Adviesrapport: Nederland moet 833 miljoen extra investeren in cyberweerbaarheid

Nederland moet tot aan 2024 nog eens 833 miljoen euro extra investeren om zich te kunnen wapenen tegen cyberaanvallen en om de digitale autonomie te verstevigen. Dat is de conclusie van een nieuw adviesrapport van de Cyber Security Raad.

Het geld dat geïnvesteerd moet worden komt bovenop de huidige uitgaven en budgetten voor cyberweerbaarheid, schrijft de raad. Het nieuwe nog te vormen kabinet moet ingrijpen en geld vrijmaken voor een cyberweerbaarheidsstrategie met een meerjarenprogramma om Nederland te kunnen wapenen tegen cyberaanvallen, de digitale autonomie te verstevigen en om ambities te kunnen verwezenlijken.

Volgens het 72 pagina's tellende rapport is 'de cyberweerbaarheidsketen in Nederland niet op alle punten even sterk'. Cybercriminaliteit neemt steeds verder toe en de georganiseerde misdaad en statelijke actoren zijn een permanente dreiging. Ook hekelt het rapport de groeiende afhankelijkheid van grote buitenlands marktpartijen.

Publiek-private samenwerking is volgens de CSR essentieel. Zowel bij de overheid als in het bedrijfsleven moet digitale veiligheid meer aandacht krijgen. In het adviesrapport noemt het CSR concrete maatregelen om de cyberweerbaarheid 'zo snel mogelijk op het noodzakelijke niveau te krijgen', inclusief de daarvoor benodigde investeringen.

Het rapport adviseert onder andere om in plaats van een minister van Digitale Zaken direct een ministeriële onderraad voor digitale zaken in te richten. Die moet dan alle ministeries die raakvlakken hebben met cyberweerbaarheid ondersteunen. Voor de lange termijn moet verkend worden hoe overheden, het bedrijfsleven en de wetenschap samen kunnen werken aan één nationale cyberweerbaarheidsstrategie.

Verder moet de infrastructuur voor het informeren van organisaties en burgers over cyberdreigingen verbeterd worden. Dat moet gebeuren door betere samenwerking tussen de publieke, private en wetenschappelijke sector.

Volgens de raad moeten Nederlanders kunnen vertrouwen op de veiligheid van ICT-producten en -diensten en daarom wordt geadviseerd om meer aandacht te geven aan zorgplichten voor veilige hard- en software. Ook moet er uitbreiding komen bij de politie om te handhaven op cybercrime.

In het rapport staat ook dat er in Nederland te weinig wordt geïnvesteerd in onderzoek, onderwijs en innovatie voor cyberweerbaarheid. Talent vertrekt daardoor naar het buitenland en dat draagt bij aan het huidige tekort aan 'voldoende gekwalificeerde specialisten in het cybersecuritydomein'. Om dat te verbeteren moet Nederland gericht investeren in onderzoek, start-ups en relevante opleidingen.

De CSR is een onafhankelijk adviesorgaan van het Nederlandse kabinet en is samengesteld uit hooggeplaatste vertegenwoordigers uit de publieke, private en wetenschappelijke sector. De raad kijkt niet alleen naar veiligheid, maar ook naar de 'economische kansen die cybersecurity kan bieden'. Het adviesrapport 'Integrale aanpak cyberweerbaarheid' is opgesteld in opdracht van het ministerie van Justitie en Veiligheid. Volgens de raad is er nog niet eerder in Nederland op deze manier integraal onderzoek gedaan naar de benodigde verbeteringen en investeringen voor de cyberweerbaarheid.

Infographic over de benodigde investeringen volgens het adviesrapport van de Cyber Security Raad

Reacties (84)

Waarom nemen we Estland niet als voorbeeld. die lopen ver voor op andere landen wat betreft hun IT infra. Kopiëren wat hun doen, scheelt weer geld in onderzoek. (We weten allemaal hoe het gaat met de ICT budgetten voor projecten)

Voor mij als leek op het gebied van Estse-overheids-ICT, wat kunnen we dan van ze leren?

Het motto van de Esten is "Als je iets nodig hebt, moet je het zelf maken."

