Aanvallers die een digitaal veiligheidsincident veroorzaken kunnen digitale criminelen of statelijke actoren zijn. Zij maken daarbij gebruik van kwetsbaarheden in soft- en hardware, zoals slimme consumenten-­ apparatuur die vaak nog niet veilig is, en waardevolle persoonsgegevens die door eerdere digitale veiligheidsincidenten, zoals datalekken of datadiefstal, op het internet zijn beland. • Een digitaal veiligheidsincident of -crisis kan veel maatschappelijke impact hebben. Naast directe financiële schade (zoals het betalen van losgeld, het moeten stilleggen van de bedrijfsvoering of dienstverlening, of het volledig opnieuw moeten opbouwen van ICT-systemen) en niet-financiële schade (zoals privacy schendingen, emotionele schade en reputatieschade) kan een dergelijk incident of crisis ook leiden tot een fysiek veiligheidsincident of -crisis, met alle maatschappelijke gevolgen van dien.

• Maatregelen om de risico’s en impact van digitale veiligheidsincidenten te voorkomen moeten zich richten op mens, organisatie en techniek. • Elke organisatie, waaronder ook de gemeente, die voor haar bedrijfsvoering en dienstverlening gebruikt maakt van ICT moet hier in principe rekening mee houden. • Dit is in het bijzonder belangrijk voor organisaties uit vitale processen, omdat uitval van deze processen kan leiden tot acute, grootschalige maatschappelijke ontwrichting.

20

Agenda Digitaal Veilig Den Haag

1.3 Het verhogen van digitale veiligheid: een inhoudelijk perspectief Om te werken aan het verhogen van de digitale veiligheid op stadsniveau is het belangrijk om het verloop van een incident te begrijpen en gerichte maatregelen te nemen die zich richten op ‘mens’, ‘organisatie’ en ‘techniek’ binnen de 5 stappen van ‘identificatie van risico’s’, ‘preventie’, ‘detectie’, ‘respons’ en ‘herstel’. Deze 5 stappen zijn afkomstig uit het NIST Cyber Security Framework, dat internationaal toonaangevend is voor organisaties die hun eigen digitale veiligheid willen verhogen. Ook de gemeente maakt hiervan gebruik voor de eigen organisatie. Het NIST Cyber Security Framework is technisch van aard en oorspronkelijk toegespitst op individuele organisaties. Voor deze agenda is voor deze 5 stappen een conceptuele vertaling gemaakt naar het systeemniveau van de stad. Dit biedt een handvat voor publieke en private partijen om te werken aan de digitale veiligheid van de stad. Het geeft een overzicht van allerlei interventies die partijen kunnen inzetten. In de praktijk is de inzet van interventies door de gemeente uiteindelijk afhankelijk van de rol die de gemeente kan en wil nemen en de behoefte die er is bij organisaties in de stad. Het verloop van een digitaal veiligheidsincident en de vertaling van de 5 stappen zijn als volgt.

Verloop van een digitaal veiligheidsincident Mogelijke oorzaken

Digitaal veiligheidsincident

Mogelijke impact

Misbruik kwetsbaarheden Onbedoeld menselijk handelen Technisch falen

Schending van beschikbaarheid, integriteit en vertrouwelijkheid van data & ICT systemen

Uitval van systemen Diefstal van data Fysiek veiligheids incident

Voor het incident

incident

Na het incident

Maatregelen

Identificatie van risico’s Preventie Detectie Respons Herstel

Identificatie van risico’s (mogelijke oorzaak, kans en impact van een incident) • Identificeer vitale processen en digitale infrastructuur op het niveau van de stad. • Definieer dreiging en ontwikkel scenario’s. • Begrijp de risico’s op het niveau van de stad: welke kwetsbaarheden en (keten)afhankelijkheden zijn er? Wat is de waarschijnlijkheid dat een incident zich voordoet? En wat zijn de mogelijke gevolgen hiervan? • Ontwikkel een doorlopend situationeel beeld en publiceer hier periodiek over.

