RIS311499 Bijlage Agenda Digitaal Veilig Den Haag

62

Agenda Digitaal Veilig Den Haag

Certificering NEN7510 NEN (Stichting Koninklijk Nederlands Normalisatie Instituut) ontwikkelt en beheert normen en certificatieschema’s. NEN doet zelf geen certificering, maar fungeert als onafhankelijk platform. Ze beheren ruim 34.000 normen. Van de in Nederland aanvaarde internationale (ISO, IEC), Europese (EN) en nationale normen (NEN). De NEN 7510 norm (en de nadere uitwerking in NEN 7512 en NEN 7513) is een afgeleide van de ISO 27001 norm en specifiek ontwikkeld voor de informatiebeveiliging in de gezondheidszorg. De norm richt zich op het waarborgen van de beschikbaarheid, integriteit en vertrouwelijkheid van alle informatie die nodig is voor zorg aan patiënten. Zorgorganisaties zijn binnen de AVG niet verplicht om zich te laten certificeren volgens de NEN 7510, maar ze zijn conform het ‘Besluit elektronische gegevensverwerking door zorgaanbieders’ wel verplicht om aan de norm te voldoen. Daarmee is deze norm de standaard voor digitale veiligheid van de gezondheidszorg en het perspectief waarmee de Inspectie Gezondheidszorg en Jeugd en de Autoriteit Persoonsgegevens naar de digitale veiligheid van zorgorganisaties kijken. Het voordeel van certificering is dat er op voorhand onafhankelijk wordt getoetst in hoeverre een organisatie de juiste maatregelen en het juiste niveau heeft bereikt.

In plaats van dat er na een digitaal veiligheidsincident pas wordt gekeken in hoeverre de desbetreffende organisatie daadwerkelijk goed was voorbereid. Een certificeringstraject zorgt vaak voor een kwaliteitsslag, maar vergt ook tijd, capaciteit en middelen. Met de druk op de gezondheidszorg zijn die in de praktijk vaak niet aanwezig. Ondersteuning in de vorm van een subsidieregeling of een speciaal loket zou hier mogelijk in kunnen helpen.

Benodigde schaalgrootte en samenwerking Een van de spanningsvelden in de zorg is de schaalgrootte. Kleine organisaties kunnen het verschil maken in de zorg om de menselijke maat te houden, maar kunnen minder goed mee in dat wat nodig is voor digitale veiligheid. Er is daarom sprake van steeds meer samenwerking tussen kleine(re) organisaties. Zo werken de huisartsen in Den Haag voor hun ICT samen binnen Hadoks. Dat betreft de kantoorautomatisering van huisartsenposten, maar ook de informatiesystemen die gebruikt worden om data te delen. Er vinden nog geen pentesten of kennissessies over digitale veiligheid plaats, maar voorwaarden met betrekking tot informatiebeveiliging en privacy worden bij de inkoop van ICT-diensten en producten wel al meegenomen. Het gaat om voorwaarden zoals NEN 7510 certificering en het uitvoeren van een ‘Data Protection Impact Assessment’ (DPIA).

Informatiesystemen en het delen van data Bij en tussen huisartsen en ziekenhuizen verloopt de uitwisseling van patiëntengegevens via meerdere informatiesystemen, zoals het Huisartsen Informatie Systeem (HIS), het Ziekenhuis Informatie Systeem (ZIS) en het Keten Informatie Systeem (KIS). Het HIS is de bronregistratie voor het Elektronisch Patiënten Dossier (EPD) en de bron voor het KIS. Ook het ZIS en KIS zijn met elkaar verbonden. Deze systemen hebben een webportaal, zodat patiënten hun eigen gegevens online kunnen inzien. De informatiesystemen worden geleverd door verschillende grote (inter)nationale ICT-bedrijven in de medische technologie.

