RIS311499 Bijlage Agenda Digitaal Veilig Den Haag

In dit stelsel worden de gemeenten voor hun eigen organisatie ondersteund door de Informatiebeveiligingsdienst (IBD) van de VNG, maar het bredere lokale perspectief is in dit stelsel nog niet meegenomen. Als er bijvoorbeeld een digitaal veiligheidsincident is bij een aanbieder van een vitaal proces die in Den Haag is gevestigd of actief is, dan heeft deze aanbieder de verplichting om dit bij de Rijksoverheid te melden. Deze informatie wordt vervolgens echter niet gedeeld met de gemeente, waardoor de gemeente geen volledig situationeel beeld heeft van wat er in de stad aan de hand is en mogelijk tot maatschappelijke ontwrichting kan leiden.

Ontbreken expliciete en formele opdracht vanuit Rijksoverheid Er ligt voor digitale veiligheid op dit moment geen expliciete opdracht (met daaraan gekoppelde versterkingsgelden) van de Rijksoverheid aan de Nederlandse gemeenten, zoals dat bijvoorbeeld bij de bestrijding van ondermijning en radicalisering wel het geval is. Omdat digitale veiligheidsincidenten zich in toenemende mate lokaal manifesteren is er bij gemeenten wel een groeiend verantwoordelijkheidsgevoel, maar de formele verantwoordelijkheid en bevoegdheden liggen vooralsnog volledig bij de Rijksoverheid. Deze situatie is niet ideaal, omdat de gemeente bij uitstek de partij is die op lokaal niveau inwoners kan bereiken en partijen bij elkaar kan brengen. Het landelijk dekkend stelsel zou ook een lokaal dekkend stelsel moeten zijn. Dit vraagt om de actualisatie van bestaande wetgeving, specifieke nieuwe wetgeving of interbestuurlijke afspraken.

24

Agenda Digitaal Veilig Den Haag

Ontbreken substantiële financiële middelen Het is ook belangrijk om realistische verwachtingen te hebben over de financiële (on)mogelijkheden van gemeenten voor de digitale veiligheid in de stad. Er zijn op dit moment (nog) geen structurele, nationale versterkingsgelden beschikbaar. Gemeenten financieren hun activiteiten met beperkte incidentele middelen, waardoor een benodigde meerjarige aanpak onmogelijk is en het ontbreekt aan substantiële capaciteit en middelen om proactief nieuwe activiteiten op te zetten of bestaande activiteiten op te schalen voor de hele stad. Deze beperkte mogelijkheden zorgen ervoor dat er keuzes moeten worden gemaakt qua prioritering en fasering.

Barrières voor opschaling Uit de inventarisatie voor deze agenda is gebleken dat de activiteiten gericht op digitale veiligheid in de stad binnen de gemeente op dit moment decentraal plaatsvinden. Er is geen sprake van regie, maar van versnippering van inzet en initiatieven. Wel is er veel informele afstemming. Bestaande initiatieven lukt het vaak niet om op te schalen om verschillende redenen: onvoldoende middelen, het ontbreken van een sluitende businesscase en/of uitdagingen op het gebied van governance & staatssteun. Ook vereist het onderwerp (enige) inhoudelijke kennis- en expertise, die in veel gevallen niet aanwezig is bij de vakdiensten.

Vergelijking met andere steden Ook de andere G4-steden werken hard aan digitale veiligheid. Zij hebben allen een dreigingsbeeld opgesteld waardoor zij een beeld hebben van digitale veiligheid voor hun stad. Ook organiseren ze activiteiten met en voor partijen in de stad. De aanpak per stad verschilt mede doordat elke stad een eigen/ander dreigings- en risicoprofiel heeft. Ook zijn de meeste agenda’s uit de periode van voor de corona pandemie. Het voordeel voor Den Haag is dat de impact van de pandemie wel kan worden meegenomen in de agenda. De voornoemde uitdagingen met betrekking tot verantwoordelijkheid, bevoegdheden, middelen en situationeel beeld zijn niet uniek voor Den Haag. Het ligt dan ook voor de hand om op dit thema samen met de andere G4-steden en VNG op te trekken richting de Rijksoverheid.

Rol gemeente in regio Ook in de regio is er steeds meer aandacht voor digitale veiligheid. Vanuit de veiligheidskolom gebeurt dit binnen de Veiligheidsregio Haaglanden en het Regionaal Samenwerkingsverband Integrale Veiligheid (RSIV) waaraan de Politie, het OM en alle gemeenten binnen de Eenheid Den Haag deelnemen. De focus ligt daarbij vooral op digitale criminaliteit en cybercrisisbeheersing. Vanuit het oogpunt van economische ontwikkeling en digitalisering wordt ook vanuit de Economic Board Zuid-Holland door publieke en private partijen samengewerkt aan de digitale veiligheid van de regionale economie in het algemeen en de regionale topsectoren in het bijzonder. Gemeente Den Haag is goed betrokken bij deze regionale initiatieven en ontwikkelingen.

Mogelijke rollen gemeente Den Haag De gemeente heeft voor digitale veiligheid geen vastgelegde verantwoordelijkheid of rol richting partijen in de stad. De digitale veiligheid in de stad is (nog) niet de verantwoordelijkheid van de gemeente, maar van de partijen in de stad zelf. Het ligt daarom meer voor de hand dat de gemeente een rol vervult die niet uitgaat van een verantwoordelijkheid en verplichting, maar die vooral aansluit bij de belangen die de gemeente heeft. Dat kan zich uiten in een netwerkende en faciliterende rol gericht op: 1) Mobiliseren: het bij elkaar brengen van partijen om bestaande initiatieven te versterken, nieuwe initiatieven te starten en een dialoog in de stad tot stand te brengen. 2) Leren: het experimenteren en onderzoeken om fenomenen, context, principes en effecten op het gebied van digitale veiligheid beter te begrijpen. 3) Realiseren: het organiseren van activiteiten en projecten die direct bijdragen aan het verhogen van de digitale veiligheid in de stad en het creëren van duurzame aandacht en financiering voor digitale veiligheid.

Agenda Digitaal Veilig Den Haag

25

1.5

Groeipad Digitaal Veilig Den Haag

De beperkte beschikbaarheid van capaciteit en middelen dwingt tot het maken van keuzes (prioritering en fasering) voor de aanpak van digitale veiligheid in de stad.

Breed bestuurlijk perspectief: eerst de basis op orde In de agenda Digitaal Veilig Den Haag kiezen we ervoor om op de eerste plaats ons te richten op het waarborgen van de continuïteit van de vitale processen in de stad Den Haag. Het gaat daarbij om de vitale processen waarvoor derden, en niet de gemeente zelf, verantwoordelijk zijn. De focus ligt op het voorkomen van en voorbereiden op acute, grootschalige maatschappelijke ontwrichting ten gevolge van een digitaal veiligheidsincident of -crisis. In deze agenda richten we ons dus niet op de eigen informatiebeveiliging en crisisvoorbereiding van de gemeente, omdat hiervoor het ‘Strategisch beleidskader informatieveiligheid 2019-2022’ (RIS304162) leidend is. De informatiebeveiliging van de gemeentelijke organisatie is op dit moment op behoorlijk niveau. Er wordt de komende jaren extra geïnvesteerd om dit niveau te behouden en te verhogen. Uitdaging voor de gemeentelijke organisatie blijft de zeer krappe arbeidsmarkt voor professionals op het gebied van digitale veiligheid. Dat zorgt ervoor dat de lonen stijgen, andere organisaties het talent van de gemeente wegtrekken en het voor de gemeente steeds lastiger wordt om nieuwe professionals aan te trekken. Ook zal continu moeten worden bezien of aanvullende investeringen nodig zijn in het geval van nieuwe dreigingen en ontwikkelingen.

