Antwoord schriftelijke vragen : Antwoord op vragen van het lid Rajkowski over het bericht 'Russische hackers trainen voor aanvallen op kritieke infrastructuur'

Antwoord van Minister Yeşilgöz-Zegerius (Justitie en Veiligheid) (ontvangen 17 mei
2023). Zie ook Aanhangsel Handelingen, vergaderjaar 2022–2023, nr. 2425.

Vraag 1

Bent u bekend met het bericht dat Russische hackers trainen voor aanvallen op kritieke
infrastructuur?1

Antwoord 1

Ja.

Vraag 2

Bent u op de hoogte van softwareprogramma’s en projecten, zoals Scan-V en Crystal-2V,
die als doel hebben om cyberaanvallen (op kritieke infrastructuur) te stimuleren?
Herkent het u dit verontrustende beeld van Russische cyberoperaties, gericht op onze
vitale infrastructuur, zoals spoorwegen, vliegvelden, en elektriciteitsnetwerken?
Zo ja, hoe beoordeelt u dit beeld?

Antwoord 2

Nederland wordt doorlopend geconfronteerd met digitale aanvallen. Dergelijke aanvallen
neemt het kabinet uiterst serieus. Staten dienen zich te houden aan het normatief
kader voor verantwoordelijk statelijk gedrag in de digitale ruimte. Rusland heeft
een offensief cyberprogramma tegen Nederland. In het Dreigingsbeeld Statelijke Actoren
2 van november 2022 rapporteren AIVD, MIVD en NCTV over Russische dreiging tegen vitale
infrastructuur2. Russische cyberactoren ondernemen activiteiten die duiden op spionage en op voorbereidingshandelingen
voor verstoring en sabotage.

Nederlandse organisaties in vitale sectoren kunnen ook indirect door ketenafhankelijkheden
geraakt worden als gevolg van aanvallen in relatie tot de Russische dreiging.

De AIVD ziet daarnaast dat cyberactoren gebruik maken van commerciële software die
ook wordt gebruikt door beveiligingsonderzoekers en cybercriminelen, en niet specifiek
te herleiden is, om te voorkomen dat hun aanvallen worden ontdekt.

Daarmee past de berichtgeving over het vermeende gebruik van software van een commercieel
bedrijf voor het offensieve cyberprogramma van Rusland in het dreigingsbeeld. Het
Nationaal Cyber Security Centrum blijft waakzaam voor veranderingen in het dreigingsbeeld.

Vraag 3

Hoe staat het met de versterkte aanpak vitaal? Acht u de toegezegde stappen en acties
afdoende in het kader van de Russische voornemens om cyberaanvallen op onze kritieke
infrastructuur uit te voeren? Zo ja, kunt u dit toelichten? Zo nee, welke aanvullende
acties acht u noodzakelijk?

Antwoord 3

Momenteel werkt het kabinet aan een versterkte aanpak voor de bescherming van de vitale
infrastructuur (Aanpak vitaal). Hier wordt uw Kamer voor de zomer nader over geïnformeerd.
Binnen de aanpak wordt ingezet op meer rechten en plichten voor alle vitale aanbieders
en een verankering hiervan in de wet- en regelgeving. De herziene Network and Information
Security (NIS2) richtlijn is hier een belangrijk onderdeel van.

De NIS2-richtlijn versterkt de bescherming van bedrijven en andere organisaties binnen
de EU door hen te verplichten een hoog niveau van cyberbeveiliging te hebben. De richtlijn
is van toepassing op organisaties in sectoren die van maatschappelijk belang zijn,
zoals drinkwater en energie. Uit de richtlijn volgt een zorgplicht die deze organisaties
verplicht zelf een risicobeoordeling uit te voeren, op basis waarvan zij passende
maatregelen nemen om hun diensten zoveel mogelijk te waarborgen en de gebruikte informatie
te beschermen. Ook schrijft de richtlijn voor dat die entiteiten incidenten binnen
24 uur melden bij de toezichthouder. In het geval van een dergelijk incident moet
het ook gemeld worden bij het relevante Computer Security Incident Response Team (CSIRT),
zoals het Nationaal Cyber Security Centrum, dat vervolgens hulp en bijstand kan leveren.
Organisaties die onder de richtlijn vallen komen ook onder toezicht te staan, waarbij
wordt gekeken naar de naleving van de verplichtingen uit de richtlijn, zoals de zorg-
en meldplicht. De komende tijd wordt door het kabinet gewerkt aan de implementatie
van de NIS2-richtlijn in Nederlandse wet- en regelgeving.

Het belang van het versterken van de digitale weerbaarheid en het beter beschermen
van de vitale infrastructuur komt ook terug in de actielijnen van de vorige maand
gepubliceerde Veiligheidsstrategie voor het Koninkrijk der Nederlanden3.

Vraag 4

Welke maatregelen neemt u om onze vitale infrastructuur beter te beschermen tegen
digitale aanvallen via de toeleveringsketen ook wel «supply chain» cyberaanvallen
genoemd?

