Het midden- en kleinbedrijf maakt dankbaar gebruik van de MKB Cyber Alarmcentrale, het meldpunt voor ondernemers die zijn getroffen door een cyberincident. Waar penvoerder Saxion kennis inbrengt via het Lectoraat Online Weerbaarheid, zorgt consortiumpartner Fraudehelpdesk voor de praktische invulling van de hulplijn. “Eerst zochten we naar best practices uit het binnen- en buitenland om van te leren, maar dit bestond gewoon nog niet. Wat wij doen is echt pionieren.”
In de pilotfase ging de telefoon zeker een keer of 80, met aan de andere kant van de lijn mkb’ers die hun cyberincidenten meldden. Is het naar verwachting, die mate van aandacht voor de MKB Cyber Alarmcentrale? “Het is boven verwachting,” vertelt Sanne Bannink van de Fraudeheldesk. “Mensen hebben het telefoonnummer vaker gevonden dan wij hadden verwacht.”
Hoewel niet alle telefoontjes inhoudelijk gezien binnen de scope van de pilot vielen, zaten er zeker relevante casussen tussen. Sowieso waren er uiteenlopende redenen waarom mensen belden. “We hebben een keer een telefoontje gehad van een bedrijf waar het kassasysteem niet meer deed. Waar moet ik beginnen? Dat is dan de vraag. En af en toe ging het bijvoorbeeld over malware, aangetroffen op een website. De meldingen kwamen voornamelijk van kleinere bedrijven, die geen eigen incident response hadden en soms ook geen IT-afdeling; zoiets wordt dan uitbesteed.”
Enkele partners die hebben bijgedragen aan de totstandkoming van de alarmlijn. Achterste rij: Stefan van Malsen (politie-eenheid Oost-Nederland), Martijn Krijnsen (CCV), Bruno Verweijen (Saxion), Robert Weedage (Northwave), Jan-Peter Soenveld (Saxion), Yvonne Kranenbarg (Gemeente Apeldoorn), Hanko van Giessen (politie-eenheid Oost-Nederland), Eric Buffinga (politie-eenheid Noord-Nederland), Carmen Cattier (PVO Oost-Nederland), Jitse Beuker (CVD), Bas Ros (NFIR). Voorste rij: Carlyn van Amersfoort (Saxion), Sanne Bannink (Fraudehelpdesk), Irene van der Zanden-de Jong (NCSC)
Digitale brandweer
Met Jan-Peter Soenveld, onderzoeker bij het Lectoraat Online Weerbaarheid, gaan we eerst even terug naar het ontstaan van de MKB Cyber Alarmcentrale. Jan-Peter benadrukt dat maar liefst 15 tot 20% van alle mbk’ers jaarlijks te maken krijgt met een cyberincident, wat meteen de urgentie van de alarmlijn onderstreept.
Er zijn een aantal redenen waarom mkb’ers relatief gezien zo vaak worden getroffen door cyberincidenten. In theorie kan ieder bedrijf slachtoffer worden, maar een bedrijf dat weinig of geen aandacht besteedt aan cyberveiligheid, is logischerwijs extra kwetsbaar. Soms ligt iets ‘simpels’ als tijdgebrek aan de basis van die kwetsbaarheid. Andere mkb’ers wijzen op kennisgebrek als oorzaak. Jan-Peter: “Mijn collega Bruno Verweijen heeft onderzocht wat er kan worden gedaan om ondernemers wél te motiveren om iets te gaan doen aan hun cyber security. Uit dat onderzoek bleek dat 83% van de ondernemers pas bereid is iets te doen als ze ervaring met een incident hebben gehad.”
Met andere woorden: de stap tot preventie wordt door veel ondernemers nog niet zo snel gezet; de houding is meer reactief. Vanuit dat gegeven ontstond het idee om te gaan werken aan iets wat tot dan toe nog niet bestond: een soort landelijke ‘digitale brandweer’ voor het mkb. “Toen hebben we met een groep organisaties – onder meer Fraudehelpdesk, Saxion, de politie en het NCSC – een plan ontwikkeld om een hulplijn op te richten, en daar is de MKB Cyber Alarmcentrale het resultaat van.”
In een ideale situatie zou deze lijn over een aantal jaren niet meer nodig zijn, maar dat is helaas echt een utopie. Wel hopen we via deze weg ook in algemene zin te kunnen bijdragen aan een grotere online weerbaarheid in het mkb.
Vormen van hulp
Pratend over de ervaringen die tijdens de pilotfase zijn opgedaan, wordt duidelijk dat het niet ophoudt bij acute hulp en preventie. De MKB Cyber Alarmcentrale kan ook de weg naar overige hulpbronnen wijzen. Sommige ondernemers worden bijvoorbeeld geholpen om een melding of aangifte bij de politie te doen. En wanneer er bij een incident mogelijk sprake is van een datalek, kan er worden gewezen op de meldplicht bij de Autoriteit Persoonsgegevens.
De impact van een cyberincident kan al met al groot zijn. Mocht een getroffen ondernemer daar baat bij hebben, dan kan er bijvoorbeeld ook contact worden gelegd met Slachtofferhulp Nederland. Zo probeert de MKB Cyber Alarmcentrale te assisteren bij alle mogelijke vormen van hulp na een incident.
