Terwijl de geopolitieke spanningen wereldwijd blijven toenemen, heeft 2025 ons een aantal grote veranderingen gebracht. een dramatische toename aan defensie-uitgaven die we sinds de Koude Oorlog niet meer hebben gezien.

De afgelopen weken hebben de NAVO-leden afgesproken 5% van hun bruto binnenlands product te besteden aan militaire uitgaven in 2035. Veel landen, waaronder Groot-Brittannië, geven al meer dan 2% uit aan hun leger. De nieuwe doelstelling van de NAVO is opgesplitst in twee delen: 3.5% aan conventionele militaire middelen en de rest aan andere initiatieven ter versterking van de nationale veiligheid, zoals cybersecurity.

Hoewel deze onzekere tijden angstaanjagend zijn, kunnen hogere defensie-uitgaven juist positief uitpakken doordat ze meer geld in de private sector pompen en zo de economische omstandigheden verbeteren. Vooral cybersecuritybedrijven zullen profiteren van de nieuwe uitgavendoelstelling van de NAVO. Maar wat moet er nog meer gebeuren om onze cyberverdediging te verbeteren tegen toenemende dreigingen van natiestaten?

Bedrijven zijn nevenschade

Nu de geopolitieke spanningen toenemen en cyberdreigingen van natiestaten toenemen, is IT-beveiliging een 'frontlinieprobleem' geworden voor NAVO-landen, hun bondgenoten en organisaties die verantwoordelijk zijn voor kritieke infrastructuur.

Dat stelt James Lei, Chief Operating Officer van applicatiebeveiligingstestbedrijf Sparrow. Hij stelt dat bedrijven die kritieke diensten en middelen leveren die cruciaal zijn voor het functioneren van moderne samenlevingen – zoals telecom, financiën en energie – nu directe doelwitten zijn van de vijanden van de NAVO.

Lei legt uit dat de tegenstanders van de NAVO door dergelijke organisaties aan te vallen niet alleen proberen gevoelige gegevens te stelen om ze aan de hoogste bieder te verkopen. Ze hebben ook een missie om "economieën te verstoren" en "het publieke vertrouwen te ondermijnen", in een poging hun doelwitten maximale schade toe te brengen. Hij voegt eraan toe: "Dat maakt bedrijven zowel directe doelwitten als nevenschade."

Met deze risico's in gedachten, dringt Lei er bij nationale regeringen op aan om "een betekenisvol deel" van hun verhoogde defensiebudgetten te besteden aan het helpen van kleine en middelgrote bedrijven om het groeiende risico van cyberaanvallen door natiestaten tegen te gaan.

Lei zegt dat het MKB, met name bedrijven die worden aangemerkt als aanbieders van kritieke nationale infrastructuur, mogelijk niet over de budgetten beschikt om dure cyberbeveiligingssystemen of interne cyberspecialisten aan te schaffen, waardoor "zwakke plekken in het nationale cyberecosysteem" ontstaan. Hij vertelt ISMS.online: "Financiering zou het MKB toegang kunnen geven tot betere beveiligingstools, training en informatie over bedreigingen, wat de veerkracht van het hele land ten goede komt."

Deze zorgen worden gedeeld door Adam Brown, managing security consultant bij een applicatiebeveiligingsbedrijf Black DuckHij legt uit dat cyberaanvallen 30 jaar geleden nauwelijks impact hadden op de bevolking.

Maar aangezien digitale infrastructuur een essentiële rol speelt in het moderne leven, kunnen cyberaanvallen volgens hem extreem schadelijk zijn. En aangezien de digitale diensten en infrastructuur waarop we vertrouwen voornamelijk door commerciële bedrijven worden ontwikkeld en verkocht, zijn ze "voornaamste doelwitten" geworden voor cyberaanvallen door nationale staten.

Nu er oorlog woedt in Oekraïne en het Midden-Oosten, verwacht Chris Binnie, cloud-native security consultant, dat het aantal cyberaanvallen door natiestaten zal blijven toenemen. Hij maakt zich met name zorgen over de toename van aanvallen op de toeleveringsketen.

Volgens hem kunnen natiestaten dit zien als een ‘makkelijkere’ manier om de systemen van leveranciers van kritieke infrastructuur te hacken, omdat hun IT-leveranciers mogelijk niet over ‘dezelfde strenge beveiligingspraktijken’ beschikken.

Het aanpakken van deze risico's

Nu landen steeds vaker misbruik maken van zwakke plekken in hun toeleveringsketen om kritieke infrastructuur in gevaar te brengen, beginnen overheden en industriële organisaties hier aandacht aan te besteden.

Vooral de Europese Unie neemt een krachtig standpunt in ten aanzien van inspanningen op het gebied van cyberbeveiliging in de toeleveringsketen, door middel van wetten zoals de Wet digitale operationele veerkracht, Cyber Resilience Act en Richtlijn Netwerk- en Informatiebeveiliging 2.