In plaats van het motto in Nederland: "Als je iets nodig hebt, moet je er eerst een paar jaar over praten, commissies instellen, onderzoekjes uit laten voeren, dan Europees aanbesteden, het plan achteraf aanpassen, de eisen gedurende implementatie uitbreiden, uiteindelijk iets krijgen waar je 5 jaar eerder behoefte aan had en 3x meer uitgeven dan begroot."

En door de constante veranderingen een systeem hebt dat niet goed werkt en er weer een staatssecretaris opstapt.

Het motto van de Esten is "Als je iets nodig hebt, moet je het zelf maken."

Aha, not-invented-here als overheidsbeleid dus.

Als je iets nodig hebt, moet je er eerst een paar jaar over praten, commissies instellen, onderzoekjes uit laten voeren, dan Europees aanbesteden, het plan achteraf aanpassen, de eisen gedurende implementatie uitbreiden, uiteindelijk iets krijgen waar je 5 jaar eerder behoefte aan had en 3x meer uitgeven dan begroot.

* Je hebt dan een implementatie die niet volledig is, semi werkbaar, waarbij de stekker er al snel uit getrokken moet worden omdat iedereen die er ook maar iets mee gedaan heeft er het liefst nooit meer aan denkt.

Netflix heeft daar een kleine uitleg in een aflevering over. Serie Connected. Aflevering Clouds (afl 5). Anders even een google search doen op: `estland e government`

Ja, want zomaar achter andere landen aanlopen is een fantastische manier om zelf niet na te hoeven denken (of verantwoordelijkheid te dragen).

Wat Estland betreft: het vertrouwen in de overheid is daar veel hoger, daar was bijvoorbeeld ook nauwelijks weerstand tegen een electronisch patiëntendossier. Of ze dingen daar echt beter doen of de overheid daar gewoon betere PR heeft is vraag 2.

Zomaar achter andere landen aanlopen is niet wenselijk maar het gebeurt dan ook niet veel. Ik denk dat de meeste landen eerder last hebben van altijd zelf het wiel willen uitvinden dan van kijken wat er ergens over de grens al heeft laten zien wat er werkt (en niet werkt).

Oh, er worden anders zat studiereizen georganiseerd naar dat soort landen. Estland voor de overheid, Finland voor het onderwijs. etc.
Probleem is gewoon dat je een succes in 1 land niet noodzakelijk zomaar kan transplanteren naar een ander land.

Paar jaar geleden bleek dat ID kaarten uitgegeven in estland vanaf 2014 zo lek waren als een mandje. De private key opgeslagen op de ID kaart was te achterhalen.

https://arstechnica.com/i...y-keys-750k-estonian-ids/

En dat is nou precies iets wat Estland zelf niet heeft gemaakt, maar Infineon, uit Duitsland.

[Reactie gewijzigd door MrFax op 6 april 2021 21:51]

Was dat ook niet voor OV kaarten het geval? (aanpassingen mogelijk hierdoor / maken van kopieën)

[Reactie gewijzigd door grasmanek94 op 7 april 2021 07:33]

Inderdaad ons huidige Westerse manier van management is vooral praten over planningen die nooit uitkomen. Zoals we vaak fout redeneren beweren we dat een goede planning al de helft van het werk is, maar eerder is het grotendeels een verloren helft waarvan slechts enkele procenten van blijven rechtstaan op termijn.

En dan zwijgen we nog over het feit dat we dmv micromanagement proberen dan onze planning recht te houden, wat dan weer zeer negatieve gevolgen heeft op ons welzijn en onze budgetten. Dure schoneschijn van mismanagement dus ...

Maar zo hebben we allemaal rapporten en sporen van wiens schuld het is (welk initieel onder de tafel geschoven worden) zodat diegene uitendelijk gewoon blijft zitten en nog een keertje minister president kan worden.

Het alternatief is alles monitoren en iedereen gelijk opknopen als er een scheet dwars zit.
Dan hebben we regeerperiodes van maximaal 6 maanden.

Al dat schuld schuiven en "hadden moeten" is navelstaren naar het verleden, en daar kun je alleen van leren, niets aan veranderen.

Waar we naar moeten kijken is hoe we vorm willen geven aan de toekomst. Dat doen via een expert-advies is een valide middel om dit voor Nederland te doen. In Estland hebben de burgers geen moeite met "big brother" in de vorm van hun overheid; er zijn veel grotere dreigingen (Rusland e.d. en dat weet de overheid ook).
Hier in Nederland ligt dat wat anders. De Overheid is niet te vertrouwen (de overheid nu misschien wel, maar wat als de controle wordt overgenomen door een bezetter), vandaar dat controlemechanismes ingebakken moeten worden, en beperkingen hard moeten worden ingebouwd.