Vanuit risicomanagementperspectief wordt gewerkt aan de veiligheid en weerbaarheid van de gemeentelijke dienstverlening en bedrijfsvoering die vitaal is voor allerlei stedelijke functies en infrastructuur. Dit omvat ook de fysieke infrastructuur die in het beheer is van de gemeente, zoals de bruggen, sluizen, tunnels, pollerinstallaties, rioolgemalen en verkeersregelinstallaties. Ook staat het thema cybercrisisbeheersing hoog op de agenda. Er hebben onlangs verschillende crisisoefeningen plaatsgevonden en jaarlijks laat de gemeente en haar leveranciers zich extern testen door ethische hackers die meedoen aan Hack The Hague. Tijdens de agendavorming voor Den Haag is gebleken dat het in deze fase vooral wenselijk is om meer inzicht te krijgen in de digitale veiligheid van internationale organisaties en lokaal vitale processen waarvoor de gemeente zelf niet direct verantwoordelijk is. De komende periode organiseren we aan de hand van deze agenda nieuwe activiteiten op dit gebied. Want het is belangrijk dat Den Haag als digitaal veilige stad de basis op orde heeft en het unieke eigen risicoprofiel als Internationale Stad van Vrede, Recht en Veiligheid begrijpt.

Fundament voor criminaliteitsbestrijding Als de basis staat kan vervolgens verder worden gewerkt aan het verhogen van de digitale veiligheid en weerbaarheid van inwoners en bedrijven in Den Haag. Deze groepen zijn vooral het slachtoffer van digitale criminaliteit. Op dit thema zijn echter de rollen en verantwoordelijkheden voor de gemeente niet helder en nog niet bepaald, o.a. in de verhouding publiek-privaat, Rijk-regio-lokaal en gemeente-Politie-OM. Met dit groeipad wordt vanuit deze agenda daarom nog niet ingezet op het organiseren van nieuwe activiteiten die zich richten op digitale criminaliteit. De bestaande, lopende activiteiten worden uiteraard doorgezet. Er bestaat geen twijfel over de grote impact die digitale criminaliteit, zowel financieel als niet-financieel, kan hebben op individuele burgers en bedrijven in de stad. Digitale criminaliteit als crimineel verdienvermogen kan op lange termijn zorgen voor ondermijning en daarmee maatschappelijke ontwrichting. Dit is geen specifiek, uniek Haags vraagstuk. In dat kader zal dit onderwerp ook verder worden uitgewerkt en terugkomen in het Integraal Veiligheidsplan 2023-2026 dat leidend is voor de criminaliteitsbestrijding in Den Haag.

26

Agenda Digitaal Veilig Den Haag

Digitaal veilige stad Schematisch kunnen de doelgroepen in de stad als volgt worden weergegeven. DIGITAAL VEILIG DEN HAAG Mensen en organisaties in de stad

Inwoners Bedrijven (Semi-)Publieke organisaties Uniek risicoprofiel

Internationale en nationale organisaties

Randvoorwaardelijk en faciliterend

Vitale processen in de stad

Onderwijs

Gezondheidszorg

Lokale distributie van levensmiddelen

…

Energie, Connectiviteit (ICT/telecom), Water, Fysieke infrastructuur

Basis op orde

Eigen informatiebeveiliging gemeente

Agenda Digitaal Veilig Den Haag

27

28

Agenda Digitaal Veilig Den Haag

2. Risicoprofiel Den Haag internationale stad 2.1

Context

Den Haag heeft een uniek risicoprofiel Den Haag is bestuurscentrum en Internationale Stad van Vrede en Recht. Daardoor heeft Den Haag een ander risicoprofiel dan veel andere Nederlandse gemeenten. Want daar waar andere gemeenten vooral te maken hebben met digitale criminelen, lopen meerdere organisaties in Den Haag een verhoogd risico om het doelwit te worden van statelijke actoren. Zoals eerder naar voren kwam in publicaties van de AIVD en bleek uit de verijdelde hackpoging op de ‘Organisation for the Prohibition of Chemical Weapons’ (OPCW). Voor de uitwerking van deze agenda is gesproken met meerdere internationale organisaties, NGO’s, kennisinstellingen en vertegenwoordigers van Nederland als gastland.

Belang van Internationale Organisaties voor Den Haag Internationale organisaties, zoals Europol en het International Criminal Court (ICC), bevinden zich in het centrum van geopolitieke ontwikkelingen en zijn een belangrijke banenmotor voor de stad. De sector bestaat in Den Haag uit 480 organisaties die jaarlijks €2,9 miljard besteden en in de regio in totaal 40.000 banen opleveren, waarvan 22.000 in Den Haag (11% van de Haagse economie). Het werk dat internationale organisaties verrichten is cruciaal voor de internationale rechtsorde en democratie. Deze internationale organisaties zijn het fundament van het unieke, internationaal erkende profiel van Den Haag als Internationale Stad van Vrede en Recht. In toenemende mate houden deze organisaties zich ook bezig met digitale veiligheid in de wereld. Zo is het Europol European Cyber Crime Center (EC3) in Den Haag gevestigd en voert de NAVO een groot deel van haar cybersecurity onderzoekswerk in Den Haag uit. Samen met de denktanks, verschillende non-profit initiatieven, zoals het Global Forum on Cyber Expertise (GFCE) en het lokale veiligheidscluster, zorgen deze internationale organisaties ervoor dat Den Haag op het gebied van digitale veiligheid een belangrijk internationaal knooppunt is. Die positie is niet vanzelfsprekend. Steeds meer steden zien het thema digitale veiligheid als groeikans.

Daardoor is er voor Den Haag op dit thema veel concurrentie, waardoor de kans sterk groeit dat internationale organisaties op het gebied van digitale veiligheid elders terecht komen. Dat kan ten koste gaan van meer werkgelegenheid en de leidende positie van Den Haag op dit gebied.

Nederland Gastland Er zijn ongeveer 40 internationale organisaties waarvan Nederland formeel het gastland is. Den Haag geldt daarbij als zwaartepunt. Als gastland heeft Nederland een Ambassadeur voor Internationale Organisaties (AMIO) bij het Ministerie van Buitenlandse Zaken (BuZa). Deze ambassadeur is voor de IO’s het gezicht van gastland Nederland en zet zich in om de internationale organisaties veilig, onafhankelijk en zonder belemmeringen te laten functioneren. Ook is de ambassadeur het aanspreekpunt van ministeries en gemeenten voor zaken die van belang zijn voor internationale organisaties. Voor de vestiging van deze organisaties wordt een Host Nation Agreement opgesteld. In deze overeenkomst worden (proces)afspraken gemaakt

Agenda Digitaal Veilig Den Haag

29

over verschillende zaken die samenhangen met de komst en vestiging van de organisatie in Nederland, variërende van huisvesting en fysieke veiligheid tot immigratie- en belastingregelgeving. BuZa en gemeente Den Haag zijn als gastland en gaststad structureel met elkaar in gesprek. Nu telt Den Haag meerdere zeer toonaangevende, gerenommeerde internationale organisaties. Zij variëren in deelname van staten, omvang, focus en juridische grondslag, maar hebben met elkaar gemeen dat zij door internationale overeenkomsten zijn gecreëerd en hun eigen uitvoeringsorgaan hebben. Zo zijn er in Den Haag verschillende EU-, VN- en andersoortige verdragsorganisaties gevestigd, waaronder het ICC, NATO Communications & Information Agency, en de OPCW. Een groot deel van deze organisaties is fysiek geconcentreerd in de Internationale Zone. Daarnaast zijn er veel NGO’s en buitenlandse ambassades & consulaten in Den Haag gevestigd. Deze zijn in de huidige agenda nog niet meegenomen.

Raakvlak met digitale veiligheid van de stad Internationale organisaties zijn in de eerste plaats zelf verantwoordelijk voor hun eigen digitale veiligheid. De medewerkers van deze organisaties zijn echter vaak ook inwoners van Den Haag. Het is niet ondenkbaar dat statelijke actoren die het werk van Haagse internationale organisaties digitaal willen saboteren of beïnvloeden zich rechtstreeks zullen richten op de medewerkers van deze organisaties of indirect op de stedelijke functies die deze medewerkers, danwel internationale organisaties in hun geheel, als basisvoorzieningen nodig hebben. Eerder waarschuwde de Rijksoverheid dat juist deze statelijke actoren zich richten op vitale processen. Die vitale processen zijn evengoed essentieel voor de internationale organisaties als voor de bewoners van Den Haag.

