Event | Cybersec Netherlands
Minister David van Weel van Justitie en Veiligheid ziet dat Nederland op sluipende wijze in een digitale 9/11 terecht kan komen die de maatschappij hevig kan ontwrichten. Toch benadrukt hij dat Nederland deze dreiging kan keren, mits we nu investeren in samenwerking, bewustwording en daadkrachtig cyberbeleid.
‘Wat als er plotseling geen water meer uit de kraan komt, de treinen stoppen met rijden, of de stroom uitvalt? Wat als tankstations geen brandstof meer kunnen leveren, of de communicatie tussen hulpdiensten wordt stilgelegd?’ Volgens Van Weel is het niet langer de vraag óf, maar wanneer een digitale ramp met maatschappelijke gevolgen zal plaatsvinden. ‘Digitale afhankelijkheden die voorheen acceptabel waren, worden nu als risicovol gezien. De gevolgen sijpelen nu door naar de echte wereld en treffen echte mensen’, aldus de minister.
Van Weel sprak tijdens vakbeurs Cybersec Netherlands in de Utrechtse Jaarbeurs. Tijdens zijn speech op 10 september wees hij op de terreuraanslagen van 11 september 2001 (bijna 25 jaar geleden) die de wereldorde voorgoed veranderden. Maar hij ziet ook grote verschillen: ‘We zijn niet langer naïef. We kunnen anticiperen. De dreiging is misschien onvoorspelbaar, maar het ligt niet buiten onze controle.’
Gewenning
De minister ziet steeds meer aanvallen op grote bedrijven en overheidsdiensten. ‘We zien sabotage op kritieke infrastructuur en het lijkt alsof we er langzaam aan wennen.’ Die gewenning is volgens hem riskant. De technologische component van de dreiging is duidelijk: Ai versnelt en verdiept cyberaanvallen. Hij noemt ai dan ook ‘een absolute gamechanger in hybride oorlogsvoering die vergelijkbaar is met de uitvinding van buskruit of de stoommachine.’achine.
Ai is een absolute gamechanger in hybride oorlogsvoering
Waar generatieve ai eerder vooral werd ingezet voor verkenning, phishing en social engineering, is een nieuwe fase aangebroken, benadrukt Van Weel: ‘Cyberactoren gebruiken al geruime tijd generatieve ai om doelwitten te selecteren en phishing-e-mails op te stellen. Wat nieuw is, is dat ze nu ai gebruiken om de daadwerkelijke aanvallen uit te voeren.’
Ai versnelt ook de ontwikkeling van malware, beklemtoont hij. ‘Ai schrijft en verfijnt de code’, aldus de minister. Maar volgens hem gaat het inmiddels verder: malware communiceert tijdens een aanval met een ai-model, herschrijft zichzelf en voert nieuwe commando’s uit. ‘Aanvallen worden daarmee dynamisch, schaalbaar en moeilijker te stoppen.’
Hij noemt concrete voorbeelden van geopolitieke inzet: ‘Rusland gebruikte ai bij een aanval op het Poolse elektriciteitsnet; Chinese staatshackers zetten geavanceerde modellen in tegen technologiebedrijven, financiële instellingen en overheden.’
Tegelijk toeslaan
Op de vraag of Nederland bestand is tegen grootschalige ai-gedreven aanvallen, wijst Van Weel erop dat Nederland bestaat uit overheidsdiensten, bedrijven, organisaties en mensen. Hij duidt dat het nogal scheelt naar welk onderdeel je kijkt. Hij waarschuwt dat de meeste kritieke diensten niet in handen zijn van de overheid. ‘Een aanval kan dus op meerdere plekken tegelijk toeslaan.’ En hoewel Nederland door vergaande digitalisering vooroploopt in cyberbeveiliging, is dat geen geruststelling: ‘Wereldwijd denk ik dat we nog onvoldoende oog hebben voor de impact die dit gaat hebben.’
Ai versnelt bovendien de kwetsbaarheidscyclus. ‘Wat betreft de tijdlijn voor updates worden weken dagen, en dagen uren.’ Het wordt een wedloop: ‘Een race van ai om kwetsbaarheden te vinden. En een race van verdedigings-ai om die kwetsbaarheden zo snel mogelijk te dichten.’ De mens blijft daarbij cruciaal. ‘Uiteindelijk moet iemand wel op zijn telefoon drukken op: “Ik accepteer de update”,’ duidt hij het belang van menselijk handelen.