Macht corrumpeert. Een goed-gedocumenteerd fenomeen, waar we hier in NL -IMHO terecht- zeer voor waken.

Noh, we hebben onze levenseigen "rutte doctrine" welk niet uit de lucht is komen vallen. Het feit dat alle documenten zo ver mogenlijk onder de tafel geschoven worden is geen toeval hoor. Onze overheid is gigantisch corrupt. Zelfs met een "spoor aan papier" na alle discussies verdwijnt het papier gewoon in de prullenbak, wat bekekent dat we net zo goed al die meetings over hadden kunnen slaan.

[Reactie gewijzigd door Osiummaster op 6 april 2021 21:18]

Onze overheid is gigantisch corrupt bureaucratisch

Bureacratie betekent dat de papiertjes achteraf gevonden kunnen worden ipv verscheurd worden of leugens over het bestaan van de papiertjes.

Geld is meestal op aan adviesbureaus voordat er iets gebeurt en als er iets word neergezet dan is het al gelijk verouderd en moet weer vervangen worden.

Ze lopen zo ver voor omdat ze a: e-government als een strategisch initiatief zien, en niet een kostenpost, en b: er al bijna 15 jaar geleden mee zijn begonnen.
Het is echt wel wat ingewikkelder dan wat receptjes kopieren.

Ik vraag me af waarom je dat zou willen voor meer weerbaarheid. Het lijkt me niet alsof daar alles maar heel goed gaat met digitaliseren.

Dat digitale id klinkt bijvoorbeeld leuk, maar dat is een stuk minder als je honderdenmiljoenen moet proberen te verhalen op de maker omdat er te veel fouten in zaten, tewijl burgers er bijna volledig afhankelijk van zijn, of als een paar jaar daarna weer fouten worden gevonden terwijl niet duidelijk is of die ooit gebruikt zijn. Dat klinkt niet als weerbaar, dat klinkt als risico nemen door je massaal afhankelijk te maken. En dat gaat dan alleen om de digitale identiteit. De digitale wereld is veel meer dan dat.

Wat ik vooral hoor is suggestie dat het goed zou zijn en verhalen die over succes gaan. Maar waaruit dat succes objectief blijkt en hoe de negatieve kanten besproken worden daar moet dan maar op doorgevraagd worden, alsof dat onbelangrijk is om iets als voorbeeld te nemen van hoe het beter is.

Ik vermoed dat we hier een andere kijk hebben op wat belangrijk is, wie verantwoordelijkheid heeft en wie wat moet opgeven voor gemak en eenheid. Er valt vast veel van Estland te leren, maar andersom denk ik dat dat ook ol gaat wat betreft risico's nemen.

Ik had eerlijk gezegd toch gehoopt op tenminste één zetel voor de piratenpartij. Hoe het in de rest van europa wel lukt maar in nederland niet, blijft me verbazen. Je zou zeggen dat in een land waar de rijs van elektronica enorm heerst, de kamer ook gerepresentateerd wordt door een aantal mensen die de ernst van data-lekken kennen, en kritisch kunnen zijn over de technologische kant van onderwerpen.
Ach, laten we hopen dat de wet van Moore ook op zetels geldt, en over 4 jaar tenminste 1 persoon ons mag presenteren in de 2e kamer.

Met een naam als piraten partij verwacht je dat ze software piraterij willen goed praten dan dat ze voor privacy zijn.

Ja, of een aantal andere betekenissen, maar een directe link met het verbeteren van ict en privacy en zo is niet meteen duidelijk. Sterker nog: bij Volt zou ik nog eerder denken aan een technische partij dan bij de Piratenpartij (alleen op naam afgaand hè - ik weet dat Volt in werkelijkheid een heel ander soort partij is).

Het is nog erger hoor, 'software piraterij' zou al een stap vooruit zijn. Nu denken mensen dat het een grap partij is, niet om serieus te nemen. Zoals die Jezus Leeft die ook elke keer weer meedoet.