Statelijke actoren in het digitale domein Statelijke actoren zijn personen of organisaties die onderdeel uitmaken van de overheid van een natiestaat, zoals inlichtingen-, veiligheidsdiensten en militaire entiteiten. In het digitale domein zijn er daarnaast ook staat-gesteunde actoren. Dat zijn personen, groepen of organisaties die formeel geen onderdeel zijn van het overheidsapparaat, maar door (hun thuis)staten worden gesteund of gedwongen om in het belang van die staat activiteiten uit te voeren. In ruil daarvoor laat die staat hen dan bijvoorbeeld toe om digitale criminaliteit te plegen in andere landen. In het Dreigingsbeeld statelijke actoren 2021 stellen AIVD, MIVD en NCTV dat er concrete dreiging uitgaat van activiteiten door statelijke actoren in het digitale domein. Behalve digitale spionage gaat het hier ook om voorbereidingsactiviteiten voor digitale verstoring en sabotage. Statelijke actoren verschaffen zich dan toegang tot ICT-systemen en nestelen zich daar vervolgens om de systemen in de toekomst te kunnen gebruiken voor verstoring of sabotage van in het bijzonder vitale fysieke en digitale infrastructuur. Ook is er kans dat Nederland nevenschade ondervindt uit digitale aanvallen in andere landen.

In het dreigingsbeeld wordt expliciet genoemd dat de capaciteit, kennis en expertise van bepaalde landen op het gebied van digitale veiligheid dermate groot is, dat wanneer deze actoren ergens digitaal binnen willen dringen, de slagingskans groot is. Maar dat deze slagingskans kleiner kan worden gemaakt door tegenmaatregelen te nemen. Het digitale domein is, vanwege eerdergenoemde kenmerken van digitale veiligheid, een interessant gebied voor statelijke actoren. Omdat zij hier relatief goedkoop en heimelijk activiteiten kunnen uitvoeren die onder de drempel van gewapend conflict blijven, maar wel hun belangen ten goede komen. De AIVD, MIVD en NCTV stellen ook dat het noodzakelijk is om “de overtuigingen, belangen en mentaliteit van de statelijke actor te kennen, omdat het inzicht geeft in de primaire kracht achter een dreiging. Dit inzicht helpt bij het maken van de inschatting hoe ver een statelijke actor bereid is te gaan en helpt bij het nemen van de meest effectieve tegenmaatregelen. Wanneer Nederland de eigen overtuigingen, belangen en mentaliteit als uitgangspunt neemt voor het begrijpen van een andere statelijke actor (mirror imaging, cultural bias) dan kunnen diens acties als onvoorspelbaar of irrationeel worden ervaren. Het is dus van belang de logica van de statelijke actor te kennen en accepteren.

Dit behoedt ook voor de valkuil om te denken dat een dreiging weg is als deze niet meer zichtbaar is.” NB: in het dreigingsbeeld wordt naast de digitale dreiging ook over andere niet-digitale dreigingen van statelijke actoren gesproken.

30

Agenda Digitaal Veilig Den Haag

Aanwezigheid van internationale organisaties is ook een kans De aanwezigheid van internationale organisaties is voor de digitale veiligheid van de stad niet alleen een risico, maar ook een kans. Organisaties zoals Europol en NCIA beschikken namelijk ook over veel kennis en expertise en kunnen potentieel ook bijdragen aan het verhogen van de digitale veiligheid van de stad. Datzelfde geldt voor de denktanks en kennisinstellingen die in Den Haag zijn gevestigd.

Uitgangspunt gewenste situatie In het belang van Den Haag kunnen op dit gebied verschillende doelstellingen worden geformuleerd. Zoals: • De maatschappelijke impact van een (indirecte) aanval op internationale organisaties (preventie en respons) verminderen; • Het vestigingsklimaat voor internationale organisaties versterken; • De dreiging die uitgaat van statelijke actoren op het niveau van Den Haag beter begrijpen; • Een constructieve bijdrage leveren aan de wereldwijde capaciteitsopbouw voor vrede, recht en veiligheid in het digitale domein en zo Den Haag op de kaart zetten als internationaal knooppunt voor digitale veiligheid; en • Nieuwe internationale organisaties op het gebied van digitale veiligheid aantrekken.

2.2

Eerste bevindingen huidige situatie

Uit de gesprekken met verschillende partijen in de stad komt het volgende beeld naar voren:

In algemene zin Er zijn op dit moment nog geen nationale initiatieven die zich richten op de digitale veiligheid van internationale organisaties. Het werk van internationale organisaties kent een hoge mate van vertrouwelijkheid en daarbij horen ook hoge eisen voor digitale veiligheid. Ze kijken niet alleen naar de identificatie, preventie en detectie, maar ook sterk naar de respons en herstel. Naast het beveiligen van data en ICT-systemen richten zij zich daarom ook op ‘Business Continuity Management’, oftewel het zorgdragen dat de bedrijfsvoering en ‘core business’ van de organisatie te allen tijde kan blijven draaien. Organisaties zijn daarbij ook deels afhankelijk van de vitale processen van Den Haag, zoals het drinkwater en de (digitale) connectiviteitsinfrastructuur. Sommige internationale organisaties hebben daarom uitgesproken dat zij graag, samen met organisaties uit die vitale processen, een oefening van een grootschalige digitale veiligheidscrisis zouden houden. Daarbij dienen onder andere de beperkte middelen van deze organisaties in acht te worden genomen. Ook zouden internationale organisaties graag meer inzicht krijgen in de mogelijke risico’s en cascade-effecten in relatie tot vitale processen en hun eigen organisatie.

Het is belangrijk om op te merken dat er niet één type internationale organisatie is en dat zij dus allen verschillen qua risicoprofiel, -tolerantie en -cultuur en het type aanvaller dat zij (mogelijk) aantrekken.

Behoefte meer informatiedeling Er lijkt bij alle internationale organisaties een behoefte aanwezig om kennis en informatie te delen met andere internationale organisaties. Wel is er een verschil in de aard en inhoud van de kennis en informatie die organisaties zouden willen delen. Daarbij is onderscheid te maken in twee soorten informatie: 1) Strategische informatie, zoals risicoanalyses en -methodieken en ervaringen met bepaalde oplossingen en hun aanbieders. Organisaties doen dergelijke analyses nu allemaal individueel. Met het delen van dergelijke informatie zou de kwaliteit van analyses omhoog kunnen gaan en zouden de processen efficiënter plaats kunnen vinden. Kansrijk is ook het delen van ervaringen op het gebied van awareness campagnes. 2) Operationele dreigingsinformatie, zoals informatie over concrete incidenten, dreigingen en kwetsbaarheden. Niet alle internationale organisaties hebben hier behoefte aan, omdat er voor het delen van zulke informatie voor hen juridische beperkingen gelden en/of omdat zij, vanuit hun eigen samenwerkingsverband of lidstaten, reeds in deze informatie worden voorzien.

Agenda Digitaal Veilig Den Haag

31

Voor het delen van beide type informatie lijkt een formeel samenwerkingsconstruct noodzakelijk. Want als de informatie informeel wordt gedeeld kunnen de organisaties deze informatie niet formeel als bron of onderbouwing van hun eigen veiligheidsbeleid gebruiken. Sommige internationale organisaties hebben de wens uitgesproken om een ‘Information Sharing and Analysis Center’ (ISAC) op te richten. Een ISAC is een sectoraal overleg over digitale veiligheid. In een vertrouwde omgeving komen organisaties uit dezelfde sector bij elkaar om gevoelige en vertrouwelijke informatie over incidenten, dreigingen, kwetsbaarheden, maatregelen en leerpunten te delen. Er is geen standaardvorm voor een ISAC. Deze kan formeel of informeel zijn; gestructureerd of flexibel; en met fysieke en/of digitale vergaderingen. Het is aan de deelnemers om de best passende vorm te kiezen.

