Welkom terug bij het symposium Opstap naar weerbaarheid van Agentschap Telecom.
De derde sessie alweer. Eelco, waar gaan we het over hebben in deze sessie?
Bedrijven opereren in ketens, in verbanden. En bedrijven zijn gaan digitaliseren.
Dat betekent ook dat de verbanden tussen bedrijven digitaal worden.
En je weet wat ze zeggen over ketens. Die zijn zo sterk als de zwakste schakel.
Dus op het moment dat je bedrijven onderling afhankelijk maakt...
wordt ook digitale weerbaarheid afhankelijk van wat andere organisaties doen.
Kortom, we moeten heel hard aan de slag om uitval te voorkomen.
Uitval voorkomen is natuurlijk altijd goed, daar moeten we meer aandacht aan besteden.
Maar het gaat ook een keer mis. En wat doe je dan?
Want als je afhankelijk bent van anderen in jouw keten...
van leveranciers, misschien van klanten of leveranciers van leveranciers...
dat heb je niet meer zelf in de hand, dus dat is best lastig om te organiseren.
Ja, wat moeten we daaraan gaan veranderen?
Dat is eigenlijk een mooie vraag voor de sprekers aan tafel.
Laten we die maar stellen dan, zo meteen. -Is goed.
We gaan het hebben over dat herstelvermogen in het ecosysteem, zoals we dat mooi noemen.
Dat doen we in de studio weer met onze sprekers.
Maar niet alleen met die sprekers aan tafel...
want jij bent onze sidekick eigenlijk vandaag, Eelco. Wat ga jij doen?
We hebben natuurlijk heel veel mensen die kijken naar dit symposium.
En ik heb het liever over deelnemers en niet over kijkers.
Want jouw bijdrage aan dit symposium vinden we ontzettend belangrijk.
En we nodigen je ook uit om te reageren.
Nou, hoe gaat dat dan? Jij ziet ons in beeld in dit videoscherm.
Daaronder staat een klein venster met allerlei berichten.
Heb je nou een vraag aan één van de sprekers, of een opmerking.
Of een bijdrage aan de discussie of een correctie, wat dan ook, type het in de chat.
We hebben een heel team van moderatoren die die vragen beantwoorden.
Als het een leuke vraag is voor de sprekers aan tafel...
krijg ik hem in beeld en ik ga inbreken in het gesprek aan tafel.
Excuses, Annemarie. -Je gaat ons een beetje hacken.
Precies. Ik ga de vragen van de deelnemers namens jou stellen hier aan tafel.
En daar zal ik veel gebruik van gaan maken, dus maak vooral gebruik van de chat.
En daarnaast gaan we ook enthousiast gebruik maken van peilingen, van polls.
Maar dat leg ik wel uit als we er een gaan doen.
Het belangrijkste is: Neem vooral deel. -Precies.
Laten we beginnen.
Ja, welkom terug. We gaan het dus hebben over het herstelvermogen...
van ecosystemen, van netwerken.
Onze veiligheid in netwerken, de eigenschappen van die netwerken...
en ook over de rol die bedrijven daarin hebben.
Grote bedrijven, vooral ook die duizenden kleine bedrijven...
want die zijn minstens zo belangrijk. Van de theorie naar de praktijk.
Wat is nou een netwerk? Wat is de rol van toezicht?
Hoe belangrijk is onderzoek eigenlijk en dan de praktische invulling.
En dat doen we vandaag met ASML en Siemens.
Bij mij aan tafel inmiddels aangeschoven. Jullie zaten hier al lekker.
Ik kom hier buiten adem aanrennen. Zitten jullie een beetje lekker, heren?
Zeker. -Ik ga jullie even voorstellen.
Piet Bel, Senior Security Alliance Manager van ASML. Welkom.
Goedemiddag. -En dan hebben we ook Ivo van Nimwegen.
CISO van Siemens Nederland. Ook welkom. Fijn dat je erbij bent.
En André Smulders, Strategisch Adviseur Information Security van TNO. Welkom.
En ook bij ons aan tafel, Ton Verbon.
Specialistisch Inspecteur Digitale Weerbaarheid van Agentschap Telecom.
Fijn dat je erbij bent. Welkom. -Dank je wel.
Ton, ik wil even beginnen bij jou, want jij zit hier vanuit je rol als toezichthouder.
We hebben het vandaag al een paar keer gehad over de rol van Agentschap Telecom.
Maar wat houdt dat inspectiewerk nou in? Waar hou jij toezicht op...
als we het hebben over netwerken en veiligheid?
Ja, klopt.
Ik werk bij de afdeling digitale weerbaarheid als specialistisch inspecteur.
En je moet het eigenlijk zo zien dat partijen waar wij toezicht op houden...
die hebben op een of andere manier altijd weer relaties met anderen.
En in die insteek...
zitten wij hier eigenlijk ook. Wat is precies de relatie tussen de partijen...
die aan de ene kant onder ons toezicht vallen...
en tegelijkertijd ook de partijen waar zij weer iets mee doen.
Dus heel logisch dat jij hier bij ons zit...
in deze sessie over het netwerk, de ecosystemen.
André, jij doet onderzoek naar die ecosystemen.
Waar doe je dan precies onderzoek naar? -We doen verschillende soorten onderzoek.
In het kader van ecosystemen en netwerken kijken we vooral naar...
hoe kun je verschillende perspectieven van zo'n leveringsketen of netwerk zien?
En het verschil tussen keten en netwerk, en dan heb ik het over organisaties, is...
ik kan een organisatiestructuur in een keten zien.
Dus wat Ton ook zegt, ik heb een afnemer...
die neemt wat af van een partij die erachter zit.
Daar zit weer een partij achter en dan weer een partij.
Dat kan best een lange keten zijn. Waar stopt dat? Dat is één vraag.
En het wordt nog wat complexer, want die partij die in die keten zit...
die heeft zelf ook allemaal leveranciers en als ik dat plaatje pak, organisatorisch...
kom ik heel snel op een netwerk af en dan is het helemaal de vraag: waar stopt dat?
En dan zie je dus ook allerlei onverwachte afhankelijkheden...
want partijen in verschillende ketens...
onderling misschien weer van eenzelfde partij afhankelijk zijn.
Dat zie je ook in allerlei incidenten terugkomen.
Dat is één, dat organisatieperspectief, hoe kijken we daarnaar?
En het andere wat we met ketens doen, vooral vanuit cybersecurity perspectief...
je kan vanuit het perspectief kijken van software.
Je krijgt software uit die keten of dat netwerk. Wat zit daar precies allemaal in?
Maar het kan ook uit het perspectief: Hoe kijk ik naar de diensten uit die keten?
Of ik krijg digitale informatie uit de keten.
En de conclusie is eigenlijk, als je met partijen over keten risicomanagement...
of netwerkbeheersing praat, check dan even over welk perspectief je het hebt.
Organisatorisch perspectief, technisch, software, diensten of iets anders?
Onze ervaring is dat dat in standaarden en toepassingen nogal uiteen loopt.
Inderdaad. Zorg dat je dat samen helder hebt als netwerk.
Piet, we kennen ASML als een boegbeeld van de Nederlandse hightech industrie.
Maar wat doet ASML eigenlijk met netwerken en veiligheid?
En wat doe jij bij ASML dan?
Dank voor het compliment dat ASML een boegbeeld is.
ASML maakt, zoals heel veel mensen weten hele complexe machines.
Die maken ze samen met ketenpartners, met partners waarmee we samen innoveren.
En dat zijn er al 5000, meer dan 5000 zelfs...
die allemaal een stukje van de hele complexe puzzel maken.
En al die bedrijven hebben toegang...
tot, laat ik zeggen onze moeilijke tekeningen, onze kroonjuwelen.
En een ketting is zo sterk als de zwakste schakel.
Als deze partner niet de juiste beveiligingsmaatregelingen neemt...
raken wij onze bedrijfsgeheimen kwijt. -Ja.
Een aspect wat zeer recent, nieuw is aan de hele discussie...
het is niet zozeer dat we onze bedrijfsgeheimen kwijtraken...
maar we zien steeds meer dat bedrijven gehackt worden met ransomware.