Oude ICT-systemen en bewustwording medewerkers Als het om kwetsbaarheden gaat vormen de aanwezigheid en het gebruik van oude ICT-systemen (zogenoemde ‘legacy systemen’) en de bewustwording van medewerkers een uitdaging. Bij laatstgenoemde kunnen uitzendkrachten en studenten in het bijzonder een probleem vormen. In het geval van onrechtmatig handelen vallen permanente medewerkers immers onder het tuchtrecht; zij hebben een eed afgelegd. Dat is niet het geval voor tijdelijke werknemers. De Leiden-Delft-Erasmus (LDE) universiteiten werken, met subsidie van de gemeente Den Haag, aan de ontwikkeling van nieuw onderwijsmateriaal over digitale veiligheid voor professionals en hebben voor een pilotproject de huisartsenzorg in Den Haag uitgekozen. Ze ontwikkelen hiervoor nu materiaal wat gebruikt kan worden om de bewustwording over digitale veiligheid bij deze groep te bevorderen. Vanuit de regionale samenwerking om de digitale veiligheid van de Zuid-Hollandse economie te verhogen werken de Haagse Hogeschool en LDE, met financiële ondersteuning van de Provincie Zuid-Holland, aan een onderzoek naar het verhogen van de bewustwording over digitale veiligheid binnen de topsector Life Sciences & Health. Ook dit onderzoek levert mogelijk inzichten en resultaten op die voor de gezondheidszorg in Den Haag relevant zijn.

Agenda Digitaal Veilig Den Haag

63

64

Agenda Digitaal Veilig Den Haag

Bijlage 4

Vitale processen – lokale distributie levensmiddelen 4.1

Context

Belang van de lokale distributie van levensmiddelen Voor het levensonderhoud hebben de inwoners van Den Haag levensmiddelen nodig. Aangezien Den Haag niet zelfvoorzienend is in de productie en consumptie van levensmiddelen, zullen er altijd levensmiddelen van buiten Den Haag naar de stad moeten komen. De aanvoer en distributie van deze levensmiddelen is daarom van belang om het stedelijk leven regulier doorgang te laten vinden.

Invloed van de pandemie Aan het begin van de pandemie was er veel onzekerheid en onduidelijkheid. Dat leidde tot paniek en hamsteren in de supermarkten. Er waren weliswaar genoeg levensmiddelen voorradig bij de distributiecentra. Mensen kochten op zo’n grote schaal zaken als handzeep en wc-papier in, dat de schappen leeg waren. Dit versterkte de paniek verder en zorgde voor veel maatschappelijke onrust. De pandemie had ook een positieve impact op de markt voor levensmiddelen. De online verkoop nam enorm toe. Voornamelijk door het thuiswerken en de sluiting van de horeca. Veel supermarkten boekten recordomzetten.

Digitalisering binnen de lokale distributie van levensmiddelen In algemene zin worden binnen de logistieksector (steeds meer) data en ICT-oplossingen gebruikt om de bedrijfsvoering te optimaliseren en kortere levertijden, lagere prijzen en regelmatige, kleine leveringen te bieden. Dat heeft ervoor gezorgd dat veel supermarktlocaties geen grote magazijnen meer hanteren. Het voordeel daarvan is dat er minder schaarse ruimte in de stad nodig is voor supermarkten. Het nadeel daarvan is dat de supermarkten voor de beschikbaarheid van levensmiddelen bijna volledig zijn toegewezen op snelle distributie. Voor het online bestellen van levensmiddelen kunnen consumenten terecht op websites, maar ook via apps op de smartphone. Sinds kort zijn er zogenaamde flitsbezorgers in opkomst, die de belofte geven binnen 15 minuten de levensmiddelen te bezorgen.

Nationaal initiatief voor digitale veiligheid in de gezondheidszorg Er zijn op dit moment geen nationale initiatieven die zich specifiek richten op de digitale veiligheid van de lokale distributie van levensmiddelen.

Digitale dreigingen voor de lokale distributie van levensmiddelen Tijdens de pandemie werd Bakker Logistiek, een leverancier van Albert Heijn, het slachtoffer van een gijzelsoftware aanval. Een week lang lagen de ICT-systemen van het bedrijf plat waardoor zij geen orders konden ontvangen en leveringen konden uitvoeren vanuit hun magazijnen in Zeewolde, Tilburg en Heerenveen. Zonder ICT-systemen was onduidelijk waar welke producten in de magazijnen stonden en ook de transporten van hun honderden vrachtwagens niet meer konden worden gepland. Als gevolg hiervan had Albert Heijn te maken met lege kaasschappen in het hele land. In het Cybersecuritybeeld Nederland 2021 waarschuwt de NCTV zowel voor dergelijke gijzelsoftware en dergelijke aanvallen op leveranciersketens. Dit lijkt bijzonder actueel en relevant voor de lokale distributie van levensmiddelen.

