Nieuw CYSSDE-cyberveiligheidsconsortium gaat pentests in EU helpen financieren

De Europese Commissie wil binnen het raamwerk van de NIS2- en CER-richt­lijnen de cyber­be­vei­li­ging van Europese orga­ni­sa­ties met kritieke infra­struc­tuur maxi­ma­li­seren. Om de weer­baar­heid van derge­lijke EU-onder­ne­mingen te verhogen, kreeg de nieuwe orga­ni­satie CYSSDE het mandaat om kwets­baar­heden te onder­zoeken en de methodiek ervan te verbe­teren. De Commissie maakt een subsi­die­budget vrij van meer dan 4 miljoen euro.

CYSSDE is een Europees consor­tium van cyber­se­cu­rity-experts en werkt nauw samen met het Europese ECCC – European Cyber­se­cu­rity Compe­tence Centre and Network en met de nationale cyber­se­cu­rity coör­di­na­tie­centra (NCC’s).

Partners in CYSSDE zijn onder meer het Spaanse NCC INCIBE en de Roemeense cyber­se­cu­rity autho­ri­teit DNSC. CYSSDE wordt geleid door de Belgische cyber­se­cu­rity-exper­te­n­or­ga­ni­satie LSEC.

Om de cyber­weer­baar­heid in Europa te meten, corri­ge­rende maat­re­gelen te nemen en sneller conform te zijn met NIS2, CER en de Cyber Resi­lience Act (CRA), wil de Europese Commissie door CYSSDE 230 pentests laten uitvoeren bij Europese bedrijven. Ze wees CYSSDE het beheer toe van een finan­cie­rings­en­ve­loppe van meer dan 4 miljoen euro.

Een pentest of pene­tra­tie­test is een gesi­mu­leerde cyber­aanval op een compu­ter­sys­teem om kwets­baar­heden te iden­ti­fi­ceren. De test legt zwakke plekken in de bevei­li­ging bloot. Met die infor­matie kunnen bedrijven hun verde­di­ging versterken en de poten­tiële schade van aanvallen beperken.

Eerder bleek uit onderzoek dat 80 procent van de gekende kwets­baar­heden terug­ge­vonden wordt bij ruim 60 procent van de Europese orga­ni­sa­ties met essen­tiële diensten (NIS2) en bij 90 procent van de kmo’s die hun cyber­weer­baar­heid willen opkrikken. De geplande pentests zullen zwakheden in Europese infra­struc­tuur kunnen helpen iden­ti­fi­ceren en daardoor effi­ci­ënter aanpakken.

Het CYSSDE-project vult de inspan­ningen van de verschil­lende EU-lidstaten aan met onder meer de volgende activiteiten:

• Orga­ni­seren van zogeheten open calls in de lidstaten, zowel bij de nationale cyber­vei­lig­heids­centra (NCC) als bij pentes­ting-dienst­ver­le­ners om het bestaan van de finan­cie­rings­en­ve­loppe te promoten.
• De toewij­zing van Financial Support to Third Parties-projecten: een selec­tie­co­mité van CYSSDE zal orga­ni­sa­ties die pentes­ting acti­vi­teiten voor­stellen, aanduiden wanneer die in aanmer­king komen voor een enveloppe, met een tussen­komst tot maximaal 200.000 euro.
• Orga­ni­sa­ties met kritieke infra­struc­tuur onder­steunen bij het evalueren van hun mogelijke kwets­baar­heden in toepas­singen, toestellen, systemen of cloudom­ge­vingen waarover ze zich zorgen maken.
• De capa­ci­teit en het vermogen van pentes­ting in de verschil­lende lidstaten in kaart brengen.
• Onder­steu­ning bieden bij het beter in kaart brengen van de verwach­tingen bij NIS2, CER en de CRA in de verschil­lende lidstaten voor orga­ni­sa­ties die kwets­baar­heden opzoeken.
• Methodes en gebruiksscenario’s voor pentests en kwets­baar­he­den­on­der­zoek verbeteren.

“Met de steun van NCC’s in verschil­lende lidstaten willen we een selectie maken van een twin­tigtal pentes­ting-dienst­ver­le­ners. Zij moeten ten minste 230 tests uitvoeren bij orga­ni­sa­ties in heel de EU. CYSSDE zal het proces vereen­vou­digen door nood­za­ke­lijke capa­ci­teit te leveren en de zoektocht naar kandi­daten voor pentests in de lidstaten te bege­leiden. Zo wil de EU de capa­ci­teit in alle lidstaten garanderen”,zegt Ulrich Selde­slachts, Managing Director LSEC en initiatiefnemer.

Naast LSEC zijn ook Ceeyu en Toreon betrokken als Belgische, tech­ni­sche partners, plus Cyber Ranges uit Cyprus. Het Poolse Fundingbox staat in voor de onder­steu­ning van de orga­ni­satie van de open calls.

Hoe deelnemen aan CYSSDE?

Een orga­ni­satie die valt onder de NIS2 of de CER (Critical Entities Resi­lience Directive), kan zich aanmelden bij CYSSDE. Daarbij kan op vertrou­we­lijke basis het opzet van het onderzoek worden over­ge­maakt aan de orga­ni­sa­ties die de kwets­baar­heden-analyses kunnen uitvoeren.

Een bedrijf of onder­zoeks­cen­trum dat kwets­baar­heden onder­zoekt, zal vanaf oktober kunnen deelnemen aan de open calls. Daarbij zal een selec­tie­pro­ce­dure starten waarna CYSSDE hen finan­cieel en met expertise zal onder­steunen bij de uitvoe­ring van de pentests. Bedrijven kunnen zich nu al aanmelden via de website van CYSSDE om de uitno­di­ging voor de open calls te ontvangen en de infor­ma­tie­ses­sies die daarover geor­ga­ni­seerd zullen worden.

Andere Europese cyber­se­cu­rity-orga­ni­sa­ties of sector­ver­te­gen­woor­di­gingen zijn welkom als CYSSDE-partners, onder meer om de resul­taten en bevin­dingen van de kwets­baar­heden te delen.