Op dinsdag 1 oktober 2024 is de wet bevor­de­ring digitale weerbaar­heid bedrijven (Wbdwb) officieel in werking getreden. Dit wetsvoor­stel legt de taken en bevoegd­heden van de minister van Econo­mi­sche Zaken (EZ) vast op het terrein van digitale weerbaar­heid van niet-vitale bedrijven in Neder­land. Met deze wet is het mogelijk om vanuit de overheid dreigings­in­for­matie te delen die te herleiden is naar een speci­fiek bedrijf opdat er snel bescher­mende maatre­gelen kunnen worden getroffen.

Uit onder­zoek van het Centraal Bureau voor de Statis­tiek (CBS) blijkt dat jaarlijks duizenden bedrijven – zowel groot als klein – het slacht­offer zijn van een cyber­aanval. Het Digital Trust Center (DTC) is in 2018 binnen het minis­terie van EZ opgericht om het niet-vitale Neder­landse bedrijfs­leven weerbaarder te maken tegen cyber­drei­gingen. Het DTC biedt algemene infor­matie en advies aan het bedrijfs­leven en bevor­dert samen­wer­king tussen bedrijven op het gebied van digitale weerbaar­heid. Er bleek echter een urgente behoefte om indivi­duele bedrijven te infor­meren over speci­fieke digitale dreigingen en kwets­baar­heden die grote impact kunnen hebben op niet-vitale bedrijven. Daarom is de Tweede Kamer in 2021 geïnfor­meerd dat er – vooruit­lo­pend op de wette­lijke grond­slag die de Wbdwb biedt – eerste stappen worden gezet om beschik­bare speci­fieke ernstige dreigings­in­for­matie met de betrokken bedrijven te delen via het DTC.

DTC Notificatiedienst

Dagelijks ontvangt het DTC infor­matie over kwets­bare of gehackte systemen. Als deze infor­matie na controle wordt ingeschat als cyber­drei­ging voor een Neder­lands bedrijf, gaat het DTC over tot het waarschuwen (notifi­ceren) zodat het bedrijf hierop actie kan onder­nemen. Dit houdt in dat een e‑mailbericht wordt verzonden naar het bedrijf. Als de infor­matie niet te herleiden is naar een speci­fiek bedrijf, dan wordt de netwerk­ei­ge­naar op de hoogte gebracht. In 2023 is er ruim 140.000 keer genoti­fi­ceerd, in 2024 staat de teller op ruim 150.000 notificaties.

DTC waarschuwde het bedrijfsleven 150.000 keer in 2024

Het notifi­ceren van bedrijven gebeurt veelal vanwege een bevei­li­gingslek of een confi­gu­ra­tie­fout die gecon­sta­teerd is bij met het internet verbonden apparaten of software. Het kan gaan om recent ontdekte kwets­baar­heden die nog niet actief worden misbruikt maar ook om al langer bekende kwets­baar­heden van systemen die nog op oudere software versies draaien. Denk bijvoor­beeld aan Micro­soft Exchange maar ook aan zogenoemde ‘edge devices’ zoals firewalls en VPN-oplos­singen. Zo notifi­ceerde het DTC dit jaar meerdere keren over Ivanti en Fortinet. Ook kon het DTC bedrijven notifi­ceren over kwets­bare Qlik Sense Servers dankzij het samen­wer­kings­ver­band Melissa. Ook komt het voor dat het DTC bedrijven notifi­ceert in het geval van gestolen bedrijfs­in­for­matie. Zo kon het Neder­landse organi­sa­ties waarschuwen voor gelekte inlog­ge­ge­vens van bedrijfs­ac­counts die de inter­na­ti­o­nale actie ‘Opera­tion Endgame’ achter­haalde.

Wat regelt de Wbdwb?

Met de inwer­king­tre­ding van de Wbdwb ontstaat er een nieuwe wette­lijke taak voor de minister van EZ om het bedrijfs­leven te voorzien van bij de overheid bekende bedrijfs­spe­ci­fieke ernstige dreigings­in­for­matie. Voor de vitale organi­sa­ties is dit geregeld in de Wet bevei­li­ging netwerk- en infor­ma­tie­sys­temen (Wbni), voor het niet-vitale bedrijfs­leven is dit nu geregeld in de Wbdwb. Voor het notifi­ceren over digitale kwets­baar­heden en bevei­li­gings­lekken, is vaak nodig persoons­ge­ge­vens te gebruiken zoals IP-adressen en e‑mailgegevens van medewer­kers. De nieuwe wet zorgt voor de wette­lijke grond­slag om deze gegevens te verwerken bij het uitvoeren van deze wette­lijke taak.