Preventie (maatregelen om risico’s te verlagen) • Prioriteer kritieke processen op basis van dreiging en risico’s. • Zorg voor de juiste contacten met organisaties uit deze processen. • Werk aan bewustzijn en gedragsverandering bij organisaties en groepen die een hoog risicoprofiel hebben en/of kwetsbaar zijn.

Agenda Digitaal Veilig Den Haag

21

• Agendeer bij organisaties het belang van preventieve maatregelen. Waaronder het gebruik, de ontwikkeling en de inkoop van veilige hard- en software; het waarborgen van redundante connectiviteit; het toepassen van identiteit- en authenticatie management (waaronder Multi-Factor Authenticatie); het zo snel mogelijk doorvoeren van (automatische) updates; het doorlopend uitvoeren van penetratietesten en oplossen van kwetsbaarheden (inclusief Coordinated Vulnerability Discolsure programma); het zorgen voor actuele backups; het beschermen van gevoelige data (onder andere door encryptie); het behalen van relevante certificeringen; en het trainen van gebruikers en medewerkers. • Stimuleer samenwerking en kennis- en informatiedeling tussen organisaties uit geprioriteerde processen. Bijvoorbeeld op bovengenoemde onderwerpen en het delen van strategische kennis, ervaringen en informatie over risicoanalyses, vertrouwelijke gegevensuitwisseling, inkoopeisen etc. • Onderzoek stimuleringsmogelijkheden en sturingsinstrumenten in het geval van een collectief actieprobleem of marktfalen. • Ondersteun de attributie, opsporing en vervolging in het digitale domein door de inlichtingendiensten, de Politie en het OM.

Detectie (maatregelen om incidenten (tijdig) te kunnen detecteren) • Agendeer bij organisaties in de stad het belang van het continue monitoren van het eigen netwerk, apparaten en applicaties (waaronder een Security Operations Centrum en endpoint detectie); het registreren van het digitale gedrag van apparaten, applicaties en gebruikers (logging); het leren herkennen van afwijkend gedrag en datastromen; het testen en updaten van detectieprocessen en -protocollen; en het samenwerken en elkaar helpen bij incidenten. • Zoek voor de digitale infrastructuur en lokaal vitale processen actief naar kwetsbaarheden en datalekken via open bronnen en op het darkweb (scannen en threat hunting). • Onderzoek stimuleringsmogelijkheden en sturingsinstrumenten in het geval van een collectief actie­ probleem of marktfalen. • Zorg voor een construct waarmee informatie over kwetsbaarheden, datalekken en andere dreigings­ informatie (technisch en juridisch) kan worden gedeeld met en tussen organisaties in de stad.

Respons (tijdens een incident snel en adequaat kunnen reageren) • Zorg samen met de veiligheidsregio voor adequate voorbereiding op crisisbeheersing van een fysiek veiligheidsincident dat veroorzaakt wordt door een digitaal veiligheidsincident. • Agendeer bij organisaties in de stad het belang van een crisisplan (inclusief procesafspraken, de technische reactie op een incident, een communicatiestrategie, digitaal forensisch onderzoek en het waarborgen van de continuïteit van bedrijfsvoering & dienstverlening tijdens een incident) en het periodiek oefenen van dit plan samen met partners. • Creëer een meldpunt waar organisaties melding kunnen doen van incidenten en koppel zulke meldingen ook terug richting andere organisaties in de stad (zie ook bij detectie). • Moedig getroffen organisaties aan om aangifte te doen bij de Politie.