Antwoord 4

Het kabinet deelt de zorgen over cyberaanvallen op leveranciersketens, zoals onder
andere is uiteengezet in het Cybersecuritybeeld Nederland 2022 (CSBN 2022)4.

Mede daarom zet het kabinet dan ook stevig in op het verhogen van de digitale weerbaarheid
van Nederland. In oktober 2022 is de Nederlandse Cybersecuritystrategie gepubliceerd.
Een van de doelstellingen hiervan is te zorgen dat organisaties in de vitale infrastructuur
goed beschermd zijn tegen digitale risico’s, en hierin hun belang voor de sector en
andere organisaties binnen de keten meenemen. In de hiervoor genoemde Aanpak vitaal
is hier nadrukkelijk aandacht voor. Dit komt tot uiting in verschillende concrete
acties, zoals de implementatie van de NIS2 en uitgebreide voorlichtingscampagnes.

Organisaties in de vitale infrastructuur hebben hierbij ook nadrukkelijk een eigen
verantwoordelijkheid om hun digitale weerbaarheid op orde te hebben. Dit komt onder
andere tot uitdrukking in de zorgplicht van de Wet Beveiliging Netwerk- en Informatiesystemen
(Wbni) ter implementatie van de Network and Information Security (NIS1)5-richtlijn, op basis waarvan aanbieders van essentiële diensten technische en organisatorische
maatregelen moeten nemen om hun netwerk- en informatiesystemen te beveiligen (artikel
7). De NIS2-richtlijn kent ook een dergelijke zorgplicht, waarbij expliciet uit die
richtlijn volgt dat de zorgplicht in enkel geval maatregelen omvat ter beveiliging
van de toeleveringsketen, met inbegrip van beveiligingsgerelateerde aspecten met betrekking
tot de relaties tussen elke entiteit en haar rechtstreekse leveranciers of dienstverleners
(artikel 21, eerste lid, onderdeel d, van de NIS2-richtlijn).

De rijksoverheid is daarbij verantwoordelijk voor het creëren van een systeem waarbinnen
organisaties de juiste maatregelen kunnen nemen om hun digitale weerbaarheid te vergroten
en daarmee hun continuïteit en betrouwbaarheid te borgen.

Om de risico’s van organisaties te beperken is er de afgelopen periode door het Nationaal
Cyber Security Centrum en de Nationaal Coördinator Terrorismebestrijding en Veiligheid
steeds nadruk gelegd op het belang van cyberweerbaarheid en waakzaamheid. Ook worden
actuele dreigingsbeelden regelmatig gedeeld met organisaties in vitale sectoren.

Om voorbereid te zijn op een crisis in het digitale domein is het Landelijk Crisisplan
Digitaal opgesteld (LCP-Digitaal). Het LCP-Digitaal is het overkoepelende kader dat
overheden en bedrijven gebruiken voor de inrichting van de eigen cybercrisisplannen.
In het LCP-Digitaal wordt ook aandacht besteed aan ketenafhankelijkheid in relatie
tot digitale crises. Het LCP-Digitaal is op 23 december 2022 met uw Kamer gedeeld.6 Ook wordt er geoefend met ketenafhankelijkheden, bijvoorbeeld in de nationale cybercrisisoefening
ISIDOOR.

Concreet adviseert het Nationaal Cyber Security Centrum om de basismaatregelen in
acht te nemen die te vinden zijn op www.ncsc.nl. Voorbeelden hiervan zijn het installeren van updates, het regelmatig maken van back-ups,
en het versleutelen van gevoelige bedrijfsinformatie. Ook informeert het Nationaal
Cyber Security Centrum organisaties binnen de vitale infrastructuur over digitale
dreigingen via de toeleveringsketen.

Vraag 5

Kunt u een update geven over de voortgang en de uitkomsten van het overheidsbreed
cyberprogramma? In hoeverre is Nederland voorbereid op eventuele cyberaanvallen?

Antwoord 5

Zie antwoord bij vraag 7.

Vraag 6

Hoe frequent wordt er binnen de vitale sectoren geoefend met het anticiperen op digitale
aanvallen op onze vitale infrastructuur? Wordt hierbij ook geoefend op scenario’s
van uitval van kritieke diensten? Zo nee, waarom niet?

Antwoord 6

Op nationaal niveau wordt er circa eens in de twee jaar de grootschalige publiek-private
cyberoefening ISIDOOR georganiseerd, waaraan organisaties uit de vitale infrastructuur
deelnemen. Tijdens deze cyberoefening worden afspraken, structuren en processen uit
het Landelijk Crisisplan Digitaal beoefend. Hierbij wordt ook op scenario’s geoefend
van uitval kritieke diensten, met de nadruk op digitale veiligheid. Ook worden er
(cross-)sectorale oefeningen gehouden en is onder andere het Nationaal Cyber Security Centrum
tijdens verschillende oefeningen actief betrokken. Voor zowel ISIDOOR als (cross-)sectorale
cyberoefeningen wordt samengewerkt met andere ministeries.