En of je dan zelf de juiste maatregelen hebt, is niet zo effectief...
want als zo'n klein bedrijf niet die maatregelen neemt, dan wordt hij gehackt...
en kan ie niet meer op maandagochtend die vrachtwagen met spullen afleveren bij ons.
Waardoor bij ons de productie in gevaar komt.
Dus je bent afhankelijk van de leveringszekerheid van je ketenpartners.
Kortom, een belangrijk onderdeel hier. -Ja, een belangrijk onderdeel.
En security en leveringszekerheid zijn zeer belangrijke onderdelen...
van onze inkoopstrategie. -En wat doe jij dan bij ASML?
Ik probeer met die ketenpartners, ketenpartners zijn enerzijds mensen die...
Laat ik zeggen, het hele ecosysteem op een hoger plan te brengen qua security.
Ketenpartners zijn enerzijds maakbedrijven.
Anderzijds mensen die software maken voor ons.
Weer anders, mensen die op universiteiten dingen uit proberen te vinden.
Toekomstige kennis. Maar tegelijkertijd zien we toch ook...
dat er heel veel andere bedrijven zijn die wellicht ervaring hebben...
die wij kunnen gebruiken als wij gehackt worden.
Of als wij ervaring hebben en wij zien dingen gebeuren bij collega-bedrijven...
kunnen we ze helpen.
En het derde aspect, wat ik nog niet heb toegelicht, is...
hoe helpen we de Nederlandse overheid? Hoe kunnen we de BV Nederland helpen?
Ik maak vaak een vergelijking.
We zijn met een aantal grote bedrijven met respectabele cybersecurity afdelingen.
Als je op een slimme manier al die security afdelingen bij elkaar brengt...
als er een incident is in Nederland, zouden we onder coördinatie van de overheid...
wellicht de BV Nederland een stukje kunnen helpen.
Het Nederlands belang. -Mooie ambitie.
Ik ga even naar Ivo, want wat doet Siemens ook alweer?
Iedereen kent de naam. Volgens mij doen jullie een heleboel.
En waarom zijn ketens uiteindelijk belangrijk voor Siemens?
Siemens is inderdaad een wereldwijd technologie bedrijf.
We hebben zo'n 300.000 medewerkers. We zitten in 200 landen.
En wij richten ons met name op het digitaliseren en automatiseren...
van de industrie, van de infrastructuur, mobiliteit en gezondheidszorg.
En ik denk dat er geen keten te bedenken is...
waar Siemens geen onderdeel van is op een of andere manier.
Dus jullie moeten je eigenlijk overal wel een beetje in mengen.
In iedere keten zo'n beetje. -Precies.
En wat doe jij dan binnen Siemens?
Ik ben binnen Siemens Nederland verantwoordelijk voor cybersecurity.
Ik hou me vooral bezig met het beschermen van Siemens zelf tegen cyberdreigingen.
En ik bewaak ook dat we de oplossingen die we leveren aan klanten...
dat we dat veilig doen.
Helemaal helder. Twee toonaangevende partijen dus ook aan tafel.
Laten we even kijken en pijlen hoe de deelnemers thuis daarnaar kijken.
Eelco, we hebben volgens mij weer een poll klaarstaan.
Ja, dat klopt. Want de partijen die hier aan tafel zitten...
hebben allemaal een eigen rol als toezichthouder of als leverancier...
of uit de maakindustrie. De pollvraag werkt als volgt:
Er komt een stelling in beeld, die staat als het goed is nu onder dit videoscherm.
Verschijnt de poll niet, komt dat misschien omdat je de video in fullscreen bekijkt.
Dan maak je hem even wat kleiner, zie je de pollvraag verschijnen.
Het is een multiple choice, vier antwoorden.
De antwoorden zijn natuurlijk nooit helemaal passend.
We hebben er natuurlijk stiekem wat lastige antwoorden bij gemaakt.
De pollvraag luidt: Wie draagt de zwaarste last om ketens veilig te houden?
Optie A: Zijn dat de bedrijven die diensten of producten aanleveren?
Is dat B: De afnemers van die bedrijven?
De afnemers die diensten gebruiken of de eindgebruikers, dus jijzelf?
Is dat misschien de overheid, antwoord C.
Of is dat heel iemand anders, optie D.
En als je kiest voor D, zet dan eventjes in de chat wie je daarmee bedoelt.
We hebben weinig tijd voor de antwoorden.
Dus pak je muis en klik op A of B of C of D.
Het antwoord dat het beste in de buurt komt van wat jij denkt dat het antwoord is.
Ik zie al wat mooie antwoorden binnenkomen.
Ongeveer twee derde zegt dat bedrijven die producten en diensten leveren...
eigenlijk de zwaarste last hebben om die hele keten veilig te houden.
Ongeveer 40 procent zegt dat de gebruikers, de afnemers...
degenen zijn die de zwaarste last dragen.
En heel weinig mensen zeggen dat de overheid de belangrijkste rol heeft.
Of dat het heel iemand anders is. Jammer, want dan missen we je opmerking in de chat.
Nou, dus een zware last voor jullie twee in ieder geval, hoor ik hier. Toch?
Ja, dat herken ik wel. -Die zware last voel je ook wel?
Ja, zeker. -Piet ook?
Op een andere manier, want wij verkopen niets aan consumenten.
We verkopen onze chipmachines, we maken geen chips...
maar machines om chips te maken, aan de fabrikanten van chips.
Maar wat we wel doen is, we zijn afhankelijk van die keten...
en wij nemen de regiefunctie om die keten achter ons veilig te krijgen.
Dus op die manier hebben we natuurlijk een belang dat wij dat doen.
Maar anderzijds, als we achteraan kijken, Apple is uiteindelijk een klant van ons.
En die stelt dezelfde vragen aan ons.
Ik denk dat iedereen gedeelde verantwoordelijkheid heeft.
Neem die verantwoording, wacht niet tot de overheid dat doet.
De overheid kan een regiefunctie krijgen.
De NIS2 wet komt eraan, dat is een hele goede.
Maar ik denk dat bedrijven dat zelf moeten doen.
Ton, ik wil even naar jou. -Ik ga je even onderbreken, excuus.
Michael zegt: Het is natuurlijk een gedeelde verantwoordelijkheid.
Die optie stond er met opzet niet tussen om de discussie scherp te houden.
Jeroen merkt op: Eigenlijk zou er een ketenpolitie moeten zijn.
Kijk ik toch een beetje richting Ton. En Erik zegt: Het NCSC zat net aan tafel.
Heeft die geen belangrijke rol om de ketens veilig te houden?
Ik zag André net heel hard schudden toen je het over Ton had.
Als ik mag reageren, een ketenpolitie werkt als je in een hele strakke keten zit.
Dus dat model werkt wel als je een hele strakke keten hebt.
En iemand als basis van die keten, die hele keten kan sturen.
Ik denk dat dat voor een netwerk, een ecosysteem heel anders werkt.
Dan is de vraag: Welke partij kan op het ecosysteem de meeste invloed uitoefenen?
Wat vind jij eigenlijk? -Ik denk dat het inderdaad ook klopt.
Maar ik denk wel dat ook de wetgever tegenwoordig eigenlijk steeds meer ziet...
dat het wel die kant op gaat, dat is eigenlijk de verantwoordelijkheid...
dat het meer een soort brede verantwoordelijkheid is.
dus niet alleen de verantwoordelijkheid van een paar partijen.
Dus er wordt ook wel steeds meer gekeken naar leveranciers...
en naar allerlei partijen die op één of andere manier daar een rol in spelen.
Iedereen moet z'n eigen verantwoordelijkheid nemen.
Ja, en dat wordt dus steeds minder vrijwillig.
En het wordt steeds meer met wetgeving op één of andere manier afgedwongen.
Ik denk dat het een utopie is dat er nooit storingen in een keten zullen zijn.
Ik denk dat je er ook met z'n allen op voorbereid moet zijn...
dat er gewoon verstoringen zullen zijn. Dus je moet je als bedrijf voorbereiden.
