Symposium Cybercrime: 'Defensie is niet de redder in nood'

Het internet heeft een wereldwijd probleem. De onveiligheid neemt toe. De vele rapporten die geschreven worden over cybercrime en cyber security, zijn het hierover eens. En wie heeft het nog niet aan den lijve ondervonden? Malware. Virussen. Spam. Gestolen wachtwoorden. Platgelegd internetbankieren. Er komt geen einde aan de reeks cyberaanvallen. Burgers zijn steeds vaker het slachtoffer. Maar ook overheden, banken en andere belangrijke (vitale) sectoren in Nederland liggen zwaar onder vuur. In hoeverre is civiel-militaire samenwerking op dit vlak mogelijk?

Erik Akerboom, secretaris-generaal van het Ministerie van Defensie, is helder in zijn antwoord: “Als het gaat om cybercrime, ligt de bal bij politie en Openbaar Ministerie. Defensie heeft daarin geen rol.” Commandant der strijdkrachten Tom Middendorp is net zo duidelijk als het gaat om de bescherming van digitale netwerken in Nederland: “De krijgsmacht is niet de firewall van Nederland. Overheden en bedrijven zijn zelf verantwoordelijk voor de beveiliging van hun netwerken. Dat geldt ook voor burgers. Als er in uw huis wordt ingebroken, vraagt u zich toch ook niet af waarom Defensie uw huis niet heeft verdedigd? U dient zelf uw netwerken te beveiligen en te herstellen. Daar kunnen wij niet bij helpen. Al is het alleen maar omdat het grootste deel van het digitale netwerk in Nederland in handen is van private partijen. Defensie is niet de redder in nood.”

Vervagende grenzen

Volgens Middendorp is ‘counterstrike’ - het optreden tegen een tegenstander - de kerntaak van de krijgsmacht. Dat betekent dat Defensie zich in het cyberdomein richt op staten en kleine groepen die ons land digitaal aanvallen om chaos te creëren, de maatschappij te ontwrichten of te spioneren. “Een oorlog draait tegenwoordig niet meer alleen om wapengeweld. Het draait in toenemende mate om het ontwrichten van samenlevingen en het creëren van chaos, door het uitvoeren van cyberaanvallen. Dat voorkomen wij door inlichtingen te verzamelen en offensief in te grijpen in de systemen van de tegenstander. Onze taak op dit vlak is dus duidelijk gescheiden van de taken die civiele autoriteiten hebben.”

Hoewel het er op lijkt dat Defensie de boot afhoudt als het gaat om civiel-militaire samenwerking in het cyberdomein, blijkt de soep toch niet zo heet gegeten te worden als zij wordt opgediend. Akerboom constateert namelijk dat het lastig is om iemand te identificeren die een aanval uitvoert. “Is het een crimineel? Een hobby hacker? Een spion? Of een terrorist? Daardoor vervagen de grenzen tussen externe en interne veiligheid, en tussen militair en civiel. Dit is dé reden waarom we moeten samenwerken.” En het kan ook. Defensie heeft namelijk als derde hoofdtaak het ondersteunen van civiele autoriteiten. “In dat kader kunnen civiele veiligheidsinstanties ter ondersteuning van hun eigen taken, een beroep doen op onze cyberexpertise. We werken nu al samen met het Nationaal Cyber Security Centrum en zullen dat ook gaan doen met de High Tech Crime Unit van de politie.” Volgens Middendorp is het zelfs bittere noodzaak om samen op te trekken en kennis te delen, gezien de schaarste aan goede mensen en middelen in Nederland. “Samen ontwikkelen we ons sneller, waardoor de kans op een succesvolle integrale aanpak van cyberaanvallen het grootst is.”

Samenwerken is te vrijblijvend

De uitgestoken hand van Defensie sluit aan bij wat Dick Schoof, nationaal coördinator terrorismebestrijding en veiligheid (NCTV), voor ogen heeft: participatie op het gebied van cyber security. Hij kiest bewust niet voor het woord ‘samenwerken’; dat is te vrijblijvend. Participatie heeft volgens hem meer in zich: samen bouwen én elkaar aanspreken op resultaten.

Enerzijds ziet hij dit tot stand komen tussen publieke en private partijen. De Cyber Security Raad is er een voorbeeld van. In deze Raad is de top van overheid, bedrijfsleven en wetenschap vertegenwoordigd en gezamenlijk ontwikkelen zij een visie op cyber security. Ook adviseren zij gevraagd en ongevraagd het Kabinet op dit terrein. De jaarlijkse campagneweek Alert online is een ander voorbeeld. NCTV, bedrijfsleven en kennisinstituten werken gezamenlijk aan de digitale bewustwording van Nederland.