Verbinding met het bredere ecosysteem Los van de vraag of een ISAC het juiste instrument is (er zijn ook stemmen die opgaan dat internationale organisaties vanwege hun aanzienlijke maatschappelijke en economische meerwaarde voor Nederland zouden moeten worden aangemerkt als vitaal en daarmee ook ondersteuning zouden moeten krijgen van het NCSC) lijkt er bij sommige internationale organisaties ook een behoefte te zijn om met het bredere ecosysteem in Den Haag over bepaalde (innovatieve) onderwerpen kennisvragen en expertise te kunnen delen. Bijvoorbeeld als het gaat om veilige online betalingen of het ‘Internet of Things’.

Digitale en fysieke veiligheid Daarnaast bestaat er, vanuit de Host Nation Agreement, voor fysieke veiligheid een contact-/meldpunt bij het Diplomatic Front Office van de Politie. Volgens sommige internationale organisaties zou het goed zijn als er een soortgelijk meldpunt wordt gevormd voor incidenten op het gebied van digitale veiligheid. De behoefte is daarbij dat vanuit dat meldpunt ook eerstehulp advies en ondersteuning voor de respons op een incident worden geboden. Er is ook een overlap tussen digitale beveiliging en de fysieke beveiliging van internationale organisaties. Als aanvallers in persoon op locatie de ICT-systemen proberen binnen te komen, zoals ook gebeurde in voornoemde casus bij de OPCW, dan is het van groot belang om hen zo snel mogelijk op te merken. Eerdere inzet op de Integrale Gebiedsbeveiliging van de Internationale Zone wordt door internationale organisaties daarom gezien als belangrijk en hetzelfde geldt voor de snelle responstijd van de Politie bij (mogelijke) incidenten.

Belang breder bewustzijn over digitale veiligheid in de stad Door de pandemie werken ook veel medewerkers van internationale organisaties vanuit huis. Daardoor is het aanvalsoppervlakte vergroot naar de huishoudens van hun medewerkers. Er worden voor medewerkers bewustzijnscampagnes uitgevoerd over digitale hygiëne en veiligheid. Volgens verschillende organisaties zou het goed zijn als in de stad ook bredere campagnes en informatiesessies worden uitgevoerd die zich richten op de inwoners van Den Haag, bijvoorbeeld voor scholieren, en zich daarmee indirect ook richten op de familieleden van medewerkers van internationale organisaties.

Gedrag van staten in het digitale domein Er blijkt niet één type statelijk actor en dreiging. Verschillende landen hebben verschillende perspectieven en motivaties. Zij richten zich daardoor ook op andere doelen als het gaat om digitale spionage, sabotage, beïnvloeding en maatschappelijke verstoring. Bijvoorbeeld om onderhandelingen te beïnvloeden en geopolitieke belangen te behartigen of om bij het innovatieve bedrijfsleven en onderzoeksinstellingen intellectueel eigendom (IP) en innovaties te stelen. Ook ‘gijzelsoftware’ aanvallen door staat-gesteunde actoren zijn een groeiend probleem, deze zijn voornamelijk gericht op niet-vitale organisaties en veroorzaken zeer veel financiële schade. Niet alle landen zijn open en transparant over de capaciteiten die zij in het digitale domein hebben en niet elk incident is eenvoudig toe te wijzen aan een statelijke actor. Veel informatie is ook niet publiek beschikbaar, maar bijvoorbeeld alleen bij inlichtingen- en veiligheidsdiensten bekend. Het ontbreekt tot nog toe aan een onafhankelijke index die het gedrag van staten in het digitale domein volgt en transparant maakt. In algemene zin geldt dat openheid ervoor zorgt dat staten zich beter

32

Agenda Digitaal Veilig Den Haag

gedragen naar internationaal recht en normen, zoals dat bijvoorbeeld ook bij nucleaire wapens is gebeurd. Als statelijke actoren zich beter zouden gedragen in het digitale domein, dan zou dat er ook voor kunnen zorgen dat de dreiging voor (organisaties in) Den Haag afneemt.

Den Haag als internationaal knooppunt Den Haag kan als internationaal knooppunt in de internationale capaciteitsopbouw op het gebied van digitale veiligheid een belangrijke rol spelen. Onder andere door de aanwezigheid van het Global Forum on Cyber Expertise, de Global Commission on the Stability of Cyberspace en het The Hague Program for Cyber Norms. Dergelijke organisaties zijn belangrijk omdat zij het (begin van een) fundament leggen voor de internationale rechtsorde in het digitale domein, die randvoorwaardelijk is voor de stabiliteit en toekomst van de wereldwijde digitale samenleving en economie. Op het gebied van internationale capaciteitsopbouw liggen er mogelijk ook kansen om vanuit Den Haag een positieve bijdrage te leveren aan de bilaterale relaties tussen Nederland en strategische partners, zoals opkomende landen als India en Nigeria.

2.3

Acties agenda Digitaal Veilig Den Haag

Het voorgaande in acht genomen wordt daarom in deze agenda gekozen om langs 3 lijnen te werken aan digitale veiligheid in relatie tot Den Haag als Internationale Stad. De 1e lijn richt zich op de internationale organisaties als doelgroep. De 2e lijn richt zich op statelijke actoren. En de 3e lijn richt zich op de positie van Den Haag als internationaal knooppunt voor digitale veiligheid. Deze lijnen staan niet op zichzelf maar versterken elkaar. Voor de periode t/m juni 2022 kunnen, mits de Rijksoverheid deze inzet steunt en bereid is daarin samen op te trekken, de volgende acties worden uitgevoerd: 1. Internationale organisaties • We gaan in gesprek met het ministerie van Buitenlandse Zaken over digitale veiligheid in relatie tot Nederland Gastland en de Host Nation Agreement. • We verkennen de mogelijkheden om de internationale organisaties te helpen om een ISAC op te richten zodat strategische en operationele informatie kan worden gedeeld. • We beginnen met de voorbereidingen voor een crisisoefening met internationale organisaties. • We organiseren een bijeenkomst tussen internationale organisaties en het bredere ecosysteem om inhoudelijke thema’s rondom (innovatie in) digitale veiligheid te agenderen. • We onderzoeken de haalbaarheid van een brede awareness campagne voor Haagse inwoners, te beginnen met scholieren. 2.

Statelijke actoren • We zoeken de samenwerking met Clingendael als coördinator van verschillende nationale kennisplatforms om de dreiging die uitgaat van statelijke actoren op het niveau van Den Haag te onderzoeken. • We ondersteunen de ontwikkeling van een Cyber Norms & Arms monitor door HCSS om het gedrag van statelijke actoren in het digitale domein positief te beïnvloeden in het belang van Den Haag. 3. Den Haag als internationaal knooppunt voor digitale veiligheid • We communiceren actief en internationaal over de activiteiten die we in relatie tot het bovenstaande uitvoeren. • We gaan in gesprek met de organisaties die in Den Haag werken aan wereldwijde capaciteitsopbouw en onderzoeken of we 1) hun kennis lokaal kunnen ontsluiten en 2) samen een lange termijn propositie en perspectief kunnen ontwikkelen. • We verkennen de mogelijkheden om op dit thema samen te werken met andere Europese steden, zoals Geneve en Wenen.

Agenda Digitaal Veilig Den Haag

33

34

Agenda Digitaal Veilig Den Haag

3. Vitale processen 3.1

Context

Digitalisering in de samenleving In de samenleving is al langer sprake van automatisering, informatisering en elektrificering. Dit betekent dat processen in de samenleving in toenemende mate geautomatiseerd plaatsvinden. Van slimme verkeerslichten tot automatische pakketselectie in het magazijn van webwinkels. Er wordt (o.a. daardoor) ook steeds meer data gegenereerd. Daarnaast is er door de energietransitie sprake van een volgende stap in elektrificatie, bijvoorbeeld door zonnepanelen, elektrisch vervoer en slimme gebouwbeheerssystemen. Deze systemen zijn nagenoeg altijd afhankelijk van ICT. Deze drie ontwikkelingen hebben een grote en toenemende impact in de stad. Het biedt kansen om het stedelijk leven substantieel te verbeteren en te verduurzamen, maar zorgt tegelijkertijd ook voor nieuwe uitdagingen op het gebied van digitale veiligheid.