Drie maatregelen
Van Weel deelt drie maatregelen om de groeiende cyberdreigingen aan te pakken. ‘Speel het spel volgens de regels van de aanvallers, ontwikkel je eigen ai-strategie’, zegt hij, verwijzend naar statelijke actoren en cybercriminelen. ‘Organisaties moeten ai inzetten met dezelfde snelheid en schaal als die aanvallers.’ Hij noemt het Anti Phishing Shield (APS) als voorbeeld van een publiek-private oplossing die ai gebruikt om malafide berichten te detecteren.
Als tweede punt noemt hij samenwerking. Overheid, bedrijfsleven en academische wereld moeten kennis en innovatie delen. De fusie van NCSC en Digital Trust Center versterkt die samenwerking: het nieuwe NCSC kan dreigingen beter duiden, partijen verbinden en weerbaarheid vergroten, stelt hij.
Als derde punt wijst hij op de rol van de bestuurskamer. Cybersecurity is volgens Van Weel geen technisch domein meer, maar draait ook om het voldoen aan wet- en regelgeving (governance). De Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten leggen een minimumstandaard op, maar wetgeving alleen is niet genoeg. ‘Veiligheid moet verankerd zijn in cultuur, processen en menselijk gedrag. Patchbeheer wordt door ai urgent: updates moeten sneller, frequenter en foutloos. En bovenal: menselijke fouten blijven de grootste oorzaak van incidenten. Bewustwording en een veilige meldcultuur zijn essentieel.’
Verdediging is de beste aanval
De minister sluit af met een oproep tot realisme én actie. Ai maakt digitale dreigingen complexer en onvoorspelbaarder. Organisaties moeten daarom niet alleen reageren op incidenten, maar ook vooraf nadenken over risico’s, afhankelijkheden, bedrijfscontinuïteit en menselijke kwetsbaarheid.
Tegen die achtergrond zijn de recente Cyberbeveiligingswet en Wet weerbaarheid kritieke entiteiten belangrijke stappen. Van Weel: ‘De aanval is de beste verdediging’, zeggen we soms. In dit geval is verdediging de beste aanval. En het gaat niet alleen om technologie. De sleutel is bewustzijn. Wees alert. Wees voorbereid. Werk samen. Wees veerkrachtig.’ Hij hoopt dat een evenement als Cybersec Netherlands aan die punten kan bijdragen.
Ik lees op bladzijde 10 van het eerdere VVD verkiezingsprogramma van 2021 dat de macht van private partijen is doorgeschoten en dat privatisering tot strategische afhankelijkheid kan leiden. Dat klinkt als iets met een olifant in de kamer die iedereen ziet maar waar niemand over spreekt want er zit een groot verschil tussen een plotselinge ramp en de voorspelbare uitkomst van een beleid.
Neem bijvoorbeeld een energietransitie waarin het publieke netwerk niet de ontwikkelingen bij kan houden van private opwekking waardoor de kans op verstoringen in de stroomtoevoer groter worden. Onze digitale delta is kwetsbaar geworden door beleid want we worden steeds afhankelijker van één energiebron omdat we telkens plan B achter ons verbranden.
Voor alle duidelijkheid, voldoen aan wet- en regelgeving brengt geen veiligheid want de regels van het spel zijn veranderd. Je kunt bij huisvredebreuk de politie bellen maar deze schijnt daar weinig mee te doen. De minister moest zijn excuses maken voor misleiding zonder opzet, de boef loog over de cijfers.
Dat is niet zo erg als liegen over een bonnetje, zijn eerdere partijgenoten maakten het bonter op het ministerie. Want vrouwe Justitia is geblinddoekt maar sommige ministers zijn blind voor de realiteit. Zo mist het bewijs van de claims, zijn partijgenoot zal misschien iets gehoord hebben van Poetin maar dat bleek zoals vaak bij de VVD om bluf te gaan.
Politieke dreigingscommunicatie als gebruikelijke agitprop maakt de VVD niet geloofwaardiger, podium van Computable is een wankelend schild als ambtenaren de bestekbak in je rug duwen. Ik ben geen inlichtingenofficier maar ik heb wel in veel landen gewerkt waardoor ik twijfels heb over een minister die liegt over de controleerbare feiten.
Als state actors toegang hebben tot krachtige AI-modellen dan werken sancties niet, liegen met cijfers gaat om de som der delen. Het is een eenvoudige optelsom want Russische drones vliegen niet met chips uit wasmachines maar met een eigen GPS-systeem terwijl Kiev afhankelijk is van Amerikaanse goodwill.