Wat is ons plan B als er wat misgaat?
Ja, precies. -Mag ik daar nog verder op reageren?
Wij als groot bedrijf moeten aan allerlei compliance-gerelateerde domeinen voldoen.
Wij moeten garanderen dat we geen zwart geld hebben, belasting betalen...
geen kinderarbeid, conflict minerals, geen milieuvervuiling.
Bij ons, maar ook bij onze ketenpartners.
Als je die lijn doortrekt, zeggen wij ook...
als onze ketenpartners dus geen security hebben of niet voldoende...
hebben wij daar de verantwoording voor, dus wat wij doen...
een deel van onze inkoopvoorwaarden gaan over alle aspecten die je net noemde.
Staat ook heel duidelijk in: Die zaken moet je regelen op security.
Anders hebben we een moeilijk gesprek met de afdeling inkoop.
Dan kun je dus twee dingen doen.
Je kunt weglopen bij die leverancier die zijn zaakjes niet op orde heeft.
Doen we niet. We gaan ze helpen. -Ja.
We gaan proberen om die toeleveranciers te helpen...
hun security stapje voor stapje omhoog te brengen.
Volgens onze bedrijfsprincipes: Challenge, Collaborate en Care...
probeer je ze te helpen en als ze de juiste dingen doen...
kunnen ze ook rekenen op onze steun als het misgaat.
Dan proberen we niet op hun stoel te gaan zitten, maar ze terzijde te staan met:
Heb je hieraan gedacht, doe dit, doe dat, heb je hieraan gedacht?
Dus eigenlijk coachen. -Coachen.
En op die manier neem je verantwoording om dat ecosysteem veiliger te krijgen.
Zou je dan ook de verantwoordelijkheid bij de andere partij kunnen leggen?
Paul merkt op dat we niet helemaal richting het Amerikaans model zouden moeten gaan...
maar je kan aansprakelijkheid wel als instrument inzetten...
om die keten verantwoordelijkheid te geven waar die het makkelijkst gedragen wordt.
Wat vind je daarvan? -Dat zijn twee verschillende dingen.
Ik praat eigenlijk nooit in termen van verantwoordelijkheid...
maar over welk belang heb je bij die keten?
Wat Piet ook terecht zegt: Als die partijen hun spullen niet op orde hebben...
hebben we daar last van. We hebben er belang bij...
De een heeft er meer last van dan de ander. -Ja, precies.
En als je er belang bij hebt om in dat ecosysteem de dingen op orde te krijgen...
zodat jij je werk beter kan doen, dat kan je verantwoordelijkheid noemen.
Het gaat om liability. Als partijen zaken niet op orde hebben, zijn ze aansprakelijk.
Een heel ander soort verantwoordelijkheid dan elkaar aanspreken.
En ik denk dat dat meer secundair zou moeten zijn.
Je moet in deze moeilijke setting gewoon samenwerken, je kan het niet alleen doen.
En dingen afdwingen met een stok, zou ik even als laatste optie nemen.
Ik ga toch wel even naar die stok, want Ton...
op wat voor soort bedrijven hou jij eigenlijk toezicht?
Wij houden met name toezicht...
op partijen die zijn aangewezen als essentiële dienst.
Dat betekent dat je op een of andere manier...
een vitale functie hebt in de Nederlandse maatschappij.
Dat kan al zijn een energieproducent of een netbeheerder of noem maar op.
En zo heb je er best wel wat. En het worden er ook steeds meer.
Maar wat wij eigenlijk zien, op het gebied van leveranciers...
wat wij altijd vragen is: Hoe zorg je ervoor...
dat jouw essentiële dienst secure is? Dus dat dat veilig is?
En dan komt het vrij vaak voor...
dat partijen van alles laten doen door anderen.
En dan denk je: Nou, dan moet je even uitzoeken wie dat zijn.
En dan is het eigenlijk klaar, zeg maar.
Maar daar komt eigenlijk deze slide bij om de hoek kijken...
want eigenlijk is de complexiteit van dit probleem...
dat het niet gaat om één leverancier. -Dit kom je in de praktijk tegen.
Ja, dus daar zitten ook weer allerlei andere leveranciers achter.
Je hebt er vaak meerdere.
Hier staan er vier, maar in de praktijk heb je er natuurlijk echt wel meer.
Vaak heb je ook te maken met niet alleen de uitvoering van je eigen essentiële dienst.
Maar vaak gaat het ook om partijen die jij misschien niet ziet als leverancier...
maar die wel een invloed kunnen hebben op jouw essentiële diensten.
Zeg bijvoorbeeld iemand die jouw data ergens opslaat.
Hiervoor hebben we elkaar allemaal wat stukken toe gemaild.
Nou, dat komt allemaal van één bepaalde aanbieder af.
Dus die maakt gebruik van programma's en al die data staat ook weer ergens.
Dus dat is eigenlijk ook 'n soort leverancier.
Zo krijg je heel simpel ook wel eens de discussie: Ik gebruik Teams, jij Google.
Wat doen we? Wie heeft het veiligste systeem?
Ja, dus als je dan in een netwerk zit...
dan is het juist handig als dingen meer samenkomen.
Dus de een gebruikt Teams, de ander Google en weer een ander heeft weer iets.
Meestal zie je dan dat er één partij is die steeds groter wordt...
omdat dat ook steeds meer voordelen heeft.
Dus dat is ook weer een van de effecten van zo'n netwerk.
Maar dat betekent ook dat je weer moeilijker afspraken kunt maken.
En zo heb je allerlei van dit soort effecten...
die je in traditionele ketens in principe minder ziet.
Dan heb je meer een soort lineaire functies.
Stel je voor dat er ergens in het begin iets misgaat.
Vanwege de pandemie, of zo, dat iemand iets niet kan leveren.
Daar heb je uiteindelijk ook wel last van...
maar dat propageert wat anders en wat langzamer.
En als je het hebt over zo'n netwerk, dan heb je het meer over onverwachte zaken...
die in één keer meer plat kunnen leggen dan je lief is.
En dan kom je meer op het werk wat wij dus ook doen...
want dan kan het ook best wel zijn dat je essentiële dienst op zijn kont ligt.
Maar hoe ver kijk je dan? Hoe ver reikt dat toezicht dan?
Is dat alleen die energiemaatschappij of ook de schakels die eraan vast hangen?
Dat is ook een vraag van Joepke, die maakt in de chat terecht de opmerking...
heel veel van die ketens gaan over landsgrenzen heen.
Wat doe je dan met internationale partijen? -Hoe ver kan je daar toezicht op houden?
Landsgrenzen, dat is inderdaad wel lastig.
Dat heeft inderdaad iets te maken met, wat is dan de reikwijdte van je wetgeving?
Dan kom je eigenlijk meer terecht in samenwerking.
Maar dat is inderdaad wel langer. Maar als we het hebben over...
even de complexiteit wegsnijden van andere landen...
dan vragen we in ieder geval wel...
in hoeverre jouw eigen dienst, essentiële dienst...
dat die afhangt van levering van anderen. -Dus je moet dat wel verantwoorden?
Ja, daar zit een soort verantwoordelijkheid in, dat je aan ons kunt uitleggen...
hoe jouw risicoprofiel past op de risico's die je neemt...
bij het laten uitvoeren van jouw eigen dienst door iemand anders.
Dus als we hebben over aansprakelijkheid...
leggen jullie dat dan neer bij die derde partij of bij die energiemaatschappij?
Bij die energiemaatschappij. Die is dan verantwoordelijk...
om het risicomanagement zodanig uit te voeren dat hij al dit soort aspecten...
Daar hoor ik het verhaal van Piet ook voorbij komen hierin een beetje, denk ik.
Ja, bij ons maken landsgrenzen niets uit. Wij kopen wereldwijd.
En de vragen die wij stellen zijn hetzelfde in Nederland, Duitsland of Amerika.
Natuurlijk zijn de lokale wetten altijd leidend.
Maar dit soort vraagstellingen met toeleveranciers stel je internationaal.
Sterker nog, naar toeleveranciers, we beseffen dat wij middenin de keten zitten.
