Vitaal in internationaal perspectief

THEMA: HERIJKING VITALE INFRASTRUCTUUR
De internationale stand van zaken in de
bescherming van vitale infrastructuur
Q Erwin van der Zwan en Marcel Spit
Adviescentrum BVI
Het Adviescentrum Bescherming Vitale Infrastructuur heeft voor de
NCTV ter ondersteuning van de herijking van vitale infrastructuur
een verkennende literatuurstudie uitgevoerd naar de stand van
zaken ten aanzien van de bescherming van vitale infrastructuur
(Critical National Infrastructure, CNI) in de Verenigde Staten, Canada,
Australië, het Verenigd Koninkrijk en Denemarken. Het doel was
om eventuele aanbevelingen of acties te identificeren die ook voor
Nederland relevant kunnen zijn. Daarbij is ingezoomd op strategische aspecten en de sectoren elektriciteit, olie, gas, nucleair,
drinkwater, telecom en keren en beheren waterkwantiteit.
De Verenigde Staten hebben de aanpak met name vastgelegd in het
National Infrastructure Protection Plan (NIPP) van het Departement of
Homeland Security (DHS). Het NIPP legt de nadruk op het verbeteren
van security en veerkracht, het managen van risico’s en een integrale
benadering. Samenwerking tussen private partijen en de overheid is
voornamelijk vrijwillig. In 2013 zijn de verantwoordelijkheden en
taken van overheidsorganisaties aangescherpt in de Presidential Policy
Directive PPD-21 Critical Infrastructure Security and Resilience en Executive Order
(EO) 13636 Improving Critical Infrastructure Cybersecurity. Een aanvullend
voorstel voor de aanpak van cybersecurity, de National Cybersecurity and
Critical Infrastructure Protection Act of 2014, is eveneens gepasseerd.
Speerpunten zijn de ontwikkeling van een technologie-neutraal
Cybersecurity Framework, het bevorderen van cybersecurity
praktijken en een tijdige uitwisseling van dreigingsinformatie.
Daarnaast wordt aandacht gevraagd voor het verbeteren van het
inzicht ten aanzien van fysieke en cyber aspecten over het functioneren van CNI in de tijd en de trapsgewijze gevolgen van infrastructurele storingen (cascade-effecten). Aanvullend eist het ministerie van
Defensie en de General Service Administration dat voor het gunnen van
contracten cybersecurity-eisen worden geformaliseerd.
De U.S. Government Accountability Office roept het DHS op om consistent te
handelen met het NIPP raamwerk en te focussen op vitale infrastructuur met de hoogste prioriteit. Daarbij moeten kwetsbaarheidsgegevens over CNI-middelen, systemen en netwerken consequent door
DHS worden verzameld en beheerd om potentiële doublures en
lacunes te identificeren, de voornaamste gebruikte tools en methoden
te analyseren en om afgedekte aandachtsgebieden te bepalen. Ook
wordt gevraagd om een methode te ontwikkelen (zoals een securityen kwetsbaarheidsvragenlijst) om de bijdrage van individuele
projecten aan de verbetering van de veerkracht van CNI te meten.
De Strengthening Domestic Nuclear Security Act (HR 5629) en de Critical
Infrastructure Protection Act (HR. 3410) keuren acties goed om CNI, met
32 | Magazine nationale veiligheid en crisisbeheersing 2015 - nr. 3
name de elektriciteitssector, beter te beschermen tegen een
elektromagnetische puls. Binnen de watersector wordt opgeroepen
om detectie, respons en herstelplannen verder te ontwikkelen, het
publieke en politieke begrip voor uitvaleffecten te vergroten en een
waarschuwingssysteem voor verontreiniging van drinkwater te
ontwikkelen. Chemische bedrijven worden verplicht om maatregelen tegen terrorisme te treffen en om door DHS goedgekeurde Site
Security Plannen te hebben (HR 4007). Waterkerende installaties
worden verplicht om NERC CIP standaarden te implementeren.
