Cloudproviders moeten cyberincidenten twee keer melden
Cloudproviders en andere grote digitale dienstverleners die met ernstige cyberincidenten te maken krijgen moeten dit sinds 1 januari bij twee Nederlandse overheidsinstanties melden. Op 9 november vorig jaar werd de Wet beveiliging netwerk- en informatiesystemen van kracht.
De wet verplicht aanbieders van essentiële diensten in onder andere de energie-, de financiële- en vervoerssector en digitale dienstverleners, zoals clouddiensten, online zoekmachines en online marktplaatsen, om ernstige cyberincidenten te melden. Aanbieders van essentiële diensten moeten incidenten bij het Agentschap Telecom en het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid rapporteren.
Leveranciers van clouddiensten, zoals Software as a Service (SaaS), Platform as a Service (PaaS) en Infrastructure as a service (IaaS), moeten incidenten met aanzienlijke gevolgen ook bij het Agentschap Telecom melden, alsmede bij het CSIRT DSP (Computer Security Incident Response Team voor digitale dienstverleners) dat op 1 januari van dit jaar operationeel is geworden.
Het gaat dan om incidenten die voor meer dan 100.000 gebruikers in de EU negatieve gevolgen hebben als het gaat om integriteit, vertrouwelijkheid of authenticiteit, één of meerdere gebruikers van de dienst meer dan 1 miljoen euro schade hebben opgelopen of wanneer er sprake is van een risico voor de openbare veiligheid, openbare beveiliging of het verlies van één of meerdere mensenlevens.
Verschillende rollen
Dat ernstige incidenten twee keer moeten worden gemeld komt doordat beide organisaties een verschillende rol vervullen. Het CSIRT gebruikt de meldingen om de economische en eventueel maatschappelijke schade van een incident te beperken, bijvoorbeeld door een organisatie te helpen. Verder kan het CSIRT andere dienstverleners waarschuwen als er zich een bepaald type incident voordoet. Zo wordt er bijvoorbeeld actuele dreigingsinformatie gedeeld.
Het Agentschap Telecom controleert daarentegen of organisaties zich aan hun zorgplicht én meldplicht houden. De toezichthouder gebruikt informatie uit ontvangen meldingen om een beeld te krijgen van de stand van zaken in een sector en kijkt of het nodig is om daarop bij te sturen, bijvoorbeeld door te informeren, in gesprek te gaan of in verdergaande gevallen, te handhaven.
Doordat cloudproviders en andere digitale dienstverleners per 1 januari verplicht zijn om incidenten bij het CSIRT te rapporteren, kan ook het Agentschap Telecom nu sancties opleggen als organisaties de meldplicht overtreden, zo liet minister Grapperhaus van Justitie en Veiligheid eerder weten (pdf).
Als de eigenaar van de info, het bedrijf, aangeeft: je mag al mn info altijd gelijk doorgeven aan partij a,b,.x, kan dat vast wel in een gezamenlijk meldsysteem opgezet worden.
Dus, voor de eerste opzet, best wel handig zo.
Je bent nu onnodig heel veel tijd kwijt aan het melden van je incident aan de verschillende partijen, iets waar je natuurlijk totaal niet op zit te wachten als je getroffen bent door ransomware o.i.d.
Naar NCSC is de melding direct door $iemand die het probleem vind, waarbij hun ook actief kunnen helpen met problemen oplossen of bepalen wat nu de ernst eigenlijk is.
AT verwacht op het moment dat het kan (en niet het oplosproces in de weg zit) een rapport van de directie over wat er nu gebeurd is.
Als je je corporate securtiy beleid een klein beetje hebt ingericht weet je precies wat de regels en verplichtingen zijn en wat je moet doen. Die 2 á 3 (AP) meldingen zijn binnen 5 minuten de deur uit.
Je wordt niet betaald om de processen bij die overheidsdiensten te stroomlijnen.
En gaat over tot de orde van de dag.
Deze posting is gelocked. Reageren is niet meer mogelijk.
Toezichthouder informatiebeveiliging Overheid
Rijksinspectie Digitale Infrastructuur (RDI)
Vind je het leuk om als toezichthouder bij te dragen aan de verdere groei in informatie-beveiliging van de overheid en in contact te staan met (belangen) organisaties binnen de overheid? Dan kun je komen bouwen aan toezicht op een veilige en betrouwbare Digitale Infrastructuur in Nederland.
Adviseur Informatiebeveiliging
Je bent een belangrijke speler om invulling te geven aan de gemeentelijke ambities op het gebied van informatiebeveiliging. Deze ambities neem jij op in het Informatie-beveiligingsbeleid Gemeente Zoetermeer. Wil je helpen bij het verbeteren van de informatiebeveiliging in Zoetermeer en het versterken van het cyberbewustzijn binnen onze organisatie? Wacht dan niet en kom ons team informatiebeveiliging versterken!
Digital Designer
Ben jij een Grafisch vormgever, UI-designer, Game-artist of gewoon een ‘self-proclaimed creative genius’, die op zoek is naar een leuke en uitdagende baan waarin je al je creativiteit kwijt kan?Je werkt samen met onze developers en UI/UX-designer aan onze Gamified Cybersecurity Challenges welke jij voorziet van de mooiste designs.
Senior Full Stack Developer
Als full stack developer bij Certified Secure maak je de mooiste cybersecurity challenges die onze deelnemers wereldwijd uitdagen en inspireren. Alle challenges zijn gebaseerd op actuele kwetsbaarheden, je komt dus telkens nieuwe technieken tegen, van machine learning tot web assembly, van Swift UI tot GCP.