Voorbeeld automatisering, informatisering en elektrificering: deelvervoer Elektrische deel-scooters die via een app in 1 klik met de telefoon kunnen worden gereserveerd en betaald zorgen voor een verbeterde mobiliteit en – als daardoor minder reguliere auto’s worden gebruikt en gekocht – voor minder uitstoot. Maar er ontstaan tegelijkertijd nieuwe risico’s op het gebied van digitale veiligheid. Zo wordt een deel van de mobiliteit in de stad afhankelijk van het wel of niet functioneren van de desbetreffende private app (en haar achterliggende IT-systemen) en is er een risico op het lekken van zeer waardevolle persoonsgegevens, zoals rijbewijzen en betaalgegevens, van de gebruikers van de app. Dit kan gebeuren als de app of het bedrijf wordt gehackt of als de app niet veilig is ontworpen en veel kwetsbaarheden heeft. Met dergelijke persoonsgegevens kan vervolgens (identiteits)fraude plaatsvinden, wat voor de gebruikers, in veel gevallen de inwoners van Den Haag, grote gevolgen kan hebben.

Vitale infrastructuur Voor het stedelijk leven zijn bepaalde infrastructuur essentieel. We kunnen als samenleving bijvoorbeeld niet zonder water, elektriciteit en ICT/telecom. Ook hebben we wegen, bruggen en dijken nodig. Voor en op het functioneren en beheren van deze infrastructuur zijn automatisering, informatisering en elektrificering in toenemende mate van toepassing. Deze ‘traditionele’ vitale infrastructuur is voor een deel in (semi-)publieke handen. Ook de gemeente is hierin een partij. De gemeente is in Den Haag bijvoorbeeld verantwoordelijk voor het stedelijk beheer van de fysieke gemeentelijke infrastructuur van bruggen, sluizen, tunnels, rioolgemalen en pollerinstallaties. Het merendeel van deze objecten wordt op afstand aangestuurd. In het beheer wordt een integrale risicoafweging gemaakt, waarbij ook digitale veiligheid wordt meegenomen. De BIO en het gemeentelijk beleid voor informatiebeveiliging zijn van toepassing op al deze objecten. De gemeente is niet verantwoordelijk voor de infrastructuur van derden in de stad en dus ook niet voor de digitale veiligheid hiervan. Maar de gemeente heeft wel een groot publiek belang bij het goed functioneren van deze infrastructuur.

Agenda Digitaal Veilig Den Haag

35

Vitale processen Naast het fysieke infrastructuur-perspectief kan ook naar de samenleving worden gekeken als een systeem met processen en ketens. Zoals eerder toegelicht bepaalt de Rijksoverheid welke organisaties er nationaal vitaal zijn en daarmee onder de Wbni vallen. Een groot deel van de organisaties die verantwoordelijk zijn voor voornoemde traditionele infrastructuur valt daaronder. Alsmede ook verschillende digitale dienstverleners. Op lokaal niveau zijn er echter ook verschillende processen die niet nationaal vitaal zijn, maar de afgelopen jaren tijdens de pandemie wel essentieel zijn gebleken om het stedelijk leven op een basisniveau doorgang te laten vinden. Zoals het Onderwijs, de Gezondheidszorg en de Lokale Distributie van Levensmiddelen. In deze agenda zijn deze processen wel meegenomen. Op nationaal niveau zijn door de Rijksoverheid (criteria voor) vitale processen vastgesteld en in wetgeving vastgelegd, dat zorgt voor organisaties uit deze processen én de Rijksoverheid voor formele verantwoordelijkheden en verplichtingen. Op lokaal niveau zijn er voor vitale processen geen criteria of wetgeving. In deze agenda is het actuele publiek belang als uitgangspunt genomen en van daaruit gekeken naar lokale processen. Om (verwarring over) te veel verschillende termen te voorkomen is daarbij gekozen om ook voor belangrijke lokale processen de term vitaal te gebruiken.

Daarbij is het verschil met nationaal vitale processen dat er voor organisaties uit de lokaal vitale processen en de gemeente op lokaal niveau geen formele verantwoordelijkheid of verplichting is. De algemeen geldende nationale regelgeving op het gebied van digitale veiligheid is daarbij uiteraard wel van toepassing. Net als bij de infrastructuur is de gemeente in het merendeel van de gevallen dus niet verantwoordelijk voor de digitale veiligheid van vitale processen. Er is echter wel een groot publiek belang bij het ongestoord functioneren van genoemde processen. In de toekomst kunnen ook andere processen verder worden onderzocht en uitgewerkt.

Voorbeeld automatisering, informatisering en elektrificering: gebouwautomatisering Een opkomend voorbeeld is gebouwautomatisering in grote kantoren of appartementencomplexen. In toenemende mate worden in zulke gebouwen systemen – via het internet – bestuurbaar en aan elkaar gekoppeld. Van de airconditioning en zonnepanelen tot aan de slimme deurbel en laadpunten voor elektrische auto’s. Het is natuurlijk erg handig als deze systemen allemaal via 1 dashboard door de bewoners, eigenaar en eventuele beheerders kunnen worden bekeken en bestuurd. Dat kan zorgen voor effectiever en efficiënter beheer en gebruik. Maar doordat deze systemen hierdoor afhankelijk van elkaar zijn geworden ontstaan ketenrisico’s op het gebied van digitale veiligheid. Al helemaal als niet alleen binnen 1 gebouw alle systemen met elkaar zijn gekoppeld, maar als een vastgoedeigenaar of -beheerder meerdere gebouwen heeft en die gebruik maken van hetzelfde gebouwautomatiseringssysteem. Door deze onderlinge afhankelijkheid kan de uitval van het ene systeem ertoe leiden dat een ander systeem uitvalt. Een substantiële fluctuatie op het elektriciteitsnet, bijvoorbeeld doordat alle elektrische laadpunten in 1 keer uitvallen, kan er bijvoorbeeld toe leiden dat de elektriciteit uitvalt en daardoor ook de gekoppelde systemen worden geraakt.

3.2 Gebundelde aanpak vitale infrastructuur en processen Bundeling: overzicht & uitvoering op lange en korte termijn In de bijlage is een uitgebreide beschrijving opgenomen van de lokaal vitale infrastructuur en processen (hierna genoemd: vitale processen) in Den Haag. Daarbij wordt beschreven hoe het veld in elkaar zit, welke trends en ontwikkelingen er spelen en welk eerste beeld er op basis van gesprekken met organisaties in de

36

Agenda Digitaal Veilig Den Haag

stad naar voren komt. Hoewel de vitale processen van elkaar verschillen hebben we er voor de overzichtelijkheid en uitvoerbaarheid voor gekozen om de aanpak en acties te bundelen. We gebruiken daarbij de eerdergenoemde 5 stappen voor het verhogen van de digitale veiligheid als leidraad. Daar waar een proces dat in de uitvoering nodig blijkt te hebben zorgen we voor maatwerk projecten en activiteiten. Per stap hebben we (mogelijke) oplossingen voor de (midden)lange termijn opgesteld. Het realiseren hiervan vergt een lange termijn aanpak en investering. Tegelijkertijd hebben we korte termijn acties opgenomen die op zichzelf staand kunnen worden uitgevoerd en afgerond t/m de zomer van 2022. Deze acties zullen er niet direct voor zorgen dat de digitale veiligheid van de stad als systeem integraal wordt verhoogd, maar dragen wel bij aan het hiervoor benodigde fundament. Omdat we nu voor het eerst gestructureerd werken aan de digitale veiligheid van de vitale processen bevindt het zwaartepunt van de korte termijn acties zich inhoudelijk op het identificeren van risico’s en qua rol van de gemeente op het leren en mobiliseren.

