Nationaal Cyber Security Centrum is een Rupsje Nooitgenoeg
In de nasleep van het Pobelka-botnet waarbij 150.000 computers werden geïnfecteerd, claimt het Nationaal Cyber Security Centrum (NCSC) nu meer mandaat nodig te hebben om adequaat te kunnen reageren. Rupsje Nooitgenoeg moet echt eens leren eerst de huidige taken goed uit te voeren. Daarna praten we verder.
Dat zou de boodschap van de minister van Veiligheid en Justitie, Ivo Opstelten, aan het NCSC moeten zijn. De organisatie stelt namelijk zelf op haar site advies op maat te geven en grote incidenten af te handelen. Maar voor het uitoefenen van die functie heb je als bestuursorgaan al de benodigde wettelijke bevoegdheden, zeker als je onder de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) valt.
Voorbereiding
Om goed met incidenten te kunnen omgaan moet je voorbereidingen treffen. Zo moet je weten welke internetadressen er in de publieke sector in gebruik zijn en welke systemen er grofweg draaien. De brandweer weet ook waar gevaarlijke stoffen liggen opgeslagen en hoe sommige panden in elkaar steken. Als er dan wat gebeurt, kun je immers snel schakelen. Daar is geen wetswijziging of extra mandaat voor nodig.
Onderschatting
Eigenlijk draait het daar ook allemaal niet om. Dit verhaal gaat over iets heel anders: onderschatting van de problematiek. Het Pobelka-botnet is namelijk de gedetailleerde uitwerking van het botnet dat deze zomer opkwam als het Dorifel-virus. Alleen dat werd door de grote baas van het NCSC, Fred Teeven, gezien als komkommernieuws.
Mijn waarschuwing destijds dat dit groter was dan werd ingeschat, kwam namelijk niet zomaar uit de lucht vallen. De sporen maakten duidelijk dat dit een groot verhaal was met ernstige gevolgen voor de maatschappij. Toen dat in december via HP/de Tijd ook naar buiten kwam, maakte dat niemand bij de overheid echt nerveus. Waarom zou men? Het was toch door de leiding afgedaan als komkommernieuws.
Dus gebeurde ook niet veel met de informatie die het NCSC begin december ontving. Zij stelt nu dat de informatie incompleet of niet hapklaar genoeg was, ik vind dat te gemakkelijk. Als je iets niet weet als professional, dan vraag je het. Net zolang tot je het wel goed op het netvlies hebt. Daarom dien ik zo vaak een Wob-verzoek in bij het NCSC. Het NCSC moet dus niet vragen om meer mandaat of macht, maar om informatie.
