Hoe gaat de Amerikaanse overheid om met cybersecurity

Wat in Amerika gebeurt, kunnen we over een aantal jaar ook in Nederland verwachten. Dit geldt al langer voor technologie, maar is ook van toepassing op wet en regelgeving. Er komt in Europa momenteel heel veel op organisaties af, zoals NIS2 (Cyberbeveiligingswet), DORA, Cyber Resiliency Act en de AI Act. Maar wat zijn de ontwikkelingen in de US, en wat kunnen wij daar van leren?

Een van de laatste activiteiten van oud-president Biden was een presidentieel besluit (executive order) om cybersecurity te verstreken en innovatie hierin te stimuleren. Het is onduidelijk wat de regering van Trump met dit besluit zal doen, de inhoud is echter interessant.

Mij vielen een aantal zaken op bij het doornemen van dit besluit ten opzichte van Nederlandse en EU wetgeving:

• Direct benoemen van de aanvaller / vijand. China wordt duidelijk benoemd als de voornaamste (digitale) vijand waartegen de Verenigde Staten zich moeten verdedigen;
• Snelheid: het besluit bevat op veel onderdelen een aanpassing van procedures, standaarden of aanpassing van overheids inkoopprogramma’s op korte termijn (van 30 tot 150 dagen). Nu is dit met een presidentieel besluit makkelijker dan een nieuwe wet, maar toch blijkt de urgentie uit de besluitvorming, snel verbeteringen doorvoeren is het devies;
• Concrete en nieuwe cybersecurity maatregelen. Focus op nieuwe ontwikkelingen en technologieën, zoals Zero Trust, zo snel mogelijk naar TLS 1.3 en ondersteuning van post quantum cryptography;
• Bevorderen van innovatie: de overheid promoot innovatie in cyber security door overheidsorganisaties deel te laten nemen aan pilots en zelf datasets beschikbaar te stellen. Zo worden pilots genoemd voor “Rules as Code”, en voor “Phishing resistent authentication - WebAuthn”
• Space: cyber security van space technology wordt op meerdere punten aangehaald;
• IoT: IoT devices moeten een “Cyber Trust Mark” hebben (uiterlijk 4 januari 2027), dit is een vergelijkbare regel met CE marketing uit de Cyber Resiliency Act (CRA) van de EU. CE is een algemeen keurmerk voor conformiteit aan EU regels (waar cybersecurity bij komt). Het is bovendien vrijwel identiek aan het Chinese Export logo. Cyber Trust Mark, geeft qua bewoording althans beter aan waar het voor is bedoeld;
• AI: en als laatste, specifieke aandacht voor Artificial Intelligence. Zowel het beveiligen van AI (zoals het gebruik van bekende cyber security maatregelen voor AI systemen) wordt beschreven, maar ook het gebruik van AI in cyber defence.