Herstel (herstellen of beperken van schade na een incident) • Agendeer bij organisaties het belang van een herstelplan: organisaties kunnen na afronding van het forensisch onderzoek, het verwijderen van alle malware en het oplossen van kwetsbaarheden de getroffen systemen, apparaten en applicaties opnieuw aansluiten en herstarten. Bijvoorbeeld door het herstellen van backups, of bij een zware aanval, het (gedeeltelijk) opnieuw opbouwen van de ICT. • Evalueer na afloop het incident en de reactie hierop, zodat indien nodig de bestaande plannen, protocollen en contracten met toeleveranciers kunnen worden verbeterd. • Communiceer na afloop open en transparant met stakeholders (incl. het publiek) over de geleerde lessen. • Organiseer schadeafhandeling en nazorg in het geval van immateriële schade.

22

Agenda Digitaal Veilig Den Haag

1.4

Rol van de gemeente

Om de (mogelijke) rol van de gemeente op het gebied van digitale veiligheid te duiden is het belangrijk om te kijken naar de juridische context, het nationale stelsel voor digitale veiligheid, verschillende beperkingen en de inzet van andere steden.

Juridische context: lokaal Het ontbreekt voor digitale veiligheid op dit moment aan een uitgebreid juridisch kader voor de rol van gemeenten naar partijen in de stad. De gemeente Den Haag voldoet op dit moment weliswaar aan alle juridische verplichtingen die er voor digitale veiligheid gelden. Dat is in feite enkel de Baseline Informatie­ beveiliging Overheid, die van toepassing is op de informatiebeveiliging van de eigen gemeentelijke organisatie. Er bestaan voor gemeenten (nog) géén andere juridische verplichtingen of bindende afspraken die specifiek ingaan op de digitale veiligheid in de stad zelf. Dat maakt dat veel gemeenten zoekende zijn naar hun rol en verantwoordelijkheid op dit gebied. De inzet van gemeenten is op dit terrein daarom in hoge mate afhankelijk van de ambities en doelen die gemeenten zelf stellen.

Juridische context: nationaal Er zijn op dit moment 2 wetten in Nederland die in algemene zin leidend zijn voor digitale veiligheid: de Algemene Verordening Gegevensbescherming (AVG) en de ‘Wet beveiliging netwerk- en informatie­ systemen’ (Wbni). Beide zijn een afgeleide/implementatie van Europese regelgeving, respectievelijk de ‘General Data Protection Regulation’ (GDPR) en de ‘Directive on Security of Network and Information Systems’ (NIS Directive).

Algemene Verordening Gegevensbescherming De AVG richt zich op correcte gegevensverwerking ter bescherming van privacy. Organisaties die hier niet aan voldoen kunnen hiervoor een flinke boete krijgen. Er geldt een meldplicht bij de Autoriteit Persoons­ gegevens als organisaties erachter komen dat ze (mogelijk) in overtreding zijn. Hierdoor is de AVG een van de belangrijkste motivaties voor organisaties om te investeren in hun digitale veiligheid en zo overtredingen te voorkomen.

Wet beveiliging netwerk- en informatiesystemen De Wbni richt zich op de digitale veiligheid van organisaties uit nationaal vitale processen en dicteert dat deze “passende technische en organisatorische maatregelen op het gebied van cybersecurity moeten nemen”. De wet geldt voor zogenoemde Aanbieders van Essentiële Diensten (AED’s) en digitale dienstverleners. De Rijksoverheid bepaalt daarbij welke bedrijven op nationaal niveau essentieel zijn. AED’s bevinden zich in essentiële sectoren als energie, vervoer, bankwezen, infrastructuur voor de financiële markt, levering en distributie van drinkwater, en digitale infrastructuur. Onder digitale dienstverleners wordt verstaan online marktplaatsen, zoekmachines en clouddiensten. Deze laatstgenoemde organisaties kunnen zelf bepalen of zij onder Wbni willen vallen. Daarnaast regelt de wet de rol van het nationale Cyber Security Incident Response Team van het Nationaal Cyber Security Centrum (NCSC) en het delen van (vertrouwelijke) informatie over cyberrisico’s of incidenten. Dat betekent dat het NCSC ondersteuning biedt als er sprake is van een incident en ook actief dreigingsinformatie kan delen met AED’s en digitale dienstverleners. Voor andere organisaties heeft het NCSC die leverplicht niet, al staat het organisaties vrij om het NCSC om hulp te vragen.

