Die neue Cybersicherheitsstrategie der Niederlande

Cyberbedrohungen sind die neue „Geißel“ der digitalisierten Welt, und Angriffe wie Datenlecks und Ransomware, die täglich zunehmen, bedrohen nicht nur Einzelpersonen, Unternehmen und Organisationen, sondern auch die Sicherheit von Staaten. Weltweit werden bereits Milliarden Dollar ausgegeben, um Cyberangriffe zu verhindern, zu erkennen, abzuwehren und die von ihnen verursachten Schäden zu beheben. Dennoch ist die digitale Infrastruktur der angegriffenen Personen, Institutionen und Unternehmen noch immer nicht sicher genug.

Einzelpersonen wie auch juristische Personen wie Unternehmen und Organisationen, die ihre digitalen Werte gegen Cyberangriffe besser schützen wollen, müssen ihre Infrastruktur stärken und die nötigen Vorkehrungen gegen böswillige Hacker treffen. Für Staaten gilt natürlich nichts anderes!

Angriffe, die sich ständig wandeln und vielfältiger werden, stehen inzwischen in vielen Ländern ganz oben auf der Agenda. Auch die Niederlande haben hier eine neue Phase eingeleitet: Am 10. Oktober 2022 wurde die neue „Cybersicherheitsstrategie“ für die Jahre 2022–2028 veröffentlicht^[1]. Die Strategie enthält einen Aktionsplan mit konkreten Schritten, um die Niederlande digital abzusichern.

Die damalige Ministerin für Justiz und Sicherheit, Dilan Yeşilgöz-Zegerius, sagte, das Thema stehe seit Langem auf der Agenda der Regierung und die rasch wachsenden digitalen Bedrohungen gefährdeten niederländische Interessen. Auch in den Haushaltsplänen der Niederlande der letzten Jahre war unter den Posten „Verteidigung“ sowie „Justiz und Sicherheit“ ein deutlicher Anstieg der Investitionen in Cybersicherheit zu erkennen.^[2]

Was bedeutet diese neue Strategie also? Ein besserer Austausch von Informationen über Cyberbedrohungen, eine bessere Information der Betroffenen, ein besserer Schutz der Unternehmen und eine bessere Absicherung digitaler Daten sowie die damit verbundenen Aufgaben der niederländischen Regierung gehören zu den wichtigsten Zielen des neuen Plans.

Die neue niederländische Cybersicherheitsstrategie 2022–2028 umfasst im Wesentlichen folgende Punkte.

• Bessere Erkennung von Cyberbedrohungen und Stärkung der digitalen Widerstandsfähigkeit:

Ziel ist es, die nötigen Maßnahmen zu treffen, um Bedrohungen durch den Blick auf ihre Quellen und Angriffsziele besser zu erkennen, und mehr Einblicke zu gewinnen, um die digitale Widerstandsfähigkeit gegen Cyberangriffe zu erhöhen.

Auf dem Weg dorthin wird die Zentralregierung stärker mit internationalen Organisationen zusammenarbeiten und mehr zur öffentlich-privaten Zusammenarbeit beitragen.

Die damals geltende NIS1-Richtlinie erfasste unter anderem Energie, Verkehr, Gesundheitsversorgung, Trinkwasser und digitale Infrastruktur. Mit der geplanten NIS2-Richtlinie^[3] sollten die Cybersicherheitspflichten auf weitere Bereiche wie Abwasser, Raumfahrt, Lebensmittel, verarbeitendes Gewerbe sowie Post- und Kurierdienste ausgeweitet werden.

Die Regierung plant außerdem, die Maßnahmen zur Stärkung der digitalen Widerstandsfähigkeit bestimmter Sektoren auszubauen. So sollen für Gesundheit und Bildung zusätzliche Standards eingeführt werden, das Kabinett wird verschiedene Instrumente anbieten, um Organisationen bei der Einhaltung zu helfen, das Ministerium des Innern und für Königreichsbeziehungen wird verschiedene Förderprogramme auflegen, und schließlich wird die Regierung nicht nur der digitalen Widerstandsfähigkeit von IT-Systemen, sondern auch der von OT (Betriebstechnik) mehr Aufmerksamkeit schenken.

Wissen und Bewusstsein der Organisationen über Cybervorfälle, -bedrohungen und -risiken und den Umgang damit sollen gestärkt werden, damit sie schneller auf Cyberbedrohungen reagieren können.

• Mehr Fachkräfte für Cybersicherheit.

Nach 2022 geäußerten Schätzungen würden bis 2025 weltweit rund 3 Millionen zusätzliche Cybersicherheitsfachkräfte benötigt, und dieser Bedarf galt natürlich auch für die Niederlande. Unternehmen haben Schwierigkeiten, qualifiziertes Personal in diesem Bereich zu finden. Nach der neuen Strategie sollen die internen und externen Personalressourcen ausgebaut werden.

Die Regierung wird mit Bildungseinrichtungen, der Wirtschaft und anderen Beteiligten zusammenarbeiten, um die Zahl der Cybersicherheitsfachleute zu erhöhen. Außerdem wird sie mehr in die höhere Berufsbildung in Naturwissenschaft und Technik investieren, einschließlich Kursen zur Cybersicherheit. Zusätzliche Mittel sollen eingesetzt werden, um die Zahl der Studierenden zu erhöhen, Studienabbrüche und Fachwechsel zu verringern, Quereinstiege zu erleichtern und den Übergang von der Ausbildung in den Arbeitsmarkt zu verbessern.