Want onze klanten stellen weer vragen aan ons.
Dus we proberen die dingen aan elkaar te binden.
Ons initiatief is enerzijds richting toeleveranciers...
en anderzijds naar onze klanten: Werk samen. Ben daar open in.
Spreek duidelijke standaarden af...
dan komt het meestal wel goed als je de dialoog herstart.
Dat sluit goed aan bij een opmerking van Dick. Die zegt:
Ketens, we zeiden het al, zijn zo sterk als de zwakste schakel.
ASML zit in het midden van zo'n keten.
Dick vraagt aan Piet: Waar zit nu de zwakste schakel?
Piet, waar zit volgens jou de zwakste schakel in deze keten?
Wat ik net vertelde in de introductie, op twee manieren:
Als een bedrijf niet voldoende security maatregelen neemt...
en de data beschermt die ze van ons krijgen, dan raken wij die data kwijt.
Dat is één. En twee, als ze niet voldoende maatregen nemen tegen ransomware...
dan hebben wij een probleem. Nou, ransomware is iets cyberachtigs.
Zelfde geldt voor brand, als een bedrijf afbrandt, hebben wij hetzelfde probleem.
Dus dan praat je over andere kwetsbaarheden.
Als je geen brandblussers hebt, kan een brand het bedrijf afbranden.
Nou ja, dan hebben we hetzelfde probleem.
Antwoord geven is: Neem de juiste basismaatregelen.
Daar zijn we heel eerlijk in, gebaseerd op ISO-normen, op NIS-normen...
kun je dat gewoon heel eerlijk verifiëren, vraag 1, 2, 3.
Een kind kan de was doen. Maar je moet het wel doen.
Ja, dat is belangrijk. -Niet alleen, dat is 'n les die we geven...
niet alleen voor een dubbeltje op de eerste rang willen zitten, alleen maar knijpen.
En wat wij steeds meer als boodschap geven aan onze toeleveranciers...
dan zeggen we: Jullie doen dit voor ons.
Wij willen eigenlijk dat jullie hetzelfde gaan doen...
naar jullie toeleveranciers, want jullie zijn ook in de keten.
Jullie leren van ons en dat nemen jullie weer mee in...
Door dat te doen, krijg je een soort sneeuwbal die steeds groter wordt.
Nou, en een ander punt... -Maar zie je ook dat dat gebeurt?
Want dit klinkt natuurlijk als de ideale wereld.
Laat ik het zo zeggen, als ik hier een jaar geleden had gezeten, had ik gezegd:
Ik zie nu, een jaar later heel veel mensen, collega's uit de industrie...
die zeggen: Hoe doen jullie dat?
En als we hier volgend jaar weer zouden zitten, zeg ik:
Die doet het, die doet het, maar wel...
denk ik dat wij wel een stukje vooroplopen in dat soort dingen.
Maar ik denk ook dat de wetgeving hiermee gaat helpen, met NIS2 die er aankomt.
En die gaat echt vergaande eisen stellen op het gebied van supply chain.
Risk management, dus straks heb je de vitale en de essentiële diensten.
Maar die worden wel verplicht via die wet om hun keten in de grip te gaan houden.
Dus je kunt gewoon verwachten dat bedrijven die onder toezicht staan...
in hun contractvoorwaarden gaan opnemen...
dat zij hun toeleveranciers aan eisen gaan houden.
Dus zo gaat er denk ik wel een soort sneeuwbaleffect ontstaan.
Ja, want die NIS2, wat houdt dat verder allemaal in?
Het toezicht wat we nu dus doen, doen we eigenlijk op basis van de NIS1.
Gewoon de NIS zoals ie er nu is.
Die is omgezet in de Wbni. -Ik hoor heel veel afkortingen.
Heel veel mensen denken: NIS? Wat is dat? Network & Information Security Directive.
Dus eigenlijk een Europese richtlijn.
Dat betekent dat Europa niet helemaal precies voorschrijft...
wat de lidstaten moeten doen, maar wel dat ze ongeveer de richting aangeven.
Een soort basis. -Ja, een soort van basis.
Lidstaten moeten dat dan weer omzetten in een eigen nationale wet.
Die nationale wet bij ons heet dan de Wbni...
Wet Beveiliging Netwerk- en Informatiesystemen.
Dat kun je ook de cybersecuritywet noemen. -Een stuk makkelijker.
Zo heette hij eerst, maar die is veranderd in Wbni.
Dan heb je de NIS2 die er dus aankomt.
En dat betekent eigenlijk dat er dus meer partijen onder ons toezicht vallen.
Maar ook dat er een aantal extra eisen bijkomen.
Een van die eisen is, wat jij ook zegt...
in je eigen risicomanagement moet je ook rekening houden met leveranciers.
Als we dan toch bezig zijn over dit soort wetten en regels...
dit zijn meer de regels vanuit het toezicht.
Dus vanuit hoe je toezicht houdt op de processen bij organisaties.
Maar je hebt ook nog andere soorten regels...
en dat gaat meer over de producten die je kunt kopen.
En daar komen ook weer een aantal afkortingen, CRA en CSA.
Je kunt dit webinar trouwens terugkijken.
Mocht je straks denken: Ik kan het niet mee schrijven.
Dat is dan weer een Cyber Resilience Act en een Act is in zoverre anders...
dat vanuit Europa opgelegd wordt wat lidstaten moeten doen.
En daarin staan alle eisen opgenomen voor producten die je kunt kopen hier.
En alles wat dus aan het internet hangt.
Kun je bijvoorbeeld denken aan camera's of zoiets.
En daar heb je dan een soort van basislaag aan security die er dan in zit.
Dus van beide kanten wordt eigenlijk wel nagedacht...
over hoe dit hele verhaal veiliger kan. -Dus volop toezicht.
En Annemarie, onze vriendelijke moderatoren hebben in de chat...
een link gezet naar de website van Agentschap Telecom...
waar je meer informatie kan vinden over die wetgeving.
Als mensen denken: Jeetje, moet ik niet mee schrijven...
het kan gewoon op de website, het linkje staat dus in de chat. Dank je wel, Eelco.
Ik ben ook wel benieuwd, Ivo naar wat jullie perspectief is...
op die ketens van Siemens. -Wat wij doen, wij automatiseren.
Als je het platslaat, automatiseren en digitaliseren wij fysieke objecten.
Denk aan bruggen, sluizen, machines.
Energienetten, gebouwen. En daar zien we eigenlijk twee dingen in.
Ten eerste zien we dat onze ketenafhankelijkheid steeds groter wordt.
Omdat we steeds vaker in ketens acteren en samenwerken in ketens.
Dus dat is een. Dus het wordt steeds belangrijker.
Het tweede wat wij zien is dat de impact van cyberincidenten aan het toenemen is...
in de ketens waar wij in zitten en dat komt met name door het fysieke aspect.
En je kan je voorstellen, een datalek is natuurlijk heel schadelijk en vervelend.
Maar stel je voor als je een besmetting hebt van een waterinstallatie...
of een energievoorziening wordt platgelegd, dat dat toch echt wel iets anders is.
En dat is ook de reden waarom wij dit zo'n belangrijk aspect vinden.
Ja, en je had er ook een slide over meegenomen?
Ja, dus je ziet hier, dit is onze slide waarin wij laten zien...
we verbinden de echte wereld met de digitale wereld.
En dat doen wij op heel veel verschillende domeinen.
En daar helpen wij onze klanten mee, dat klopt.
Ga ik ook nog even naar Piet, want die had ook een slide meegenomen, of niet?
Heb je ook een plaatje? -Ja, van de machines die je nu ziet.
Die steeds groter worden, maar ze worden nog groter.
Maar ik heb een ander plaatje van de complexiteit van dat ecosysteem.
En op dit plaatje wat je nu ziet...
zie je vrij schematisch, de complexiteit van partijen waar we mee samenwerken.
In de realiteit zijn het er 5000, zoals ik vertelde.
En al die mensen heb je nodig om die complexe technologie te maken.
Precies, dus het beheer van dat netwerk. -En helaas bestaan spionage en cybercrime.
