De CoP krijgt een rondleiding door de Brainport Industries Campus. Foto: Thijs Rooimans
De Nederlandse high tech-industrie is met regelmaat doelwit van cyberaanvallen en spionage. Om daaraan het hoofd te bieden, besloot de industrie in een ecosysteem samen te gaan werken aan cyberweerbaarheid. De Community of Practice Ecosystems ging daar op 9 september langs, om te zien wat we daarvan kunnen leren.
De CoP Ecosystems komt deze keer bijeen bij Brainport Industries in Eindhoven, waar grote partijen als Philips, ASML en Canon aan high tech-producten werken, elk in hun eigen kantoor, maar met nadrukkelijke onderlinge samenwerking. Ook het (hoger) onderwijs, onderzoeksorganisaties en de overheid hebben er hun eigen plek.
Brainport Industries is zo’n zestien jaar geleden ontstaan uit ideeën van Noord-Brabant en de BOM, met als onderliggend idee dat de toeleveringsketen samen moet gaan werken. Opvallend: vrijwel alle kantoren hebben glazen wanden. Er is bewust gekozen voor openheid, wat het gemakkelijk maakt om elkaar op te zoeken.
Op de campus zitten ook experience centers en field labs, waar bedrijven samen usecases oplossen die vaak afkomstig zijn van mkb’s met minder geld of middelen.
Ewoud Smit vertelt over ASML en Noord-Brabant. Foto: Thijs Rooimans
Samenwerking als DNA
De campus is onze gastlocatie, maar we zijn er ook om van een ander, al langer bestaand ecosysteem te leren, gericht op cyberweerbaarheid. Maar samenwerken is voor Noord-Brabant niet nieuw, vertelt Ewoud Smit van ASML. Samenwerking zit in het DNA van Brabant, illustreert hij met een korte geschiedenisles.
Al in 1356 geeft de Brabantse adel het volk het recht om zichzelf te organiseren en samen te werken als het in zijn belang is. Later ontstaan handelssteden en gildes die samen meer voor elkaar krijgen dan één partij alleen. En na oorlogen helpt Brabant elkaar bij de wederopbouw. Na de Tweede Wereldoorlog bijvoorbeeld starten negentien fabrikanten de Eindhovensche Fabrikantenkring, die uitgroeit tot een blijvend samenwerkingsorgaan.
Het verhaal van ASML
Die samenwerking speelt ook een grote rol in het verhaal van ASML zelf. Het bedrijf kon niet alle onderdelen zelf maken en liet daarom veel door leveranciers maken.
Toen de eerste chipmachines klaar waren en klanten aanklopten, moest die toeleveringsketen meeschalen. Cruciaal daarbij: transparant zijn over afspraken en forecasts. Dat levert vertrouwen op.
Maar het gaat ASML niet altijd voor de wind. Bij een ‘downturn’ stortte de vraag in, en leveranciers waren inmiddels zo met ASML meegegroeid dat ze ervan afhankelijk waren geraakt. ASML besloot de meest kritische leveranciers te ondersteunen, waardoor de relaties sterker werden.
Maar zo’n sterk geïntegreerd ecosysteem maakt je ook kwetsbaar, zeker nu samenwerkingen digitaler worden en cyberdreigingen toenemen. Een gedeelde weerbaarheid wordt noodzakelijk.
Uit die noodzaak ontstaat eerst de Eindhovense Cyber Security Groep: CISO’s en andere security-verantwoordelijken, de Eindhoven University en gemeenten die kennis en incidenten delen. Maar de toeleveringsketen zit daar niet bij, terwijl ook daar kwetsbaarheden zitten die de hele keten raken. Dat leidt tot het idee voor een nieuw weerbaarheidscentrum waar ook leveranciers aan mee kunnen doen: schaalbaar, laagdrempelig en betaalbaar voor het mkb.
Zo ontstaat in 2019 het Cyber Weerbaarheidscentrum Brainport (CWB), dat met hulp van TNO een eigen toolkit bouwt.
Lisette Oosterbosch vertelt over het CWB. Foto: Thijs Rooimans
Het CWB
Lisette Oosterbosch vertelt meer over het CWB, dat als stichting zonder winstoogmerk werkt. Het CWB heeft diverse belangrijke functies. Zo heeft het de status ‘Objectief Kenbaar Tot Taak’ (OKTT), waardoor het dreigingsinformatie van het NCSC mag ontvangen en delen met aangesloten partijen. Verder verbindt het CWB partijen en hun expertise, via kennissessies, webinars, een kennisbank en een app waarmee participanten kwetsbaarheden kunnen melden.
