Kabinet laat NCSC scanplatform verkennen

Het kabinet laat het NCSC eerst onderzoeken wat nodig is voor een eigen netwerkplatform dat kwetsbaarheden vindt en organisaties waarschuwt, blijkt uit het actieprogramma dat de Tweede Kamer op 6 november ontving.

Voor een bedrijf verandert vandaag nog niets aan het patchproces: het programma kondigt geen scanservice aan die al rapporten oplevert. Een toekomstige melding kan een extra signaal geven over een kwetsbaar systeem, maar de organisatie moet nog steeds vaststellen wie het beheert en wie herstel uitvoert.

De scan moet aan een meldingsroute worden gekoppeld

De maatregel staat in het onderdeel ‘Verkleinen aanvalsoppervlak’. NCTV en NCSC coördineren het werk. Het plan wil de te beschermen doelgroepen en netwerken in Nederland in kaart brengen en organisaties actief waarschuwen voor gevonden kwetsbaarheden. De scans moeten daarvoor aansluiten op de doelwit- en slachtoffernotificatie van het NCSC, met genormaliseerde scanresultaten.

De eerste stap is alleen een verkenning naar wat nodig is om het platform te realiseren. Het document noemt geen scans die al lopen, geen proefdatum en geen start van een operationele dienst. Ook staat er niet welke netwerkdelen of organisaties binnen de beoogde scan vallen.

Het actieprogramma onderzoekt in een aparte maatregel wat er technisch en organisatorisch nodig is om sneller en waar mogelijk geautomatiseerd te patchen, inclusief de randvoorwaarden en risico’s. De scan moet dus eerst bevindingen opleveren en een melding laten volgen; het programma belooft geen automatische update die systemen herstelt.

De NCTV schrijft dat de gemiddelde tijd tussen ontdekking en misbruik in 2026 tot enkele uren is teruggelopen. De tijdlijn van maanden in 2024, weken in 2025 en uren in 2026 maakt duidelijk waarom het kabinet ook naar patchtempo kijkt.

Het NCSC verspreidt al waarschuwingen en kwetsbaarheidsdata

Het NCSC verstuurt al doelwit- en slachtoffernotificaties wanneer betrouwbare informatie erop wijst dat een organisatie door een dreiging of kwetsbaarheid wordt geraakt. De dienst beschrijft wat er is gevonden, waarom dat ertoe doet en welke maatregelen mogelijk zijn. Daarnaast biedt het NCSC een machineleesbare CSAF-feed met genormaliseerde kwetsbaarheidsinformatie uit meerdere nationale en internationale bronnen. CSAF is een standaardformaat waarmee securityteams beveiligingsadviezen automatisch kunnen verwerken.

Die bestaande diensten werken met informatie over kwetsbaarheden en dreigingen. Het actieprogramma voegt een mogelijke nieuwe bron toe: bevindingen uit scans die het NCSC zelf uitvoert. De tekst zegt niet of iedere Nederlandse organisatie zo’n melding zou kunnen krijgen, of welke gegevens nodig zijn om een gevonden systeem aan de juiste eigenaar te koppelen.

Dezelfde beleidsbundel noemt in een ander hoofdstuk ook een verkenning naar een publiek-private digitale AI-wasstraat. Die staat bij de plannen om Nederlandse AI-capaciteit voor cybersecurity te versterken. De netwerkscanner valt onder het verkleinen van het aanvalsoppervlak; het programma beschrijft geen gedeelde scanvoorziening of meldroute tussen de twee maatregelen.

CISA laat zien welke uitvoeringsdetails ontbreken

De Amerikaanse CISA voert al doorlopende scans uit op openbare, vaste IPv4-adressen. De dienst levert wekelijkse rapporten en losse waarschuwingen bij urgente vondsten. CISA zegt dat de scanservice doorgaans binnen drie werkdagen na aanmelding begint en dat organisaties binnen twee weken na de start van de scans de eerste rapporten kunnen verwachten.

Dat is een operationeel voorbeeld, geen aanbod voor Nederlandse bedrijven. De Amerikaanse dienst richt zich op overheden en organisaties in vitale infrastructuur in de Verenigde Staten; organisaties buiten de VS moeten bij CISA informeren of zij voor hulp in aanmerking komen. De pagina maakt de scope, rapportagefrequentie, doelgroep en verwachte eerste rapportdatum concreet. Het Nederlandse actieprogramma legt zulke keuzes nog niet vast.

Een tweede Nederlandse beweging is de Prometheus-pilot. Digital Holland beschrijft een pilot waarin twaalf organisaties AI inzetten om kwetsbaarheden in veelgebruikte software op te sporen en te valideren. De twaalf partijen begonnen met een verkenning van behoeften en bestaande middelen. Prometheus richt zich op software en AI-ondersteunde detectie; het nieuwe NCSC-plan gaat over netwerkscans. Het actieprogramma zegt niet dat de initiatieven dezelfde technologie of data delen.

Het actieprogramma loopt tot eind 2027 en is een bouwsteen voor de nieuwe cybersecuritystrategie die in 2028 verschijnt. De uitvoering valt volgens het kabinet binnen bestaande budgettaire kaders. Het document noemt geen apart bedrag of uiterste opleverdatum voor het scanplatform. Het plan laat nog open welke systemen worden gescand, wie een melding ontvangt en hoeveel tijd er is om die op te volgen. Organisaties hebben in dit programma dus nog geen nieuwe meldingsdatum om op te plannen.