En die proberen letterlijk de zwakste schakel in zo'n keten op te zoeken.
Dus je kunt niet volstaan met zeggen: Ja, maar wij hebben het goed.
Ja, maar bij die anderen dan?
Dus ik denk dat dat realisme bij heel veel bedrijven gaat komen.
Heel veel bedrijven beginnen na te denken dat ze bestaan bij de gratie van een keten.
Nu hoor ik wel heel veel mensen die zeggen: Ja, maar...
we checken eigenlijk voornamelijk de IT-componenten.
Dat is het makkelijkste, omdat er heel veel mensen in deze wereld zitten uit de IT.
En mijn pleidooi is, ga vooral verder dan IT-levels.
Ga vooral naar de leveranciers van halffabricaten.
Ga daar kijken. -Waarom?
Waarom? Er zijn winkelketens...
die een tijdlang bepaalde voedingsmiddelen niet konden leveren, kaas in dit geval.
Omdat hun kaasboer gehackt werd. Ja, dat is lastig.
En ik weet zeker dat dat grote winkelbedrijf daar heel goed over nadenkt.
Hoe zijn ze afhankelijk van één van die leveranciers.
Van kaas, van melk, van eieren, van vlees. En dat je daarover na moet denken.
Ze hebben ongetwijfeld vergaderd over dat ecosysteem na dat kaasincident.
Maar goed, we zijn allemaal ecosystemen.
Vroeger deed één bedrijf alles en nu niet meer.
Vaak ben jij de, hoe heet dat, de conductor van een orkest.
En zo zien wij onszelf dus ook op security gebied.
Ik zie in de chat heel veel opmerkingen voorbijkomen over ASML.
Mensen die toch wel enthousiast worden over hoe ASML dat regelt met toeleveranciers.
Maar ook wel een kritische opmerking van Jeroen, die zegt:
Als ik kijk naar hoe het in mijn omgeving werkt...
met de leveranciers waar ik ervaring mee heb...
dat dubbeltje op de eerste rang herkent hij heel sterk.
Ze focussen vooral op ontwikkeling en omzet, minimale kosten en maximale winst.
Dat blijft toch dweilen dan met kraan open voor ketenveiligheid.
Piet, hoe zie jij dat? -Bij ons is dat heel simpel.
Dat zou bij ons ook zo kunnen.
Echter, wij zijn ervan overtuigd, van laag tot de top dat security heel belangrijk is.
En als de toon aan de top goed is, dan volgt de rest vanzelf.
Ja, precies. -We zijn er vrij duidelijk in, vrij open.
En dan zeg ik ook: Het is heel simpel, dat voorbeeld wat ik net gaf.
Sustainability, belasting ontduiken, kinderarbeid, mag allemaal niet.
Dat laten we zien en dat is gewoon een doodzonde en dat accepteert iedereen.
Waarom accepteert iedereen niet dat cybersecurity belangrijk is?
Nou, als je dat maar gewoon consequent uitlegt...
en als iemand zegt: Dan ga ik naar je baas, prima, dan krijgt ie hetzelfde verhaal.
En als je het dan consequent doet, gaan mensen gewoon inzien...
dat dit gewoon een belangrijk onderwerp is...
want men wil graag aan ons blijven leveren.
Dat is geen stok om te slaan, maar men wil graag aan ons blijven leveren.
Nou ja, en dan hoort die voorwaarde erbij. Punt.
Ivo, ik ga even naar jou, want hoe doen jullie dat als Siemens?
Hoe zorgen jullie ervoor dat je dat netwerk beheert waar je kan?
Dat is best een uitdaging, natuurlijk. En dat kunnen wij ook niet alleen.
Daarom heeft Siemens in 2018...
het initiatief genomen om de Charter of Trust op te richten.
Daar is geloof ik ook een slide van.
Dat is een gezamenlijk initiatief van een aantal grote bedrijven en partners...
dat 10 principes hebben opgesteld om een veilige digitale wereld te creëren.
Nou, als je kijkt naar principe twee, dat gaat specifiek over ketens.
Daar heeft Siemens samen met de Charter of Trust een praktisch model uitgewerkt.
Hoe kun je nou je keten in beheer krijgen? Dat passen wij natuurlijk ook zelf toe.
Dat betekent ook dat wij, net als ASML...
in onze algemene inkoopvoorwaarden onze cybersecurity eisen hebben opgenomen.
En we hebben ook een platform en een methode ingericht...
om onze leveranciers te kunnen ranken en te kunnen beoordelen op hoe zij het doen.
Ja, precies, dus je zet het in die voorwaarden...
maar je checkt het eigenlijk ook nog. -Ja, absoluut.
Verder kijken we ook naar onze productontwikkeling.
Wij zorgen in onze productontwikkeling dat wij in onze Quality Gates...
hebben opgenomen het thema ketens, dus welke leveranciers zitten daarin.
Welke partijen zitten erin. Dat we daar ook de juiste checks kunnen doen.
En tenslotte certificeren wij ons ook zelf.
Om te zorgen dat wij zelf in de keten waarin we zitten...
in ieder geval zorgen dat wij de keten zo sterk mogelijk houden.
Ivo, een vraag aan jou van Paul.
Die zegt: Hoe ver gaan jullie dan met controleren van die leveranciers?
Neem je genoegen met een Assurance Statement?
Wil je echt die certificaten zien?
Of ga je erheen met een team en neem je zelf een kijkje in de keuken?
Hoe doen jullie dat? -Hele goede vraag.
Dus bedankt ook daarvoor. Als je naar de website van Charter of Trust gaat...
daar hebben we ook de methode gepubliceerd.
Die kun je zien en daar maken we inderdaad gebruik van een ‘risk based’ aanpak.
Dus wat je doet op basis van een ranking van je leveranciers, laag, midden, hoog...
stel je andere eisen, bij een laag risico zal je wat minder diep gaan...
dan bij een hoog risico.
En op een gegeven moment ga je inderdaad audits doen.
Dan maak je een selectie van het belang van de ketenpartner waarin je zit.
Certificering waar je het net over had. Piet, dan ga ik even naar jou.
Hebben jullie daar weleens over nagedacht als ASML?
Over certificering? Ja, zeker.
Ik draai hem even om. Certificering vinden we heel belangrijk. Dat is geen discussie.
Maar we zien vooral dat, wat ik zei, we werken met veel kleinere mkb-bedrijven.
En die zeggen: We willen wel al die certificaten invullen...
of die vragenlijsten, maar we worden er krankjorum van.
Elk bedrijf heeft een andere vragenlijst, andere volgorde van vragen stellen.
Het zou makkelijk zijn als we één vragenlijst zouden hebben...
met dezelfde vragen in dezelfde volgorde. Dat is één.
En twee, dat grote bedrijven elkaars certificaten gaan accepteren.
Dus kortom, het zou mooi zijn als iemand die bij ons brons, zilver, goud...
een gouden certificaat heeft gekregen.
Met dat certificaat naar hen kan gaan en zeggen: Wij kopen iets in...
en hoe heb je dat dan geregeld? Dan kan dat bedrijf zeggen:
Van ASML hebben we al een gouden certificaat.
En dat je zegt: U hoeft het niet meer in te vullen, want we vertrouwen dat certificaat.
Dat model heet het CYRA model. Dat zijn we aan het ontwikkelen...
samen met brancheorganisaties, ketenpartners...
in bijvoorbeeld een Brainport of in Rotterdam en andere plekken.
En een aantal grotere brancheorganisaties, sectororganisatie zeggen:
Dat zou al voldoen in de vraag die heel veel kleinere bedrijven hebben...
om tot een standaard te komen.
Zorg dat het die kleine bedrijven makkelijk gemaakt wordt.
Eén keer zo'n vragenlijst invullen.
Gebaseerd op brons, zilver, goud en met security.
Gaat te ver op dit moment, maar maak één lijst. Maak het makkelijk en ben duidelijk.
Klinkt heel logisch. André, ik ga even naar jou.
Wat blijkt uit onderzoek eigenlijk over wat handig is met een beheer van netwerken...
en bijvoorbeeld ook wat Piet hier schetst.
