VNG: te weinig voorbereiding op gevolgen digitale crisis

Kleine digitale verstoringen kunnen grote gevolgen hebben door de toenemende verwevenheid en complexiteit van kritieke systemen. De resulterende crises zijn niet te voorspellen. Alle overheidslagen zijn bezorgd over het ontstaan van zulke ‘ongekende crises’, schrijft de Vereniging van Nederlandse Gemeenten (VNG) in een trendanalyse. De hack van het Hof van Twente zou een goede aansporing voor crisisoefeningen moeten zijn, maar dat gebeurt te weinig en de rol van bestuurders is niet duidelijk genoeg.

Onderontwikkeld

Er is een verschuiving van fysieke criminaliteit naar digitale criminaliteit en de samenleving is steeds kwetsbaarder voor verstoringen. Het is daarom van het grootste belang dat het onderwerp digitale veiligheid periodiek op de bestuurlijke agenda staat en dat er wordt nagedacht over de rol van de bestuurder bij crises, schrijft de VNG. ‘Maar die rol bij digitale crises is nog onderontwikkeld.’

Citrix

De Informatiebeveiligingsdienst schreef bijvoorbeeld begin 2020 dat de gevolgen voor gemeenten 'desastreus' hadden kunnen zijn als de kwetsbaarheden van Citrix-software zouden worden uitgebuit. 'Zeker wanneer de criminelen ook alle back-ups onklaar hebben gemaakt.' Het doet denken aan de hack van het Hof van Twente, waar de hackers de backupgegevens in handen kregen.

Aantasten

Preventie en reactie zijn de mogelijkheden. Reactie op ontwrichtingen kreeg tot nu toe minder aandacht dan preventie, maar ‘naast preventiemaatregelen is de ongemakkelijke waarheid dat volledige digitale veiligheid niet bestaat.’ Een crisis tast vitale processen in de samenleving aan en aangezien volledige digitale veiligheid niet bestaat, moet er op lokaal, regionaal en landelijk niveau geoefend worden met crisisscenario’s.

Ontwikkelpunt

In de fysiek crisisbestrijding zijn crisisoefeningen routine, maar ‘in de digitale werkelijkheid is dit echter nog een ontwikkelpunt’. Hetzelfde geldt voor de rol van de bestuurder: ‘Voor de omgang met incidenten in de fysieke wereld bestaan een uitgebreide crisisorganisatie en allerlei voorzieningen, communicatiestrategieën, oefenboeken en wettelijke regels. Dit ontbreekt grotendeels voor incidenten in de digitale wereld.’

Draad oppakken

Oefenen en voorbereiden dus. De ongekende crisis is niet te voorspellen, maar de mogelijke gevolgen zijn wel te onderzoeken en beheersen. ‘Een betere voorbereiding op digitale ontwrichting stelt Nederland in staat om bij verstoringen effectiever op te treden en sneller de draad op te pakken na een ernstig incident. Bovendien zijn de bevoegdheden van burgemeesters in dit type incidenten nog onvoldoende eenduidig en te veel vanuit een offline perspectief geformuleerd.’

Afhankelijkheid

Tot slot de Nederlandse afhankelijkheid van buitenlandse partijen bij digitale veiligheid. Het Rathenau Instituut, de Adviesraad Internationale Vraagstukken en de Wetenschappelijke raad voor het regeringsbeleid uitten alle drie hun zorgen op dit vlak. ‘De adviezen hebben met elkaar gemeen dat de overheid volgens deze instituten een grotere rol moet spelen in de digitale samenleving om de digitale veiligheid te waarborgen.’