Dit betekent dat het merendeel van de organisaties op dit moment niet wordt ondersteund door het NCSC en ook geen dreigingsinformatie krijgt. Voor het MKB heeft de Rijksoverheid daarom het Digital Trust Center opgericht, dat zich richt op het stimuleren van regionale en sectorale samenwerkingen in het MKB en de ambitie heeft om ook dreigingsinformatie te delen. Er is op dit moment een wet ‘bevordering digitale weerbaarheid bedrijven’ in de maak, die het mogelijk moet maken dat de Rijksoverheid specifieke dreigingsinformatie kan gaan delen met organisaties die niet onder de Wbni vallen.

Agenda Digitaal Veilig Den Haag

23

Sectorale wet- & regelgeving Naast de generieke wetgeving geldt er sectorale wet- en regelgeving die raakt aan digitale veiligheid, bijvoorbeeld voor de telecom-, water- en energiesector. In dergelijke sectorale regelgeving is vaak een zorgplicht opgenomen om passende technische en organisatorische maatregelen te nemen en is een toezichthouder benoemd op dat gebied voor die sector.

Juridische context: Europa Naast eerder genoemde Europese regelgeving zijn met name de ‘EU Cyber Security Act’, die in 2019 in werking trad, en de nieuwe ‘EU strategie inzake cyberbeveiliging voor het digitale tijdperk’ relevant. De EU zit daarbij in het opzetten van netwerken en operationele samenwerking gericht op o.a. verhogen van veerkracht, informatiedeling, een veilige toekomstgerichte digitale infrastructuur & technologie (o.a. 5G, Artificiële Intelligentie en Quantum Technologie), certificering van hard- & software (o.a. het Internet der Dingen), de stabiliteit van (de kern van) het internet door middel van standaarden, het trainen van de beroepsbevolking en diplomatie in het digitale domein. Ook worden de lokale overheid en het MKB expliciet genoemd als belangrijke doelgroepen. De nieuwe strategie zal de basis leggen voor nieuwe regelgeving en de actualisatie van bestaande EU-regelgeving, zoals de Cyber Security Act en de NIS Directive.

Rol gemeente in nationaal stelsel Om de (mogelijke) rol van de gemeente te bepalen is het noodzakelijk om aandacht te hebben voor de positie die de gemeente inneemt in het bredere veld en daarbij de relatie tot de Rijksoverheid, regio en private sector in het bijzonder.

Rijksoverheid: landelijk dekkend stelsel & ontbreken situationeel beeld lokaal niveau Het Nederlandse stelsel voor digitale veiligheid is in hoge mate nationaal en sectoraal georganiseerd. Dit in tegenstelling tot bijvoorbeeld het traditionele veiligheidsstelsel, waarbij juist ‘decentraal tenzij’ het uitgangspunt is. Ook richt de Rijksoverheid haar pijlen sterk op de Europese Unie. Het idee daarachter is dat enkel op Europees niveau effectief kan worden opgetreden om de grootste uitdagingen op te lossen. Bijvoorbeeld als het gaat om veilige hard- en software om het aantal kwetsbaarheden zo klein mogelijk te maken. Europa zorgt namelijk voor de schaalgrootte en de regulerende kracht die nodig is om de grote producenten van hard- en software en digitale dienstverleners, die veelal uit China en de VS komen, tot het juiste gedrag te bewegen. Eén van de prioriteiten van de Rijksoverheid in de Nederlandse Cybersecurity Agenda (NCSA) is de vorming van een Landelijk Dekkend Stelsel (LDS) wat ervoor moet zorgen dat (op termijn) een stelsel van samenwerkingsverbanden tot stand komt waarin informatie over digitale veiligheid breder, efficiënter en effectiever kan worden gedeeld tussen publieke en private partijen.