Nederland door Europa voor rechter gesleept om lakse houding bescherming vitale sectoren

dus we laten onze vitale sectoren blijkbaar zo lek als een mandje tot BRUSSEL ons voor de rechter moet slepen?? hoeveel waarschuwingen, hacks en “oeps dat wisten we niet” moeten er nog komen voordat iemand eens verantwoordelijkheid neemt?! en dan?? moet ik dat maar accepteren dat m’n stroom/water/ziekenhuis plat kan omdat hier alles op halve maatregelen en consultancy-rapportjes draait??!!!

het probleem is dat we cyber nog steeds behandelen als “IT van de leverancier” en niet als vitale infrastructuur met ketenafhankelijkheden: één brak remote onderhoudskanaal bij een onderaannemer en je energie/bruggen/ziekenhuis hangen eraan, en dan helpt een mooi Cyber-Resilience-Centrum precies niks als niemand kan afdwingen dat segmentatie, logging en offline fallback er echt zijn. de oplossing is: harde minimumarchitectuur eisen in wet en contracten (incl. OT/SCADA), periodiek testen met echte red teams en boetes die pijn doen, en vooral: zorg dat die sectoren ook zonder internet/centrale systemen nog een paar dagen veilig kunnen doordraaien, want “rapportageplicht” is leuk maar na een ransomware ben je daar precies te laat mee.

dit krijg je ook omdat iedereen “vitale sector” roept, maar zodra je echt gaat afbakenen wie onder NIS2 valt (ook die ketenpartijen met remote beheer, cloud, onderhoud), begint het grote doorschuiven: toezichthouder A wijst naar B en niemand wil de rekening of de boete op z’n bord. En dat Cyber-Resilience-Centrum klinkt leuk, maar als je ondertussen geen mensen hebt die audits kunnen doen en sancties durven opleggen, is het vooral weer een nieuw logo op een PowerPoint. Bruxelles is hier niet heilig, maar die stok achter de deur werkt vaak pas als het pijn gaat doen in de begroting.

leuk al die “vitale sectoren”, maar als het misgaat zijn het weer gewone mensen die de klappen vangen: dialyse die stilvalt, OV chaos, wijkverpleging die niks kan omdat dossiers plat liggen. Ik zie genoeg organisaties die nog steeds draaien op onderbetaalde IT’ers en een manager die cyber “iets van later” vindt tot de boel gegijzeld is, en dan is er ineens geld voor consultants en perspraatjes. misschien moet er eens persoonlijk aansprakelijkheid komen voor bestuurders die willens en wetens bezuinigen op basisveiligheid, dan is het snel afgelopen met dat gedraal.

Ach in de haven zie je ‘t elke dag: alles moet sneller en goedkoper, maar een fatsoenlijke back-up lijn of een noodbediening “kan later” tot de kraan of brug stilvalt en dan staat heel Rotterdam te kijken alsof het overmacht is

Ik zet elke ochtend half Amsterdam af bij dat soort “vitale” clubs en je ziet ’t al aan de voordeur: pasjes die overal werken, wachtwoord op een post-it en de nachtportier die ook ff de serverruimte opent “voor de monteur”. Brussel hoeft niet eens te hacken, die kan gewoon aanbellen, jansen.

Dat Brussel nu met NIS2 gaat duwen is vervelend, echter het is ook gewoon logisch: als onze energie of zorg omvalt door een hack, merkt Duitsland dat net zo hard via ketens en markt. Wat ik mis in die “versnelde aanpak” is oefenen in het echt: noodprocedures zonder IT, papieren fallback, wie belt wie om 03:00 en wie mág dan knopen doorhakken, daarentegen hoor je daar zelden iets over tot het misgaat. En ja, zo’n nieuw Cyber-Resilience-Centrum klinkt stoer, maar als je ondertussen geen mensen hebt die bij leveranciers en onderaannemers echt durven binnen te lopen en te zeggen “dit moet morgen dicht”, blijft het bij een logo en weer een vergaderclub.

het gaat niet alleen om “hackers”, het is ook gewoon dat die regels en audits weer ergens bij een clubje compliance landen en de mensen op de werkvloer er alleen maar extra formulieren bij krijgen. aan de andere kant: als europa het niet afdwingt blijft het hier toch weer hangen in uitstel en “volgende begrotingsronde”, dus ergens snap ik die rechtszaak ook wel.