De Europese Commissie wil binnen het raamwerk van de NIS2- en CER-richt­lijnen de cyber­be­vei­li­ging van Europese organi­sa­ties met kritieke infra­struc­tuur maxima­li­seren. Om de weerbaar­heid van derge­lijke EU-onder­ne­mingen te verhogen, kreeg de nieuwe organi­satie CYSSDE het mandaat om kwets­baar­heden te onder­zoeken en de metho­diek ervan te verbe­teren. De Commissie maakt een subsi­die­budget vrij van meer dan 4 miljoen euro.

CYSSDE is een Europees consor­tium van cyber­se­cu­rity-experts en werkt nauw samen met het Europese ECCC – European Cyber­se­cu­rity Compe­tence Centre and Network en met de natio­nale cyber­se­cu­rity coördi­na­tie­centra (NCC’s).

Partners in CYSSDE zijn onder meer het Spaanse NCC INCIBE en de Roemeense cyber­se­cu­rity autho­ri­teit DNSC. CYSSDE wordt geleid door de Belgi­sche cyber­se­cu­rity-exper­te­n­or­ga­ni­satie LSEC.

Om de cyber­weer­baar­heid in Europa te meten, corri­ge­rende maatre­gelen te nemen en sneller conform te zijn met NIS2, CER en de Cyber Resilience Act (CRA), wil de Europese Commissie door CYSSDE 230 pentests laten uitvoeren bij Europese bedrijven. Ze wees CYSSDE het beheer toe van een finan­cie­rings­en­ve­loppe van meer dan 4 miljoen euro.

Een pentest of penetra­tie­test is een gesimu­leerde cyber­aanval op een compu­ter­sys­teem om kwets­baar­heden te identi­fi­ceren. De test legt zwakke plekken in de bevei­li­ging bloot. Met die infor­matie kunnen bedrijven hun verde­di­ging versterken en de poten­tiële schade van aanvallen beperken.

Eerder bleek uit onder­zoek dat 80 procent van de gekende kwets­baar­heden terug­ge­vonden wordt bij ruim 60 procent van de Europese organi­sa­ties met essen­tiële diensten (NIS2) en bij 90 procent van de kmo’s die hun cyber­weer­baar­heid willen opkrikken. De geplande pentests zullen zwakheden in Europese infra­struc­tuur kunnen helpen identi­fi­ceren en daardoor effici­ënter aanpakken.

Het CYSSDE-project vult de inspan­ningen van de verschil­lende EU-lidstaten aan met onder meer de volgende activiteiten:

• Organi­seren van zogeheten open calls in de lidstaten, zowel bij de natio­nale cyber­vei­lig­heids­centra (NCC) als bij pentes­ting-dienst­ver­le­ners om het bestaan van de finan­cie­rings­en­ve­loppe te promoten.
• De toewij­zing van Finan­cial Support to Third Parties-projecten: een selec­tie­co­mité van CYSSDE zal organi­sa­ties die pentes­ting activi­teiten voorstellen, aanduiden wanneer die in aanmer­king komen voor een enveloppe, met een tussen­komst tot maximaal 200.000 euro.
• Organi­sa­ties met kritieke infra­struc­tuur onder­steunen bij het evalu­eren van hun mogelijke kwets­baar­heden in toepas­singen, toestellen, systemen of cloudom­ge­vingen waarover ze zich zorgen maken.
• De capaci­teit en het vermogen van pentes­ting in de verschil­lende lidstaten in kaart brengen.
• Onder­steu­ning bieden bij het beter in kaart brengen van de verwach­tingen bij NIS2, CER en de CRA in de verschil­lende lidstaten voor organi­sa­ties die kwets­baar­heden opzoeken.
• Methodes en gebruiksscenario’s voor pentests en kwets­baar­he­den­on­der­zoek verbeteren.

“Met de steun van NCC’s in verschil­lende lidstaten willen we een selectie maken van een twintigtal pentes­ting-dienst­ver­le­ners. Zij moeten ten minste 230 tests uitvoeren bij organi­sa­ties in heel de EU. CYSSDE zal het proces vereen­vou­digen door noodza­ke­lijke capaci­teit te leveren en de zoektocht naar kandi­daten voor pentests in de lidstaten te begeleiden. Zo wil de EU de capaci­teit in alle lidstaten garanderen”,zegt Ulrich Selde­slachts, Managing Director LSEC en initiatiefnemer.

Naast LSEC zijn ook Ceeyu en Toreon betrokken als Belgi­sche, techni­sche partners, plus Cyber Ranges uit Cyprus. Het Poolse Fundingbox staat in voor de onder­steu­ning van de organi­satie van de open calls.

Hoe deelnemen aan CYSSDE?

Een organi­satie die valt onder de NIS2 of de CER (Critical Entities Resilience Direc­tive), kan zich aanmelden bij CYSSDE. Daarbij kan op vertrou­we­lijke basis het opzet van het onder­zoek worden overge­maakt aan de organi­sa­ties die de kwets­baar­heden-analyses kunnen uitvoeren.

Een bedrijf of onder­zoeks­cen­trum dat kwets­baar­heden onder­zoekt, zal vanaf oktober kunnen deelnemen aan de open calls. Daarbij zal een selec­tie­pro­ce­dure starten waarna CYSSDE hen finan­cieel en met exper­tise zal onder­steunen bij de uitvoe­ring van de pentests. Bedrijven kunnen zich nu al aanmelden via de website van CYSSDE om de uitno­di­ging voor de open calls te ontvangen en de infor­ma­tie­ses­sies die daarover georga­ni­seerd zullen worden.

Andere Europese cyber­se­cu­rity-organi­sa­ties of sector­ver­te­gen­woor­di­gingen zijn welkom als CYSSDE-partners, onder meer om de resul­taten en bevin­dingen van de kwets­baar­heden te delen.

Photo by HackerNoon on Unsplash