RIS311499 Bijlage Agenda Digitaal Veilig Den Haag

• Opzetten van een subsidieregeling om organisaties in de stad (gezondheidszorg, onderwijs en lokale distributie van levensmiddelen) te stimuleren om zich te laten certificeren op het gebied van digitale veiligheid (ISO27001, NEN7510) (150.000 euro per jaar voor certificering van ca. 10 organisaties). • Creëren van een kweekvijver voor talent (ICT en digitale veiligheid) samen met onderwijsinstellingen en partners in de stad. Bijvoorbeeld door een regionaal traineeprogramma digitale veiligheid (kosten NTB afhankelijk van aantal partners en omvang). • Ontwikkel actieve ondersteuning en dienstverlening voor digitale veiligheid richting de stad. Naar het voorbeeld van het Nationaal Cyber Security Centrum (NCSC) van JenV en in nauwe samenwerking met G4, VNG en Rijksoverheid kan, als onderdeel van het Landelijk Dekkend Stelsel, een Lokaal Cyber Security Centrum met Lokaal Dekkend Stelsel worden op- en ingericht. Dit centrum, tevens meldpunt, richt zich o.a. op inwoners, MKB, niet-nationaal vitale organisaties en/of regiogemeenten. Dit vergt substantiële, structurele investeringen (ca. 1 miljoen eenmalig voor opstart, daarna 620.000 euro per jaar).

44

Agenda Digitaal Veilig Den Haag

Eerste vervolgstappen Over de meerjarige inzet zal een politieke keuze moeten worden gemaakt. Vanwege de urgentie van de opgave starten we, vanuit bestaande tijdelijke formatie en middelen, alvast met de in deze agenda genoemde incidentele acties om vanuit een sterke visie en het maatschappelijk belang de eerste stappen te zetten voor een Digitaal Veilig Den Haag. De komende maanden trekken we o.a. samen met de G4-gemeenten en VNG op richting de Rijksoverheid om 1) een uitspraak te krijgen over de formele verantwoordelijkheid, bevoegdheden en nationale opdracht voor gemeenten op het gebied van digitale veiligheid, en 2) een betere informatiepositie te krijgen ten behoeve van ons (doorlopend) situationeel beeld van de digitale veiligheid van de stad. Na de zomer zullen we de raad informeren over de voortgang van deze incidentele acties.

Agenda Digitaal Veilig Den Haag

45

Bijlagen

46

Agenda Digitaal Veilig Den Haag

Bijlage 1

Vitale processen - infrastructuur 1.1

Context Infrastructuur

Afbakening Infrastructuur In deze eerste agenda Digitaal Veilig Den Haag is voor de ‘klassieke’ infrastructuur gekeken naar Energie, Connectiviteit (ICT/telecom), Water (zowel drinkwatervoorziening als waterbeheersing) en Mobiliteitsinfrastructuur. In het geval van uitval van dergelijke infrastructuur is de kans op maatschappelijke ontwrichting (zeer) hoog. De Veiligheidsregio Haaglanden speelt in een dergelijk geval een sleutelrol. Er zijn ook andere nationaal vitale processen, zoals aangemerkt door de Rijksoverheid, die in deze fase niet zijn meegenomen omdat ze zich niet in Den Haag manifesteren.

Huidige sectorale samenwerkingen In algemene zin geldt dat de aanbieders van deze processen zwaar gereguleerd zijn en voor hun digitale veiligheid nationaal sectoraal zijn georganiseerd. Ze werken al jaren aan digitale veiligheid, worden in het kader van de Wbni ondersteund door het NCSC, hebben een meldplicht voor incidenten, en werken samen in ISAC’s (zie ook hoofdstuk 2). In dit geval betreft dat de Energy-ISAC, de Telecom-ISAC, de Water-ISAC, de ISAC Keren & Beheren en de ISAC Tunnels. In sommige gevallen reikt de sectorale samenwerking nog verder dan een ISAC en zijn er bijvoorbeeld ten behoeve van detectie een gezamenlijke Security Operations Centre (SOC) en ten behoeve van respons een gezamenlijke Computer Emergency Response Team (CERT) / Computer Security Incident Response Team (CSIRT) opgezet. Of wordt (geautomatiseerd) (dreigings)informatie gedeeld, ingekocht, geanalyseerd en/of verwerkt. Volgens het NCSC is het mogelijk dat ISAC’s in de toekomst nog proactiever te werk zullen gaan door duiding te geven aan toekomstige trends en ontwikkelingen, zodat de leden van de ISAC meer grip krijgen op digitalisering, technologische ontwikkelingen en verschuivende dreigingen.

Energie Elektriciteit is essentieel voor digitale veiligheid. Want zonder elektriciteit is er geen connectiviteit mogelijk en kunnen ICT-systemen niet functioneren. Daarom hebben sommige organisaties die geen risico willen lopen als terugvaloptie noodstroomvoorzieningen, die in bedrijf komen zodra de normale elektriciteit uitvalt. Het elektriciteitsstelsel bestaat in Nederland uit private energieleveranciers, regionale netbeheerders, de nationale netbeheerder en de producenten van energie. In de regio Den Haag is Stedin de regionale net­­­ beheerder. Stedin zorgt ervoor dat de elektriciteit van het onderstation via een laagspanningsnet naar de consument gaat. Hiervoor leggen ze elektriciteitsnetten aan en onderhouden deze. TenneT is de nationale netbeheerder, die de elektriciteit van de producent via het hoogspanningsnet naar de onderstations transporteert. Ook bewaakt TenneT de frequentie en de balans op het elektriciteitsnet. Als het net niet in balans is dan koopt of verkoopt TenneT stroom. Stedin en de andere regionale netbeheerders staan onder streng toezicht van de nationale overheid en TenneT is een staatsdeelneming.

Agenda Digitaal Veilig Den Haag

47

Connectiviteit (ICT/telecom) Doordat de samenleving continu verandert, bijvoorbeeld door eerdergenoemde automatisering, informatisering en elektrificering, verandert ook dat wat voor de samenleving vitale infrastructuur en processen zijn. Doordoor is de digitale infrastructuur voor de samenleving steeds belangrijker geworden. Deze infrastructuur kan in den breedte worden gezien als het gehele ecosysteem van partijen en randvoorwaarden die nodig zijn om bruikbare digitale oplossingen aan te bieden. Dat reikt van de zeekabels, ondergrondse glasvezelnetwerken, datacenters en 4G/5G-zendmasten tot aan communicatie protocollen, standaarden, producenten van hard- en software, ICT-dienstverleners, internetproviders, platforms en ICT-talent. Allen zijn nodig om de beschikbaarheid, integriteit en vertrouwelijkheid van data en ICT-systemen te waarborgen. Deze digitale infrastructuur is op het niveau van de stad ook belangrijk voor publieke en private partijen die innovatieve technologie en data gebruiken om problemen in de stad effectiever en efficiënter op te lossen. Ook de digitale veiligheid van die nieuwe oplossingen is daarbij belangrijk. Door de digitalisering is ook de publieke ruimte veranderd, waarbij sociale media platforms niet meer weg te denken zijn uit het dagelijks leven van veel inwoners.

De afhankelijkheid van een zeer beperkt aantal aanbieders van deze platforms, evenals aanbieders van clouddiensten, die in grote mate niet-Europees zijn, wordt door veel organisaties en instanties gezien als risico voor de digitale veiligheid.

Water Water kan als vitale infrastructuur op twee manieren worden bekeken. Enerzijds is er de drinkwatervoorziening en anderzijds is er het stelsel van waterbeheersing. De drinkwatervoorziening wordt in Den Haag volledig verzorgd door Dunea, die hiervoor grotendeels water wint uit het duingebied. De aandeelhouders van Dunea zijn de 17 gemeenten in het leveringsgebied van Dunea, waaronder ook de gemeente Den Haag. Bij de waterbeheersing zijn meer partijen betrokken. Het Hoogheemraadschap Delftland speelt een centrale rol, maar ook de gemeente, de Provincie Zuid-Holland en het Ministerie van Infrastructuur en Water hebben infrastructuur, zoals gemalen en sluizen, onder hun verantwoordelijkheid of vervullen in de keten een bepalende (regie)rol. Het Hoogheemraadschap Delftland heeft als voornaamste taak om te zorgen voor voldoende water, voor schoon water, voor veilige dijken zodat er geen overstromingen plaatsvinden en het zuiveren van het afvalwater. Daar waar het (de voorbereiding op) crisisbeheersing betreft wordt nauw samengewerkt met de Veiligheidsregio Haaglanden. In de Watervisie heeft het Hoogheemraadschap zes ontwikkelingen in kaart gebracht die zorgen voor (toekomstige) uitdagingen in de waterbeheersing van de regio. Te weten: zeespiegelstijging, droogte, extreme neerslag, waterkwaliteit en biodiversiteit, hitte, bodemdaling en aquathermie.