Gezien de leeftijd van de meeste stemmers:
Oh die zijn voor de radio piraten met hun NL zangers uit het SBS6 programma "Ik geloof in mij".
Veel mensen zullen piraten vast niet aan techniek koppelen...

Dan ga je toch ook stemmen!

De Piratenpartij is een goed initief maar heeft last van hun imago. Bij de naam Piratenpartij denkt de gemiddelde Nederlander aan een stel vrijbuiters. Niet aan een serieuze volksvertegenwoordiging.

Willen ze in de toekomst een serieuze kans maken, dan zullen ze werk moeten maken van hun communicatie strategie.

Hoe denk je dat die partij verschil zou maken terwijl er naast een vertegenwoordiger nog 149 andere volksvertegenwoordigers zijn en ook nog 75 vertegenwoordigers in de eerste kamer? Want stel het ging niet om dat aantal maar om de kennis, dan lees ik niet dat er dus kennisvertegenwoordiging is die iets realistisch vraagt voor deze weerbaarheid. Het programma leek wat concrete punt te hebben die daar iets mee te maken hebben. Iets noemen is tenslotte niet hetzelfde als iets realistisch inbrengen. Duidelijke standpunten wil nog niet zeggen dat de uitwerking redelijk zal worden, net zo min als gebrek aan standpunt zou betekenen dat er te weinig zou gebeuren. Niet voor niets kan iedereen inzicht proberen te geven via volksvertegenwoordigers, juist ook als er geen concrete standpunten zijn. Dat lijkt me ook waarom dit rapport er is, een volksvertegenwoordiging is niet alleen een kwestie van een eigen mening hebben.

[Reactie gewijzigd door kodak op 6 april 2021 17:15]

Ik lees een van de adviezen: Een EU wetgeving die vendors verantwoordelijk houd voor financiele schade door onveilge applicaties? Dus een exploit zoals Microsoft of Citrix relatief recent hadden zou die bedrijven mogelijk failliet kunnen maken...
Ik vind het een gedurfd advies...

Ik lees een van de adviezen: Een EU wetgeving die vendors verantwoordelijk houd voor financiele schade door onveilge applicaties?

Zou daar niet een nuance inzitten, zoals iets over nalatigheid...?

Dat is niet wat ik lees. Ik vind het redelijk arbitrair en gezien wij er al een discussie over hebben pak ik popcorn op het moment een juridische zaak zou worden.

Er is nog helemaal geen wet, dus juridische procedures kan je alleen maar over speculeren. Het rapport gaat over 'zorgplicht' wat niet betekent dat een lek direct een boete betekent, maar wel dat het mogelijk moet zijn om producten gedurende hun levensduur veilig te gebruiken.

Het rapport gaat over 'zorgplicht'

Dat is maar een deel.
Ik heb het hele rapport doorgesnuffeld en de 5 speerpunten bekeken.
Dat stukje wetgeving is een van de adviezen in het rapport. Uiteraard hangt het juridische stuk compleet af van hoe een wetgeving gevormd zou worden.
Deze zal heel precies geformuleerd moeten worden (wat over het algemeen vaak niet het geval is bij EU regelgeving) en daarmee naar verwachting ze een beerput open trekken.
Het feit dat ze zo'n advies uberhaupt brengen in deze bewoording vind ik of erg naief of erg gevaarlijk.

Gevaarlijk voor wie? Want op dit moment zijn het vooral de eindgebruikers die de dupe zijn van fabrikanten of softwareleveranciers die geen bal om security geven.

Gevaarlijk voor de markt. Alleen de "grote jongens" die klappen kunnen vangen kunnen die markt bedienen. Disrupters met kleine zakken zijn na 1 klap op de fles. Dit is dus uiterst slecht voor marktwerking en zal innovatie niet ten goede komen.

Tsja, is er sprake van disruptie of criminele nalatigheid als je budget producten uitbrengt die zo lek als een mandje zijn en mensen indirect met de kosten van jouw nalatigheid opzadelt.

Wie zegt dat de disrupters met grote zakken niet veel hogere boetes zouden moeten krijgen? Voor marktwerking wil je het speelveld gelijk hebben - het moet ook niet zo zijn dat je met lege zakken en een hoop gebluf een beetje de innovator uit gaat hangen en vervolgens de vermoorde onschuld speelt als er een datalek of uitval is als je je niet aan een minimum veiligheidsnivo wil houden.

