NCSC ziet IT-dienstverleners en MSP's als cruciale poortwachters

Het NCSC heeft roerige jaren achter de rug. Sinds het aantreden van Van Amelsfort, precies twee jaar geleden, heeft de organisatie een ingrijpende transformatie doorgemaakt. De fusie met het Digital Trust Center (DTC) en het CSIRT-DSP, gecombineerd met een reorganisatie naar een wendbare agile werkwijze, stelt de overheidsdienst beter in staat in te spelen op een snel veranderend dreigingslandschap. "Die flexibiliteit en schaalbaarheid hebben we als cybersecurityorganisatie hard nodig," legt Van Amelsfort uit. "Zeker nu ontwikkelingen op het gebied van kunstmatige intelligentie en nieuwe Europese wetgeving zoals de Cyberbeveiligingswet en de Cyber Resilience Act (CRA) de markt opschudden."

De versneller: AI-agents die 24/7 aan de slag gaan

Vooral de razendsnelle adoptie van AI baart de directeur van het NCSC zorgen, al ziet hij ook de kansen. Waar AI-modellen oorspronkelijk zijn ontworpen om software veiliger te maken en kwetsbaarheden op te sporen, grijpen ook kwaadwillenden het instrument aan om hun processen te versnellen.
"We verwachten dat de grootste impact zal zijn dat autonome AI-agents 24/7 netwerken gaan scannen, zelf scripts gaan schrijven, aanvalspaden kiezen en gerichte (phishing) aanvallen uit gaan voeren," waarschuwt Van Amelsfort. "Dat verandert de factor tijd radicaal. De eerste lijn van verdediging blijft echter het op orde hebben van de basis. Als je dat fundament strak toepast, krijgt AI simpelweg veel minder kans om binnen te dringen."

Ketenverantwoordelijkheid voor IT-dienstverleners en MSP's

In het verhogen van de nationale weerbaarheid ziet Van Amelsfort een cruciale rol voor IT-dienstverleners en Managed Service Providers (MSP's). Zij vormen immers het fundament én de poortwachter voor talloze zakelijke IT-omgevingen.
"Cybersecurity is per definitie een teamsport; we moeten het echt samen doen," benadrukt hij. "Als NCSC kunnen we Nederland nooit alleen digitaal weerbaar maken. Ons uitgangspunt bij dreigingsinformatie is 'delen, tenzij'. We benutten platforms in de IT-sector om onze informatie zo breed mogelijk te verspreiden en bouwen actief aan het landelijke Cyberweerbaarheidsnetwerk. De vrijwillige registraties en incidentmeldingen vanuit de markt zijn daarin onmisbaar."

Bestuurlijke aansprakelijkheid eist cultuurverandering

Een ander centraal thema op de ONE Conference is de invloed van de Cyberbeveiligingswet op de governance van bedrijven en overheden. De nieuwe regelgeving brengt niet alleen een meld- en registratieplicht met zich mee, maar legt ook nadrukkelijk de verantwoordelijkheid en zelfs hoofdelijke aansprakelijkheid bij bestuurders neer.
"Dat heeft een enorme impact, maar het helpt wel om cybersecurity definitief op de agenda van de boardroom te krijgen," zegt Van Amelsfort. "We zien gelukkig dat CISO's steeds vaker een vaste plek aan de bestuurstafel krijgen. Als er een grote kwetsbaarheid aan het licht komt, is dat het uitgelezen moment voor een bestuurder om zijn CISO op te bellen en te vragen wat de impact voor de eigen organisatie is. Op onze website reiken we praktische handvatten en vragenlijsten aan om dat gesprek goed te kunnen voeren."

Verschuiving naar 'Assume Breach'

Hoewel preventie belangrijk blijft, verschuift de focus binnen de IT-sector steeds meer naar veerkracht (resilience), detectie en incident response. Van Amelsfort benadrukt dat organisaties er rekening mee moeten houden dat een aanvaller vroeg of laat binnenkomt: "De detectie van de één is de preventie van de ander. Door de komst van geavanceerde AI-aanvallen en een toename in zero-day kwetsbaarheden wordt monitoring op je netwerk cruciaal. Je kunt de wet als een verplichte afvinkoefening benaderen, maar het werkelijke doel is om de continuïteit van de hele keten te waarborgen."
Aan alle IT-beslissers, CISO's en IT-dienstverleners geeft de NCSC-directeur tot slot een duidelijke boodschap mee: "Zorg dat je de basis op orde hebt. Dat klinkt misschien als een grijsgedraaide plaat, maar het blijft het vertrekpunt. Breng je risico's in kaart, zorg voor goede segmentatie, update je systemen en bereid je voor op incidenten. Alleen als de digitale basis staat, kun je AI ook succesvol inzetten voor je eigen verdediging."