Mobiliteitsinfrastructuur De basis van de mobiliteitsinfrastructuur wordt in Nederland grotendeels aangelegd en beheerd door (semi-)publieke partijen. Dat betreft zowel wegen, bruggen, tunnels als het openbaar vervoer. Daar waar private partijen leidend zijn, bijvoorbeeld in de taximarkt, geldt in algemene zin dat er sprake is van stringente wet- en regelgeving ten behoeve van het algemeen belang. In Nederland is alleen de infrastructuur van nationale hoofdwegen aangemerkt als vitaal. De provinciale en gemeentelijke wegen en bruggen zijn dat niet. Verkeersdoorstroom is afhankelijk van een goede aansluiting tussen het grofmazige, nationale wegennetwerk en het fijnmazige, lokale netwerk. Ook beweegbare bruggen zijn belangrijk want als die gehinderd worden loopt het verkeer vast. In het wegverkeer worden intelligente verkeersregelinstallaties (iVRI’s) als belangrijke vernieuwing gezien. Deze iVRI’s geven wegbeheerders meer en nieuwe mogelijkheden om de verkeersdoorstroom te optimaliseren. Veel vervoersinfrastructuurobjecten zijn op afstand bestuurbaar. De gemeente streeft naar mobiliteit die veilig, efficient, schoon, op maat, betaalbaar en verbonden is met de regio, het binnen- en het buitenland. Door de verstedelijkingsopgave en bevolkingsgroei wordt het steeds drukker op de weg. Alleen meer en betere infrastructuur is niet genoeg.

Daarom kijkt de gemeente ook naar het slim organiseren van de vraag naar en het aanbod van mobiliteitsdiensten en -middelen en het optimaliseren van de infrastructuur en verkeerssystemen die daarvoor nodig zijn. Data, ICT-systemen en elektrisch vervoer spelen hierin een sleutelrol.

48

Agenda Digitaal Veilig Den Haag

Dreigingen De NCTV stelt dat vrijwel alle vitale processen en diensten volledig afhankelijk zijn van ICT. Door het bijna geheel verdwijnen van fysieke alternatieven en de afwezigheid van terugvalopties is de afhankelijkheid van gedigitaliseerde processen en systemen zo groot geworden dat aantasting hiervan kan leiden tot maatschappij-ontwrichtende schade. Uitval en verstoring van elektriciteit en connectiviteit kunnen zeer snel, binnen enkele uren, impact hebben op een aantal vitale processen. Vanwege de omvang van de digitale dreiging in samenhang met de huidige weerbaarheid en verregaande afhankelijkheden ontstaan volgens de NCTV risico’s voor de nationale veiligheid. In het Cybersecuritybeeld Nederland 2021 (CSBN) is gijzelsoftware – naast o.a. spionage en (voorbereidingen voor) digitale sabotage door statelijke actoren –aangemerkt als een risico voor de nationale veiligheid. Onder meer omdat het de continuïteit van vitale processen in het geding brengt. Bijvoorbeeld als een aanval de kantoorautomatisering van zo’n organisatie treft. Als de toegang tot de procesautomatisering via de kantoorautomatisering loopt, stelt dit de aanvaller in staat om ook de vitale processen te bereiken en te ‘gijzelen’. Volgens de NCTV hebben in Nederland nog geen gerichte aanvallen op aanbieders van nationaal vitale processen plaatsgevonden. Dit is in het buitenland wel al gebeurd.

Onder andere bij federale overheidsinstellingen, de politie en de energiesector in de Verenigde Staten. In 2019 waarschuwde de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) in het rapport ‘Voorbereiden op digitale ontwrichting’ ook dat aanvallen het hart van de samenleving raken en dat deze incidenten ook de vitale processen in de samenleving aantasten. De WRR concludeerde daarbij dat Nederland onvoldoende is voorbereid. Onder meer omdat er op dat moment vooral werd gekeken naar het voorkomen van incidenten en er te weinig aandacht was voor het voorbereiden op ontwrichting door een incident. Eerder dat jaar concludeerde ook de Algemene Rekenkamer in het rapport ‘Digitale dijkverzwaring: cybersecurity en vitale waterwerken’ dat de digitale veiligheid van vitale waterwerken niet waterdicht is. Volgens de Algemene Rekenkamer konden tunnels, bruggen, sluizen en waterkeringen beter worden beveiligd. Dit heeft onder andere geleid tot een nationaal versterkingsprogramma.

Uitgangspunt gewenste situatie In het belang van Den Haag kunnen op dit gebied verschillende doelstellingen worden geformuleerd. Zoals: • Een doorlopend situationeel beeld verkrijgen van de actuele digitale risico’s en dreigingen binnen vitale processen die in Den Haag voor maatschappelijke verstoring kunnen zorgen. • De maatschappelijke impact van een digitaal veiligheidsincident bij een vitale aanbieders zo veel als mogelijk reduceren. • Het stimuleren van preventieve maatregelen zodat de kans op een digitaal veiligheidsincident bij een vitale aanbieder kleiner wordt.

1.2

Eerste bevindingen huidige situatie

Lokale samenwerking infrastructuur Er vindt op het gebied van digitale veiligheid op dit moment lokaal nog geen actieve (cross-sectorale) samenwerking of afstemming plaats tussen aanbieders van genoemde vitale processen. Wel werken partijen binnen de Veiligheidsregio Haaglanden samen aan regulier crisismanagement. Een digitaal veiligheidsincident kan leiden tot een fysiek veiligheidsincident. Afhankelijk van het effect en de omvang van dat incident zal de reguliere regionale crisisstructuur in werking treden. Het gaat hier vooral om procesafspraken over de respons op een incident. Er wordt op dit moment niet samen gewerkt aan preventieve zaken in relatie tot digitale veiligheid, de verantwoordelijkheid daarvoor ligt bij aanbieders van de vitale processen. Wel werkt de gemeente binnen Resilient The Hague samen met een groot deel van de aanbieders van vitale infrastructuur in Den Haag. Zij kijken samen naar onderlinge afhankelijkheden en cascade-effecten bij de uitval van diensten. De oorzaak van uitval kan een digitaal veiligheidsincident zijn, maar dat hoeft niet per se. Er wordt in opdracht van de gemeente en Provincie Zuid-Holland een prototype van een informatieplatform ontwikkeld, waarbij in eerste instantie vooral wordt gekeken naar de gevolgen van extreem weer. Dit platform kan bijdragen aan het vergroten van het situationeel beeld van digitale

Agenda Digitaal Veilig Den Haag

49

risico’s en dreigingen. Al helemaal als het haalbaar is om in een latere fase ook de (aanbieders van) digitale infrastructuur mee te nemen.

Digitale veiligheid & de veiligheidsregio De veiligheidsregio’s in Nederland werken samen binnen de ISAC Veiligheidsregio. Ook de Veiligheidsregio Haaglanden is hier lid van. In 2020 is de Veiligheidsregio Noord- en Oost-Gelderland het slachtoffer geworden van een gijzelsoftware aanval. Een dergelijk incident zorgt ervoor dat de ICT-systemen niet werken in het geval van een crisis rondom een fysiek veiligheidsincident. Dat kan catastrofaal zijn omdat ICT voor de veiligheidsregio’s essentieel is. Dit incident is daarom een belangrijke aanjager geweest voor veiligheidsregio’s om meer aandacht te besteden aan en te investeren in digitale veiligheid. Het heeft geleid tot een landelijk versnellingsprogramma, aandacht voor leveranciersmanagement en het in kaart brengen van kritische systemen, hun architectuur en de afhankelijkheden. Over het algemeen hebben veiligheidsregio’s hun ICT uitbesteed. Zij delen informatie met elkaar en het Instituut voor Fysieke Veiligheid (IFV), de landelijke ondersteuningsorganisatie voor veiligheidsregio’s en hun veiligheidspartners. Tijdens een crisis werken deze partijen netcentrisch samen. Daarvoor gebruiken ze het Landelijk Crisismanagement Systeem (LCMS), waarbinnen alle informatie rondom risico’s, incidenten, rampen en crises gedeeld worden om tot een actueel gedeeld beeld te komen.

