NCSC geeft ongeoorloofde gegevensdeling toe
Het Nederlandse Nationaal Cybersecurity Centrum (NCSC) heeft onthuld dat het gevoelige informatie heeft gedeeld met buitenlandse overheden zonder de juiste juridische bevoegdheid. De gegevens, waaronder IP-adressen van systemen die zijn gecompromitteerd door een door de Chinese staat gesponsorde cyberaanval, werden gedeeld met cybersecurity-instanties in Canada, Japan, het Verenigd Koninkrijk en de Verenigde Staten.
De NCSC rechtvaardigde de ongeoorloofde gegevensdeling door te verwijzen naar de dringende noodzaak om de aanzienlijke risico's van de Chinese cyberespionagecampagne te beperken. De campagne richtte zich op tienduizenden systemen wereldwijd, waaronder die van westerse regeringen, internationale organisaties en defensiebedrijven.
Een daaropvolgende interne beoordeling wees echter uit dat het NCSC zijn wettelijke bevoegdheid had overschreden door deze informatie te delen met landen buiten de EU. Als gevolg hiervan heeft het agentschap het incident gemeld als een datalek bij de Nederlandse gegevensbeschermingsautoriteit.
Om soortgelijke incidenten in de toekomst te voorkomen, heeft het NCSC verschillende maatregelen genomen, waaronder:
- Verbeterde procedures: Het agentschap heeft de interne processen voor het delen van gevoelige informatie aangescherpt.
- Training: NCSC-medewerkers krijgen aanvullende training over de regelgeving en procedures voor het delen van gegevens.
- Technische verbeteringen: Het agentschap investeert in nieuwe technologie om het volgen en vastleggen van gegevensuitwisselingsactiviteiten te verbeteren.
De Nederlandse overheid werkt momenteel aan de implementatie van de herziene richtlijn beveiliging netwerk- en informatiesystemen (NIS2). Deze richtlijn biedt een robuuster juridisch kader voor grensoverschrijdende informatie-uitwisseling.
