Het Nationaal Cyber Security Centrum (NCSC) heeft de afgelopen jaren zo'n dertig keer ip-adressen, gebruikersnamen en e-mailadressen buiten de wettelijke bevoegdheid om met organisaties gedeeld om cyberaanvallen te voorkomen. In sommige gevallen werden organisaties telefonisch ingelicht, bijvoorbeeld bij een op handen zijnde ransomware-aanval. Dat laat minister Yesilgöz van Justitie en Veiligheid aan de Tweede Kamer weten.

Primair heeft het NCSC als taak om vitale aanbieders en organisaties binnen de rijksoverheid te informeren en adviseren over digitale dreigingen en incidenten én daarvoor analyses en technisch onderzoek te verrichten. Het NCSC beschikt hierdoor regelmatig ook over informatie over digitale dreigingen of incidenten die relevant is voor andere aanbieders. Die informatie kan momenteel echter niet altijd worden verstrekt aan die andere aanbieders of hun schakelorganisaties, omdat de wet hier nog niet de basis voor biedt.

Nu laat Yesilgöz weten dat sinds mei 2019 zo'n dertig keer in ruimere zin dan wettelijk mogelijk informatie is gedeeld met schakelorganisaties of individuele andere aanbieders. In de meeste gevallen gaat het alleen om ip-adressen. Zo ontving het NCSC informatie van een buitenlandse partner over een ip-adres van een gecompromitteerd Nederlands bedrijf dat actief werd misbruikt. Het NCSC waarschuwde daarop het bedrijf.

Politieke partijen

Bij een ander geval ontving het NCSC informatie van een samenwerkingspartner over Nederlandse domeinen die besmet bleken met de Emotet-malware. In bijna alle gevallen ging het om systemen die onderdeel van het Emotet-botnet uitmaakten. In dit geval besloot het NCSC onder andere een niet nader genoemde politieke partij te informeren.

Het NCSC trekt vaker aan de bel bij politieke partijen. Vorig jaar mei besloot de overheidsinstantie vier organisaties rechtstreeks te informeren over kritieke kwetsbaarheden in de Exim-mailserversoftware. Het ging om twee politieke partijen, een provincie en een veiligheidsregio. Verder werd eind september een scholengemeenschap over een malwarebesmetting ingelicht en besloot het NCSC eind maart nog Nederlandse hostingproviders direct te waarschuwen voor een beveiligingslek in de Redis-software.

"Het NCSC heeft in deze gevallen de informatie beperkt tot de informatie die noodzakelijk is om de aanbieder de directe dreiging weg te kunnen laten nemen. Het ging hierbij bijvoorbeeld om gegevens die het systeem omschrijven, zoals naam van het softwareproduct, ip-adres en poortnummer. Bij een (op handen zijnde) aanval, bijvoorbeeld van ransomware, maakt deze informatie het mogelijk om het besmette systeem of systemen te vinden of om een aanval af te wenden", aldus Yesilgöz.

In april stuurde de minister een wetsvoorstel naar de Tweede Kamer dat het mogelijk maakt voor het NCSC om niet alleen vitale bedrijven, maar ook niet-vitale ondernemingen gericht te informeren en te adviseren over kwetsbaarheden, dreigingen en incidenten. In afwachting van de nieuwe wet heeft Yesilgöz besloten dat het NCSC in noodsituaties dreigingsinformatie met niet-vitale bedrijven en organisaties mag delen.