AI, quantumtechnologie en geopolitieke spanningen leiden wereldwijd tot nieuwe cyberwet- en regelgeving. Overheden kiezen vaker een eigen koers voor hun nationale cyberverdediging, stellen strengere eisen aan leveranciers en verschuiven de aandacht van richtlijnen voor post-quantumcryptografie naar de daadwerkelijke invoering ervan. Met de uitbreiding van NIS2 vallen ook managed service providers onder de nieuwe verplichtingen.
Dat blijkt uit de zesde editie van de Global Cyber Policy Radar, een rapport van NCC Group, het moederbedrijf van Fox-IT. Volgens de onderzoekers kiezen overheden steeds vaker een eigen aanpak voor hun nationale cyberverdediging. NCC Group stelt dat samenwerking tussen overheden en bedrijfsleven daardoor belangrijker wordt, voor de weerbaarheid van organisaties en voor de nationale digitale veiligheid.
AI in nationale cyberverdediging
Het rapport beschrijft hoe overheden AI opnemen in hun cyberstrategieën. Het Verenigd Koninkrijk werkt aan de National Cyber Shield en ook Singapore en Australië integreren AI in hun aanpak. De EU werkt aan een ‘Grand Challenge on AI for Cyber Security’ voor de ontwikkeling van AI-toepassingen voor cyberverdediging. In Nederland pleit de Cyber Security Raad voor een gezamenlijke Europese aanpak om kennis over AI en cybersecurity te bundelen.
Omdat landen verschillende benaderingen hanteren, ontstaan volgens NCC Group nieuwe vragen over vertrouwen, toegang tot technologie en digitale soevereiniteit. Het bedrijf adviseert organisaties te onderzoeken welke AI-ondersteunde beveiligingstoepassingen zij kunnen vertrouwen en hoe nationale verschillen hun bedrijfsvoering raken.
De onderzoekers zien daarnaast dat de ontwikkeling van generatieve AI-modellen leidt tot een meer aanhoudende aandacht voor digitale veiligheid. Na grote incidenten piekt de publieke belangstelling doorgaans en zakt die daarna weer weg, terwijl de gevolgen voor wetgeving en toezicht langer doorwerken. NCC Group raadt bestuurders aan blijvend te investeren in risicobeheer en incidentrespons- en herstelplannen regelmatig te testen.
Van PQC-richtlijnen naar implementatie
Bij quantumtechnologie signaleert het rapport een vergelijkbare verschuiving. Waar overheden zich eerder richtten op richtlijnen voor post-quantumcryptografie (PQC), ligt de nadruk nu steeds meer op de daadwerkelijke invoering. In voorgestelde aanpassingen van de NIS2-richtlijn staat onder meer dat lidstaten beleid voor de overstap naar PQC moeten opnemen in hun nationale cybersecuritystrategie. De Franse cybersecurityautoriteit ANSSI heeft aangekondigd vanaf 2027 geen beveiligingsproducten zonder quantumresistente versleuteling meer te certificeren.
NCC Group adviseert organisaties nu al in kaart te brengen welke systemen en processen afhankelijk zijn van bestaande cryptografie en te beoordelen hoe snel zij kunnen overstappen. Wie wacht op definitieve regelgeving, loopt volgens het bedrijf het risico te weinig tijd over te houden.
Strengere eisen aan leveranciers
Geopolitieke spanningen vergroten volgens het rapport de aandacht voor supply chain security. Overheden stellen vaker eisen aan leveranciers, ook buiten de vitale infrastructuur. De Europese Commissie wil met het ‘Technology Sovereignty Package’ strategische afhankelijkheden in de Europese technologiesector verkleinen. De voorgestelde Cybersecurity Act 2.0 richt zich onder meer op risico’s in ICT-toeleveringsketens, waaronder buitenlandse beïnvloeding en zeggenschap over technologiebedrijven. De NIS2-richtlijn breidt verplichtingen uit naar onder meer datacenters, cloudaanbieders en managed service providers.
Het rapport stelt dat bestuurders geopolitieke risico’s moeten meenemen in hun dagelijkse besluitvorming. Dat betekent rekening houden met cyberactiviteiten van statelijke actoren, vaststellen welke processen altijd moeten blijven draaien en herstelplannen testen voordat ze nodig zijn.
Leeftijdsverificatie en privacy
Een ander onderwerp in het rapport is leeftijdsverificatie bij digitale diensten. De Europese KIDS Act noemt een minimumleeftijd van 15 jaar voor een account op sociale mediaplatforms. Binnen Europa wordt gewerkt aan methoden waarmee gebruikers hun leeftijd aantonen zonder onnodig persoonsgegevens te delen. Privacy-enhancing technologies (PETs) zoals zero-knowledge proofs kunnen bevestigen dat iemand een bepaalde leeftijd heeft, zonder dat een platform de geboortedatum ontvangt. Volgens de onderzoekers maakt dataminimalisatie een systeem nog niet automatisch betrouwbaar; ook de technische architectuur eromheen moet veilig zijn.
Katharina Sommer, Director of Government Affairs bij NCC Group, stelt dat organisaties beslissingen moeten nemen terwijl nog onduidelijk is hoe wet- en regelgeving zich ontwikkelt. Die onzekerheid is volgens haar geen reden om investeringen in digitale weerbaarheid uit te stellen. Sommer vindt dat inzicht in strategische afhankelijkheden en voorbereiding op verstoringen een vast onderdeel van goed bestuur moeten worden, en niet pas tijdens een crisis aandacht moeten krijgen.
Het volledige rapport is te lezen via Global Cyber Policy Radar.