Tsja, is er sprake van disruptie of criminele nalatigheid als je budget producten uitbrengt die zo lek als een mandje zijn en mensen indirect met de kosten van jouw nalatigheid opzadelt.

Is het niet nalatigheid als je de keuze maakt om die budget producten te implementeren zonder andere producten daartegenover te zetten die de risico's mitigeren?

Dan praat ik niet over een data lek maar vooral over iets wat een veiligheidsrisico oplevert voor gebruikers.

Van mij mag je een website hosten op budget hardware maar zorg dan wel voor een fatsoenlijke firewall en goed geconfigureerde WAF. Je kan de fabrikant vd hardware niet nalatig vinden en de persoon die het heeft gekocht niet

[Reactie gewijzigd door Mellow Jack op 6 april 2021 23:31]

Ja, want de gemiddelde consument gaat een WAF en firewall implementeren als ze een 'slimme' LED strip aanschaffen bij de Action...

Het wordt sowieso een vingergewijs tussen de partijen naar configuratie vs programmatuur, dus een jaren lange rechtsgang, dus daar zal de nuance tot de kleinste details uitgewerkt worden. Dus als er ergens in de documentatie staat "software is meant to run on the internal/authenticated network only" en als je dat dan niet doet, zal er vast niet betaald gaan worden door die leverancier.

Anders creëren ze een onhoudbare situatie en zelfs politici zijn niet zo dom. (hopen we dan)

Verantwoordelijk houden is niet alleen bedoeld om schade te verhalen maar ook om mogelijke schade te beperken.
Dat is bijvoorbeeld ook waarom de avg als wet stelt dat je bij de verantwoordelijkheid over andermans persoonsgegevens vooraf duidelijk genoeg laat zien hoe je die verantwoordelijkheid neemt en anderen dus kunnen weten waar ze aan toe zijn.

Het huidige verdienmodel van software, hardware en services lijkt gebaseerd op zo veel mogelijk verantwoordelijkheid afschuiven en zo min mogelijk zelf nemen als aanbieder. Dat lijkt op grote schaal te veel risico voor slachtoffers te zijn.

Om verantwoordelijkheid te kunnen nemen zal dus waarschijnlijk duidelijkheid nodig zijn waaruit het nemen van verantwoordelijkheid echt blijkt. Bijvoorbeeld door duidelijke processen te hebben hoe beveiligingslekken voorkomen en opgelost worden in plaats van achteraf een verklaring te geven dat er vaag iets zou zijn wat niemand echt kan zien of controleren.

[Reactie gewijzigd door kodak op 6 april 2021 18:02]

Ik snap wat je zegt en het rapport legt (deels) ook de nadruk op zulke zaken. De verwoording van dit specifieke advies vind ik alleen erg naief.

Welke verwoording had je dan willen zien? Want het lijkt de kern te raken van wat het advies is. Ik lees niet hoe dat negatief geschreven is.

Ik zei naief, niet negatief.
Maar ik zal een voorbeeld case geven die met de huidige bewoording mogelijk kan zijn.
Pietje is een 19 jarige student en schrijft een leuke freeware app die X doet. De app van Pietje is een immens success en miljoenen mensen installeren deze. Pietje verdiend op een paar donaties na geen cent aan de app. Pietje lijkt een fout te hebben gemaakt in de code die exploiteerbaar blijkt waardoor tienduizenden machines die niet tijdig een geupdate versie gebruiken allemaal aan de ransomware zitten.
Pietje is levenslang failliet en kan zijn carriere wel gedag zeggen want er komen tienduizenden claims voor financiele schade.

Ik kan nog wel een paar cases bedenken. Bijvoorbeeld abandonware, etc.

Dit is allemaal af te vangen in uiteindelijke wetgeving, maar en zijn geen nuances bij het advies gegeven en is dus in den beginne linke soep vind ik.

Daarnaast vind ik de definitie "onveilige software" arbitrair.

