De NIS2 – een Europese richtlijn die in Nederland is vastgelegd in de Cyberbeveiligingswet (Cbw) – stelt hogere eisen aan de Nederlandse hogescholen en universiteiten op het gebied van cyberveiligheid. De Cbw is van kracht geworden op 15 augustus, en daarmee ook de NIS2. 

Directeur Library and Information Services (LIS) Corry Wouters ziet dat dit behoorlijk wat vraagt van de TU/e. “Gelukkig heeft het ministerie daar ook wel enige subsidie voor beschikbaar gesteld, maar het is alsnog een hele operatie.” 

Dat de TU/e en andere universiteiten binnen de NIS2 vallen, heeft vooral te maken met de kennis die we hier opdoen door onderzoek. De overheid vindt dit intellectueel eigendom van groot belang voor Nederland. 

De Nederlandse universiteiten maken samen een plan om aan de nieuwe eisen voor dataveiligheid te voldoen. Wouters is penvoerder van de WO Digitaliseringsstrategie 2030, een nationaal project voor verbeterde weerbaarheid van universiteiten in Nederland. Samen met afgevaardigden van de andere universiteiten heeft ze een digitale roadmap ontwikkeld voor de komende jaren.

Wetgeving

De Europese Commissie (EC) heeft recent een nieuw actieplan gelanceerd om AI veilig te gebruiken en de cyberveiligheid in Europa te versterken. Dit plan bouwt onder andere voort op bestaande regels zoals NIS2, maar ook de AI-Act omdat de impact van AI ook groots is voor cyberveiligheid en digitale weerbaarheid. De EU stelt doelen en richtlijnen zoals deze  NIS2, Nederland maakt vervolgens hiervoor een wet: de Cyberbeveiligingswet.

Er staan drie doelen in het plan van de EC: het bevorderen van veilig en verantwoord gebruik van geavanceerde AI, het versterken van de cyberbeveiliging en weerbaarheid van de EU en het opschalen van de Europese AI-capaciteiten voor de inzet bij cyberbeveiliging. Vanaf 15 augustus is er dus de Cbw die bindend is voor onder andere de Nederlandse universiteiten om die Europese weerbaarheidsdoelen na te streven. 

AI

AI verandert het cyberbeveiligingslandschap in hoog tempo. Enerzijds kan AI helpen bij het opsporen van kwetsbaarheden in systemen, het voorkomen van cyberaanvallen en het versterken van de bescherming van kritieke infrastructuur. 

Anderzijds kan AI echter ook worden misbruikt door kwaadwillenden om aanvallen te automatiseren, zwakke punten te identificeren en cyberaanvallen uit te voeren met een ongekende snelheid en schaal. 

De TU/e gaat AI ook inzetten om de universiteit digitaal veiliger te maken, maar hoe precies wil Wouters niet zeggen. Juist vanwege diezelfde veiligheid: wie zich niet te veel in de kaart laat kijken, voorkomt misbruik van die kennis.

Leveranciers checken

“We zijn nu op een punt dat het overgrote gedeelte van de applicaties die de TU/e gebruikt zogenaamde SaaS-applicaties zijn”, weet Wouters. Dat wil zeggen: je koopt een licentie en krijgt daarmee een soort abonnement op de betreffende software. 

“Dan ben je minder bezig met je eigen applicaties checken op veiligheid, maar veel meer met je leveranciers controleren. Zij moeten hun weerbaarheid goed op orde hebben als wij met hun software werken en er gevoelige data in komt te staan.” Denk bijvoorbeeld aan systemen voor HR of facturatie. 

Maar hoe controleer je gestandaardiseerd of al die leveranciers voldoen aan de cyberveiligheidseisen van de NIS2? Daarvoor is er een internationale norm informatiebeveiliging: de ISO27001. 

“Leveranciers moeten dit zelf regelen bij een onafhankelijke certificeringsinstelling en wij hebben jaarlijkse evaluatiegesprekken met onze leveranciers, om te controleren of alles op orde is en blijft”, legt Wouters uit. 

Amerikaanse tool

Behalve het strengere leveranciersmanagement verandert er nog meer onder de nieuwe wet. “We moeten ook alle servers in kaart brengen, in een centrale administratie registreren én monitoren.” 

“En met alle servers bedoelen we ook echt álle servers die draaien bij de universiteit”, benadrukt Wouters. “Daarvoor heeft ICT-coöperatie SURF een monitoringscentrum ingericht, zodat niet elke universiteit dit zelf hoeft te regelen.”