Om te zorgen dat zulke applicaties altijd 24/7 beschikbaar zijn is connectiviteit essentieel. Het IFV en de veiligheidsregio’s hebben daarom het initiatief genomen om een ‘Verkeersplein’ op te richten, waardoor een redundante ICT-infrastructuur voor alle veiligheidsregio’s moet ontstaan die als terugvaloptie geldt wanneer de reguliere internetverbinding van een veiligheidsregio uitvalt. Op termijn zouden de initiatiefnemers ook meer informatie en voorzieningen via dit Verkeersplein willen ontsluiten. Naast aandacht voor de eigen digitale veiligheid is er bij de veiligheidsregio’s ook aandacht voor de consequenties die een digitaal veiligheidsincident kan hebben voor de samenleving en crisisbeheersing. Het Nationaal Crisisplan Digitaal voorziet in een crisisaanpak gericht op het beperken van de schade en een snel herstel bij een grootschalig digitaal veiligheidsincident. Dit plan helpt om de vertaalslag te maken van de crisisaanpak op nationaal niveau naar operationeel uitgewerkte plannen en draaiboeken voor overheden en organisaties uit vitale processen. Het plan vormt de basis voor gezamenlijke oefeningen. Met de bouwstenen kunnen organisaties passende scenario’s creëren. Ook is dit plan gebruikt voor de Isidoor oefening waar de gemeente in 2021 ook in heeft geparticipeerd.

Energie De uitval van elektriciteit kan ervoor zorgen dat er geen gebruik meer kan worden gemaakt van computers en het internet. Dat zorgt ervoor dat communicatiemogelijkheden, essentieel bij crisisbeheersing, beperkt worden of zelfs volledig wegvallen. Bij uitval of onderbreking van de elektriciteitsvoorziening zal 40 tot 50 % (afhankelijk van noodaggregaten) van de vaste telefoonaansluitingen niet functioneren. Ook de continuïteit van het mobiele netwerk wordt aangetast (afhankelijk van noodstroomvoorzieningen). Dit kan o.a. leiden tot gevaren voor de bereikbaarheid van hulpdiensten, huisartsen, doormelding van inbraak- en brand­ meldingsinstallaties. De Veiligheidsregio Haaglanden speelt in zulke gevallen een essentiële rol. Het is goed mogelijk dat de frequentie en duur van stroomuitval in de nabije toekomst toeneemt als gevolg van de energietransitie. Er wordt meer graafwerk verricht, er is een toename van de elektriciteitsvraag, de historische overcapaciteit op het Nederlandse elektriciteitsnet is vrijwel op en er is een toegenomen complexiteit van het netwerk en de energiemix. Voor het beheer van en de levering op het elektriciteitsnet is de afhankelijkheid van data en ICT enorm toegenomen. Bijvoorbeeld door het gebruik van slimme meters. Zonder connectiviteit kan het elektriciteitsnet niet meer functioneren.

Er is dus sprake van een wederzijdse afhankelijkheid tussen elektriciteit en connectiviteit. Het is belangrijk om de risico’s daarvan goed in kaart te brengen. De TU Delft en het European Network for Cyber Security (ENCS), dat in Den Haag is gevestigd en in 2012 met ondersteuning van de gemeente is opgericht, hebben op

50

Agenda Digitaal Veilig Den Haag

dit gebied veel expertise in huis. Een mogelijk te onderzoeken use-case is de laadpaalinfrastructuur. Er wordt landelijk gewerkt aan de voorschriften voor de digitale veiligheid van de hard- en software die hierbij worden gebruikt. Deze voorschriften worden ook door de gemeente Den Haag constant geïmplementeerd.

Connectiviteit (ICT/telecom) De Rijksoverheid houdt niet alleen toezicht op de digitale infrastructuur. Zij werkt ook aan onderzoek, voorlichting en standaarden. Er is een decentralisatie zichtbaar van energie & digitaal. Met veel kleine aanbieders. Daardoor lijkt de infrastructuur redundanter te worden, maar de netwerken worden zo ook veel complexer. Daarbij is het de vraag waar er straks nog inzicht en overzicht is van deze complexe decentrale netwerken. In algemene zin geldt dat door de toegenomen complexiteit van netwerken (door bijvoorbeeld het gebruik van veel verschillende communicatieprotocollen en allerlei verschillende technologie aanbieders) er meer incidenten ontstaan. Gelukkig zijn netwerken redelijk bestendigd tegen kleine fouten. Slechts een klein deel van de incidenten heeft (nog) te maken met aanvallen van hackers. Het overgrote aantal incidenten heeft te maken met onbedoeld handelen en misconfiguraties. Bijvoorbeeld stroomuitval, extreem weer en falende computers. Dat roept vragen op waar de kwetsbare plekken van netwerken zijn en welke scenario’s er mogelijk zijn als een netwerk uitvalt en kwaadwillenden van dat moment gebruik willen maken. Onderdeel daarvan is dat er een uitgebreide risico analyse van de digitale infrastructuur moet worden gemaakt en daarbij moet worden gekeken welke risico’s toelaatbaar zijn.

Bijvoorbeeld de mate waarop internetaanbieders levering zouden moeten kunnen garanderen (zowel de minimale internetsnelheid als toelaatbare duur van tijdelijke uitval). Dat is altijd een afweging van de scenario’s waar rekening mee moet worden gehouden, de waarschijnlijkheid van dit scenario, de impact ervan en de kosten die gemaakt dienen te worden om dit scenario te voorkomen en de gevolgschade als dit scenario plaatsvindt. Ook de geografische aspecten van het netwerk zijn belangrijk om de risico’s te bepalen. Op dit moment bieden internetaanbieders aan hun klanten in feite een basisdienst die voldoet aan de kwaliteitsen leveringseisen binnen de huidige juridische kaders. Dat betekent ook dat als de samenleving meer zekerheid en redundantie wil hebben, daar waarschijnlijk ook extra kosten mee zijn gemoeid. Netwerken zijn tevens afhankelijk van intercontinentale zeekabels. De huidige zeekabels die in Nederland aan het land komen zijn voor een deel verouderd. Voor veilige hard- en software (inclusief clouddiensten) zet Nederland in op Europa vanwege het schaalniveau (regulerend en koopkracht). De komende jaren zullen er wettelijke minimale eisen komen, waarin ook de levenscyclus van apparaten en applicaties wordt meegenomen. Dat zou kunnen betekenen dat leveranciers verplicht worden om de digitale veiligheid van hun product gedurende deze hele cyclus hoog te houden.

Daar waar het op dit moment om apparaten gaat die met het internet zijn verbonden en kwetsbaarheden blijken te hebben, treden internetaanbieders pas op als deze onveilige apparaten ook daadwerkelijk worden misbruikt. Bijvoorbeeld als onderdeel van een overgenomen netwerk dat spam-mails verstuurd of illegaal cryptovaluta oogst. Publieke en private partijen die hier in Nederland mee bezig zijn hebben zich hiervoor verenigd binnen het Anti-Abuse Netwerk (AAN). In algemene zin geldt dat het brede gebruik van standaard ICT-oplossingen en het voorkomen van (te) veel maatwerk zorgt voor een hogere mate van digitale veiligheid – mits kwetsbaarheden in deze standaardoplossingen actief worden gezocht en verholpen. Ook het stellen van de juiste inkoopvoorwaarden is essentieel. De gemeente kan hierin een voorbeeldrol spelen en deze informatie ook delen met andere organisaties.