[Reactie gewijzigd door Razwer op 6 april 2021 19:13]

Het rapport gaat er veel dieper op in dan de woorden van tweakers. Wat jij als voorbeeld geeft lijkt niet zomaar op te gaan, dat heeft het over gekochte producten. Wel moet Pietje waarschijnlijk rekening gaan houden met eisen op gebied van veilig maken van zijn werk, maar hoe is dat onredelijk of negatief? Als iemand nu als dienst met water of gas wil werken dan moet er ook aan extra veiligheidseisen worden voldaan. Zit het negatieve er misschien in dat je een ander belang hebt dan het veiliger maken als er veel mensen slacbtoffer kunnen worden, bijvoorbeeld omdat je van mening bent dat Pietje gewoon zijn gang moet kunnen gaan zonder last te hebben van gevolgen? Dat lijkt me toch ook niet redelijk meer als zoveel bedrijven maar wat lijken te doen en het risico voor anderen is?

dat heeft het over gekochte producten

Dat is een aanname van jou op basis van een voorbeeld uit het rapport(?).
Verder rept Tweakers geen woord (voor zover ik zie) over dit specifieke advies. Ik heb dat uit het rapport zelf.
Jij motiveert nu zelf het advies. Pagina 51 en 52 van het rapport motiveren ook het advies. Het rapport zegt zelf "Hierbij is het noodzakelijk om de zorgplicht goed te omschrijven en de aansprakelijkheid van leveranciers duidelijk te formuleren, bijvoorbeeld door deze bij contracten te verbinden aan een bewijs van cybersecurityvolwassenheid"

Het is een nobel streven maar praktisch niet haalbaar.
Mocht het alsnog doorzetten ga je alleen "grote jongens" in de cyber security wereld krijgen die een klap op kunnen vangen en is er geen ruimte meer voor "disrupters" in de markt.

Daarom vind ik het naief.

Het advies is prima. De wetgeving echter supercomplex. Op het moment dat deze wetgeving er komt, gaan natuurlijk ook de contracten anders worden.

De betreffende leveranciers gaan dan veel hardere eisen neerleggen aan hoe hun producten/diensten geïmplementeerd moeten worden.
De betreffende recente exploits hadden een veel kleinere impact gehad als de infrastructuren van bedrijven anders had geweest. (Niks ten nadele van de slachtoffers natuurlijk want dit soort dingen kan je altijd makkelijk achteraf roepen )

En dat is natuurlijk terecht. Dit soort wetgeving heeft tenslotte als doel om de boel veiliger te maken. Niet om alleen vingertje te wijzen en boete-inkomsten te genereren.

Ik vraag mij af hoeveel geld bespaard kan worden als er meer aan data-minimalisatie wordt gedaan. Minder vaak centraal data opslaan en minder vaak alles verzamelen wat er is.

Ik voel een nieuw verzoek om onderzoekssubsidie aankomen

Dat ligt natuurlijk aan de branches. Een bank zal toch bepaalde data moeten verzamelen en correleren om afwijkende geldstromen te detecteren.
Een containerterminal zal toch moeten bijhouden van wie welke container is, waar hij staat en wanneer hij verplaatst moet worden.

Een school zal toch alle progressie van een kind moeten bijhouden.

Uiteraard kan je in bovenstaande voorbeelden ook nog steeds minimalistisch data vergaren, maar juist de correlatie van die data kan heel zinvol zijn voor interne bedrijfsvoering.


Stel dat we kijken naar ransomware, dan maakt het niet zoveel uit voor een bedrijf of alle of een subset aan data gegijzeld is. Als van containerterminal alleen de conrainerlocatiedatabase is gegijzeld, dan kan het bedrijf nog prima bij de gegevens van hun klanten, leveranciers en onderhouddatabases, maar het bedrijf staat nog steeds stil.
Hetzelfde geldt voor de inklaringsoftware. Als die het niet doet, gaat er geen container de deur uit.

Je wilt geld gaan besparen door decentralisatie? Daarmee verplicht je alle afzonderlijke clubs om zelf het wiel opnieuw uit te gaan vinden of op z'n minst te implementeren. Ik heb liever dat (bijvoorbeeld) alle gemeenten hun IT (infra) spulleboel centraal gedegen laten beheren, dan dat ze dit los gaan doen; daarmee krijg je dat sommige gemeenten het netjes doen, en andere terugvallen naar de "computer onder het bureau."