Brown legt uit dat bedrijven die cyberdiensten leveren aan kritieke nationale infrastructuurorganisaties, volgens dergelijke wetten verplicht zijn om eventuele zwakke plekken in de cyberbeveiliging te dichten door strikte procedures voor cyberbeveiliging te volgen.

Industrienormen zoals ISO 27001 ISO 22301 en ISO 42001 bieden bedrijven bovendien een basislijn waarmee ze zichzelf kunnen beschermen tegen geopolitieke cyberdreigingen en uiteindelijk hun activiteiten, gegevens en toeleveringsketens kunnen beschermen tegen hackers van nationale overheden.

Young van TSG Training legt uit dat ISO 27001 betrekking heeft op informatiebeveiliging, ISO 22301 op bedrijfscontinuïteit en dat onlangs ISO 42001 is geïntroduceerd om cyberdreigingen veroorzaakt door AI tegen te gaan.

Hij is van mening dat externe IT-leveranciers die contracten willen binnenhalen van organisaties die kritieke nationale infrastructuur implementeren, door zich aan dergelijke normen te houden, kunnen aantonen dat zij cyberbeveiliging serieus nemen en dat zij robuuste maatregelen hebben genomen om risico's in de toeleveringsketen te beperken.

Een kans voor bedrijven

Hoewel veel bedrijven slachtoffer zijn geworden van cyberaanvallen door nationale overheden, kunnen sommige juist profiteren van hogere defensie-uitgaven, aangezien landen deze risico's willen beperken.

Nationale overheden vertrouwen op bedrijven om hun digitale veerkracht te behouden, en als onderdeel van hun defensiebudgetten zullen ze ongetwijfeld meer geld investeren in het verbeteren van hun cyberbeveiliging. Dat biedt volop kansen voor de private sector.

Volgens John Young, hoofdconsultant bij IT-opleidingsinstituut TSG Training, spelen bedrijven uit de particuliere sector een belangrijke rol bij het helpen van NAVO-leden om hun cyberveiligheid en uiteindelijk hun algehele nationale veiligheid te versterken.

Hij vertelt ISMS.online: "Het delen van dreigingsinformatie tussen bedrijven, overheidsinstanties en internationale partners versterkt het algemene bewustzijn en maakt snellere reacties op nieuwe dreigingen mogelijk."

Net als Young is Lei van Sparrow van mening dat de NAVO niet kan reageren op de talloze cyberdreigingen van vandaag zonder samenwerking met de private sector. Hij wijst erop dat private bedrijven veel van de kritieke diensten die door overheden worden gebruikt, bezitten en exploiteren. Daarom, zegt hij, vertrouwen overheden op de private sector voor dreigingsinformatie en incidentrespons.

Chris Henderson, Chief Information Security Officer bij het beheerde cybersecurityplatform Huntress, is ook een groot voorstander van samenwerking tussen de publieke en de private sector in de strijd tegen cyberdreigingen van natiestaten.

Hij zegt dat overheden via deze partnerschappen de realtime informatie over dreigingen van organisaties uit de private sector kunnen benutten om gelijke tred te houden met het snel veranderende cyberdreigingslandschap.

Om dergelijke partnerschappen tot een succes te maken, dringt Henderson er bij organisaties in de private sector op aan ervoor te zorgen dat de informatie die zij met overheidsinstanties delen, zo is geformatteerd dat door de overheid beheerde computersystemen de gegevens kunnen analyseren en hier snel bruikbare inzichten uit kunnen halen.

Ook overheden moeten hun steentje bijdragen om ervoor te zorgen dat deze partnerschappen effectief zijn. Henderson stelt met name dat organisaties in de private sector informatie over cyberdreigingen moeten kunnen verspreiden zonder te worden gehinderd door de bureaucratische regelgeving. Dit is volgens hem essentieel om "tijdige actie" te garanderen tegen "nieuwe en kritieke dreigingen".

Conclusie

Het is angstaanjagend om te zien hoe overheden hun defensie-uitgaven verhogen, omdat je je afvraagt wat ze weten en wat er in de toekomst kan gebeuren. Maar het is absoluut noodzakelijk om landen veilig te houden in deze snel veranderende tijden. Defensie-uitgaven gaan echter niet alleen over de aanschaf van meer tanks of raketten – onze vijanden kunnen net zoveel schade aanrichten met cyberaanvallen op kritieke infrastructuur.

Het is dan ook bemoedigend dat NAVO-leden ermee instemmen een aanzienlijk deel van hun verhoogde defensiebudgetten te besteden aan het versterken van cyberdefensie. Tegelijkertijd creëert dit kansen voor cybersecuritybedrijven in de private sector. Naast meer geld uitgeven aan cyberdefensie is nauwe samenwerking tussen de publieke en private sector echter essentieel om ervoor te zorgen dat deze projecten op de lange termijn effectief zijn. En laten we niet vergeten dat veel bedrijven nu collateral damage zijn te midden van geopolitieke turbulentie, wat betekent dat ook zij ondersteuning nodig hebben.