Meldplicht bij ICT inbreuk

Nieuwe wetgeving voor een meldplicht bij ICT inbreuk is in de maak. De Wet melding inbreuken elektronische informatiesystemen (verder: Wmii) introduceert een meldplicht bij een inbreuk op de veiligheid of een verlies van integriteit van elektronische informatiesystemen. In dit blog besteed ik aandacht aan het wetsvoorstel en het verschil met de aankomende wetgeving over de meldplicht bij een datalek.

Direct vrijblijvend advies? Bel of mail 

+31 (0)70-3819281

info@wisemen.nl

Geldt de meldplicht voor u?

Om te beginnen wil ik onnodige onrust (FUD) wegnemen: de kans is groot dat de nieuwe wet niet voor u zal gelden.

Vitale voorzieningen

De Wmii schept alleen een meldplicht voor bedrijven waarvan de aangeboden voorzieningen voor de Nederlandse samenleving als onmisbaar (vitaal) zijn aangewezen. De overheid legt in een nog te nemen besluit vast welke voorzieningen precies deze ‘vitale voorzieningen’ zijn. Denk aan nutsbedrijven, telecombedrijven (Fixed Telephone Operators en Mobile Network Operators), banken, overheidsinstellingen, havenbedrijven en luchthavens.

Wmii van toepassing

Indien een bedrijf een vitale voorziening aanbiedt is de Wmii van toepassing. De Wmii verplicht deze bedrijven bij een ICT inbreuk melding te doen (artikel 6 Wmii) en op verzoek aanvullende informatie te verstrekken (artikel 7 Wmii) aan het Ministerie van Veiligheid en Justitie, meer specifiek het Nationaal Cyber Security Centrum (NCSC).

Achtergrond en doel

De Wmii is ontstaan in de nasleep van de hack van Certificaat Autoriteit Diginotar in 2011. Via een inbreuk bij Diginotar werden valse certificaten verspreid, waardoor de betrouwbaarheid wegviel van alle door Diginotar verstrekte certificaten.

Hack van Certificaat Autoriteit Diginotar in 2011

Het was niet meer zeker of de partij die zo’n certificaat voerde wel de échte partij betrof, of een onbekende die zich opzettelijk voordeed als zodanig om een man-in-the-middle-attack uit te voeren. Diginotar liet overheidsinstellingen  en bedrijven die de certificaten gebruikten met een acuut probleem. De overheid kon niet meer voldoen aan het vertrouwensbeginsel (artikel 2:14 en 2:15 Awb) en kon dus niet meer communiceren met burgers wanneer gebruik werd gemaakt van zo’n certificaat.

De overheid werd zich bewust hoe noodzakelijk ICT systemen voor de maatschappij zijn en de grote maatschappelijke gevolgen van een inbreuk op deze ICT systemen. Bij het onschadelijk maken van het het Pobelka-botnet en Dorifel-virus bleek dat er behoefte was de taak en bevoegdheden van het NCSC duidelijker vast te leggen.

De overheid wil via de Wmii de gevolgen van zo’n ICT inbreuk sneller in beeld krijgen en effectiever kunnen optreden, om ontwrichting van de maatschappij te voorkomen en zo mogelijk te beperken.

Impact en duur van ICT inbreuken beperken

Het eerste doel van de wet is om de impact en duur van ICT inbreuken te beperken. Daarom verplicht de Wmii bij een ICT inbreuk melding te doen bij het NCSC. De melding moet bepaalde informatie bevatten, zoals de ernst en omvang van de inbreuk, verwachte gevolgen, beoogde en genomen maatregelen voor herstel (zie artikel 3 Wmii).

NCSC (Computer Emergency Response Team)

Met deze informatie kan het NCSC (als Computer Emergency Response Team) snel onderzoeken wat de oorzaak is, ondersteuning verlenen aan de melder en betrokken partijen.  De meldplicht is ook nuttig voor het tweede doel van de wet. De overheid wil snel kunnen informeren om onzekerheid bij en verlamming van de samenleving te minimaliseren.

Wat is een inbreuk?

De definitie van een ICT inbreuk oogt omslachtig:

‘een inbreuk op de veiligheid of een verlies van integriteit van zijn informatiesysteem waardoor de beschikbaarheid of betrouwbaarheid van een product of dienst in belangrijke mate wordt of kan worden onderbroken.[1]

Veiligheid of integriteit geschonden

Met beschikbaarheid bedoelt de wetgever niet op beschikbaarheid (Engels: availability), maar dat de veiligheid of integriteit geschonden is. Hiervan is sprake bij daadwerkelijke penetratie van het informatiesysteem, of indien een onbevoegde door inbreuk in staat was de inhoud van het informatiesysteem te beïnvloeden.  

DDoS-aanvallen

De toelichting bij het wetsvoorstel inzake ICT inbreuk is ongelukkig. Ter verduidelijking licht men toe dat een DDoS-aanval slechts tijdelijke onbereikbaarheid van het informatiesysteem veroorzaakt en daarmee geen ‘daadwerkelijke ICT inbreuk’ vormt, doch een eenvoudig en beperkt probleem. Hoewel de wetgever ruimte laat voor uitzonderingen, is de vraag gerechtvaardigd of de gevolgen van een DDoS-aanval niet evenzeer ontwrichtend zullen werken op de vitale voorziening.