Algemene bevindingen Uit het onderzoek en de gesprekken die zijn gevoerd komen de volgende zaken naar voren: • De dreiging van gijzelsoftware en privacy regelgeving zijn op dit moment de voornaamste motivatie voor organisaties om te investeren in digitale veiligheid, maar beperkte beschikbare budgetten (bijvoorbeeld in het onderwijs en de zorg) zijn nog steeds een limiterende factor. • Uit de gevoerde gesprekken blijkt dat het volwassenheidsniveau van organisaties in de stad sterk varieert: er zijn organisaties die een hoog volwassenheidsniveau hebben en organisaties die nog een lange weg te gaan hebben. Over het algemeen geldt: kleine organisaties hebben niet de benodigde schaalgrootte om digitale veiligheid te organiseren (niet de capaciteit, kennis en middelen), terwijl zulke organisaties soms juist het maatschappelijk belang het meest dienen (bijv. kleinschalige zorg). Dit is een spanningsveld. • Tijdens de ontwikkeling van deze agenda is gebleken dat er bij (een deel van de) organisaties in de stad behoefte is aan (meer) kennis- en informatiedeling, crisisoefeningen en netwerkvorming op lokaal niveau (zowel binnen hun proces als cross-sectoraal). Ook wordt genoemd dat meer bestuurlijke aandacht gewenst is. De meerwaarde van de gemeente wordt gezien als aanjager en informele regisseur.

Met name aan de ‘voorkant’ van een incident, dus bij de preventieve kant van digitale veiligheid. Voor de ‘achterkant’ van een incident, dus de respons kant van digitale veiligheid, wordt de Veiligheidsregio Haaglanden vaak genoemd als cruciale partij. • De Veiligheidsregio Haaglanden is leidend voor de (voorbereiding op) crisisbeheersing bij grootschalige maatschappelijke verstoring en fysieke veiligheidsincidenten, ook als die het gevolg zijn van een digitaal veiligheidsincident. De Veiligheidsregio speelt geen rol in de acute crisisbeheersing van digitale veiligheidsincidenten an sich. Daar zijn vooral bedrijven actief en het NCSC van de Rijksoverheid als het organisaties uit de nationaal vitale processen betreft. Er is op dit moment geen enkele partij die lokaal het overzicht en inzicht heeft en van daaruit werkt aan preventieve maatregelen van – en tussen – lokaal vitale processen. De Veiligheidsregio Haaglanden werkt op dit moment aan een nieuw regionaal risicobeeld en beleidsplan. • De gemeente lijkt lokaal de aangewezen partij die 1) het netwerk van organisaties uit lokaal vitale processen in deze fase bij elkaar kan brengen en 2) het netwerk tussen deze organisaties kan versterken als fundament voor kennisdeling, informatiedeling en samenwerking ten behoeve van het verhogen van de digitale veiligheid (preventie en respons).

Daarnaast kan de gemeente (onderzoeks)projecten initiëren, eigen projecten opschalen naar organisaties in de stad en eigen kennis en ervaringen actief delen. • Ook kunnen netwerk- en clusterorganisaties een belangrijke rol spelen. Want digitale veiligheid moet niet op zichzelf staan, maar onderdeel worden van reeds bestaande samenwerkingen en trajecten binnen de processen. Te denken aan Stichting Transmurale Zorg Haaglanden voor de zorg en de platforms PO en VO voor het onderwijs. Dit vergt op termijn mogelijk inzet op het versterken van de kennispositie en capaciteit van zulke organisaties. Ook netwerkorganisaties op het gebied van digitale veiligheid, zoals HSD, ECP en connect2trust, kunnen hierin mogelijk een rol spelen.

Agenda Digitaal Veilig Den Haag

37

1. Identificatie van risico’s

De voornoemde digitalisering van de stad raakt ook de lokaal vitale processen in sterke mate. Er is – o.a. door de corona pandemie – sprake van een – een versnelde digitalisering en daardoor zijn er grotere en nieuwe risico’s wat betreft de beschikbaarheid, integriteit en vertrouwelijkheid van de data & ICT die essentieel zijn geworden voor het functioneren van deze processen. Dat betreft risico’s op het niveau van individuele organisaties, maar ook in de keten, de onderlinge afhankelijkheden en op het niveau van de digitale en elektriciteits-infrastructuur in de stad. Het aanvalsoppervlak is gegroeid en wordt steeds groter. Belangrijke vragen daarbij zijn: wie heeft/hebben er straks nog het totaaloverzicht en -inzicht van de verschillende netwerken, ketens en afhankelijkheden? En wie is voor deze aspecten verantwoordelijk voor de digitale veiligheid of het beste gepositioneerd om deze te verhogen? Gewenste ontwikkeling op de lange termijn – Identificatie van risico’s Realisatie van een doorlopend en actueel (dus: ‘real time’) situationeel beeld van de dreigingen, incidenten, kwetsbaarheden en (keten)afhankelijkheden op het niveau van de stad. Het beeld biedt idealiter inzicht in risico’s op verschillende niveaus: 1) organisaties uit vitale processen, 2) stadsbrede onveilige apparaten en sensoren, en 3) infrastructuur.

Een dergelijk ‘risico’-beeld moet tot stand komen door een betere informatiepositie van de gemeente doordat meer publieke en private organisaties de gemeente voorzien van actuele informatie en de gemeente ook zelf eigen onderzoek verricht naar risico’s en kwetsbaarheden op het niveau van de stad en de vitale processen in het bijzonder. Het doorlopend beeld is voor intern gebruik, maar idealiter worden organisaties en individuen actief geïnformeerd als er risico’s en kwetsbaarheden worden gevonden die op hen van toepassing zijn. Periodiek kan er ook een publieke publicatie worden opgesteld. Dit heeft als meerwaarde dat partijen in de stad worden geïnformeerd over digitale veiligheid en op basis daarvan een publieke discussie kan worden gevoerd over onze risicobereidheid, dus de mate waarin we als stad risico’s op het gebied van digitale veiligheid wel of niet aanvaardbaar vinden, en welke maatregelen er mogelijk zijn om het risico te reduceren of te verleggen. Acties op korte termijn – Identificatie van risico’s 1. Dreiging: We zoeken de samenwerking met kennisinstellingen en denktanks om de dreiging die uitgaat van statelijke actoren op het niveau van Den Haag verder te onderzoeken (zie hoofdstuk 2) – [Leren] 2.

Organisaties uit vitale processen: We onderzoeken samen met kennisinstellingen de (on)mogelijkheden (juridisch en technisch) wat betreft het scannen op kwetsbaarheden bij organisaties uit de lokaal vitale processen – [Leren] 3. Onveilige apparaten: We maken inzichtelijk welke Internet of Things apparaten in Den Haag kwetsbaar zijn en brengen dit onder de aandacht bij de stakeholders die actie moeten nemen (inclusief het publiek) – [Leren & Mobiliseren] 4. Infrastructuur: We brengen de risico’s in kaart van de wederzijdse afhankelijkheid tussen elektriciteit en connectiviteit – [Leren]. 5. Informatiepositie 1: We gaan samen met de G4 en VNG in gesprek met het Rijk om ons situationeel beeld te verbeteren – [Mobiliseren & Realiseren] 6. Informatiepositie 2: We inventariseren welk onderzoek er bij regionale kennisinstellingen wordt gedaan op relevante risico’s en of we dit onderzoek kunnen bevorderen (o.a. door inbreng eigen kennisvragen) – [Leren].

38

Agenda Digitaal Veilig Den Haag

2. Preventie

In algemene zin wordt door veel organisaties in de stad de ICT in toenemende mate uitbesteed en tegelijkertijd overgestapt naar de cloud. Daarmee verschuift de focus van het zelf nemen van preventieve maatregelen en het beheren van eigen ICT-systemen, naar het stellen van de juiste eisen voor digitale veiligheid bij het aanbesteden en inkopen van diensten die in de cloud draaien. Organisaties krijgen voor hun ICT meer een regie- en toezichthoudende rol waarbij ze preventief (moeten) testen in hoeverre de afgenomen diensten veilig zijn. Om meer zekerheid te hebben kiezen sommige organisaties voor het doorlopen van een certificeringsproces. Over het algemeen hebben organisaties moeite om voor digitale veiligheid de juiste en voldoende medewerkers aan te trekken en te behouden. Vrijwel alle organisaties in de stad noemen het belang van bewustzijn van digitale veiligheid bij medewerkers en inwoners van de stad. Wel is er nog veel onduidelijkheid over wat wel en niet goed werkt. Het zou daarom helpen als er een overzicht is van succesfactoren en bouwstenen voor bewustwordingscampagnes, zodat organisaties zulke activiteiten gemakkelijker en op een betere manier kunnen opzetten/inkopen. Gewenste ontwikkeling op de lange termijn – Preventie Organisaties in de stad nemen zelf de juiste preventieve maatregelen en zijn aangesloten bij de voor hun relevante nationale initiatieven.