Agenda Digitaal Veilig Den Haag

65

Raakvlak met digitale veiligheid van de stad Tijdens de pandemie is gebleken welk (psychologisch) effect een hapering in de lokale distributie van levensmiddelen kan hebben. Een gijzelsoftware aanval in de keten kan daaraan ten grondslag liggen. Als de lokale distributie van levensmiddelen wordt uitgevoerd door in Den Haag gevestigde bedrijven, kan een dergelijk incident ook economische gevolgen hebben.

Uitgangspunt gewenste situatie In het belang van Den Haag kan op dit gebied de volgende doelstelling worden geformuleerd: • Inzicht in de risico’s op het gebied van digitale veiligheid binnen de lokale distributieketen voor levensmiddelen in het algemeen, en de positie van het lokale MKB binnen deze ketens in het bijzonder. • De maatschappelijke impact van een aanval op een organisatie in de keten van lokale distributie van levensmiddelen (preventie en respons) verminderen.

4.2

Eerste bevindingen huidige situatie

In deze agenda is allereerst gekeken naar de supermarkten, omdat zij in de lokale distributie van levensmiddelen een sleutelrol spelen. De komende periode kan verder worden onderzocht of er specifieke uitdagingen spelen bij dagmarkten, kleine(re) retailaanbieders en online bezorgdiensten.

Nationaal beleid lokale distributie levensmiddelen Digitale veiligheid in relatie tot de (lokale) distributie van levensmiddelen is een relatief nieuw thema. Er is op dit moment geen specifiek nationaal beleid wat zich hierop richt. Wel zijn ‘vervoer van personen en goederen over (hoofd)spoorweginfrastructuur’ en ‘vervoer over (hoofd)wegennet’ door de Rijksoverheid aangemerkt als nationaal vitale processen. Daarnaast heeft de Rijksoverheid aan het begin van de pandemie de voedselketen, waaronder supermarkten en hun aanlevering, aangemerkt tot de groep cruciale beroepen. Dat geldt ook voor vrachtwagenchauffeurs en daaraan aanverwante beroepen zoals medewerkers in distributiecentra. Daardoor konden deze beroepsgroepen hun werk op reguliere wijze blijven uitvoeren. Het ministerie LNV heeft onlangs een visie opgeleverd waarbij zij de hoofdlijnen als opstap naar een digitaliseringsstrategie schetst. Hierin is cybersecurity als risico genoemd. Daarbij wordt benadrukt dat “cybersecurity ook binnen de domeinen van het Ministerie van LNV aandacht verdient. De minister wil daarom bezien of de sectoren waar het Ministerie van LNV actief in is voldoende beschermd zijn tegen (geo)politieke, criminele of activistische cyberinvloeden en of er specifiek op dit onderwerp noodzakelijke acties zijn op te nemen in het actieprogramma”.

De distributie van levensmiddelen is vooral een private aangelegenheid Daardoor is ook de digitale veiligheid van dit proces primair een private verantwoordelijkheid. Het besef van de ketenafhankelijkheden en kwetsbaarheden is groot en is in toenemende mate een thema dat in contracten wordt afgedwongen. Dergelijke contracten en de wijze waarop distributienetwerken zijn opgezet zijn bedrijfsgevoelige informatie, die vooralsnog niet publiek beschikbaar is. Het is daardoor bij de gemeente niet bekend welke Haagse bedrijven een rol spelen in de lokale distributie van levensmiddelen. Een brede uitvraag, inclusief hulpaanbod, bij verschillende brancheorganisaties zou dergelijke bedrijven kunnen verleiden om zichzelf te melden.

66

Agenda Digitaal Veilig Den Haag

Dit is een uitgave van de Gemeente Den Haag Tekst Gemeente Den Haag Fotografie Gettyimages + de keuze (cover) The Hague & Partners/Jurjen Drenth (p. 2,54) Gemeente Den Haag - Fleur Beemster (p. 6) Gemeente Den Haag - Valerie Kuypers (p. 10) Nationale Beeldbank (p. 14) Gemeente Den Haag (p. 27, 28, 64) Gemeente Den Haag - Jurriaan Brobbel (p. 34) Elena Kamphuis (p. 42) Vormgeving Haagsblauw