Het aantal soorten DDoS-aanvallen is groot en verschilt zowel qua werking als in gevolgen voor het informatiesysteem. Een DDoS-aanval kan bijvoorbeeld ingezet worden om foutmeldingen op te wekken die gebruikt kunnen worden om toegang tot (de inhoud) van het informatiesysteem te verkrijgen, of tot gevolg hebben dat de beschikbaarheid/werking van het systeem permanent wegvalt en onderhoud nodig is.

DDoS-aanval in beginsel uitgesloten als inbreuk

Door een type handeling (DDoS-aanval) in beginsel uit te sluiten als inbreuk, veroorzaakt men bij de aanbieder van het informatiesysteem een afwachtende houding om over te gaan tot melding. De vertraging die hierdoor ontstaat druist in tegen de intentie van de wet, waarbij snelle melding juist van groot belang is. Ter voorkoming van verwarring zou de wetgever er goed aan doen om te verduidelijken dat een (DDoS-)aanval een ongeoorloofde handeling is die niet direct een inbreuk meebrengt, doch dat dit zeker mogelijk is. Bij vitale informatiesystemen kan de melding m.i. beter achteraf loos alarm blijken, dan dat een terechte melding later binnen komt. Wellicht dat onbeschikbaarheid (zonder vermoeden van inbreuk) aanleiding kan geven tot een eenvoudige melding waardoor het NCSC de samenleving desgevraagd ook daarover kan informeren?   

Enkele verschillen met de meldplicht datalekken

Terwijl de Wmii nog een voorstel is, wordt de meldplicht datalekken per 1 januari 2016 van kracht door wijziging van o.a. artikel 13 van de Wet bescherming persoonsgegevens en artikel 11.3a van de Telecommunicatiewet.

In dit weblog haal ik drie verschillen aan tussen deze meldplichten.

Meldplicht voor een beperkt aantal aangewezen bedrijven

Ten eerste geldt, zoals reeds aangegeven, de meldplicht bij een datalek voor alle organisaties die persoonsgegevens verwerken. De meldplicht bij ICT inbreuk geldt enkel voor een beperkt aantal aangewezen bedrijven.

ICT inbreuk en datalek geen synoniemen

Ten tweede zijn de ICT inbreuk en datalek geen synoniemen. Er is sprake van een datalek wanneer ongeoorloofd toegang tot persoonsgegevens wordt verkregen en er een reële kans is dat persoonsgegevens gewijzigd, verwijderd, of gedeeld worden van met derden, zonder dat dit de bedoeling van de eigenaar van het informatiesysteem. De persoonsgegevens en niet het systeem staan centraal. Bijvoorbeeld bij het kwijt raken van een usb-stick met persoonsgegevens is er wel een datalek, maar mogelijk geen ICT inbreuk: de veiligheid/integriteit van het informatiesysteem zelf is niet noodzakelijkerwijs aangetast.  Tegelijk kan er ook sprake zijn van een ICT inbreuk indien de betrokken gegevens geen persoonsgegevens zijn; bijvoorbeeld wanneer het gaat om vluchtgegevens van een vliegtuig. Als niet zeker is of de vluchtgegevens, positiegegevens of coördinaten gemanipuleerd (kunnen) zijn zal het luchtverkeer hier niet op kunnen vertrouwen; een botsing tussen vliegtuigen is mogelijk. Er is dan echter geen sprake van een datalek omdat er geen persoonsgegevens bij betrokken zijn.  

Geen boete in Wmii 

Het derde verschil tussen een ICT inbreuk en datalek is dat op overtreding van de Wmii geen boete is gesteld, bijvoorbeeld bij verzuim melding te doen in geval van een ICT inbreuk. Het NCSC zal ook niet optreden als handhavende instantie, in tegenstelling tot het College bescherming persoonsgegevens (Autoriteit persoonsgegevens) bij een datalek.

Gehackt; en dan?

Zodra de ICT inbreuk of datalek wordt ontdekt is het van groot belang snel en op juiste wijze te handelen. Mijn advies is om de ICT inbreuk niet af te wachten. Beter kunt u onderzoeken wat het gevolg is van ICT inbreuk (of datalek) voor uw organisatie, hoe daarop gereageerd moet worden en dit vast te leggen in een procedure.

Zonder procedure bent u aangewezen op de dan parate kennis en kunde van uw organisatie. Het acuut inroepen van experts zonder duidelijke opdracht werkt bovendien vertragend en kostenverhogend.

Voorkomen is beter dan genezen

Diginotar illustreert het belang van zo’n procedure. Diginotar had niet scherp in beeld wat de status van informatiesystemen en dergelijke was. Binnen de organisatie was onvoldoende bewustheid van de risico’s waardoor het nodige beleid en de maatregelen onvoldoende tot een acceptabel niveau werden gebracht.

Toen de ICT inbreuk aan het licht kwam was er geen goede procedure en maakten de betrokkenen belangrijke fouten, zoals een keuze om het lek initieel te verbergen. De (toen nog niet mogelijke, noch verplichte) melding bleef achterwege. Kort nadat de lek in de publiciteit kwam ging Diginotar failliet en raakten de betrokken bestuurders verwikkeld in een rechtszaak met substantiële vorderingen inclusief de nodige juridische kosten. Ook bij ICT inbreuken geldt het adagium ‘voorkomen is beter dan genezen’. 

[1] Wetvoorstel melding inbreuken elektronische informatiesystemen, artikel 6.

Advies!

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail me direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. olaf@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!