Meer capaciteit en kennis nodig voor buitenlands cyberbeleid

Het ministerie van Buitenlandse Zaken heeft goed werk geleverd op het gebied van internationaal cybersecuritybeleid. De hiervoor opgerichte Taskforce Cyber (TFC) heeft Nederland internationaal op de kaart gezet, onder meer met een bijdrage aan de oprichting van de EU Cyber Diplomacy Toolbox en het cybersanctieregime. De TFC heeft echter meer capaciteit nodig om aan zijn toenemende takenpakket toe te komen. Ook blijkt er binnen BuZa beperkte kennis aanwezig over cybersecurity. Dat blijkt uit een evaluatie van het internationaal cybersecuritybeleid van het ministerie van Buitenlandse Zaken.

Het internationaal cybersecuritybeleid is het beleid gericht op het voorkomen en mitigeren van cyberdreigingen en -aanvallen door staten en aan staten gelieerde actoren, gericht tegen (doelwitten in) andere staten. BuZa heeft hiervoor in 2015 de Taskforce Cyber (TFC) opgericht, met drie hoofdtaken:

1. Diplomatieke respons en coördinatie bij cyberaanvallen en andere incidenten;
2. Diplomatieke inzet ter bevordering van de internationale rechtsorde in het cyberdomein;
3. Financiële inzet voor capaciteitsopbouw op cybersecuritygebied in andere landen.

Gezien de toenemende cyberdreigingen richting Nederland neemt de maatschappelijke en politieke aandacht voor uitdagingen in het cyberdomein toe. Hierdoor is het werk van de TFC urgenter geworden. Uit de eerste evaluatie van het internationale cybersecuritybeleid blijkt dat sinds 2015 de TFC vaak goed werk levert, maar er zijn ook uitdagingen en verbeterpunten.

Veel bereikt

Uit het onderzoek blijkt dat de Taskforce Cyber (TFC) van BZ veel goed doet: Nederland profileert zich internationaal sterk en heeft binnen internationale fora bijgedragen aan belangrijke instrumenten zoals de oprichting van de EU Cyber Diplomacy Toolbox en het cybersanctieregime. Daarnaast is de oprichting van het cyberdiplomatennetwerk een sterke zet geweest.

Er zijn ook een aantal zaken die kunnen worden verbeterd. Zo is er binnen BZ beperkte kennis over aan cybersecurity gerelateerde onderwerpen. Ook is de beschikbare capaciteit binnen de TFC beperkt – net als bij andere onderdelen van de overheid die over cybersecuritybeleid gaan – gegeven de toename van het aantal cyberincidenten en mondiale uitdagingen, en de tijd die interdepartementale afstemming vergt.

Daarnaast ontbreekt het binnen BZ aan een eenduidige en up-to-date strategie, en kaders die duidelijk afbakenen welke thema’s wel en niet bij het werk van de TFC horen. Dit maakt het lastiger goed te prioriteren, zorgt ervoor dat sommige strategische vraagstukken onbeantwoord blijven en draagt bij aan de toch al hoge werkdruk.

Aanbevelingen voor BuZa:

• Creëer, als onderdeel van- of aansluitend op een nieuwe departementoverstijgende cybersecuritystrategie, ook een nieuwe strategie voor het internationaal cybersecuritybeleid van BZ.
• Ga na op welke manier er scherper geprioriteerd kan worden in het werk van de TFC om de werkdruk te verlagen.
• Zorg ervoor dat BZ beschikt over voldoende capaciteit om invulling te geven aan belangrijke taken binnen het internationaal cybersecuritybeleid. Dit kan op drie punten:

a. Zorg voor extra menskracht bij de TFC.
b. Denk na over manieren waarop kennis en expertise over aan cybersecurity gerelateerde onderwerpen ingewonnen en behouden kunnen worden.
c. Investeer in veilige en goed werkende communicatiemiddelen.

Overheidsbrede uitdagingen

Gedurende het onderzoek bleek dat een aantal van de belangrijkste uitdagingen – en oplossingen – overheidsbreed zijn. Gegeven de komst van een nieuw kabinet, is dit volgens de evaluatie dan ook een goed moment voor een blik vooruit en verdere aanscherping van het internationale cybersecuritybeleid, waar deze evaluatie aanbevelingen voor doet.

Er zijn verschillende ministeries betrokken bij aspecten van het internationaal cybersecuritybeleid. Uit het onderzoek komen afstemmings- en samenwerkingsproblemen naar voren bij het internationaal (en nationaal) cybersecuritybeleid. Zo werken departementen nog te vaak langs elkaar heen, zijn ze niet altijd voldoende op de hoogte van elkaars werk, maken ze niet altijd voldoende gebruik van expertise bij andere departementen, en geven ze niet altijd voldoende medewerking aan elkaar. Hierdoor worden dreigingen en kansen gemist, wordt er inefficiënt gewerkt en is beleid niet altijd coherent.

Departementale verkokering

Eén van de belangrijkste oorzaken van de samenwerkingsproblemen is de departementale verkokering van het cybersecuritybeleid in Nederland. Dit komt tot uiting in het feit dat departementen ieder hun eigen prioriteiten stellen, er geen nationale departement-overkoepelende cybersecuritystrategie is, en er geen centrale aansturing van het cybersecuritybeleid bestaat die zo’n strategie op zou kunnen stellen en prioriteiten stelt.

Aanbevelingen voor het Nederlandse kabinet:

• Onderzoek op welke manier departement-overstijgende aansturing van cybersecurityzaken het beste kan worden vormgegeven, en realiseer dit.
• Creëer een departement-overstijgende cybersecuritystrategie.