Water Het drinkwaterbedrijf is al twee decennia bezig met het (volledig) automatiseren van processen. Daarbij is en wordt veel aandacht besteed aan digitale veiligheid. Onder andere wat betreft redundantie en continuïteitsmanagement. Ook is het drinkwaterbedrijf goed aangesloten bij de nationale Water-ISAC. Zij vervullen het voorzitterschap van deze ISAC. In dit kader zijn door de sector ook normen opgesteld die regelmatig getoetst worden. Ook zijn er nauwe contacten met andere ISAC’s, waaronder de ISAC Keren & beheren. Er is nauwe samenwerking tussen het drinkwaterbedrijf en de Veiligheidsregio Haaglanden. Het (informele) netwerk met andere aanbieders van vitale infrastructuur en processen zou in Den Haag kunnen worden

Agenda Digitaal Veilig Den Haag

51

versterkt, zodat organisaties met eenzelfde omvang en volwassenheidsniveau elkaar beter kunnen vinden en elkaar kunnen helpen bij vragen. Voor digitale veiligheid binnen het stelsel van waterbeheersing is eerder genoemd Rekenkamer onderzoek een katalysator geweest. Er is een nationaal programma opgezet om de digitale veiligheid binnen de watersector te verhogen. De projecten binnen dit programma richten zich met name op Operationele Technologie (OT), oftewel procesautomatisering. Maar er is ook veel aandacht voor ketenafhankelijkheden, harmonisatie van standaarden, gezamenlijke risico analyses en normen, het delen van monitoring en dreigingsinformatie, en training en risicobewustzijn. Er worden verschillende pilots gedaan en er worden door IenW (bestuurlijke) kennisactiviteiten georganiseerd. Het Waterschapshuis is als overkoepelend orgaan van waterschappen een belangrijk knooppunt. Hier loopt ook een initiatief om een CERT op te zetten. Ook de Veiligheidsregio Haaglanden is een zeer belangrijke partner, onder andere vanwege het LCMS. In algemene zin is duidelijk dat de keten in de digitale veiligheid van de waterbeheersing steeds belangrijker wordt: processen en informatiesystemen lopen door elkaar heen. Samenwerking is essentieel omdat de individuele inkoop van veel beveiligingsdiensten voor waterschappen te kostbaar is.

Er is bestuurlijk veel aandacht voor digitale veiligheid. Er wordt onder andere met een e-learning omgeving gewerkt aan het verhogen van het bewustzijn van medewerkers over digitale veiligheidsrisico’s. Andere actuele thema’s zijn de voorbereiding op incidenten en de respons hierop, het leren van andere organisaties en het gezamenlijk testen en oefenen. Er lijkt meerwaarde te kunnen worden gerealiseerd in het opstellen en delen van een gezamenlijk draaiboek. In dit kader wordt ook de aanwezigheid bij het initiatief Hacklanden zeer gewaardeerd. De periodieke bijeenkomst die wordt georganiseerd door gemeente Den Haag en buurtgemeenten waarbij de informatiebeveiligingsprofessionals van deze organisaties bij elkaar komen om kennis uit te wisselen. Ook het Hoogheemraadschap Delftland is hierbij betrokken.

Mobiliteitsinfrastructuur In het beheer van fysieke mobiliteitsinfrastructuur wordt scherp onderscheid gemaakt tussen de ICT/ kantoorautomatisering en de Operationele Technologie (OT)/procesautomatisering die gebruikt worden voor het besturen van deze objecten en netwerken. Deze twee systemen staan los van elkaar. Er wordt geconstateerd dat digitale veiligheid bij bedrijven die ICT-producten en diensten leveren vaak goed in het denken zit, maar dat het bij bedrijven die OT-producten en diensten leveren minder vanzelfsprekend is. Deze systemen waren in het verleden namelijk niet aan het internet verbonden, waardoor dit vraagstuk lang niet speelde. Voor slimme mobiliteit is er een nationaal initiatief, vanuit het ministerie van Infrastructuur en Water, Rijkswaterstaat en verschillende gemeenten en provincies, waarbij krachten worden gebundeld voor de veilige ontwikkeling van iVRI’s. Ook zijn er initiatieven die zich richten op de digitale veiligheid van de laadpaalinfrastructuur voor elektrisch vervoer. Deze zijn rechtstreeks aangesloten op het lokale elektriciteitsnet, waardoor massale uitval in potentie kan leiden tot een dermate substantiële fluctuatie op het net, dat de elektriciteit in (een deel van) de stad uitvalt. Door de toename van het aantal en gebruik van laadpalen neemt dit risico toe.

Om die reden is in nationaal verband gewerkt aan voorschriften en inkoopeisen, die door de kort cyclische aanbestedingswijze die voor laadpalen wordt gehanteerd, direct in Den Haag zijn geïmplementeerd. Dit vereist doorlopend aandacht. Zoals eerder al genoemd bij ‘Energie’ zou dit een mogelijk thema kunnen zijn voor verder onderzoek door verschillende kennispartijen in Den Haag.

52

Agenda Digitaal Veilig Den Haag

Bijlage 2

Vitale processen - onderwijs 2.1

Context Onderwijs

Belang van onderwijs voor Den Haag Onderwijs is cruciaal voor het bieden van kansen aan kinderen en (jong) volwassenen in Den Haag. Daarom werkt de gemeente structureel samen met schoolbesturen en andere organisaties om de ambities en doelstellingen van de Haagse Educatieve Agenda (RIS 298592) te realiseren. De HEA richt zich op het volledige onderwijsveld van het primair onderwijs (PO), het voortgezet onderwijs (VO), het middelbaar beroepsonderwijs (mbo), het hoger beroepsonderwijs (hbo) en het wetenschappelijk onderwijs (WO). De sector vertegenwoordigt ook veel economische waarde voor Den Haag (Werkgelegenheidsmonitor 2020 Den Haag). Het PO, VO en mbo zijn goed voor 16.450 banen en zijn de afgelopen 10 jaar gestaag gegroeid. Tezamen zijn zij goed voor 6% van de Haagse werkgelegenheid. Daarnaast zijn het hbo en WO zijn samen goed voor 3.570 banen. Zij kenden de afgelopen jaren een gestage groei en met o.a. de verdere uitbreiding van de Universiteit Leiden in Den Haag zet deze trend zich naar verwachting door.

Invloed van de pandemie Door de pandemie heeft er binnen het onderwijs een versnelde digitalisering plaatsgevonden, doordat het onderwijs op alle niveaus plotseling online moest worden aangeboden en medewerkers vanuit huis moesten werken. Daardoor is digitale veiligheid in het onderwijs nog belangrijker geworden en nam het gebruik van clouddiensten in het onderwijs een vlucht. De afhankelijkheid van een klein aantal grote aanbieders van clouddiensten is daarmee alleen maar groter geworden. Een aantal verstoringen bij zulke aanbieders laat zien dat het Nederlandse onderwijs en onderzoek nog steeds kwetsbaar is. En in het kader van de AVG waren er meerdere vraagstukken rondom de verwerking en opslag van persoonsgegevens door dergelijke aanbieders in het onderwijs. Ook waren er enkele grootschalige incidenten met gijzelsoftware bij onderwijsinstellingen, die ervoor hebben gezorgd dat er binnen het onderwijs en in de media veel aandacht was voor dit type incident. Zowel de afhankelijkheid van clouddiensten als gijzelsoftware zijn geen unieke uitdagingen voor het onderwijs, maar manifesteren zich wel nadrukkelijk.

Het onderwijsveld in Den Haag: PO en VO Den Haag telt meer dan 130 basisscholen en ruim 50 middelbare scholen. Het overgrote deel van deze scholen heeft zich verenigd in schoolbesturen, zoals Lucas Onderwijs, Stichting Christelijk Onderwijs Haaglanden (SCOH), De Haagse Scholen (DSH) en VO Haaglanden. Zulke stichtingen zijn veelal kaderstellend en ondersteunend. Ze regelen voor hun scholen gezamenlijk zaken zoals HR, financiële administratie, facilitaire zaken en ICT, waaronder ook digitale veiligheid. De 3 grootste schoolbesturen zijn gezamenlijk goed voor ca. 85% van de scholen in Den Haag. Er zijn ook enkele zelfstandige scholen, zoals bijvoorbeeld het Christelijk Gymnasium Sorghvliet. In het kader van deze agenda is met meerdere grote schoolbesturen gesproken.