Altijd weer grappig, zo'n gedetailleerd bedrag voor een programma waar de plannen nog bedacht of uitgewerkt moeten worden. 833 miljoen betekent dat je suggereert dat je dat op de miljoen nauwkeurig weet, hebben we toch op school geleerd.

haha dat was dus ook precies het eerste dat ik dacht We hebben ene probleem, maar precies 833 miljoen gaat het oplossen waarvan 161 in kennis, onderzoek en innovatie. Meanwhile... kunnen we niet eens een project van een miljoen goed beramen en wordt dat vier keer zo duur en drie keer zo lang. Ik heb echt zo weinig geloof meer in van die advies-organen en rapporten; je weet gewoon al precies hoe dat gaat: groepje mensen die maar wat roepen en de geraadpleegde experts verkeerd interpreteren zoals ze het graag willen horen.

Mijn privacy kreeg zojuist nog een Cyber aanval op Tweakers.net

Ik weet wel een leuke eerste investering die ze niets hoeft te kosten: de digitale rechten van nederlandse burgers beschermen door te stoppen met hun gevecht tegen end to end encryptie.

(Looking at you, Grapperhaus.)

Jup, maar ja dan heb je natuurlijk de politiek. Voordat daar een beslissing wordt genomen zijn we ook weer 5 jaar verder.
Zover ik weet gebruikt de overheid chrome als browser, wat betekent dat zelfs hun gevolgd worden door tracking en cookies etc van google.
Laten we hopen dat er toch dan iets te gebeuren staat of dat ze er überhaupt naar kijken.

Mooi plaatje, even kwistig strooien met miljoenen en alle problemen zijn opgelost.

Die Cyber Security Raad bevat vertegenwoordigers van publieke en private organisaties en de wetenschap, dus ze hebben er alle belang bij om de geldgraan flink open te zetten.

Afvragen waar bijvoorbeeld belastinggeld heen gaat is hoe dan ook belangrijk, maar ik denk dat je het wel heel eenzijdig bekijkt als je niet benoemt wat dan goede besteding is. En dat doe je niet, je lijkt bij voorbaat kritiek te hebben door selectief te kijken wat je goed uit komt om over te klagen. Heb je ook nog een inhoudelijke mening over de plannen, of kijk je liever alleen naar wie met de plannen komt om te klagen?

[Reactie gewijzigd door kodak op 6 april 2021 18:56]

Wat wil je dan? Een commissie van onafhankelijke boswachters en stukadoors die "ho, rustig aan met de cyberinvesteringen" roepen? Aanvallen op vermeende belangen is zo goedkoop.

Je snapt wel wat ik bedoel. Een slager die zijn eigen vlees keurt, is nooit goed als je kwaliteit wilt.
Budget is nodig, maar enkel met een groot geldbedrag kom je er niet.

Om dat te verbeteren moet Nederland gericht investeren in onderzoek, start-ups en relevante opleidingen.

Nou ben benieuwd hoeveel partijen zullen gaan graaien naar het bedrag wat beschikbaar komt en uiteindelijk nog overblijft om het resultaat (wat ze willen gaan halen) te behalen.

Exact mijn redenatie. De 'adviesbureau's' zullen wel in de rij staan om in die pot te graaien. Ik wed dat al 500 miljoen is opgemaakt voordat er ook maar een stuk hardware ergens staat of er ook maar één regel code ergens voor is geschreven.

Aan de andere kant is security nou niet echt iets wat je regelt met hardware of regels code. 90% is gewoon nog mensen leren hoe ze moeten werken. BEC, malspam, downloads, phishing etc. voorkom je alleen als de mensen beter worden.

In dat geval zijn we allemaal de sjaak. Mensen worden maar heel beperkt 'beter'.

Grootste probleem wat ik zie is wel dat het voor heel veel mensen moeilijk is hun werk helemaal conform de (aan verandering onderhevige) best practices op veiligheidsvlak te doen. Dat heeft met kennis te maken maar ook met bv. minder flexibele software. Als je iemand een deadline geeft moet het toch minstens mogelijk zijn de taken op een redelijke manier te doen zonder in een frustrerende spagaat terecht te komen waarin je moet kiezen tussen veiligheid en werk op tijd af.

Waar halen ze dat bedrag vandaan? Dikke duimzuigerij of zakkenvullen met allerlei adviesorganen, waar de vrienden inzitten of voor gelobby`d is.
Zolang er miljoenen verdwijnen en de schuldigen door blijven gaan of ontslag nemen met een leuke wachtgeld regeling, heb ik er totaal geen vertrouwen in, zeker met de "Alzheimer lijdende" Rutte niet.