Nou, mijn beeld is dat je meerdere sporen tegelijkertijd moet gaan volgen.
Dus de ene lijn is het wegnemen van onzekerheid...
en die olievlekwerking door gewoon te beginnen...
en zoveel mogelijk te standaardiseren.
Tegelijkertijd is een eigenschap van die netwerken...
dat je altijd partijen hebt die langzamer bewegen.
Dus het ene spoor gaat over wegnemen van onzekerheid door maatregelen te treffen.
Maar ook voorbereid zijn op die onzekerheid.
En daar komt weer herstelvermogen uit.
Dus een deel is dingen fixen, security by design.
Dat we weten wat de eigenschappen van dat ecosysteem...
of die complexe netwerken zijn...
dat je altijd met verassingen te maken hebt.
Dus ook omgaan met risico's, waar zitten onze grootste afhankelijkheden?
Als je dat in beeld hebt en gaat managen...
kun je nog met verrassingen geconfronteerd worden.
Dingen kunnen nog steeds misgaan, daar moeten we juist rekening mee houden.
Dat is vandaag ook de rode draad in dit verhaal.
En van die fouten kunnen we natuurlijk uiteindelijk ook leren.
Ivo, ik ga even naar jou, want wat hebben jullie eigenlijk geleerd van incidenten?
Heb je daar wat voorbeelden van?
Ik denk dat als je het hebt over ketens en incidenten...
dan is van de afgelopen jaren een heel goed voorbeeld de Log4J.
Dan denk je: Wat is een Log4J? -Neem ons even mee, weer zo'n term.
En Log4J is eigenlijk een stukje embedded open source software.
En daar zat een zeer ernstige kwetsbaarheid in.
En toen bleek dat dat in heel veel producten zat.
En het grote probleem was dat we niet wisten in welke producten dat zat.
Ik hoor hier inderdaad een heel groot leerpunt.
Absoluut. Dus dat betekent concreet...
dat wij ons gehele applicatielandschap en leveranciers in kaart moesten brengen.
En die moesten we dus ook beoordelen.
Dan heb je het als een Siemens toch over zo'n 10.000 applicaties, dus aardig wat.
En aan de andere kant zitten we ook middenin die keten.
We hebben natuurlijk ook zelf producten die we verkopen.
Dus we moesten ons eigen portfolio volledig langs...
om te gaan kijken, waar zit het in en daar onze klanten over informeren.
Dus daar hebben we zeker wat van geleerd. Ten eerste: Wees voorbereid.
Zorg dat je weet waar het in zit. -Ja, dat is twee, inderdaad.
Maar wees voorbereid, want dit was dan Log4J...
maar volgende week is het wat anders, dus dit gaat nog een keer gebeuren.
Het tweede is inderdaad, weet wat je hebt en waar je afhankelijkheden zitten.
Dat was voor ons echt cruciaal om snel te kunnen acteren.
Het derde, wat we ook zagen, is:
Hoe zorgen we ervoor dat we niet elke keer zelf het wiel uitvinden?
In het voorbeeld van Log4J waren er geen scanners om dit te detecteren.
Dus wat gaan wij doen, we zijn een engineering partij.
Dus wij gaan scanners maken.
Achteraf bleek dat veel van onze partners dat ook deden.
Dus iedereen maakte de scanners. Dus dat was niet echt efficiënt.
Maar goed, hoe doe je dat in het vervolg?
Hoe werk je beter samen en hoe vertrouw je elkaar dan ook?
Dat je van elkaars kennis gebruik kan gaan maken.
Maar er zijn ook wel dingen goed gegaan.
Ook wel complimenten richting bijvoorbeeld Nationaal Cyber Security Centum, het NCSC.
Die hadden tijdens dat incident een portaal waar ze een actuele status bijhielden...
van leveranciers en hun logfoyer status. En dat portaal hielden ze heel goed bij.
Dus dat werd ook binnen Siemens wereldwijd echt actief gebruikt.
Dus ik denk ook dat dat een voorbeeld is van dingen die goed gingen in de keten.
Mag ik daar iets bij zeggen?
Alles wat gezegd wordt, helemaal waar. Maar daar moeten nog twee dingen bij.
Je moet elkaar kunnen vinden en elkaar durven vertrouwen.
En dat heb ik wel gemerkt, als je een tijdje in deze branche meeloopt...
dan merk je dat heel veel mensen huiverig zijn om hun buurman te bellen...
of een collega te durven bellen...
want wat gebeurt er als ik vertel dat ik een probleem heb? Durf elkaar te bellen.
Moet je elkaar eerst kennen en je moet elkaars telefoonnummer hebben.
En je merkt in die digitale wereld dat mensen elkaars telefoonnummer niet hebben.
En dat ze niet eens durven te bellen en niet weten waar ze hulp kunnen krijgen.
Ik zie heel veel mensen die zo naar hun probleem kijken...
terwijl je ook zo kan kijken. -Terug in de tijd, durf te bellen. De tip.
We hebben pas geleden weer de bekende One Conference gehad.
Een heel belangrijk onderdeel van de One Conference is dat men elkaar tegenkomt.
En dan kan je zeggen: Mag ik je weer een keertje bellen?
Maar waarom is dat hierin zo belangrijk, dat je elkaar belt...
in plaats van op een andere manier contact zoeken?
Daar kan ik wel wat over zeggen. Over die One Conference.
Als ik het heel zwart-wit zeg, kom je daar twee typen mensen tegen.
Eén zegt: Ik heb verhalen gehoord, we zien problemen, kunnen we daarover praten?
Herkennen jullie dat? En dan wordt er een gesprek gevoerd.
Andere mensen zeggen: Dat probleem hebben wij niet.
En bij die tweede groep mensen zeg ik: Die moeten vaker bier drinken.
Of iets anders, maar je moet elkaar gewoon vaker treffen...
want het kan niet zo zijn dat waar we allemaal last van hebben...
dat er partijen zijn niet dat niet zien. Of ze hebben er misschien oplossingen voor.
Maar ga het delen. Sharing is caring.
Dat zegt Oscar Koeroo ook van SZW, zit hij tegenwoordig.
Briljant, vind ik een super goede term. Gewoon sharing is caring. Je moet delen.
Essentieel. -Delen is het nieuwe vermenigvuldigen.
Kijk. Meer bier drinken. Ik heb een heleboel tips gehoord.
Ja, en toch in de chat missen we nog wel een partij...
want we hebben het aan tafel niet gehad over de datacenters.
Waarom stellen we geen eisen aan datacenters?
Waarom eisen we geen certificeringen van datacenters?
Nou, ik drop het meteen hier aan tafel.
Waarom zijn datacenters niet voorbijgekomen?
Ik ga daar niet over, maar ik weet nog wel bij KPN vroeger...
de KPN heeft geen boodschap aan de boodschap.
Die zorgde alleen dat mensen met elkaar konden praten.
En wat er verteld werd... Daar lijkt het een beetje op.
Ik weet niet, datacenters zullen hun uptime moet regelen...
maar wat er op de server staat... -Hoe kijken jullie daarnaar, Ton?
Voor ons is denk ik ook wel belangrijk dat in het kader van de nieuwe NIS...
dus van de NIS2, dat daar ook een uitbreiding is...
en dat dit soort diensten, dus meer de cloudiensten, en zo...
dat die van een reactief regime naar een actief regime gaan.
Wat dus eigenlijk betekent dat ze belangrijker zijn...
dat ze gewoon wat meer aandacht van ons krijgen.
En wat zouden zij dan hierin moeten gaan doen naar jouw idee of naar de wetgeving?
Ja, dat komt dan toch weer neer op passende en evenredige technische maatregelen nemen.
Technische en organisatorische maatregelen.
En dan is altijd weer de vraag: Wat is nou eigenlijk passend?
En als ik dan een beetje laat zien hoe wij...
Als toezichthouder kunnen wij dus wel min of meer de richting aangeven...
wat wij denken wat passend is.
Maar wij kunnen niet voor zo'n partij invullen...
hoe ze dat precies moeten gaan doen.