Er is voldoende vertrouwen tussen organisaties dat er een sterk netwerk is ontstaan waarbij organisaties in de stad elkaar helpen door kennis, ervaringen en strategische informatie over preventieve maatregelen te delen (zoals bijvoorbeeld risicoanalyses en inkoopeisen). Organisaties zetten in op certificering, (doorlopend) testen en redundante connectiviteit. Er is voor digitale veiligheid bij publieke en private organisaties voldoende gekwalificeerd talent aanwezig. Er is op meerdere niveaus, van bestuurders tot aan inwoners van de stad, bewustzijn over de risico’s van digitale veiligheid en dat leidt tot positieve gedragsverandering. De toegenomen effectiviteit van opsporings- en inlichtingendiensten zorgt bij aanvallers voor afschrikking. Acties op korte termijn – Preventie 1. Netwerkvorming: We brengen organisaties uit de processen bij elkaar om samenwerking en kennis& informatiedeling te stimuleren. Tijdens de bijeenkomsten gaan we in op actuele vraagstukken, trends & ontwikkelingen, nieuwe technologieën en effectieve beveiligingsmaatregelen. Daarbij betrekken we ook organisaties die oplossingen voor digitale veiligheid bieden. – [Mobiliseren & Realiseren] 2. Testen: We breiden Hack The Hague uit naar geïnteresseerde organisaties in de stad en publiceren een handleiding voor organisaties om zelf een hackwedstrijd te organiseren – [Mobiliseren & Realiseren] 3.

Inkoop: We delen onze kennis over ICT-inkoopvoorwaarden met andere organisaties in de stad – [Realiseren] 4. Bewustwording 1: We sluiten aan bij HackShield zodat jonge inwoners van Den Haag op een toegankelijke manier en spelenderwijs meer leren over digitale veiligheid – [Realiseren] 5. Bewustwording 2: We ontwikkelen een overzicht van succesfactoren en bouwstenen voor bewustwordingscampagnes en delen dit met organisaties in de stad – [Realiseren]

Agenda Digitaal Veilig Den Haag

39

3. Detectie

Grotere en volwassenere organisaties in de stad hebben over het algemeen (al dan niet via hun leverancier) hun eigen detectie maatregelen genomen, zoals een Security Operations Center dat continu het netwerk monitort. Er zijn verschillende (nationale) initiatieven die zich richten op het delen van technische dreigingsinformatie, maar daar is nog niet iedereen bij aangesloten. Er wordt op lokaal niveau nog niet gestructureerd en integraal gezocht naar kwetsbaarheden en datalekken via open bronnen. Terwijl al deze informatie nu wel al publiek en zeer makkelijk toegankelijk is. Aanvallers maken daar gebruik van en dit vormt een groot risico. Het is daarom wenselijk dat organisaties zulke informatie eerder detecteren. De community van ethische hackers vervult daarbij een belangrijke rol. Binnen hun mogelijkheden waarschuwen ze nu al actief organisaties. Gewenste ontwikkeling op de lange termijn – Detectie Organisaties in de stad nemen zelf de juiste detectie maatregelen en zijn aangesloten bij de voor hun relevante nationale initiatieven. Het netwerk dat ontstaan is voor preventie is dermate verdiept dat organisaties in de stad elkaar nu ook helpen door tactisch/operationele (technische) dreigingsinformatie te delen. Hiervoor is een construct opgericht waardoor dit geautomatiseerd en juridisch mogelijk is.

Daarnaast wordt voor de digitale infrastructuur en lokaal vitale processen actief naar kwetsbaarheden en datalekken via open bronnen gezocht. Daardoor kunnen organisaties veel sneller een incident detecteren. Acties op korte termijn – Detectie 1. Kwetsbaarheden: Zie acties 2 en 3 van ‘Identificatie risico’s’ – [Leren & Mobiliseren] 2. Netwerkvorming: Zie actie 1 van ‘Preventie’ – [Mobiliseren & Realiseren]

4. Respons

Er zijn in de stad meerdere organisaties die recent een oefening hebben georganiseerd of bij een nationale oefening zijn aangesloten om hun respons op een incident te testen. Ook waren er organisaties die in de praktijk te maken kregen met incidenten en hun respons beproeft zagen worden. De gemeente heeft zelf ook aan oefeningen meegedaan en een handreiking en draaiboek opgesteld voor de adequate respons op dergelijke incidenten. Tegelijkertijd zijn er ook veel organisaties in de stad die nog nooit een oefening hebben gedaan of alleen binnen de eigen organisatie en niet samen met partners hebben geoefend. Voor de traditionele crisisbeheersing van fysieke veiligheid wordt binnen de Veiligheidsregio Haaglanden door meerdere partijen samen geoefend. De veiligheidsregio wordt dan ook door veel partijen gezien als sleutelspeler. Op dit moment werkt de veiligheidsregio aan een nieuw regionaal risicobeeld en beleidsplan. Op lokaal niveau is er geen instantie die organisaties, die slachtoffer worden van een aanval, kosteloos ondersteunen met eerste advies & ondersteuning. Een dergelijke brandweerfunctie is er met het NCSC wel op nationaal niveau voor organisaties uit nationaal vitale processen. Ook worden er nationaal sectorale samenwerkingen opgezet die in dergelijke ondersteuning voorzien.

Er is op het niveau van de stad geen meldpunt waar organisaties melding kunnen doen van incidenten en van waaruit andere organisaties in de stad kunnen worden geïnformeerd over mogelijke incidenten.

40

Agenda Digitaal Veilig Den Haag

Gewenste ontwikkeling op de lange termijn – Respons Organisaties in de stad hebben hun eigen crisisplannen opgesteld en oefenen deze regelmatig binnen de eigen organisatie en samen met partners in de stad. Continuïteit van bedrijfsvoering en dienstverlening is bij organisaties het standaard uitgangspunt, waardoor de impact van de uitval van vitale processen voor de inwoners van Den Haag zo veel als mogelijk is gereduceerd. Er is een meldpunt waar organisaties in de stad terecht kunnen om hun incidenten te melden. Wat ook bijdraagt aan de realisatie van een doorlopend situationeel beeld. Als er een incident is worden vanuit dit meldpunt – indien relevant – andere organisaties in de stad preventief geïnformeerd. Organisaties in de stad die het slachtoffer zijn van een aanval ontvangen eerstehulp advies en ondersteuning. Naar het model van het Landelijk Dekkend Stelsel en het Nationaal Cyber Security Centrum krijgen deze functionaliteiten vorm binnen een Lokaal Dekkend Stelsel en een Lokaal Cyber Security Centrum (LCSC). Acties op korte termijn – Respons 1. Oefenen: We betrekken organisaties in de stad bij een crisisoefening – [Mobiliseren, Leren & Realiseren] 2. Draaiboek: We delen onze kennis en draaiboek voor de respons op digitale veiligheidsincidenten met andere organisaties in de stad – [Realiseren] 3.