Maar het CWB loopt ook tegen dilemma’s aan. Oosterbosch deelt er vijf.
Financiën
Het CWB kreeg de eerste drie jaar een startsubsidie van de RVO, gevolgd door tijdelijke steun van de Metropoolregio Eindhoven. En Brainport Eindhoven geeft het CWB een kantoor en ondersteunt via personeelszaken en de administratie. Later geeft ook de provincie Noord-Brabant een lening, die de provincie uiteindelijk omzet in subsidie. Brainport Eindhoven blijft kantoor en ondersteuning bieden, maar verder is dat geld op. “Als we nu een project doen, zijn we afhankelijk van andere geldschieters.”
Schaalbaarheid
Het CWB is landelijk gericht, maar de concentratie zit in de regio Eindhoven, mede door het ons-kent-ons-principe. “Het onderlinge vertrouwen is aanzienlijk”, zegt Oosterbosch.
Een vergelijkbaar initiatief in Zuid-Holland bleek daarom lastig te combineren: “Ecosystemen gaan echt over gevoelens. Als je de juiste mensen niet bij elkaar krijgt, dan schud je het”, zegt Oosterbosch.
Bart van der Linden vertelt over ecosystemen. Foto: Thijs Rooimans
IT-dienstverleners
Het mkb besteedt veel IT uit, ook security. “Ze zijn echt afhankelijk van IT-dienstverleners, die zelf ook weer onderdeel zijn van de weerbaarheidsketen én vaak zelf doelwit van aanvallen zijn”, zegt Oosterbosch.
Nu zijn er wel wat maatregelen die IT-dienstverleners kunnen nemen. Ze kunnen aantonen dat ze gecertificeerd zijn voor de ISO 27001 of afgeleiden als CyRa. En er is de CCV, die allerlei certificeringen heeft.
“Maar slechts enkele tientallen dienstverleners hebben de CCV en maar een paar hebben de andere keurmerken. Dus daar lopen we enorm in achter”, concludeert Oosterbosch.
Cyberwetgeving en overheid
Met de NIS2 kwam eindelijk een verplichting voor meer bedrijven. “Wij zijn twee jaar voor hij in werking trad al gaan waarschuwen. Toen kwam onze overheid, die er nog twee jaar langer over deed om hem te implementeren”, vertelt Oosterbosch. Het gevolg: bedrijven maken zich minder zorgen.
Er kwamen bovendien nog meer wetten bij, van de CRA tot de AI Act, en elk ministerie heeft zijn eigen cybersecurity-programma.
Concurrentie en overdaad
Er zijn 78 sectorale en regionale samenwerkingen die aan dezelfde organisaties trekken. “De ondernemer ziet door de bomen het bos niet meer”, zegt Oosterbosch.
Tijdens de dag werd ook het DEBB-framework besproken. Foto: Thijs Rooimans
Toekomst van het DEBB-model
Deze middag besteedt de CoP ook aandacht aan het DEBB-framework: een tool met verschillende bouwblokken waarmee iedereen een eigen ecosysteem kan opbouwen.
De komende tijd werkt de CoP verder aan versie 1 van het DEBB-framework, met als doel die te tonen bij de DEI Summit in april 2027.
Aan de slag met casussen
Zoals gebruikelijk sluit de CoP de middag af met subgroepen die aan een casus werken. Vandaag lag een groot deel van de focus op ASML en CWB, met reflectie op verantwoordelijkheid en ketenweerbaarheid in een complex ecosysteem. De belangrijkste conclusie: zo’n stichting moet business sense maken, met een duidelijke waarde voor de partners die eraan meedoen.
Daarnaast zit veel spanning in (valse) concurrentie en schaalgrootte: een one-size-fits-all-aanpak bestaat niet. Het team hoopt op intrinsieke motivatie bij deelnemers, maar ziet ook ruimte voor harde criteria: haal je een bepaald niveau niet, dan zoekt de keten een andere partij.
Volgende bijeenkomst
Daarmee zit de derde bijeenkomst van de CoP Ecosystems er weer op. Op 4 november komt de groep opnieuw bij elkaar. Deze keer is het thema: Data Sharing Coalition.