Agenda Digitaal Veilig Den Haag

53

54

Agenda Digitaal Veilig Den Haag

Het onderwijsveld in Den Haag: mbo, hbo en WO Het aantal onderwijsinstellingen dat in Den Haag mbo, hbo en WO aanbiedt is een stuk kleiner en overzichtelijker. Het betreft respectievelijk ROC Mondriaan, de Haagse Hogeschool, Hogeschool Inholland, de Hotelschool The Hague, het Koninklijk Conservatorium, de Koninklijke Academie van Beeldende Kunst, de Universiteit Leiden, TU Delft en de Erasmus Universiteit. Met een groot deel van deze organisaties is in het kader van deze agenda gesproken. Een aantal van deze onderwijsinstellingen verricht ook fundamenteel en toegepast onderzoek. Net als enkele andere universiteiten die in Den Haag enkel onderzoeksonderdelen hebben gevestigd, zoals Wageningen University & Research.

Nationale initiatieven voor digitale veiligheid in het onderwijs Er zijn verschillende nationale initiatieven die zich inzetten op ICT binnen het onderwijs en het verhogen van de digitale veiligheid. De belangrijkste zijn: • SURF is een coöperatieve vereniging van Nederlandse onderwijs- en onderzoeksinstellingen waarin de leden hun krachten bundelen. Binnen SURF werken universiteiten, hogescholen, mbo-instellingen, UMC’s en onderzoeksinstellingen samen om de best mogelijke digitale diensten in te kopen of te ontwikkelen en om kennisdeling te stimuleren door steeds te blijven innoveren. De leden zijn eigenaar van SURF. In Den Haag zijn ROC Mondriaan, Haagse Hogeschool, Hogeschool der Kunsten Den Haag, Hotelschool The Hague, Universiteit Leiden, TU Delft en Erasmus Universiteit lid van SURF. SURF biedt haar leden verschillende oplossingen aan voor digitale veiligheid, zoals SOC-, audit- en CERT-diensten, encryptie, certificaten, multi-factor authenticatie en mailfilter, een VPN-dienst, bewustzijnscampagnes en domeinregistratie. • Kennisnet is een publieke organisatie voor onderwijs en ICT die wordt gefinancierd door het ministerie OCW. Kennisnet zorgt voor een landelijke ICT-basisinfrastructuur, adviseert de sectorraden en deelt kennis met het PO, VO en mbo.

Vanuit Kennisnet is een Netwerk Informatiebeveiliging en Privacy opgericht, waar binnen het PO en VO kennis uitwisselen, documenten delen en met elkaar in gesprek gaan. • SIVON is een coöperatie van schoolbesturen in het PO en VO die ICT-kennis, -producten en -diensten aanbiedt aan haar leden. SIVON werkt nauw samen met SURF en Kennisnet. Bijvoorbeeld door de oplossingen voor digitale veiligheid van SURF te gebruiken bij de diensten die SIVON aanbiedt aan haar leden. • saMBO-ICT is een zelfstandige organisatie van en voor alle mbo-instellingen en heeft sterke banden met o.a. Kennisnet en met SURF. De belangrijkste pijlers binnen saMBO-ICT zijn belangenbehartiging, kennisdeling en gezamenlijke projecten. SaMBO-ICT houdt zich bezig met gegevensuitwisseling, de inzet van ICT in het leerproces en het organiseren van activiteiten, waaronder netwerkbijeenkomsten op het gebied van informatiebeveiliging en privacy.

Digitale dreigingen in het onderwijs Volgens het Risico- en dreigingsbeeld 2021 van het Platform Integrale Veiligheid worden in het hoger onderwijs informatieveiligheid en privacy gezien als de belangrijkste thema’s waar dreigingen plaatsvinden. Specifieke risico’s en dreigingen die volgens de instellingen toenemen zijn: “Online bedreigingen door bijvoorbeeld phishing en hacks, datalekken, informatieveiligheidsincidenten door het vele gebruik van digitale online platformen of menselijk gedrag, en identiteitsfraude.” Ook kennisveiligheid is een van de prioritaire thema’s die het platform noemt. Daarbij kan het onder andere gaan om digitale spionage of beïnvloeding door statelijke actoren. Het SURF Cyberdreigingsbeeld 2020-2021 schetst eenzelfde beeld. SURF benadrukt de toename van zowel het aantal als de complexiteit van incidenten; de grotere afhankelijkheid van een klein aantal niet-Europese aanbieders van clouddiensten; de toename van dreiging door statelijke actoren; het belang van bewustwording en opleiding van gebruikers; en de schaarste van expertise en middelen, waardoor samenwerking zeer belangrijk wordt geacht.

Agenda Digitaal Veilig Den Haag

55

Raakvlak met digitale veiligheid van de stad Kenmerkend voor onderwijsinstellingen is de open leeromgeving die zij bieden, dat is de kracht van het onderwijs maar maakt deze organisaties ook kwetsbaar. Vanwege de toegenomen afhankelijkheid van ICT in het onderwijs is digitale veiligheid in toenemende mate noodzakelijk om de continuïteit van het onderwijs, zowel op locatie als digitaal, te waarborgen. Daarmee is ook het belang hiervan voor de stad gegroeid. Thuisonderwijs zoals dat tijdens de pandemie noodzakelijk werd is alleen mogelijk als de digitale hulpmiddelen hiervoor draaien. Het is niet ondenkbaar dat door het lerarentekort scholen in de toekomst ook vaker een beroep zullen moeten doen op digitaal onderwijs. Als er geen (digitaal) onderwijs kan worden gegeven zorgt dit voor grote druk op ouders en leerachterstanden die uiteindelijk hun invloed hebben op andere processen in de stad. Daarnaast hebben sommige hoger onderwijsinstellingen een groot aantal internationale studenten of verrichten zij dermate interessant onderzoek dat zij het doelwit zijn van statelijke actoren. Zoals ook besproken in hoofdstuk 2 zorgt dit voor de stad voor extra dreiging en risico’s.

Aanwezigheid van onderwijsinstellingen is ook een kans De aanwezigheid van enkele grote onderwijsinstellingen is ook een kans voor de digitale veiligheid van de stad. Zo doen de Haagse Hogeschool, Universiteit Leiden en TU Delft allen hoogwaardig onderzoek op het gebied van digitale veiligheid. Ieder met een eigen specialisatie en perspectief. Zij kunnen daardoor concreet bijdragen aan het verhogen van de (kennis over) digitale veiligheid in de stad. Het is belangrijk om daarvoor concrete (kennis)vragen te formuleren. Deze agenda kan daarvoor de basis vormen. Er lopen op dit moment meerdere samenwerkingsprojecten tussen de gemeente en deze organisaties. Zo evalueert de Haagse Hogeschool de inzet van wijkambassadeurs in het project Digitale Veiligheid in de Wijk. En werken de Leiden-Delft-Erasmus (LDE) Universiteiten aan een nieuwe methode om voor economische sectoren de kosten en baten van digitale veiligheid te berekenen.

Uitgangspunt gewenste situatie In het belang van Den Haag kunnen op dit gebied verschillende doelstellingen worden geformuleerd. Zoals: • De maatschappelijke impact van een aanval op een onderwijsinstelling (preventie en respons) verminderen: voorkomen en reduceren leerachterstanden, uitval van leerlingen en privacy schendingen door grootschalige datalekken en -diefstal; • Het realiseren van een digitaal veilig school- & leerklimaat.

2.2

Eerste bevindingen huidige situatie

ICT in het Haagse PO en VO Er heeft de afgelopen 20 jaar een enorme digitalisering plaatsgevonden in het onderwijs. O.a. door de komst van het digi-bord. Sinds 10 jaar is het ook steeds vanzelfsprekender dat een leerling een eigen apparaat gebruikt in de les (een laptop of een tablet). Als gevolg hiervan wordt er ook heel veel data verwerkt. Zowel data over het gebruik van apparaten als persoonsgegevens. Dat moet goed beschermd worden, want dat is een onderdeel van een veilig schoolklimaat. Binnen het onderwijsdomein is een Privacy Convenant opgesteld, waarbij de AVG is vertaald naar de onderwijspraktijk. Dankzij het convenant weten scholen hoe ze om moeten gaan met persoonsgegevens bij het gebruik van digitale leermiddelen en toetsen.

