Bedrijven en overheid 'blind' voor cybercrime, constateert CPB

De gebrekkige informatie ontstaat volgens het CPB door een drietal van factoren. Ten eerste worden digitale aanvallen lang niet altijd opgemerkt door de getroffen organisaties. Ten tweede willen ze niet elke aanval publiekelijk bekend maken, als ze die dus hebben opgemerkt of er door een andere organisatie op zijn gewezen. En ten derde kunnen organisaties niet altijd goed inschatten wat voor gevolgen een aanval heeft op de lange termijn. Dit stelt het CPB in de inleiding voor zijn Risicorapportage cyberveiligheid economie 2019.

Teveel of te weinig budget

"Bedrijven en overheid hebben daardoor een onvolledig beeld van de kosten en baten van investeringen in cyberveiligheid. Het investeringsniveau kan dan te hoog of te laag zijn", valt te lezen in dat nu gepubliceerde rapport (PDF). Het CPB wijst er ook op dat De risico’s op maatschappelijke schade door cyberincidenten alleen maar toe lijken te nemen door verdere digitalisering.

De geconstateerde blinde vlekken kunnen de maatschappij dus duur komen te staan. Volgens het CPB is Nederland nu al in grote mate afhankelijk van digitale systemen, en dat wordt naar verwachting alleen maar meer. De grote storing bij KPN waardoor afgelopen zomer het noodnummer 112 een tijdlang onbereikbaar was, is daar volgens de overheidsadviseur een voorbeeld van.

Informatie-uitdagingen

De oplossing zit, zo adviseert het CPB-rapport, in betere informatie. Daarbij gaat het om informatie over aanvallen zelf, waarmee die beter of tijdiger zijn te detecteren, maar ook informatie over cybercrime in bredere zin. Een uitdaging voor de overheid hierbij is hoe voorlichting te geven aan miljoenen gebruikers en honderdduizenden bedrijven. Ook desinformatie, inclusief deepfake video's, komt hierbij aan bod.

De overheid stimuleert al diverse publiek-private samenwerkingsverbanden voor het delen van informatie en ervaringen. Het CPB is hier positief over, maar plaats ook enkele kritische kanttekeningen. " Deze initiatieven voor samenwerking en voorlichting overlappen soms. Risico’s van deze ‘versplintering’ zijn dat doelgroepen minder goed weten waar ze relevante informatie kunnen vinden, dat initiatieven dubbel werk doen, of juist dat belangrijke thema’s blijven liggen."