Bijlage 1: Afwegingskader anticipatie voorstel tot wijziging Wbni
Afwegingskader
Ten behoeve van een beslissing van de MinJenV over anticipatie op het
wetsvoorstel moet aan de hand van onderstaand afwegingskader door het NCSC
worden beoordeeld of er sprake is van een uitzonderlijke situatie. Van een
uitzonderlijke situatie is sprake in geval van zwaarwegende redenen van
maatschappelijke aard, waarin het ter voorkoming of beperking van nadelige
maatschappelijke gevolgen noodzakelijk wordt geacht om het NCSC in afwijking
van de wet, conform de regeling van het wetsvoorstel, aan OKTT’s van andere
aanbieders (dan die binnen de doelgroep van Rijk en vitaal) of individuele andere
aanbieders dreigings- en incidentinformatie te laten verstrekken.
Dit afwegingskader betreft een opsomming van elementen die door het NCSC
worden meegewogen in het kader van bovenbedoelde beoordeling én de vragen
die in het kader van die beoordeling dienen te worden beantwoord. De afweging is
kwalitatief van aard en casuïstisch. Onder verschillende omstandigheden kan de
beoordeling aan de hand van dit kader verschillende uitkomsten hebben. Dit
neemt echter niet de noodzaak weg om de beoordeling in alle gevallen conform
dit kader te laten geschieden en in die zin uniformiteit bij de beoordeling te
bieden. Uitgangspunt bij beoordelingen aan de hand van dit kader is, dat hoe
meer van onderstaande punten door een casus worden geraakt, hoe zwaarder het
belang is dat is gemoeid met het overeenkomstig de regeling in het wetsvoorstel
informeren van andere aanbieders of hun schakelorganisaties (OKTT’s).
De uitkomst van de beoordeling door het NCSC aan de hand van onderstaand
afwegingskader zal per casus ter akkoord aan de MinJenV worden voorgelegd,
indien die uitkomst luidt dat er naar het oordeel van het NCSC sprake is van een
uitzonderlijk geval in bovenbedoelde zin. Naast de uitkomst van de beoordeling
zullen daarbij in elk geval per specifieke casus de volgende elementen worden
toegelicht, die zijn meegewogen bij de beoordeling:
1. om welke kwetsbaarheid/dreiging/incident het gaat en welke hard- of
software het betreft (inclusief kennis over in welke mate en eventueel ook
waar het betreffende product gebruikt wordt);
2. een inschatting van de (potentiële) impact van de
kwetsbaarheid/dreiging/incident;
3. de betrouwbaarheid van de bron informatie;
4. welke/wat voor soort informatie (bijv. “lijst met kwetsbare IP-adressen”
het NCSC gelet hierop wenst te delen;
5. met wie het NCSC deze informatie wenst te delen en wat het verwachte
effect daarvan is;
6. eventuele alternatieven voor het delen van de informatie zoals bv. het
delen van minder of andere informatie (maar wel conform de huidige
wettelijke kaders) of het doorverwijzen naar een ander (overheids)loket
dat de informatie wel kan delen in plaats van het NCSC;
7. het, op basis van het hiervoor geformuleerde, advies van het NCSC aan de
minister.
Het moet gaan om informatie, waaruit een dreiging, een risico of een
kwetsbaarheid volgt, en er is sprake van:
geen of inadequate mogelijkheden om andere aanbieders op een andere, voor
eventueel andere betrokken organisaties of betrokkenen minder ingrijpende, wijze
in te lichten over een dreiging of een incident
Hierbij valt te denken aan:

Fout! Onbekende naam voor
documenteigenschap. 1

-

-

informatieverstrekking door middel van een algemene voorlichting in de vorm van
bv. een doelgroepenbericht, berichten via Twitter of andere socials e.d., waarmee
een vergelijkbaar effect kan worden bereikt als met een meer rechtstreekse
benadering;
informatieverstrekking door tussenkomst van een bij ministeriële regeling
aangewezen CERT, of andere krachtens de Wbni aangewezen schakelorganisatie;
informatieverstrekking waarbij persoonsgegevens en/of andere vertrouwelijke tot
aanbieders herleidbare informatie niet worden verstrekt en van die verstrekking
een vergelijkbaar effect als dat van verstrekking inclusief die gegevens kan worden
verwacht.

een (zeer) grote kans op (manifestatie van) een dreiging of een incident
Hierbij valt te denken aan:
een high/high kwetsbaarheid,
een al actieve actor die voldoende bereid is en over kennis en middelen beschikt;
een breed beschikbare proof of concept (PoC) of andere exploit;
een leverancier die geen of onvoldoende maatregelen treft;
een voor veel partijen ‘onbekende’ leverancier;
een essentiële partij in een veelvoorkomende keten etc.

een ernstige tot zeer ernstige mate van de (potentiële) impact
Hierbij valt te denken aan:
een product dat bij veel organisaties of individuen in gebruik is;
een product dat op essentiële/kritieke punten in gebruik is, waardoor deze raakt
aan de continuïteit van bedrijfsvoering en processen;
gevallen waarbij het aannemelijk is dat indirect schade ontstaat bij aanbieders in
de doelgroep van het NCSC (Rijk, vitaal);
gevallen waarbij het aannemelijk is dat (indirect) schade ontstaat bij andere
aanbieders (dan Rijk en vitaal) of burgers, waarbij geldt dat hoe groter de omvang
van de groep, hoe zwaarder dit weegt (bijv. 1000; 10.000 of 100.000 enz.);
gevallen waarbij het aannemelijk is dat deze leidt tot fysieke, maatschappelijke of
economische schade, waarbij geldt dat hoe groter de omvang van de potentiële
schade, hoe zwaarder dit weegt (bijv. mogelijke schade= €1.000.000,-;
€10.000.000,-; €100.000.000,- enz.).

de bron/herkomst van de informatie is solide
er is sprake van een mate van politieke of bestuurlijke gevoeligheid
Hier valt te denken aan:
Er is sprake van ‘high-profile’ slachtoffers/instanties, zoals politici, politieke
partijen, bestuurders e.d.
Er is sprake van internationale/diplomatieke belangen die raken aan de positie van
JenV (NCSC, etc.) of andere onderdelen van de Rijksoverheid.
Slachtoffers zijn medeoverheden/semi overheden, samenwerkingsverbanden, of
andere organisaties die buiten de doelgroep van het NCSC vallen;
Er zijn vergelijkbare gevallen waarin eerder op deze manier gehandeld is;
Er zijn vergelijkbare gevallen die eerder media of politiek en aandacht hebben
gehad;

geen contra-indicaties
Hierbij valt te denken aan:
Gevallen waarbij sprake is van een zodanige omvangrijke set aan gegevens, dat
daarmee een groot aantal natuurlijke personen zijn te herleiden;
Gevallen waarbij sprake is van een zodanige set aan data, dat daaruit gedrag van
individuen op een betrekkelijk eenvoudige wijze kan worden achterhaald;

Fout! Onbekende naam voor
documenteigenschap. 2