Vraag 7

Wanneer was de laatste digitale oefening op cyberaanvallen en welke lessen zijn hieruit
getrokken? Wat zijn de vervolgstappen om beter voorbereid te zijn op eventuele cyberaanvallen?

Antwoord 7

Sinds 2019 organiseert het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
jaarlijks in oktober, tijdens de maand van de cybersecurity, een cyberoefening van
en voor de overheid. Deze overheidsbrede cyberoefening is aanvullend op wat verschillende
bestuurslagen zelf al organiseren. Een voorbeeld hiervan zijn de oefenpakketten van
de Informatiebeveiligingsdienst (IBD) van de Vereniging Nederlandse Gemeenten (VNG)7. Ook tijdens de coronapandemie zijn deze oefeningen georganiseerd en sindsdien zijn
zij online te volgen. Vanaf 2022 is er naast een centraal te volgen crisisoefening
ook de mogelijkheid om simultaan met de eigen organisatie mee te oefenen. Aan de meest
recente oefening van oktober 2022 namen meer dan 70 overheidsinstanties deel aan het
simultaan oefenen. Daarnaast volgden nog ruim 450 mensen de livestream van de centrale
crisisoefening. Nadere informatie is te vinden op www.weerbaredigitaleoverheid.nl.

Inmiddels zijn ook drie edities van cybercrisisoefening ISIDOOR georganiseerd, dit
is een door het Ministerie van Justitie en Veiligheid georganiseerde grootschalige
oefening voor zowel publieke als private partijen. De laatste editie, ISIDOOR III,
vond plaats in juni 2021. De lessen uit ISIDOOR III zijn gedeeld met uw Kamer8, en zijn meegenomen in het Landelijk Crisisplan Digitaal (LCP-Digitaal). Deze lessen
en aanbevelingen zagen onder andere toe op het vergroten van inzicht in rollen en
routes in de crisisbeheersing, in zorgvuldigheid en snelheid van informatiedeling
en crisisrespons, in het optimaal benutten van capaciteit en expertise en het samen
met partners blijven werken aan de voorbereiding op cybercrises. Een nieuwe versie
van het plan is eind december 2022 aangeboden aan de Kamer.9

Het LCP-Digitaal vormt de basis voor de volgende editie van ISIDOOR: ISIDOOR IV. Jaarlijks
zal worden bezien of het LCP-Digitaal actualisatie behoeft, onder andere aan de hand
van de nieuwe geleerde lessen uit incidenten en oefeningen (waaronder ISIDOOR IV)
en andere relevante ontwikkelingen.

In februari 2023 vond ook een cross-sectorale digitale oefening plaats, waarin publieke
en private organisaties getest hebben hoe goed hun systemen bestand zijn tegen zowel
zware als ook slimmere DDoS-aanvallen. Traditionele DDoS-aanvallen zijn aanvallen
waarbij een systeem wordt overladen met verzoeken, waardoor deze onbereikbaar wordt.
Bij een slimme aanval krijgen de servers andere, zwaardere taken te vervullen, waardoor
de capaciteit voor normaal gebruik wordt opgeslokt. De oefening werd georganiseerd
tussen leden van de Anti-DDoS-Coalitie. Dit is een publiek-privaat samenwerkingsverband
waar onder andere het Nationaal Cyber Security Centrum bij betrokken is

Vraag 8

Bent u het met de stelling eens dat het belangrijk is om regelmatig te oefenen met
het bestrijden van cyberaanvallen zodat Nederland voorbereid is op actuele dreigingen?
Zo ja, wanneer is de eerstvolgende cross-sectorale cyberoefening? Welke oefeningen
staan gepland op de langere termijn? Hoe staat het met structureel organiseren van
cross-sectorale cyberoefeningen? Zo nee, waarom niet?

Antwoord 8

Effectieve crisisbeheersing vergt behalve gezamenlijke voorbereiding ook oefening.
Het Ministerie van Justitie en Veiligheid heeft daarom een oefenprogramma ontwikkeld
en in gebruik laten nemen. Dit is op 12 juni 2019 met uw Kamer gedeeld10.

In dat programma wordt op drie sporen ingezet: het organiseren van grootschalige oefeningen,
deelname van de overheid aan bestaande cyberoefeningen en het ontwikkelen van initiatieven
op oefenen in publiek-privaat verband. Deze inzet blijft belangrijk onder de in oktober
2022 gepubliceerde Nederlandse Cybersecuritystrategie, waarin het belang wordt benadrukt
van snel en adequaat reageren op cyberincidenten en -crises.

De oefening ISIDOOR vindt eens per twee jaar plaats. De organisatie van ISIDOOR IV
is op dit moment al begonnen en in volle gang. De oefening zal naar verwachting eind
2023 plaatsvinden. Voor de meeste (cross-)sectorale oefeningen is geen vaste frequentie.
De onder vraag 7 genoemde Anti-DDoS-coalitie beoogt om twee keer per jaar een oefening
te organiseren over het omgaan met DDoS-aanvallen. Jaarlijks blijft ook de overheidsbrede
cyberoefening plaatsvinden voor medeoverheden, waar ook bedrijven mogen aanhaken.