Fysiek veiligheidsincident: We denken vanuit digitale veiligheid mee met de actualisatie van het regionaal risicoprofiel van de Veiligheidsregio Haaglanden – [Mobiliseren & Realiseren]

5. Herstel

Zodra het digitaal forensisch onderzoek is afgerond en de besmette en kwetsbare systemen zijn opgeschoond en gedicht, kunnen organisaties overgaan tot herstel. Dat kan een tijd duren. In het geval van een zware gijzelsoftware aanval kan het voorkomen dat het maanden duurt voordat organisaties weer op reguliere wijze kunnen functioneren. Het is belangrijk dat na afloop het incident én de reactie hierop worden geëvalueerd, dat crisisplannen, protocollen en contracten met leveranciers vervolgens worden verbeterd, en na afloop open en transparant wordt gecommuniceerd over het incident. Juist laatstgenoemde kan andere organisaties in de stad enorm helpen om te leren over digitale veiligheid en deze lessen mee te nemen in alle stappen die nodig zijn voor digitale veiligheid. Onderdeel van herstel zijn ook schadeafhandeling en aandacht voor slachtofferschap. Gewenste ontwikkeling op de lange termijn – Herstel Organisaties in de stad hebben hun preventie-, detectie- en responsmaatregelen dermate goed genomen, dat de tijd tot herstel beperkt is. Organisaties evalueren en delen proactief hun geleerde lessen met andere organisaties in de stad (via het eerdergenoemde netwerk en meldpunt). Verzekeraars bieden dienstverlening voor individuen en organisaties en hulporganisaties hebben ook aandacht voor de immateriële schade die individuen ervaren. Acties op korte termijn – Herstel 4.

Lerend vermogend: We geven het goede voorbeeld door zelf actief onze geleerde lessen over incidenten te delen – [Mobiliseren & Realiseren]

Agenda Digitaal Veilig Den Haag

41

42

Agenda Digitaal Veilig Den Haag

4. Handelingsperspectief Digitaal Veilig Den Haag Het voorgaande laat zien dat de eerste stap in het verhogen van de digitale veiligheid in de stad een complexe en brede uitdaging is. Het risicoprofiel is uitdagend en er is nog geen samenwerking tussen vitale processen. De agenda is een eerste momentopname en biedt een eerste beeld van mogelijke acties. Gaandeweg zullen nieuwe uitdagingen ontstaan en dat gaat naar alle waarschijnlijkheid ook gepaard met meer concrete acties.

De kracht van Den Haag Naast de uitgebreid uitgelichte risico’s en de belangen is het ook belangrijk om stil te staan bij de kracht van Den Haag. De stad heeft unieke internationale veiligheidsorganisaties, zoals Europol en NATO Communications & Information Agency, en een sterk ecosysteem van kennisinstellingen, bedrijven en overheidsorganisaties die werken aan innovaties voor een veilige digitale wereld. Binnen de Security Delta (HSD) komt deze kennis samen, worden nieuwe oplossingen voor digitale veiligheid ontwikkeld en de randvoorwaarden voor de sector, zoals de aanwezigheid van talent en kapitaal, versterkt. Ook heeft de gemeente een sterke relatie met de Nederlandse gemeenschap van ethische hackers. Juist zij bevinden zich aan het voorfront van de ontwikkelingen op het gebied van digitale veiligheid. Hun – soms onconventionele – kennis en expertise is zeer waardevol. Het is daarom belangrijk om deze gemeenschap te betrekken en daar waar mogelijk ook te versterken. Ten slotte is de nabijheid van en de verbinding met de Rijksoverheid essentieel. De mate waarin het stelsel van digitale veiligheid nationaal is georganiseerd maakt dat de samenwerking met en aansluiting op initiatieven van de Rijksoverheid voor Den Haag veel meerwaarde kan hebben. Dit vergt wel doorlopende aandacht, inzet en capaciteit.

De agenda Digitaal Veilig Den Haag biedt een mogelijkheid om als Den Haag vanuit eigen visie en het belang van de stad actief de dialoog te zoeken met het ecosysteem, de gemeenschap van ethische hackers en de Rijksoverheid.

De inzet op digitale veiligheid is een politieke keuze In essentie komt deze keuze in deze fase neer op de vraag of de regie op de digitale veiligheid in de stad een kerntaak is van de gemeente. Regie betekent niet dat de gemeente zelf verantwoordelijk is voor de digitale veiligheid van organisaties in de stad, maar wel dat de gemeente overzicht en inzicht heeft van de trends & ontwikkelingen, risico’s en incidenten op dit gebied en de capaciteit heeft om zowel in de preventie als respons op digitale veiligheidsincidenten adequaat op te treden. Het is essentieel om een dergelijke taak ook bestuurlijk te verankeren. Digitale veiligheid raakt aan alle beleidsterreinen waar sprake is van digitalisering. Voor de fysieke veiligheid is in Nederland de burgemeester primair verantwoordelijk voor de veiligheidsregio en (de voorbereiding op) crisisbeheersing, maar hebben bij veel gemeenten de wethouders ook een belangrijke rol voor maatregels gericht op de preventie van incidenten. Een dergelijke constructie lijkt ook passend voor digitale veiligheid, omdat dit onderwerp zoals gezegd aan zo veel beleids­ terreinen raakt en de digitalisering ook de komende jaren verder zal gaan. Het is aan de raad om zich over dit uit te spreken en de inzet en ambitie te bepalen.

Als de raad van mening is dat de regie op digitale veiligheid een kerntaak is, werken we uit wat er organisatorisch nodig is om deze kerntaak adequaat en duurzaam te vervullen, zowel binnen de eigen

Agenda Digitaal Veilig Den Haag

43

organisatie als richting onze (veiligheids)partners en uitvoeringsorganisaties. Die uitwerking leggen we vervolgens voor besluitvorming voor aan de raad.

Ambitieniveau & handelingsperspectief Afhankelijk van het ambitieniveau van de gemeente kunnen verschillende scenario’s worden gedefinieerd (het (gedeeltelijk) combineren van scenario’s is mogelijk) en richting de toekomst worden uitgewerkt in investeringsvoorstellen. Zoals bijvoorbeeld: 1) Incidentele inspanning: • Start met de korte termijn acties in de stad zoals weergegeven in deze agenda (hoofdstuk 2 en 3). • Trek samen op met G4 en VNG richting Rijksoverheid om rol, verantwoordelijkheid en lokale opdracht helder te krijgen. 2) Structurele, meerjarige inzet: • Investeer in structurele capaciteit en programmamiddelen om binnen de organisatie meer capaciteit en kennis op te bouwen en activiteiten te organiseren op het gebied van digitale veiligheid in de stad in algemene zin en van de vitale processen & Den Haag als internationale stad in het bijzonder. Dit kan vorm krijgen in een programmatische aanpak voor de periode juli 2022 t/m 2025. Hiervoor is ca. 1 miljoen per jaar nodig voor 0.5-1.0 fte per proces/doelgroep, 1.0-2.0 fte voor coördinatie en out-of-pocket kosten. Vanwege de benodigde inhoudelijke expertise en integrale aanpak ligt het voor de hand om deze opdracht en capaciteit onder te brengen bij de Directie Informatie & ICT.

Het is essentieel dat de medewerkers die zich bezighouden met processen/doelgroepen goed aansluiten en zijn ingebed binnen de dienst die verantwoordelijk is voor het desbetreffende proces/doelgroep. Voor internationale organisaties betreft dat bijvoorbeeld de Bestuursdienst-Internationaal en voor onderwijs gaat het dan om OCW/Onderwijs. Het organisatiemodel voor de eigen informatiebeveiliging van de gemeente geldt hier als bewezen voorbeeld. Daarbij heeft iedere dienst vanuit de Directie Informatie & ICT een eigen, vaste Information Security Officer. Het voordeel hiervan is dat de dienst een vast aanspreekpunt heeft en deze persoon domeinkennis en netwerk opbouwt binnen de dienst. 3) Voorbeeldrol & leiderschap in de stad: • Extra investeren in digitale veiligheid van de eigen organisatie om een voorbeeldorganisatie te zijn in de keten en regio (NTB). • Extra investeren in innovatie & onderzoek op het gebied van digitale veiligheid voor de eigen organisatie en in de stad (in samenwerking met lokale kennisinstellingen en het veiligheidscluster). Bijvoorbeeld door het stimuleren van onderzoek en als ‘launching customer’ voor startups (afhankelijk van exacte inzet en ambitie: 400.000 euro tot 750.000 euro per jaar).