CYRA-OT groeimodel

Type cybercrime: digitale kwetsbaarheden en cyberaanvallen
Type aanpak: preventief
Aanpak gericht op: slachtoffer
Initiatiefnemer:  Het CCV

Omschrijving project

Het probleem dat wordt aangepakt is dat het mkb kwetsbaar is voor cyberaanvallen op de operationele technologie (OT). De afhankelijkheid van digitale processen groeit, terwijl de kennis en middelen om deze adequaat te beveiligen vaak beperkt zijn. Tegelijkertijd nemen de eisen vanuit wet- en regelgeving (zoals de NIS2-richtlijn) en vanuit de toeleveringsketen toe. Er ontstaat daardoor een groeiende behoefte aan een objectief en betrouwbaar kwaliteitsoordeel over de beveiliging van OT-systemen. Het project ontwikkelt een certificatieschema (keurmerk) voor OT-security waarmee organisaties kunnen aantonen dat de digitale weerbaarheid voor hun operationele technologie op orde is. Het schema biedt een zelfbeoordelingstoets als basis, met de mogelijkheid tot een onafhankelijk certificaat. Gebaseerd op de norm IEC 62443 en gekoppeld aan de CYRA-methode, wordt het schema ontwikkeld en getest samen met certificatie-instellingen en (mkb) bedrijven. Het CCV beheert het keurmerk en zorgt voor aansluiting op landelijke en Europese standaardisatie. Het keurmerk versterkt de digitale weerbaarheid van organisaties en vergroot het vertrouwen binnen de keten.

Initiatiefnemer

Het initiatief voor dit project ligt bij het Centrum voor Criminaliteitspreventie en Veiligheid (het CCV).

Doelgroep

De doelgroep bestaat uit mkb’ers die werken met operationele technologie (OT), hun toeleveringsketen, opdrachtgevers, NIS2-partijen, verzekeraars en andere relevante belanghebbenden.

Omschrijving kosten

Voor de periode 2024/2025 is een subsidie van € 93.556,- aangevraagd, waarvan € 43.556,- via het Digital Trust Center en € 50.000,- via de City Deal.

Type cybercrime

Het project richt zich op het voorkomen van digitale kwetsbaarheden en cyberaanvallen op operationele technologie binnen het mkb, zoals sabotage, ransomware, ongeautoriseerde toegang en verstoring van bedrijfsprocessen.

Type aanpak

De aanpak van het project is preventief van aard.

Aanpak gericht op

De aanpak is gericht op het ondersteunen van slachtoffers, namelijk mkb’ers die hun OT willen beveiligen en op ketenpartners zoals opdrachtgevers en leveranciers.

Minimale randvoorwaarden

De minimale randvoorwaarden zijn onder andere het verantwoorden van kosten en activiteiten volgens de subsidievoorwaarden (inclusief accountantscontrole), deelname aan voortgangsoverleggen en rapportages, communicatie over het project met vermelding van de City Deal Lokale Weerbaarheid Cybercrime, en het opleveren van de afgesproken producten.

Duur project

Het project loopt van 1 januari 2024 tot en met 31 december 2025.

Menskracht

Voor het project wordt 418 uur aan inzet van CCV-adviseurs voorzien, verdeeld over 250 uur in 2024 en 168 uur in 2025. Daarnaast leveren partners en leden van de Commissie van Belanghebbenden Cybersecurity in-kind bijdragen.

Samenwerkingspartners

Bij het project is de Commissie van Belanghebbenden Cybersecurity nauw betrokken. Hierin zijn onder andere Cyberveilig Nederland, NLdigital, VNO-NCW/MKB Nederland, CIO Platform Nederland, CIO Rijk, FME, Digital Trust Center, Verbond van Verzekeraars, Politie, certificatie-instellingen en stichting CYRA vertegenwoordigd. Ook inhoudelijk deskundigen van bedrijven zoals ASML, Siemens, NS, ProRail, Purasec, Hudson Cybertec, Routz, Croonwolter&dros, Actemium, Zurich Insurance Europe AG, TÜV Nord, Kiwa en DNV zijn betrokken.

Resultaten

Het project levert een openbaar certificatieschema voor OT-security op. Er worden pilots uitgevoerd en geëvalueerd, het schema wordt gepubliceerd en landelijk en Europees gepromoot. Ook wordt een beheerorganisatie en deskundigenpanel ingericht en wordt structurele borging gerealiseerd via licentie-inkomsten.

Tips voor gemeenten

Gemeenten hebben een faciliterende en verbindende rol bij het vergroten van de cyberweerbaarheid van ondernemers. Zij zorgen voor bewustwording, verwijzen ondernemers door naar partners zoals het Platform Veilig Ondernemen (PVO) en het Digital Trust Center, stimuleren samenwerking en netwerken, en wijzen op beschikbare hulpmiddelen en instrumenten. Gemeenten hoeven geen uitvoerende of technische rol te vervullen, maar brengen partijen samen en signaleren behoeften in de regio. PVO is de aangewezen partner voor inhoudelijke ondersteuning en praktische hulp aan ondernemers. De gemeenten kan helpen bij de cybervolwassenheid van het mkb. Hierbij is onderstaande in relatie tot CYRA-OT een passend groeipad.

• Start bij risico-inzicht (Digital Trust Center):
  Laat ondernemers eerst hun risicoklasse bepalen met de Risicoklassenindeling Digitale Veiligheid van het Digital Trust Center. Deze digitale tool deelt bedrijven op basis van 9 vragen in een risicoklasse in en geeft direct passende basismaatregelen. Zo krijgt de ondernemer een helder en proportioneel handelingsperspectief dat aansluit bij de eigen situatie en risico’s.

• Verdiep via CYRA (Centrum voor Criminaliteitspreventie en Veiligheid):
  Stimuleer ondernemers om hun weerbaarheid stapsgewijs te vergroten via de CYRA-methode van het Centrum voor Criminaliteitspreventie en Veiligheid. CYRA biedt vier niveaus (Entry, Basic, Intermediate en Advanced) waarmee organisaties hun informatiebeveiliging kunnen beoordelen, verbeteren en – indien gewenst – laten certificeren. De niveaus van CYRA sluiten logisch aan op de uitkomsten van het Digital Trust Center en zijn afgestemd op het risicoprofiel en de positie in de keten.

• Breid uit naar operationele technologie (CYRA-OT):
  Heeft een ondernemer operationele technologie of industriële controlesystemen, dan kan het groeipad worden vervolgd richting CYRA voor operationele technologie. Zo worden risico’s op het gebied van informatietechnologie en operationele technologie binnen één platform consistent beoordeeld, wat een logische stap is richting het keurmerk voor operationele technologie.

Contactpersoon/meer informatie

Voor meer informatie kunnen mensen contact opnemen met Sanaa van de Pol. Zij werkt aan de totstandkoming van het CYRA-OT-keurmerk bij het CCV. Zij is bereikbaar via het e-mailadres: sanaa.vandepol@hetccv.nl. Algemene vragen over de CYRA-methode kunnen gesteld worden aan de projectleider CYRA, Herman Dooijewaard, via herman.dooijewaard@hetccv.nl.

Dit is een project dat behoort bij de City Deal Lokale Weerbaarheid Cybercrime