Trend: uitbesteden ICT en gebruik clouddiensten In het verleden waren Haagse scholen voor hun ICT soms afhankelijk van ouders die vrijwillig hielpen, maar die tijd is voorbij. Mede dankzij de nationale initiatieven die eerder zijn genoemd. Scholen maken veel gebruik van ICT-bedrijven die de ICT voor de scholen organiseren en beheren. Dit is in de meeste gevallen volledig uitbesteed. Een van de redenen hiervoor is dat de ICT-omgeving steeds complexer is geworden en scholen voor ICT-personeel en kennis niet kunnen concurreren met de markt. Doordat de ICT wordt uitbesteed is het belangrijk dat er aan de voorkant, bij het aanbesteden en inkopen van deze diensten, goed

56

Agenda Digitaal Veilig Den Haag

wordt gekeken naar de digitale veiligheid en hiervoor de juiste eisen worden gesteld. Advies van onafhankelijke experts kan daarbij helpen en wordt in sommige gevallen ook ingewonnen. Scholen zijn ook meer gebruik gaan maken van clouddiensten. Dat betekent dat ze nauwelijks nog eigen netwerkapparatuur, zoals e-mailservers, op hun locaties hebben staan. Medewerkers en leerlingen maken nu rechtstreeks via het internet gebruik van onderwijsapplicaties. Zulke clouddiensten worden geleverd door grote bedrijven zoals Google en Magister. Het onderwijs is afhankelijk geworden van zulke partijen. Het voordeel hiervan is dat deze bedrijven een hoge mate van digitale veiligheid kunnen organiseren, omdat zij wel het benodigde personeel kunnen aantrekken en betalen. Het nadeel is dat scholen individueel nauwelijks invloed hebben op deze leveranciers en dat er soms uitdagingen zijn rondom de veilige verwerking en opslag van gegevens in de cloud.

Dekking nationale initiatieven Uit de gesprekken blijkt dat onderwijsinstellingen de nationale initiatieven goed weten te vinden en graag gebruik maken van de dienstverlening die deze initiatieven aanbieden. De dekkingsgraad van nationale initiatieven in Den Haag lijkt daarmee hoog.

Lokale connectiviteit door Stichting Glaslokaal De basisscholen en middelbare scholen in Den Haag maken voor hun internetverbinding (connectiviteit) nagenoeg allemaal gebruik van Stichting Glaslokaal en de dienstverlening van SURFnet. In het geval van thuisonderwijs gebruiken leraren en leerlingen hun eigen internetverbinding thuis. Stichting Glaslokaal is begin deze eeuw opgericht op initiatief van verschillende schoolbesturen en met ondersteuning van de gemeente. Glaslokaal is eigenaar van een eigen glasvezelnetwerk in Den Haag met hoge capaciteit (snelle verbindingen) en daarop zijn nu 75-80% van de onderwijslocaties in Den Haag aangesloten. Ook zijn er verschillende publieke instellingen en lokale zorginstellingen aangesloten. Op het netwerk van Glaslokaal levert SURFnet de connectiviteit en zij leveren daarbij ook dienstverlening op het gebied van digitale veiligheid, zoals detectie en respons bij incidenten. Glaslokaal heeft geen eigen datacenter, maar huist in op andere locaties. Als er meer datacenters in Den Haag zouden zijn dan zou dat volgens Glaslokaal praktischer zijn, omdat lokale partijen sneller hulp en ondersteuning kunnen bieden.

Aandacht voor digitale veiligheid PO en VO Uit de gesprekken komt naar voren dat er bij schoolbesturen veel aandacht is voor digitale veiligheid. Dit komt onder andere door de AVG en de vele aanvallen met gijzelsoftware die in het nieuws komen. Scholen houden hier rekening mee, hebben medewerkers in dienst die zich met digitale veiligheid bezighouden, hebben functionarissen gegevensbescherming aangesteld en treffen preventief technische en niet-technische maatregelen. Zo laten meerdere scholen hun netwerken testen en hebben zij wachtwoordbeleid ontwikkeld. Verschillende scholen hebben ook een calamiteiten plan. Uit de gesprekken komen de volgende uitdagingen naar voren.

Uitdaging bewustzijn medewerkers en leerlingen PO en VO Op twee manieren is er in het onderwijs sprake van een uitdaging met bewustzijn over digitale veiligheid. Enerzijds zijn medewerkers niet altijd bewust van hun handelen wat leidt tot digitale veiligheidsincidenten. Zo kan het bijvoorbeeld voorkomen dat een leraar per ongeluk inloggegevens deelt met een groep Tegelijkertijd is de werkdruk in het onderwijs hoog. Daardoor heeft deze doelgroep het erg druk. Het is daarom belangrijk dat initiatieven die zich richten op het verhogen van het bewustzijn over digitale veiligheid niet leiden tot extra werklast en dus zo min mogelijk moeite en tijd kost. Er is nog geen eenduidig beeld over de meest effectieve en efficiënte wijze waarop een bewustwordingsprogramma het beste kan worden opgezet. Scholen hebben daarin behoefte aan een onafhankelijk advies. Zij kijken naar e-learning modules en het zelf aanbieden van opleidingen. Snelle personele wijzigingen vragen om regelmatig trainen, bijvoorbeeld als onderdeel van een inwerkproces.

Agenda Digitaal Veilig Den Haag

57

Anderzijds zijn niet alle leerlingen bewust van hun digitaal gedrag. Zo kan het voorkomen dat leerlingen oneigenlijk proberen in te loggen of de school proberen te hacken. Deze leerlingen beseffen niet dat dit strafbaar is en in het uiterste geval kan leiden tot aangifte en verwijdering van de school. Tegelijkertijd brengen ze hiermee ook de digitale veiligheid van het onderwijs in gevaar. Er zijn verschillende landelijke initiatieven die zich richten op digitale hygiëne en veiligheid van scholieren. Zoals HackShield, waarbij kinderen van 8 tot 12 jaar spelenderwijs bewust worden van de verschillende vormen en impact van digitale criminaliteit. De kinderen worden vervolgens ‘agents’ die ook ouders, familieleden en anderen mensen in hun directe omgeving, zoals bijvoorbeeld leerkrachten, kunnen helpen met meer bewustzijn over digitale veiligheid.

Uitdaging delen persoonsgegevens tussen onderwijs (PO en VO) en zorg Er is een belangrijk connectie tussen basis- en middelbaaronderwijs en zorg, bijvoorbeeld als het gaat om vroegtijdige schoolverlaters of speciaal onderwijs. Uit de gesprekken komt naar voren dat het delen van zorggegevens nog niet altijd vlekkeloos loopt. Daarbij zijn er ook ethische vragen over wat je wel en niet mag delen, bijvoorbeeld in het geval van luxe verzuim waarbij scholieren buiten de schoolvakanties om op vakantie gaan. Het zou daarom mogelijk kansrijk zijn om, naar voorbeeld van het bestaande privacy convenant, ook een onderwijs-zorg convenant op te stellen, zodat er een eenduidige wijze van gegevensuitwisseling tot stand komt. De functionarissen gegevensbescherming van verschillende schoolbesturen komen regelmatig bijeen en zouden hier mogelijk het initiatief in kunnen nemen om te komen tot 1 modelovereenkomst.

Grote en kleine schoolbesturen PO en VO Bij het opstellen van deze agenda is in eerste instantie gekeken naar de grootste schoolbesturen, omdat zij het merendeel van de Haagse scholen afdekken. Er is slechts met 1 zelfstandige school gesproken. Het is daarmee natuurlijk de vraag in hoeverre deze school exemplarisch is voor alle zelfstandige scholen. Het is niet ondenkbaar dat sommige scholen nu pas beginnen met het denken over digitale veiligheid en risicomanagement dat daarbij hoort. Bijvoorbeeld in de afweging om wel of niet te verzekeren tegen gijzelsoftware of door de kosten van een zware aanval te berekenen. Mogelijk zouden grotere besturen kennis kunnen delen met kleine besturen, bijvoorbeeld van bestuurder op bestuurder.

Behoefte netwerkversterking PO en VO In brede zin lijkt er een behoefte te zijn bij de professionals die in het PO en VO werken aan digitale veiligheid om hun netwerk met collega’s bij andere scholen verder uit te breiden om kennis en ervaringen te delen en van elkaar te leren. Daarbij zouden ook de inzichten van collega’s die in het mbo, hbo en WO werkzaam zijn mogelijk meerwaarde kunnen hebben.

