Komisja Europejska pozwała Holandię do sądu. Powód: rząd w dalszym ciągu nie przekształcił dyrektywy w sprawie ochrony kluczowych sektorów, takich jak energia, transport, opieka zdrowotna i infrastruktura cyfrowa, w ustawodawstwo krajowe. Ministerstwo Sprawiedliwości i Bezpieczeństwa odpowiada, że ​​„najpierw potrzebny jest dobry fundament”. Odpowiedź ta zasługuje na bliższe spojrzenie.

Ramy standardów bezpieczeństwa informacji, na których się to opiera, ISO 27001, istnieją w formie swoich poprzedników od lat 90. XX wieku. Dyrektywa europejska leży na stole od lat. Co więcej, legislacja zaczyna się w Brukseli, a Holandia jest jej członkiem i może po prostu w niej uczestniczyć, nie tylko wtedy, gdy tekst jest już ostateczny. Fundament mógł i powinien być założony już dawno temu. Ile jeszcze czasu chce rząd?

Szafka nie ma własnych klejnotów koronnych

Podczas debaty o przejęciu Solvinity rząd zdawał się nie być w stanie wskazać, jakie są klejnoty koronne rządu centralnego. Lista ta była nadal sporządzana. Jednocześnie ten sam rząd wzywa obecnie najważniejsze organizacje do uzbrojenia się przed zagrożeniami. Niezwykła sekwencja: najpierw zachęć innych, a następnie sporządź inwentarz tego, co należy chronić.

Praktyka jest obecnie niepokojąca. Organy podatkowe nie są w stanie uporządkować własnej poczty elektronicznej i muszą zlecić ją podmiotom zewnętrznym. Krytycznych obiektów, takich jak DigiD i Message Box, nie można przenosić w ciągu kilku miesięcy. Incydenty w prokuraturze, Ministerstwie Finansów, Odido, Rituals i holenderskim badaniu populacji wielokrotnie ujawniały tę lukę.

„Inne kraje również pozostają w tyle”

Rzecznik podkreśla Telegraaf, że Holandia nie jest sama: wezwano także Bułgarię, Francję, Luksemburg, Polskę, Hiszpanię i Szwecję. Taki jest argument kierowcy, który wskazuje na innych przekroczeń prędkości, którzy również zostali ukarani mandatami. Nie zmienia to faktu, że dyrektywę wprowadziły takie kraje jak Grecja, Włochy, Chorwacja, Cypr, Węgry, Malta, Rumunia, Słowenia i Słowacja. Jesteśmy w tyle za krajami, które Haga chciałaby naśladować i za krajami, z których wolałaby nie naśladować.

Nie jest to skomplikowane, kwestia woli

Rząd nazywa ten proces „rozległym i złożonym”. Ale zasada jest znana: trzymać się standardów, rozpocząć wdrażanie, gdy tylko Bruksela określi kierunek i zapewnić, że najważniejsze procesy wytrzymają awarie. Padają pytania o podstawy bezpieczeństwa informacji, które wcale nie są nowe. To nie jest specjalistyczna wiedza. To jest ręczna praca administracyjna. Lub, w terminologii rotterdamskiej: nie mów, po prostu poleruj.

Tymczasem zagrożenie nie jest abstrakcyjne. MIVD, AIVD, NCTV i zagraniczne służby wywiadowcze stale ostrzegają przed cyberatakami, sabotażem i szpiegostwem ze strony Rosji, Chin i Iranu. Dyrektor MIVD mówi o działaniach, które pozostają tuż poniżej progu otwartego konfliktu zbrojnego. Gabinet to słyszy, kiwa głową i odsyła do następnego fundamentu.

I co z tego

Dwie propozycje są oczywiste. Niech rząd składa Izbie Reprezentantów comiesięczne sprawozdania na temat tego, co zostało zrobione, w toku i co wydarzy się w nadchodzącym miesiącu, aby zapewnić odpowiedni poziom bezpieczeństwa i odporności informacji. Konkretnie, na poziomie organizacyjnym, z terminami. Oraz: wstrzymać się z nowymi ambicjami politycznymi do czasu, aż rzeczywiście zostaną spełnione zobowiązania dotyczące prywatności, bezpieczeństwa informacji i zobowiązań europejskich. Kto nie ma zamkniętego domu, nie kupuje nowych mebli.

Pozew Komisji Europejskiej powinien być sygnałem alarmowym. Jeśli chodzi o odporność, jesteśmy frajerami wody różanej. Na razie wygląda na to, że rząd pisze głównie o nowej zasadzie dotyczącej dokumentacji. Rachunek za to nie zostanie zapłacony w Hadze, ale podczas pierwszej poważnej awarii ważnego sektora.

Ten artykuł ukazał się wcześniej AG Connect.