Canada heeft een Action Plan for Critical Infrastructure 2014-2017 en een
Action Plan 2010-2015 for Canada’s Cyber Security Strategy opgesteld. Het
Action Plan legt hierbij nadruk op bescherming tegen terrorisme,
cybersecurity, klimaatveranderingen en globalisering. Canada zet
verder in op verhogen van de capaciteit voor het verzamelen en
analyseren van informatie en het detecteren van cyberdreigingen.
Daarbij wordt een Industrial Control System laboratoriumprogramma
(National Energy Infrastructure Test Center) opgezet en worden de mogelijkheden van het Canadese Cyber Incident Response Centrum uitgebreid
om ondersteuning te bieden buiten de Canadese overheid.
Australië beschrijft haar aanpak in de Critical Infrastructure Resilience
Strategy Supplement en volgt daarbij voornamelijk een niet-regelgevende
benadering. Australië richt zich op het ontwikkelen van sterke
samenwerkingsverbanden met het bedrijfsleven ervan uitgaand dat
eigenaren en exploitanten van CNI het best in staat zijn om hun risico’s
te beheersen. Ter bevordering van de samenwerking en het uitwisselen
van informatie wordt het Trusted Information Sharing Network (TISN)
gebruikt. Binnen dit webforum werken eigenaren en exploitanten
samen en delen informatie. Het TISN besteed aandacht aan alle
mogelijke risico’s waaronder terrorisme, natuurgeweld, pandemie,
cyberaanvallen en criminele activiteiten. Daarnaast onderneemt de
Australische overheid diverse activiteiten om het bewustzijn te
verhogen ten aanzien van onderlinge (cross-sectoral) afhankelijkheden,
zoals in gezamenlijke oefeningen en werksessies met de industrie en
in een Critical Infrastructure Program for Modelling and Analysis.
Het Verenigd Koninkrijk verdeelt de aanpak ter bescherming van
CNI tegen terrorisme, natuurrampen en cyber security over
verschillende programma’s welke met name zijn beschreven in de
UK’s counter-terrorism strategy (CONTEST), de UK Cyber Security Strategy en
het National Cyber Security Programme. Een strategisch kader is
opgesteld in de CNI Protection in the UK: Framework and Guidance.
Ten aanzien van CNI richt het CONTEST-programma zich op het
vergroten van de veerkracht, nauwe samenwerking met de private
sectoren, creëren van generieke capaciteiten, voorbereiding en
oefenen. Binnen de diverse programma’s is vooral aandacht voor de
continuering en verbetering van security en bedrijfscontinuïteit in
de energie- en watersectoren en calamiteiten veroorzaakt door
overstromingen of “ruimteweer”.
Denemarken heeft de aanpak van de bescherming van CNI tegen
terrorisme, spionage, natuurrampen en cyber security verdeeld over
verschillende organisaties. Daarbij onderschrijft Denemarken een
sterke sectorale benadering om maatwerkoplossingen te creëren in
plaats van algemene wetgeving voor te schrijven. Denemarken
werkt samen met omringende landen Finland, IJsland, Noorwegen
en Zweden in de Nordic cooperation.
Alle onderzochte landen hebben een nationale strategie ter
bescherming van vitale infrastructuur opgesteld. Wellicht niet met
zo veel woorden maar alle strategieën benadrukken de aspecten:
• leiderschap;
• samenwerking;
• resultaatgerichtheid.
Opvallend is dat de meeste strategieën spreken over critical infrastructure resilience (CIR) in plaats van het eerder gebruikelijke critical
infrastructure protection (CIP). Dit kenmerkt een verschuiving in aanpak
van het creëren van voldoende weerstand (bescherming en
voorkomen van incidenten) naar een aanpak die meer nadruk legt
op de veerkracht van de CNI en het omgaan met verstoringen door
de eigenaren en exploitanten van CNI. Overigens verstaan de
verschillende definities onder veerkracht nog steeds de begrippen
weerstand, betrouwbaarheid, redundantie en reactie en herstel.