Digitale veiligheid in het mbo, hbo en WO De aanbieders van mbo, hbo en WO in Den Haag zijn over het algemeen grote organisaties met een eigen ICT-organisatie. ICT is essentieel geworden voor hun onderwijs- en onderzoeksactiviteiten en daarom staat digitale veiligheid bij het bestuur hoog op de agenda. Instellingen hebben te maken met beperkte budgetten (afkomstig van het ministerie van OCW) dus moeten voor digitale veiligheid wel afwegingen maken. Met name het risico van gijzelsoftware is op dit moment de belangrijkste motivator om te investeren in digitale veiligheid. Maar ook andere thema’s zoals privacy, gegevensverwerking, examinering en kennisveiligheid krijgen veel aandacht. Uit de gesprekken komt naar voren dat met name laatstgenoemde thema op dit moment actueel en urgent is. Er zijn hierover onlangs meerdere publieke waarschuwingen geweest, onder andere van de AIVD. Dit risico wordt gezien als zeer hoog, omdat statelijke actoren hoog gemotiveerd en hoog uitgerust zijn. Dit onderwerp vergt niet alleen een focus op digitale spionage en beveiliging, maar ook op fysieke beveiliging en persoonlijke veiligheid en weerbaarheid van medewerkers en studenten.

58

Agenda Digitaal Veilig Den Haag

Uit de gesprekken komt naar voren dat er mogelijk een behoefte is om het netwerk cross-sectoraal uit te breiden met organisaties van eenzelfde omvang en/of volwassenheidsniveau. Bijvoorbeeld richting vitale infrastructuur, zodat er meer inzicht kan ontstaan in de afhankelijkheden en organisaties dit voor hun eigen risicobeeld en business continuity mangement goed kunnen gebruiken. Dit zou de vorm kunnen krijgen in een informeel cross-sectoraal netwerk van CISO’s in Den Haag. Inhoudelijke onderwerpen die relevant worden geacht zijn de digitale veiligheid van proces- en gebouw­ automatisering (oftewel: Operationele Technologie (OT) en meer cijfers over en inzicht in statelijke actoren. Voor laatstgenoemde zou meer kennisdeling gewenst zijn. Bij voorkeur vertaalt naar het belang van de organisaties (risico/dreiging op veld of instellingsniveau). Zodat er ook concreet handelingsperspectief kan worden gecreëerd voor bestuurders.

Bestaande samenwerkingen mbo, hbo en WO Er vindt in Den Haag op dit moment voor digitale veiligheid geen rechtstreeks samenwerking plaats tussen mbo, hbo en WO. Wel werken de organisaties nauw samen met soortgelijke organisaties buiten Den Haag en participeren ze in gezamenlijke gremia. Dit gebeurt onder andere binnen samenwerkingsverbanden zoals SURF en SaMBO-ICT, maar ook met thematische periodieke bijeenkomsten. Alle mbo-, hbo- en WO-­instellingen in Den Haag zijn goed aangesloten bij SURF. In dat kader worden bijvoorbeeld ook crisisoefeningen georganiseerd. Daarnaast zijn op de Policy Campus rondom Den Haag CS, naast ministeries en de gemeente, verschillende onderdelen van de universiteiten gevestigd. Er is op dit moment een periodieke bijeenkomst (‘Governance Zone’) tussen deze organisaties die zich richt op integrale gebiedsbeveiliging. Door de fysieke clustering ligt daarbij vooral de focus op fysieke beveiliging. Maar het zou mogelijk interessant kunnen zijn om in dit verband ook informatie te delen over digitale veiligheid.

Agenda Digitaal Veilig Den Haag

59

Bijlage 3

Vitale processen gezondheidszorg 3.1

Context Gezondheidszorg

Belang van gezondheidszorg voor Den Haag In het coalitieakkoord is de doelstelling opgenomen dat iedere Hagenaar moet kunnen rekenen op de zorg en ondersteuning die zij of hij nodig heeft. Het zorgveld reikt van het genezen van aandoeningen tot het zorgen voor de gevolgen van een aandoening. De sector is niet alleen belangrijk vanwege de maatschappelijke waarde die zij levert. De sector heeft ook grote economische waarde (Werkgelegenheidsmonitor 2020 Den Haag). Zij is met 42.440 banen goed voor 14% van de werkgelegenheid en daarmee een van de grotere sectoren in Den Haag. De Gezondheidszorg is daarbinnen met 21.690 banen en een aandeel van 51% de grootste branche en bovendien tussen 2010 en 2020 met 19% gegroeid.

Invloed van de pandemie De pandemie heeft vanaf het begin grote impact gehad op de gezondheidszorg. De druk op de medische zorg was enorm door de plotselinge uitbraak van het virus. De urgentie vroeg om het razendsnel opschalen van zorg, het inkopen van apparatuur en beschermingsmiddelen, en de opzet van grootschalig test- en contactonderzoek waarbij noodzakelijkerwijs ook persoonsgegevens moesten worden verzameld, verwerkt en opgeslagen. Dat systeem was niet volledig waterdicht en leidde ertoe dat personen misbruik maakten door ongeoorloofd gegevens van onder andere bekende Nederlanders op te zoeken en te verkopen. Net als in andere sectoren werden veel zorgorganisaties door de maatregelen gedwongen om versneld digitaal te werken, bijvoorbeeld door het zoveel als mogelijk thuiswerken en het houden van e-consults. In de samenleving was vanaf het begin sprake van een grote behoefte aan meer informatie en kennis over het virus en de pandemie. Daar maakten kwaadwillenden misbruik van. Onder andere door campagnes met desinformatie over het virus of door phishingmails te versturen waarbij de pandemie werd gebruikt om ontvangers over te halen om op een verkeerde link te klikken.

Digitalisering binnen de zorg Binnen de zorg wordt digitalisering gezien als een van de manieren waarop de uitdagingen die de sector heeft het hoofd te bieden. Zorgpartijen investeren in de digitalisering van dienstverlening, zodat patiënten beter kunnen worden geholpen en de middelen in de zorg efficiënter kunnen worden ingezet. Technologie kan ook helpen om zorg te voorkomen, te verplaatsen en te vervangen. Bijvoorbeeld met als doel dat mensen langer zelfstandig thuis kunnen wonen, zoals in Den Haag succesvol gebeurt binnen het Living Lab iZi Gezond Lang Thuis. Ziekenhuizen kennen eveneens een grote mate van medische technologie die in toenemende mate verbonden is. Hetzelfde geldt voor zaken zoals gebouwautomatisering. De digitalisering binnen de zorg is een kans, maar brengt ook risico’s met zich mee. Zorggegevens van patiënten behoren tot de meest persoonlijke gegevens die er zijn en door verdere digitalisering ontstaan nieuwe onderlinge afhankelijkheden en kwetsbaarheden tussen ICT-systemen en organisaties in de zorgketen.

60

Agenda Digitaal Veilig Den Haag

De gezondheidszorg in Den Haag: eerstelijns en tweedelijns Binnen de zorg is er sprake van eerstelijnszorg en tweedelijns zorg. Van eerstgenoemde kan iedereen zonder verwijzing gebruik maken. Dat betreft o.a. de huisarts, tandarts, fysiotherapie en apotheek. Daarbij speelt vooral de huisarts een centrale rol, doordat die bepaalt welke zorg een patiënt nodig heeft en deze kan doorverwijzen naar een specialist. De specialisten vormen de tweedelijnszorg, zoals het ziekenhuis, kliniek of psychische hulp. Volgens ZorgkaartNederland zijn er op dit moment 4191 zorgaanbieders in Den Haag. Het veld bestaat uit kleine individuele praktijken en enkele grote organisaties en coöperaties die vaak ook regionaal actief zijn. Zoals bijvoorbeeld Haaglanden Medisch Centrum (HMC), Parnassia, Saffier Groep en Florence en Huisartsen Kring Haaglanden (HKH). De gemeente is ook een belangrijke partij in de lokale gezondheidszorg. Al helemaal tijdens de pandemie omdat de GGD Haaglanden verantwoordelijk is voor het bewaken, beschermen en bevorderen van de publieke gezondheid. De gemeente heeft op dit moment geen rol bij de digitale veiligheid van de eerste- en tweedelijns zorg. Daar waar de gemeente zelf zorgaanbieder is (GGD en JGZ) is het eigen informatiebeveiligingsbeleid van de gemeente Den Haag van toepassing.