Anderzijds vindt participatie steeds vaker plaats tussen NCTV en Defensie. Schoof: “We houden er rekening mee dat militaire inzet in het buitenland kan leiden tot digitale aanvallen op civiele doelen in Nederland. Zo wordt de nationale veiligheid in gevaar gebracht. De snelheid waarmee dergelijke aanvallen zich manifesteren, vraagt om een snelle, gecoördineerde en flexibele reactie. Daarbij kunnen we een beroep doen op de cybercapaciteiten van Defensie. Zo werken we samen met het Defensie Computer Emergency Response Team, het Defensie Cyber Commando en de Joint Sigint Cyber Unit (samensmelting AIVD en MIVD). Ook zie ik een rol weggelegd voor ‘cyber reservisten’.” Alles overziend constateert Schoof dat hij in het civiel-militaire cyberdomein eigenlijk niet meer kan spreken van participatie, maar van verwevenheid. “We zijn al een stap verder. De uitdaging is om dat nog verder vorm te geven en er nog meer uit te halen.”

Gebrek aan kennis bij veiligheidsregio’s

Grote afwezige in het cyberdomein zijn de veiligheidsregio’s. Hoewel zij in Nederland verantwoordelijk zijn voor rampenbestrijding en crisisbeheersing, lijkt het thema ‘cybercrime’ en de gevolgen daarvan volledig langs hen heen te gaan. Schoof erkent dit. “Het staat niet op hun agenda en het is voor hen een ver-van-mijn-bedshow.” Ook Nico van Mourik, directeur veiligheidsregio Midden- en West-Brabant, moet dit toegeven. “Er is geen awareness en geen kennis over dit thema in de veiligheidsregio’s aanwezig.” Schoof nuanceert het gebrek aan kennis bij de veiligheidsregio’s enigszins, door aan te geven dat zij geen directe rol hebben in detectie en respons. Wel vindt hij, dat zij zich beter moeten realiseren welke impact cybercrime heeft op de vitale infrastructuur en de samenleving. “Want dat is van invloed op hun crisisrespons.” Van Mourik denkt dat de veiligheidsregio’s hierin een slag kunnen maken, omdat zij zich momenteel ontwikkelen van een organisatie voor fysieke veiligheid naar een organisatie voor maatschappelijke crisisbeheersing. “Het gaat bij ons steeds meer om maatschappelijke continuïteit: hoe kom je zo snel mogelijk weer terug naar genormaliseerde verhoudingen. Als regionale netwerkorganisatie kunnen wij hierin een rol spelen, door relevante partijen aan elkaar te verbinden.”

Verschuiving naar moderne crisisbeheersing

Ondanks het positieve toekomstbeeld van Van Mourik, hebben de veiligheidsregio’s nog een lange weg te gaan. Rob de Wijk, directeur van The Hague Centre of Strategic Studies, vertelt namelijk aan de hand van verschillende onderzoeksrapporten dat er nog wel het een en ander schort aan de regionale crisisbeheersing. “In het algemeen komt het er op neer, dat de grootschalige operationele crisisbeheersing niet op orde is. Verder wordt er te weinig geoefend, te weinig geleerd van crises en lijken de politie en de Geneeskundige Hulporganisatie in de Regio zich af te scheiden van de veiligheidsregio.” Uit de rapporten blijkt verder dat er geen heldere aansturing is, er gebrek is aan duidelijke crisiscommunicatie en er geen eenduidige doctrine voor optreden is. Verder constateert de Algemene Rekenkamer in haar laatste rapport ‘Zicht overheden op beschermen burgers en bedrijven’ dat de informatievoorziening naar de minister onvoldoende is, er geen samenhang in handelen is bij rampenbestrijding en crisisbeheersing, er te veel veiligheidsregio’s zijn voor een goede landelijke samenwerking en dat het zicht ontbreekt op een doelmatige besteding van publieke middelen. Volgens De Wijk moet er snel wat gaan gebeuren, willen de veiligheidsregio’s in de toekomst blijven bestaan. In zijn optiek doen ze er verstandig aan Defensie om hulp te vragen. Deze organisatie is namelijk gewend om grootschalige en complexe operaties aan te sturen, is operationeel en doctrine gericht, heeft leiderschap laag in de organisatie gepositioneerd, adopteert snel nieuwe methoden, borgt lessons learned en heeft als geen ander ervaring met planvorming, opleiden, trainen en oefenen. Wel zal Defensie dan meer politiek gevoel en begrip voor de werkwijzen van anderen moeten ontwikkelen. “Het zou van grote kracht getuigen als de veiligheidsregio’s weten op te schuiven van klassieke rampenbestrijding naar moderne crisisbeheersing. Cyber aanvallen leveren nieuwe veiligheidsrisico’s op, worden geïmporteerd uit het buitenland met lokale gevolgen, hebben effect op rampenbestrijding en crisisbeheersing, en vragen om een multidisciplinaire aanpak. Dit digitale tijdperk vraagt om een herpositionering van de veiligheidsregio’s.”