De focus van alle landen ligt op de bescherming van CNI tegen
terrorisme en cyberaanvallen. Echter in de uitvoering kennen de
landen grote sectorale verschillen in volwassenheid, aanpak en
wetgeving. De bestrijding van natuurrampen en calamiteiten is
meestal apart benoemd en belegd bij andere organisaties.
Wetgeving is summier. Harde beveiligingseisen ontbreken in
wetgeving. Wetgeving beperkt zich op dit terrein over het algemeen
tot kaderstellende richtlijnen.
Alle nationale strategieën en actieplannen hebben als gemeenschappelijke deler:
• focus op het bevorderen van de veerkracht;
• hanteren van een alles omvattende (holistische) risico-gebaseerde
aanpak;
• een integrale aanpak van cybersecurity bij de bescherming van
CNI;
• focus op de bescherming van industriële controle systemen (ICS,
SCADA) binnen CNI;
• vergroten van het begrip ten aanzien van onderlinge afhankelijkheden en cascade-effecten;
• vergroten van de betrokkenheid en bewustwording ten aanzien
van CNI-problemen;
• bevorderen van het gebruik van bestaande normen en
praktijkrichtlijnen;
• opbouwen van (herstel)capaciteit en paraatheid voor het
omgaan met incidenten;
• jaarlijks beoefenen van (sector overstijgende) scenario’s met
bedrijfsleven en overheid.
De nationale strategieën benadrukken het belang en de verantwoordelijkheden van de private sectoren, eigenaren en exploitanten. Een
rode draad in alle strategieën is de noodzaak voor een zinvolle
inhoudelijke samenwerking én informatie-uitwisseling tussen
betrokken partijen. In het bijzonder geldt dit voor publiek-private
samenwerkingen. Gedeelde informatie moet tijdig, zinvol en
opvolgbaar (actionable information) zijn.
VITALE INFRA EN EU-VOORZITTERSCHAP 2016
Q Mathilda Buijtendijk en Sladjana Cemerikic
Ministerie van Veiligheid en Justitie, NCTV
Vitale infrastructuur stopt niet bij de grens. Door de
vergaande Europeanisering en globalisering van de
samenleving zijn de vitale producten, diensten en processen
steeds meer vervlochten met internationale systemen.
Vitale infrastructuur is dan ook internationaal een belangrijk
thema. Nederland is al jaren op dit terrein actief, zoals in
Europa via het Europese programma voor de bescherming
van vitale infrastructuur (EPCIP).
Binnen de Europese Unie valt dit thema onder de raadswerkgroep Civiele bescherming. Als EU-voorzitter in de
eerste helft van 2016 zal Nederland binnen deze raadswerkgroep de aandacht voor bescherming van vitale infrastructuur vragen. Het thema van het Nederlandse voorzitterschap van deze werkgroep zal resilient infrastructure zijn.
Nederland zal zijn voorzittersrol benutten om, conform
nationaal beleid, de nadruk te blijven leggen op het belang
van publiek-private samenwerking. Hiermee wil Nederland
aan het volgende bijdragen.
Het vergroten van het bewustzijn dat de uitval van vitale
infrastructuur een belangrijk thema is voor de civiele
bescherming in de lidstaten, vanwege de grote impact op de
samenleving.
Het verder versterken van deze relatie tussen civiele
bescherming en vitale infrastructuur door bijvoorbeeld in
een oefening te demonstreren wat de cascade-effecten zijn
van de uitval van vitale infrastructuur en welke gevolgen dat
heeft voor de autoriteiten belast met civiele bescherming.
Het op gang brengen van een dialoog over de risico’s die
vitale infrastructuur bedreigen (zoals overstromingen).
Hierbij kan zowel het aspect van het maken van risicoanalyses aan de orde komen als het delen van de belangrijkste
lidstaat-overstijgende risico’s voor de vitale infrastructuur.
Ten slotte het delen van informatie over hoe de weerbaarheid van deze vitale infrastructuur vergroot kan worden en
deze deel te laten uitmaken van het risicomanagement van
lidstaten.
Magazine nationale veiligheid en crisisbeheersing 2015 - nr. 3 | 33