De GGD Haaglanden is ISO 9001 gecertificeerd en is daarmee beoordeeld op het voldoen aan alle relevante wettelijke vereisten, zo ook het ‘Besluit elektronische gegevensverwerking door zorgaanbieders’. In de regio Haaglanden is Stichting Transmurale Zorg facilitator, verbinder en aanjager voor ketensamenwerking tussen zorgaanbieders. Zorg en ICT is één van hun focusgebieden. In dat kader is gebleken dat er in de regio een behoefte bestaat aan een coördinerend ICT-orgaan dat de uitwisseling van medische informatie tussen zorginstellingen en patiënten organiseert en faciliteert. Hier wordt op dit moment een inventarisatie voor uitgevoerd.

Nationaal initiatief voor digitale veiligheid in de gezondheidszorg De gezondheidszorg behoort in Nederland nationaal niet tot de vitale processen. Er is wel in toenemende mate aandacht voor de digitale veiligheid van de zorg. Dat heeft onder andere geleid tot de oprichting van de Zorg-ISAC in 2016 en Z-CERT in 2017. Laatstgenoemde gebeurde, met een startsubsidie van het ministerie van VWS, op initiatief van de Nederlandse Vereniging van Ziekenhuizen (NVZ), Nederlandse Federatie van Universitair Medische Centra (NFU) en de Nederlandse GGZ. Z-CERT is een stichting en heeft geen winstoogmerk. Z-CERT is het nationale expertisecentrum op het gebied van digitale veiligheid in de zorg. Z-CERT is aangesloten op het Landelijk Dekkend Stelsel en ontvangt in die hoedanigheid daarbij behorende ondersteuning van het NCSC. Sinds januari 2021 voorziet Z-CERT 168 zorginstellingen van actuele dreigingsinformatie. Samen met de deelnemers, het NCSC, de Health-ISAC, brancheorganisaties, leveranciers, andere CERT’s vormt Z-CERT een netwerk om gezamenlijk uitdagingen op het gebied van digitale veiligheid aan te pakken. Zoals bijvoorbeeld gijzelsoftware, datalekken of hacken. In eerste instantie richt Z-CERT zich vooral op tweedelijns zorg, en dan specifiek ziekenhuizen en geestelijke gezondheidszorg, maar ze kijken ook naar eerstelijns zorg en overige tweedelijns zorg.

Daarbij geldt dat organisaties een bepaald volwassenheidsniveau moeten hebben bereikt voordat de dienstverlening van Z-CERT voor hen van meerwaarde kan zijn. Z-CERT richt zich op de technische doelgroep en het is belangrijk dat een organisatie daarvoor al bestuurlijk aandacht heeft voor digitale veiligheid en hiervoor ook capaciteit en middelen vrijmaakt.

Digitale dreigingen in de gezondheidszorg In het Cybersecurity Dreigingsbeeld Zorg 2020 beschrijft Z-CERT de belangrijkste dreigingen die zij zien voor de Nederlandse zorgsector. Daarbij komen de volgende zaken naar voren. Uiteraard de pandemie zelf. Door de overgang naar thuiswerken gingen aanvallers actief op zoek naar externe toegangsmogelijkheden in de ICT-systemen die voor het thuiswerken extra waren opengezet. Ook waren er phishingcampagnes die inspeelde op de angst voor het virus en waren er in 2020 kwetsbaarheden in de applicaties die worden gebruikt voor thuiswerken, waardoor organisaties gevaar liepen. Daarnaast waren er veel pogingen tot financiële fraude, waarbij bijvoorbeeld valse facturen per mail werden verstuurd. Er waren weinig DDoS-aanvallen op de zorgsector, maar de drempel om een aanval uit te voeren is laag. Daarom ziet Z-CERT dit als een reële dreiging. Gijzelsoftware is op dit moment echter de grootste dreiging in de zorgsector en dit zal voorlopig zo blijven. Deze dreiging loopt deels via de leveranciersketen. De criminele groepen die deze aanvallen uitvoeren zijn steeds professioneler en beter georganiseerd. Datalekken zijn tevens een risico in

Agenda Digitaal Veilig Den Haag

61

de zorg. Eén van de redenen hiervoor kunnen verlopen domeinnamen zijn. Ten slotte wordt er internationaal veel gewaarschuwd voor verhoogde interesse van statelijke actoren in onderzoek naar de corona pandemie en mogelijke vaccins. Bij Z-CERT zijn in 2020 geen incidenten gemeld, maar de organisatie roept zorgbestuurders op om te investeren in de digitale veiligheid van hun organisatie, omdat dit een positief effect heeft op de weerbaarheid tegen statelijke actoren. Kennis over dreigingen op bestuursniveau is volgens Z-CERT essentieel. Evenals aandacht voor een cultuur waarin men bewust is van digitale veiligheid en de risico’s en het gedrag die daarbij horen.

Raakvlak met digitale veiligheid van de stad De continuïteit van de gezondheidszorg, zowel op locatie als digitaal, is essentieel gebleken tijdens de pandemie. De digitale veiligheid hiervan is daarom van groot belang voor de stad. Daarnaast zijn patiënten in de zorg in veel gevallen ook inwoners van Den Haag. Het is in het maatschappelijk belang, ook al is het primair de verantwoordelijkheid van de zorgverleners, dat de vertrouwelijkheid van hun persoonlijke zorggegevens is gewaarborgd. Ook omdat kwetsbare groepen slachtoffer kunnen worden van digitale criminaliteit, bijvoorbeeld als geldezel.

Uitgangspunt gewenste situatie In het belang van Den Haag kunnen op dit gebied verschillende doelstellingen worden geformuleerd. Zoals: • De maatschappelijke impact van een aanval op een zorginstelling (preventie en respons) verminderen. • De bescherming van persoonlijke zorggegevens van Haagse zorggebruikers bevorderen.

3.2

Eerste bevindingen huidige situatie

In deze agenda is allereerst gekeken naar de GGD, ziekenhuizen en huisartsen. Deze spelen een sleutelrol in het zorglandschap. Dat betekent niet dat digitale veiligheid geen thema of uitdaging is voor overige zorginstellingen.

Dekking Z-CERT in Den Haag Hoewel Z-CERT wel de ambitie heeft om het brede zorgdomein te bedienen is de dekking in Den Haag op dit moment niet volledig. Dat heeft deels te maken met de aansluitingsstrategie, waarbij gestart is met ziekenhuizen en geestelijke gezondheidszorg, maar ook met het volwassenheidsniveau van veel zorginstellingen. Z-CERT levert dreigingsinformatie en informatie over kwetsbaarheden en overige technische diensten zoals het monitoren van IP-adressen en domeinnamen. Voor kleinere organisaties die niet over een eigen ICT-afdeling beschikken, maar bijvoorbeeld alles hebben uitbesteed aan een ICT-leverancier, is dergelijke informatie en kennis in veel gevallen niet relevant en/of bruikbaar. Als organisaties een stap kunnen maken in hun volwassenheidsniveau van digitale veiligheid, bijvoorbeeld door een certificering te behalen, kan aansluiting bij Z-CERT mogelijk wel haalbaar en opportuun worden. Grotere organisaties, zoals de ziekenhuizen, zijn wel al aangesloten bij Z-CERT. Zij beschikken zelf ook over ICT-afdelingen en hebben aandacht voor informatiebeveiliging en de bescherming van persoonsgegevens. Continuïteits- en kwaliteitsmanagement, zodat de zorg niet lijdt onder digitale veiligheidsincidenten, en de AVG zijn hierin belangrijke drijfveren.

Enkele Haagse ziekenhuizen werken ook samen met The Hague Security Delta (HSD) aan een innovatieproject waarbij zij nieuwe methodes ontwikkelen om de risico’s op het gebied van digitale veiligheid categoriseren en te meten.

Zorgorganisaties aangesloten bij Glaslokaal Stichting Glaslokaal, zoals in het vorige hoofdstuk toegelicht, levert ook connectiviteit aan verschillende zorginstellingen in Den Haag. Glaslokaal voert geen actief wervingsbeleid voor nieuwe aansluitingen, maar staat open voor de doelgroep Gezondheidszorg. Glaslokaal heeft alleen in Den Haag eigen netwerk liggen. Tegelijkertijd zijn veel zorgorganisaties regionaal actief. Het is dan uit kostenoverweging vaak interessanter om te kiezen voor een commerciële aanbieder die in de hele regio connectiviteit via een eigen netwerk kan aanbieden.