Want eigenlijk zegt de wetgeving ook altijd:
De partij zelf moet die passende maatregelen treffen.
Jeroen in de chat vraagt zich af: Waarom doet de overheid dat niet?
Want we hebben al die tools, zoals CYRA. Waarom verplichten we die dan niet gewoon?
Misschien moeten we daar nog een vraag over stellen...
want ik kan me niet voorstellen, ik ben geen datacenter expert certificering...
maar ik geloof niet dat er geen datacenters zonder certificering zijn, zoals ISO.
Dus misschien is het een specifiek soort certificering die bedoeld wordt...
maar treffende maatregelen voor de problemen die er zijn...
dat zit gewoon in standaardcertificering zoals ISO 27000.
Kortom, die worden er sowieso natuurlijk al in betrokken?
Dat lijkt mij wel. Misschien een bepaalde wetgeving...
dat ze buiten de scope van de wetgeving vallen...
maar dan zijn ze niet per se niet gecertificeerd.
Ik heb daar nog een andere kijk op.
Ik denk dat wij allemaal voorbij het feit zijn dat we wijzen naar de overheid.
Die hebben het niet goed gedaan. Ik denk dat het in samen zit.
Heel vaak hoor je dat de wetgever zegt: Ik weet niet hoe ik het moet vormgeven...
maar als je als bedrijfsleven de dialoog niet zoekt...
kan de wetgever ook niet de juiste dingen op papier krijgen.
Nou, dat doet me denken aan een plaatje wat we wellicht kunnen laten zien.
Dat is het bekendste schilderij uit de Nederlandse geschiedenis, de Nachtwacht.
Een soort analogie voor het cybersecurity beleid wat wij als ASML hebben...
richting stakeholders en de overheid.
Als je dit ziet, dit schilderij speelt zich in de 17e eeuw af.
En dat speelt zich af in de straten van, zeg maar onveilig Amsterdam.
En toen kwamen in de 17e eeuw de burgers, die gingen samen met het bevoegd gezag...
de straten van Amsterdam veilig maken, want het was goed voor business.
Want als je dat niet deed, dan was er criminaliteit, et cetera.
Iedereen deed wat ie kon doen aan bijdragen.
Nou, dat was een paar 100 jaar geleden.
Vandaag de dag, misschien zien de mensen er anders uit.
Maar het blijft hetzelfde.
Zoek de dialoog met elkaar, met je concurrent, met je collega.
Ik zeg niet, pak het wapen op, maar pak je kennis op...
en meld je bij de overheid en praat samen met de overheid over...
hoe kunnen we het goed doen? Hoe kunnen we samen...
niet de straten van Amsterdam, maar het internet veilig krijgen?
Hoe kunnen we dat samen organiseren?
Experts van de overheid, experts uit het bedrijfsleven...
zijn in staat om hele slimme dingen te doen, maar je moet wel met elkaar praten.
Ook daar is het weer elkaar kennen, elkaar vertrouwen...
en met elkaar in dialoog gaan en niet wijzen naar elkaar.
Dus wij roepen hardop: Zoek de dialoog met elkaar.
Doe dat in je brancheorganisatie, doe dat in je business park.
Ga aan de gang, met de lokale burgemeester en met de lokale noem maar op.
Ga aan de gang met elkaar.
Dat is volgens mij wat er moet gebeuren. -Ja, aanpakken inderdaad.
Dat sluit aan bij 'n opmerking uit de chat, ik kan hem niet terugvinden...
van iemand die zei: Gedeelde verantwoordelijkheid...
in de praktijk komt dat neer op geen verantwoordelijkheid.
Daar zou ik wel iets op kunnen aanvullen.
Ik hoor je nu zeggen, Piet...
dat de overheid van alles zou kunnen gaan doen, en zo...
maar de overheid op zichzelf bestaat niet.
Je hebt verschillende diensten die van alles doen.
Je hebt de overheid die uitvoert, de overheid die wetten maakt.
Vorige maand was de publicatie van de security strategie.
Vanaf nu tot aan 2028 en daarin speelt ook samenwerking een behoorlijk grote rol.
Dus samenwerking tussen privaat, publiek en daarbij dus eigenlijk ook...
meegenomen tussen welke partijen dan eigenlijk.
Dus de overheidspartijen over wie het gaat, wat hun rol is...
wat ze dan precies moeten doen.
Dus dat geeft best een duidelijke invulling, denk ik...
en daarmee laat denk ik de overheid dan wel zien dat het ze wel menens is.
Dat het niet zoiets is van, we gaan wel samenwerken en dan zien we wel.
Maar dat wordt wel heel duidelijk uitgestippeld.
En met die regels zorgen ze ervoor dat dingen gebeuren.
Maar ook het samenbrengen, wat Angeline eerder ook al zei.
Het samenbrengen van die partijen. -Ja, precies.
Maar die moeten dat dan uiteindelijk wel doen.
Ik ben een van de mensen die dan achter de schermen meegelezen en meegeschreven heeft.
Commentaar en input geleverd heeft op de nationale cybersecurity strategie.
Dat doe je niet namens ASML, maar op persoonlijke titel...
zonder dat er enigszins een conflict of interest in zit.
Maar dan lees je iets en denk je: Dat kan niet, in de praktijk werkt het zo.
En dan krijg je een interessante dialoog met elkaar.
En dat is een heel mooi voorbeeld.
Ik wil toch nog even terugkomen op die term verantwoordelijkheid.
We doen best wel veel analyses, ook ecosysteemachtige analyses...
en als wij starten, gaan we altijd uit van...
welk belang hebben die spelers nou in dat ecosysteem?
Als je dat weet, kun je de vraag stellen: Waar ben je nou verantwoordelijk voor?
En dan zie je toch vaak een mismatch tussen de belangen en de verantwoordelijkheden.
Dus mijn advies is, als je gaat praten over verantwoordelijk...
ga eerst eens kijken, welk belang heb je in zo'n ecosysteem?
Ga vanuit daar acteren, dan wordt vanzelf helder waar je verantwoordelijk voor bent.
En daarin moet je, om samen te komen, een gezamenlijk belang vinden.
Daar zoek je naar. En ook het ecosysteem heeft deels gezamenlijke belangen...
maar bijna ook altijd tegengestelde belangen.
Daar moet je oog voor hebben. Het is niet slecht dat ze er zijn, ze zijn er gewoon.
Ik ga nog even naar Eelco. Zijn er nog vragen uit de chat die jij wil behandelen?
Op dit moment denk ik niet, we hebben denk ik alles wel behandeld hier aan tafel.
Mochten er inderdaad nog vragen zijn of opmerkingen, tips, adviezen...
deel ze dan, want inderdaad, we moeten het samen doen.
Samen zijn we dat netwerk, dat ecosysteem.
Nog even naar Ivo. Heb jij bijvoorbeeld nog...
als je nu kijkt naar de netwerken, de rollen die de bedrijven en mensen hebben...
nog een soort advies wat je zou willen meegeven naar aanleiding van deze sessie?
Dan spreek ik toch met mijn Siemens hart. Vergeet je productieomgeving niet.
Je ziet vooral in ketens en afhankelijkheid van leveranciers...
dat is binnen de kantoorautomatisering toch wel iets meer bekend.
Je ziet dat daar meer geacteerd wordt op dat gebied.
Ik denk dat het in een productieomgeving nog echt wel in de kinderschoenen staat.
Terwijl de gevolgen daarvan, als daar iets misgaat dat dat echt wel mis kan gaan.
Dus dat is mijn advies. -Het is duidelijk na deze sessie...
denk wat meer in ketens vooral. -Ja, zeker.
En ik zeg net, er zijn geen vragen vanuit de kijkers, vanuit de deelnemers.
Dat prompt een aantal mensen toch wel hun vraag stellen.
Dus ik heb er nu twee. -Het werkte, die oproepjes, Eelco.
Heel goed, ja. Eentje haakt in op de opmerking van André net...
over verantwoordelijkheid en belangen. Erik vraagt zich af:
Wat is het verschil tussen verantwoordelijkheid en belang?