• Mehr Verantwortung für Staat und Privatwirtschaft.

Die Ausbreitung der Cyberkriminalität und die wachsenden Schäden, die sie verursacht, erhöhen naturgemäß die Besorgnis und das Lagebewusstsein der Behörden und zeigen, dass sowohl der Staat als auch die Privatwirtschaft mehr Verantwortung übernehmen müssen. Die Verantwortungsbereiche von Unternehmen und Organisationen werden weiter ausgedehnt, nicht nur wegen der Kontinuität ihrer eigenen Dienste, sondern auch, weil sie Kunden, Lieferanten oder abhängige Dritte und die digitale Sicherheit der Niederlande betreffen.

Zudem wird die Regierung zur Entwicklung und Einführung europäischer Cybersicherheitszertifizierungen für IKT-Produkte, -Dienste und -Prozesse wie Cloud-Dienste und 5G-Technik beitragen und die Zusammenarbeit mit privaten Akteuren ausbauen. Indem die Nutzung von Zertifizierungen gefördert und erleichtert wird, sollen Verbraucher und Organisationen sichere Entscheidungen treffen können.

Um das Bewusstsein für grundlegende Cybersicherheitsmaßnahmen zu stärken, wird der niederländische Staat auf verschiedene Zielgruppen zugeschnittene Informationskampagnen und Programme durchführen.

• Digitale Widerstandsfähigkeit als Teil des Lehrplans

Kinder sollen von klein auf lernen, digitale Produkte und Dienste sicher zu nutzen. Das niederländische Institut für Lehrplanentwicklung (SLO) wurde beauftragt, gemeinsam mit Lehrkräften konkrete Kernziele für Grundfertigkeiten in der Primar- und Sekundarstufe zu entwickeln; digitale Kompetenz und digitale Sicherheit gehören dazu. Außerdem wird ein Plan erstellt, damit Lehrkräfte bestmöglich darauf vorbereitet sind, dies zu vermitteln.

• Bessere Aufsicht und Entwicklung der nötigen Gesetzgebung.

Nach der neuen Strategie sollen klare Gesetze und Vorschriften dafür sorgen, dass Organisationen mehr Vorkehrungen treffen. So konnte es für Cybersicherheitsfachleute riskant sein, zur Informationssicherheit zu forschen und darüber zu publizieren, und solche Forschung durchzuführen und zu veröffentlichen konnte bisweilen als Straftat gelten^[4]. Der neue Ansatz soll die rechtliche Unsicherheit für Forschende verringern, die Schwachstellen verantwortungsvoll untersuchen und melden; die Einhaltung ethischer Grundsätze und der Regeln zur koordinierten Offenlegung von Schwachstellen wird bei Entscheidungen über Ermittlungen oder Strafverfolgung berücksichtigt.  

Dass bei der Entwicklung digitaler Produkte und Dienste die Sicherheit der Ausgangspunkt sein muss, sah der im September 2022 von der Europäischen Kommission vorgeschlagene Cyber Resilience Act bereits vor; nach der neuen Strategie sollen nun auch Hersteller und Anbieter in allen Phasen dieser Produkte und Dienste einer Sorgfaltspflicht unterliegen.

• „Eine einheitliche nationale Cybersicherheitsbehörde“

Zu diesem Zweck werden das „Nationale Cyber-Sicherheitszentrum“, das „Digital Trust Center“ und das „Computer-Notfallteam für digitale Diensteanbieter“ zu einer einzigen nationalen Cybersicherheitsbehörde zusammengelegt. Diese zentrale Behörde wird mit öffentlichen und privaten Partnern zusammenarbeiten, Organisationen, Behörden und Bürger informieren, und dank des gestärkten Systems sollen Cybervorfälle wirksamer bekämpft werden.

• Bereitstellung von Mitteln und Investitionen.

Nach der neuen Strategie werden zusätzlich zu den 95 Millionen Euro der Vorgängerregierung 111 Millionen Euro an neuen strukturellen Mitteln für Cybersicherheit bereitgestellt!

In den nächsten sechs Jahren sind in einer ersten Phase große Investitionen in den AIVD (Allgemeiner Nachrichten- und Sicherheitsdienst), den MIVD (Militärischer Nachrichten- und Sicherheitsdienst) und das NCSC (Nationales Zentrum für Cybersicherheit) geplant, ebenso die Stärkung des nationalen Kooperationsnetzes für Cybersicherheit und eine höhere digitale Widerstandsfähigkeit kritischer Sektoren. 

*****

Nach Russlands Einmarsch in die Ukraine begannen viele Länder, Maßnahmen zu entwickeln, um sich vor den Folgen eines großen Cyberkriegs zu schützen. So rief US-Präsident Joe Biden im März dazu auf, die Cyberabwehr „sofort zu stärken“. Australien hob die Cybersicherheit auf „Ministerebene“. Der Aktionsplan der Niederlande und die großen Schritte, die das Land plant, zeigen, dass Cybersicherheit in den kommenden Jahren noch weit wichtiger werden wird.