We leren van elke casus; dat is het mooie van deze pilot, waarin we telkens afstemmen met incident responders.
Brugfunctie
De specialisten die de telefoon bij de MKB Cyber Alarmcentrale opnemen hebben veel kennis van fraude en online oplichting. In die zin is Fraudehelpdesk een kennispartij, maar tegelijkertijd is hun rol breder. Sanne spreekt over ‘hoorbare opluchting’ bij ondernemers die op weg worden geholpen. “De specialisten horen iemands verhaal aan, en zorgen zo eerst voor een zachte landing, voor mensen die in paniek zijn of niet weten wat hen is overkomen. We leren van elke casus; dat is het mooie van deze pilot, waarin we telkens afstemmen met incident responders. Van hen leren we wanneer ze wel of niet iets met een incident kunnen doen. Hierdoor worden de lijntjes in dat hele ‘ketenlandschap’ ook weer wat korter.”
Soms hoort het wegnemen van schaamte ook bij de zachte landing die Sanne omschrijft. Ondernemers kunnen zich naïef voelen wanneer ze getroffen worden door een cyberincident. “Maar op een gegeven moment kun je niet meer voorbij aan het feit dat je hulp nodig hebt. Wij luisteren altijd zonder oordeel, om te zien hoe we kunnen helpen. Iets als het klikken op een verkeerde link zit vaak nog in de taboesfeer. Maar hoe eerder je erbij bent, hoe beter het gewoon is.”
Zien de aangesloten incident responders ook de meerwaarde van de MKB Cyber Alarmcentrale in deze publiek-private samenwerking? “Zeker,” beaamt Sanne, “het zijn super enthousiaste partijen die zien hoe belangrijk dit is. In hun ogen vervullen we een brugfunctie, omdat het mkb de weg naar incident responders gewoon nog weinig weet te vinden. Soms weten bedrijven überhaupt niet dat er incident responders bestaan.”
Een ondernemer heeft niks aan een zoekplaatje. Wat wij bieden is één ingang, en vanuit daar word je verder geholpen.
Eén ingang
Sanne herinnert zich een ondernemer die ‘totaal in paniek’ aan de telefoon hing. Er was iets met de website aan de hand, en de ondernemer in kwestie had geen idee wat te doen. Toen de naam van incident responder Northwave werd genoemd, werd de verbinding meteen verbroken. Later bleek dat de onfortuinlijke mkb’er vervolgens zelf naar Northwave had gebeld. Op een kalmer moment volgde alsnog een bedankje richting de MKB Cyber Alarmcentrale; iets wat de ondernemer door alle stress in eerste instantie was vergeten.
Het geeft maar aan in wat voor gat de MKB Cyber Alarmcentrale is gesprongen. Eerst hadden veel mkb’ers in geval van cybernood geen idee wat te doen, en nu kunnen ze terecht bij één centrale plek. Jan-Peter: “Het is voor mij een bevestiging dat één telefoonnummer gewoon het beste werkt. Een ondernemer heeft niks aan een zoekplaatje. Wat wij bieden is één ingang, en vanuit daar word je verder geholpen.”
Doelwit
Volgens Jan-Peter is het niet zo dat kwaadwillenden vaak gericht mkb’ers gaan aanvallen. Eerder wordt er met hagel geschoten, en de firma die de cyberveiligheid niet op orde heeft wordt dan het snelst getroffen. “Wat we wel steeds meer zien, is dat criminelen via mkb’ers een weg naar andere, grotere organisaties vinden. In de vitale sector zie je dat de beveiliging steeds beter op orde is. Alleen zijn zij natuurlijk ook verbonden met gewone mkb’ers. Bij een cyberaanval kan er via die mkb’ers dan een weg naar de vitale sector worden gezocht. In die zin kan een mkb’er dan wél een specifiek doelwit zijn.”
Het web van cybercriminaliteit zal zich helaas alleen maar verder uitbreiden; actuele kennis en expertise is dan des te belangrijker. Recent schreef de Volkskrant nog over de dreiging van een door mensen aangestuurde cyberaanval van AI-agents. Wederom zal een dergelijke aanval waarschijnlijk niet direct op een specifieke mkb’er worden gericht, maar de technologie die erachter zit kan ook voor kleinere bedrijven een nieuwe uitdaging vormen. In dat licht lijkt het uitgesloten dat de behoefte aan een digitale brandweer snel zal verdwijnen.
Het meest concrete doel van de pilot was om de kracht van één centraal meldpunt te bewijzen, en om het ontwerp ervan waar nodig aan te kunnen scherpen. Maar het hogere doel bestaat toch vooral uit het helpen van ondernemers. De huidige rol van Saxion, als penvoerder in het project, loopt ten einde. Wel wil het Lectoraat Online Weerbaarheid op de achtergrond betrokken blijven, waarbij Jan-Peter een toekomstig vervolgonderzoek zeker niet uitsluit. De belangrijkste vervolgstappen bestaan nu uit het vinden van nieuwe financiering en een nieuwe projectregisseur. Een partij die kan helpen bij de landelijke opschaling van de alarmlijn… Wie zal er durven te bellen?
Fotografie: Thomas Busschers