Zijn dat wel verschillende dingen?
Ze hebben wel met elkaar te maken, maar het is niet precies hetzelfde.
Piet is met ASML niet verantwoordelijk voor de veiligheid bij de keten...
maar hij heeft wel belang om het te regelen. Dat is een verschil.
Dus Piet of ASML is door niemand verantwoordelijk gemaakt om dat te doen...
en toch doen ze het, want ze hebben er belang bij. Daar zit het grote verschil.
En als ik dan meteen door mag met een tweede vraag vanuit de deelnemers.
Joepke, een jurist zegt: Eens met inzet van wet- en regelgeving...
maar dat blijft wel een wankel evenwicht.
Je moet ervoor zorgen dat je geen overregulering krijgt.
Ik ben vooral benieuwd naar de mening van ASML en Siemens op dat vlak.
Nou, dan gaan we even naar Piet.
Helemaal mee eens.
Ja, te veel regulering werkt niet, maar je zou hem ook om kunnen draaien.
Je kunt mensen slaan of je kunt mensen belonen.
En daar moet de juiste balans in zitten. -Tussen slaan en belonen?
Slaan mag niet, maar carry the stick.
Ik denk dat, in ons geval, wij dwingen dit soort dingen af...
met een soort wet- en regelgeving vanuit onze inkoopvoorwaarden.
Maar daar hoeven we eigenlijk haast nooit mee te dreigen.
Mensen willen graag aan ons leveren, heel makkelijk.
En als je aan ons levert, iedereen begrijpt wel wat onze eisen zijn als je het uitlegt.
Het wordt wat complexer, denk ik, voor laat ik maar zeggen, de consumentenmarkt.
Waar mensen spullen kopen die in een container uit 'n ver weg land...
naar de haven van Rotterdam komen en dan voor een dubbeltje...
of voor een paar prikkies verkocht op de markt wat niet veilig blijkt te zijn.
Dat is veel lastiger met wet- en regelgeving.
Maar in ons geval, met een afzienbare hoeveelheid klanten...
een afzienbare hoeveelheid toeleveranciers...
als je dat uitlegt, is dat niet zo'n probleem.
Maar in de consumentenmarkt, dat is belangrijk.
Misschien toch even hierop aanhakend, er is veel interesse voor CYRA.
De website cyra.nl leidt je niet zo onmiddellijk naar de juiste antwoorden.
Is er een URL waar mensen meer informatie kunnen vinden over CYRA?
Zal ik straks even regelen, maar CYRA is een initiatief wat wij ontwikkeld hebben.
En hebben dat beschikbaar gesteld aan onder andere DTC...
Brainport Cyber Weerbaarheidscentrum, Ferm in Rotterdam.
En er zijn meerdere partijen.
Meer als een voorschot voor een standaard in Nederland.
Dus in principe kunnen ze contact opnemen om daar meer over te weten te komen?
Ja, ik zal straks in de chat wel wat...
Ja, precies. In de chat of zoek je op op LinkedIn.
Heb je kans dat je straks allemaal verzoeken krijgt.
Ivo, dan nog even naar jou, over inderdaad die overregulering. Hoe zit dat?
Dat is inderdaad een goed punt en ik denk dat de juiste balans zoeken...
dat het daarin ligt en dat is natuurlijk een lastige.
Vanuit security, dat wordt ook weleens de department of no genoemd.
Het is heel makkelijk om nee te zeggen, maar je moet ook kijken, wat kan wel.
En die balans vinden, dat is belangrijk.
Ik denk dat de wetgeving nu kijkt naar belangrijke entiteiten...
en essentiële partijen, dat dat natuurlijk belangrijk is.
En die zullen hun zaakjes beter op orde moeten gaan hebben dan de rest.
De bankensector loopt natuurlijk qua beveiliging een heel stuk al voorop.
En dat is niet voor niks gebeurd, dat was met internetbankieren ons geld.
Die kwam achter een internetportaal, dan voel je zelf wel dat het veilig moet zijn.
En vanuit de overheid, de Nederlandse Bank werd daar flink op gedrukt.
En je ziet ook dat dat werkt.
Wie maakt zich nu nog zorgen over de beveiliging van internetbankieren?
Om het wat meer snelheid te geven. -Precies.
Dus ik denk dat je er op die manier naar moet kijken, wat is echt belangrijk...
en waar moeten we dan wat extra gas geven en waar wat minder?
Dat is goed voer voor juristen, denk ik.
Dus jullie zijn niet de department of no? -Wij zijn zeker niet de department of no.
Ik zou nog wel aan willen vullen.
Kijk, wat wij doen is, wij hebben eigenlijk meer de maatschappelijke bril op.
Wij merken natuurlijk ook als we bij partijen langsgaan...
dat inderdaad meer de reactie is, dan kom je wel aan bij de department of no.
Mag ik je iets vragen? Nee. Waarom niet? Ik heb geen tijd.
Maar ik denk wel, zolang wij de risico's goed zien...
dan is het eigenlijk ook wel voor het maatschappelijke belang...
wel essentieel dat dit allemaal plaatsvindt.
En dat is ook precies de reden waarom we dat doen.
En daarbij ook eigenlijk, het is niet alleen maar toezicht houden...
dus wij zijn niet alleen maar van de stok en ook niet zozeer van de carot
maar ook wel van signaleren, dus wij willen ook juist de risico's zien.
Dus dat maakt het ook wel weer relevanter, denk ik dan.
Als partijen dat ook zien, wordt het gesprek ook gelijk anders.
Een ander, misschien een verkeerd voorbeeld van 20, 30 jaar geleden...
dat Volvo de eerste automobiel leverancier werd die zei:
Kreukelzones en airbags en al die dingen...
stoppen we standaard in een auto. Ja, hij wordt duurder.
En toen begonnen mensen te zeggen: Ik wil een veilige auto...
dus een Volvo en langzaam begint dat...
alle auto's hebben tegenwoordig kreukelzones en airbags.
Maar Volvo is ermee begonnen.
En die krijgen dus als een soort beloning heel veel marktaandeel.
En ik denk dat er op dit moment in deze digitale wereld...
bedrijven zullen zijn die al die maatregelen wel nemen...
zonder dat ze de no department zijn, die zeggen de yes department.
Omdat het veilig is, gaan we daar kopen.
En dan volgt de rest vanzelf, dat weet ik zeker.
Volgens mij is de noodzaak wel duidelijk.
André, nog even naar jou. Heb jij nog een soort advies...
naar aanleiding van deze sessie over netwerken...
waar organisaties meteen mee aan de slag zouden moeten?
Dat is meteen wel een hele grote vraag.
En klein beantwoorden, want we hebben nog een minuut.
Dan zou ik zeggen, zoek elkaar op en ga samenwerken. Ik sluit me aan bij Piet.
En denk na over vanuit welk perspectief je dan met elkaar in gesprek gaat.
Precies. Nou, helemaal duidelijk.
Hiermee zijn we aan het einde gekomen van deze sessie alweer.
De tijd vliegt, hier kunnen we nog uren over doorpraten.
Tot zover deze sessie, het herstelvermogen van een ecosysteem.
Mag ik danken Piet Bel van ASML, Ivo van Nimwegen van Siemens.
André Smulders van TNO en Ton Verbon van Agentschap Telecom.
Fijn dat jullie erbij waren en dat jullie jullie ervaringen wilde delen en kennis.
Aan het einde van dit symposium, is nog even handig om te melden...
dat er nog een digitale borrel is en daar zijn onze gasten ook online bij.
Dus mocht je nou nog vragen hebben, stel ze dan vooral tijdens die digitale borrel...
of ga lekker met ze in gesprek. Zo leer je uiteindelijk ook van elkaar.
Misschien komen er nog goede adviezen uit.
Ook van de deelnemers die achter de computer zitten op dit moment.
En ik zie jullie graag weer terug om kwart over drie precies.
Dus pak nog even een koffietje, een theetje of een colaatje.
Kwart over drie zijn we terug voor de allerlaatste sessie...
van dit symposium Opstap naar weerbaarheid van Agentschap Telecom. Tot zo.