Het Nationaal Cyber Security Centrum, NCSC, is niet aangewezen als het nationale Computer Security Incident Response Team, Csirt, vanwege de manier waarop cybersecuritytaken in Nederland zijn verdeeld. Dit antwoordt minister David van Weel, Justitie en Veiligheid, op vragen gesteld tijdens de V-100 Verantwoordingsdag.

Bij dit jaarlijks evenement in de Tweede Kamer worden honderd burgers uitgenodigd om de jaarverslagen van ministeries kritisch te bekijken en vragen te formuleren voor het kabinet. Dit jaar stond die dag in het teken van de uitvoering van het overheidsbeleid.

Juridisch gezien kent de NIS2-richtlijn, en daarmee de Cyberbeveiligingswet (Cbw), de term nationale Csirt niet. Het NCSC vervult wel een rol die beleidsmatig gezien kan worden als de nationale Csirt; zo is het operationeel coördinerend over het cybersecuritystelsel, bevordert en faciliteert het de samenwerking en coördineert het de afhandeling van (bijna) incidenten en kwetsbaarheden op nationaal niveau. Ook is er het voornemen om het NCSC, onder de Cbw, de taak van coördinator voor de bekendmaking van kwetsbaarheden te laten uitvoeren.

Gedecentraliseerd model

De Wet beveiliging netwerk- en informatiesystemen (Wbni) bepaalt dat het NCSC Csirt-taken uitvoert voor vitale aanbieders en onderdelen van de Rijksoverheid, maar niet voor alle organisaties.

In plaats van één nationaal ‘response team’ voor ict-beveiliging kent Nederland een gedecentraliseerd model met verschillende sectorale Csirt’s die verantwoordelijk zijn voor specifieke industrieën. Dit zorgt ervoor dat cybersecurity-expertise beter aansluit bij de behoeften van verschillende sectoren.

De nieuwe NIS2-wetgeving vereist dat essentiële en belangrijke organisaties incidenten melden bij een Csirt en een toezichthouder. Het NCSC speelt hierin een rol, maar is niet de enige instantie die incidenten afhandelt.

Sinds dit jaar wordt het NCSC aangestuurd door meerdere ministeries, waaronder Justitie & Veiligheid, Financiën en Economische Zaken. Dit betekent dat het centrum een bredere cybersecurity-coördinatierol heeft, maar niet exclusief als Csirt fungeert.

Deze versturen we 3-4x per jaar.