Nederlandse overheid tuigt nóg een cybersecuritycentrum op

Het in oprichting zijnde NCC is eind 2021 onder de aandacht gekomen door een vacature van de RVO (Rijksdienst voor Ondernemend Nederland) die een ‘kwartiermaker’ zoekt. “Komend jaar wordt het Nederlandse Nationale Coördinatie Centrum opgericht, als onderdeel van het Europese Cybersecurity Competence Center (ECCC). We zoeken een kwartiermaker die hierbij het voortouw kan nemen en dit razend actuele vraagstuk verder vorm wil helpen geven!”

Fondsenwerving bij EU

Deze vacature is op 30 november gesloten en daarna offline gehaald. De tekst is via de Wayback Machine nog in te zien. Het NCC zal geen operationele werkzaamheden op het gebied van cybersecurity ondernemen, aldus de functieomschrijving. In plaats daarvan moet dit nieuwe Nederlandse cybersecuritycentrum verbindende en coördinerende taken gaan uitvoeren. De gezochte kwartiermaker annex programmamanager moet daarbij ook richting de Europese Unie (EU) een schakelrol vervullen. De eerste opdracht voor de beoogde werknemer is “het schrijven van een voorstel voor de EU om de beschikbare middelen te ontvangen voor de opzet en eerste exploitatiekosten van het NCC”.

De bedoeling is dat in 2022 het fondsenwervende werk “overgaat in het daadwerkelijk op- en inrichten van het NCC tot het coördinatiecentrum dat is toegerust op de taken zoals die zijn beschreven”. Meer documentatie over die taken is op te vragen bij een contactpersoon die manager is van het Octrooicentrum Nederland. Deze medewerker van de Rijksdienst voor Ondernemend Nederland (RVO) gaat ook over uitvoering van het innovatiebeleid.

‘NCC overlapt niet’

Het ministerie van Economische Zaken en Klimaat, dat dit nieuwe centrum voor cybersecurity opzet, stelt dat het NCC niet zal overlappen met bestaande initiatieven. Dit omvat bijvoorbeeld het NCSC, het DTC en het LDS maar ook Europese contacten en samenwerkingsverbanden die het Team High Tech Crime van de Nederlandse politie al heeft.

“De beoogde functie van het NCC is een nieuwe: optreden als nationaal contactpunt voor het Europese Cybersecurity Competence Center (ECCC)”, antwoordt de woordvoerster van EZK op vragen van AG Connect. Daarbij verwijst het ministerie naar artikel 7 van de Europese verordening: L_2021202NL.01000101, voor kennisontwikkeling en innovatie op het gebied van cybersecurity.

Vanuit Europa

“Het NCC moet een centrale positie gaan innemen in de nationale cybersecurity kennisgemeenschap en houdt zich dus niet bezig met operationele cybersecurity werkzaamheden of het delen van dreigingsinformatie (zoals het NCSC en het DTC). Eén van de belangrijkste taken van het NCC betreft het stimuleren van cybersecurity kennisopbouw door de daarvoor beschikbaar gestelde financiering uit de Digital Europe en Horizon Europe programma’s op nationaal niveau te implementeren.”

De blik op Europa voor zowel fondsen als ook kennisdeling is niet de enige link met de EU. EZK geeft aan het NCC in wezen ‘moet’ van de Europese Unie. “De oprichting van het NCC komt regelrecht voort uit de Europese verordening die sinds 28 juni 2021 van kracht is.” Het hoeft daarbij echter niet per se een nieuw cybersecuritycentrum te zijn, erkent het ministerie. En eigenlijk is het dat ook niet, aldus de uitleg aan AG Connect.

‘Is geen nieuwe organisatie’

“De verordening vraagt niet specifiek om de oprichting van een nieuwe/aparte entiteit. In het geval van Nederland wordt er ook niet een geheel nieuwe organisatie opgericht. Het NL NCC wordt ondergebracht bij de Rijksdienst voor Ondernemend Nederland (RVO).” Dit wordt mede gedaan “vanwege het feit dat sinds begin dit jaar RVO ook de landingsplaats is voor het publiek-private samenwerkingsplatform voor cybersecurity kennis en innovatie ‘dcypher’.”

De RVO heeft, zo stipt EZK aan, ook ruime ervaring met publiek-private samenwerking en de implementatie van Europese subsidietrajecten. “Belangrijk om te noemen is nog dat het NCC een publieke instelling of entiteit moet zijn, of een entiteit waarin de lidstaat een meerderheidsbelang aanhoudt. Het kan voorkomen dat het NCC Europese middelen in beheer krijgt om deze vervolgens (met inachtneming van de Europese kaders) op nationaal niveau te verdelen. Om te voorkomen dat er belangenverstrengeling ontstaat is en blijft dit soort werkzaamheden een publieke aangelegenheid.”

Geen vereiste startdatum

Na het sluiten van de vacature, op 30 november 2021, zijn er in de loop van enkele weken gesprekken gepland met een aantal kandidaten. EZK noemt hierbij geen aantallen, maar de woordvoerster heeft wel aangegeven dat de zoektocht naar een kwartiermaker voorspoedig is verlopen.

Over het tijdspad van de NCC qua oprichting en operationeel worden, is nog niet veel duidelijk. “Dit tijdspad is in hoge mate afhankelijk van de ontwikkelingen op Europees niveau. Eind dit jaar moet elke lidstaat formeel een NCC voorgedragen hebben”, aldus de woordvoerster eind vorig jaar. “In het geval van Nederland is dit dus RVO die het NCC zal hosten. Er wordt vanuit de Europese Commissie geen datum genoemd voor wanneer de NCC’s ‘actief’ moeten zijn.”

Eind 2022, begin 2023?

“Wel gelden er deadlines met betrekking tot het verwerven van de Europese financiering die via het Digital Europe programma beschikbaar wordt gemaakt voor de opzet van de NCC’s. In de loop van 2022 zullen deze calls open gaan, in de loop van 2023 zullen de middelen voor de NCC’s beschikbaar worden. De inhoudelijke activiteiten van het NCC zijn mede afhankelijk van het ECCC [European Cybersecurity Competence Centre - red.], waarvan de verwachting is dat het eind 2022/begin 2023 een start kan maken met haar werkzaamheden.”