Zes cybersecurity-experts bespreken wat Europese regulering zoals NIS2 en de Cyber Resilience Act betekent voor technologie in Europa. Of die regels innovatie en soevereiniteit afremmen of net versnellen, daarover zijn ze het niet eens.
Maarten Bovée, CEO van NTX, ziet dat Belgische kmo’s zich steeds meer vragen stellen over de herkomst van technologie. “Ik verwachtte altijd dat vooral de grotere bedrijven dat belangrijk zouden vinden, maar nu zie ik het zelfs bij kleine bedrijven”, zegt hij. “Ze vragen welke technologie we gebruiken. Is die Europees, Amerikaans, of Israëlisch?”
“Of ze zeggen gewoon: als het Amerikaans is, willen we het niet. De vraag wordt dus ook bij de kleine bedrijven steeds gangbaarder.” Ulrich Seldeslachts, CEO van LSEC, noemt dat ‘een goede zaak’. Aan tafel zitten nog Ron Mukherjee, Cybersecurityconsultant bij Eset, Olivier Menil, Strategic Advisor BeLux bij Fortinet, Kris Spruyt, Senior Business Consultant bij Telenet Business en Satish Balakrishnan, VP en GM bij Red Had Ansible, om te debatteren over de impact van regelgeving op de technologische slagkracht van Europese bedrijven.
Een ingewikkelde kwestie
Volgens Mukherjee is de betekenis van soevereiniteit al voer voor discussie. “Er is iets al soevereiniteitswashing. Het is heel moeilijk om dat echt te bepalen. Wij zijn bijvoorbeeld een Europees bedrijf, maar we hebben ook een Amerikaanse tak en wereldwijde activiteiten. Hoe ver moet het gaan. Het is een ingewikkelde kwestie.”
“Extreem ingewikkeld”, staat Balakrishnan bij, “want Europa heeft niet de volledige softwarestack.” Volgens hem moeten bedrijven zich twee vragen stellen: “Is je onderliggende infrastructuur auditeerbaar en wat gebeurt er als je leverancier de voorwaarden of toegang wijzigt?”.
Red Hat, zelf een Amerikaans bedrijf, speelt daarop in met open source. “Onze volledige broncode is beschikbaar voor al onze klanten. Daardoor kan je nagaan of er een achterdeur in zit. Je betaalt niet voor licenties, maar voor ondersteuning. Daarnaast kunnen meerdere derde partijen je ondersteunen, omdat de software beschikbaar is. Zolang je die fundamentele zaken kan valideren bij je leveranciers, zit je volgens mij goed op het vlak van soevereiniteit”, zegt Balakrishnan.
Dat is wat Telenet ook vraagt van zijn leveranciers, legt Spruyt uit, die zijn werkgever naar compliance moet leiden. “Het maakt deel uit van het onboardingproces: we moeten weten waar de data zich bevinden. We vragen onze leveranciers waar ze hun data vandaan halen, waar die data staan en hoe ze er controle over houden.”
Ideologische discussie
Het panel ziet dat ideologische argumenten het soevereiniteitsdebat extra lading geven. “We hebben een bevraging gedaan bij Europese kmo’s”, pikt Mukherjee in. “Daaruit bleek dat 75 procent van de kmo’s beseft dat ze getroffen kunnen worden door een aanval die met cyberoorlogvoering te maken heeft. Er is dus echt een bewustzijn daarrond.”
“Uiteindelijk is soevereiniteit een politiek en technisch probleem met twee totaal verschillende antwoorden”, stelt Olivier Menil vast. “Als je in de technische details duikt en vraagt welke hardware je in je datacenter gebruikt en waar de chipset vandaan komt, is de discussie snel voorbij. In de komende Europese aanbestedingen voor AI worden nu al twee Amerikaanse leveranciers genoemd. Europa heeft vandaag niet de volledige capaciteit om helemaal soeverein te zijn.”
Seldeslachts ziet het debat ook vanuit politieke redenen ontstaan. “De hele discussie laaide opnieuw op door president met de naam Donald J. Trump, die plots allerlei heffingen begon in te voeren. Europese ondernemers zijn terecht zo risicomijdend als ze kunnen en moeten zijn. Ze beginnen na te denken: wat als mijn cloud morgen wordt uitgeschakeld?”
“Maar het gaat niet alleen om het puur politieke. Het heeft ook te maken met risico, met kosten en met ecologie. Waarom zou je voortdurend data naar de VS sturen? Er zijn verschillende goede redenen om zaken lokaal te houden, zoals gegevensbescherming, energiebewustzijn en ondersteunen van de Europese economie”, voegt hij toe.
Soevereiniteit is een politiek en technisch probleem met twee totaal verschillende antwoorden.
Olivier Menil, Strategic Advisor BeLux bij Fortinet
Europese technologie onder de radar
Volgens Menil bokst de Europese technologiesector in een andere gewichtsklasse dan de Amerikaanse. “Europa heeft veel startups in cybersecurity. We hebben maar twee scale-ups en er is geen grote speler.”
“Er zijn heel wat scale-ups en er zijn zeker ook grote spelers”, reageert Seldeslachts. “In België is Aikido Security een goed voorbeeld. Europa heeft die capaciteiten wel degelijk: Denk maar aan het encryptiemechanisme dat we dagelijks gebruiken, AES. Dat is hier in België ontwikkeld. Maar het heeft niet de Red Hats of Microsofts van deze wereld om ze naar de markt te brengen. Daardoor blijft Europese technologie nog wat te veel onder tafel.”
“Wat Europa echt wil, en daar staan we volledig achter, is ervoor zorgen dat Europese technologie en Europese innovaties ook door Europese bedrijven erkend en gebruikt worden”, zegt Seldeslachts. “Als je alles in Microsoft en Azure investeert, blijft Microsoft morgen natuurlijk de grootste. Wij zijn net om die reden alles naar Europese clouds beginnen te migreren. We zien dat ook als een investering in onze toekomst.”
Naar de markt
Daar komt volgens Bovée een ander probleem bij kijken. “Er zijn zeker goede Europese bedrijven. Het gaat niet alleen om de softwarestack, ook om hoe je die naar de markt brengt. Amerikaanse bedrijven hebben een ecosysteem van channelpartners, distributeurs en resellers. Ze hebben een grote markt en veel kapitaal. Veel Europese bedrijven willen rechtstreeks verkopen, maar hebben dan een mail enkel in het Duits of in het Italiaans. Zo werkt het niet. We gaan nooit succesvol zijn als we niet dezelfde strategie volgen als de Amerikaanse bedrijven.”
“Voor vrijwel alles bestaan er open source-projecten waarop je kan inspringen”, kijkt Balakrishnan naar de eigen winkel. “Bij Red Hat hebben we soevereiniteit in onze platformen ingebouwd. In Europa zijn bedrijven traditioneel consumenten van open source geweest, geen bijdragers. Die mentaliteit moet veranderen als organisaties de regie willen nemen op hun toekomstige noden”.
Seldeslachts sluit zich daarbij aan. “Veel uitstekende technologie, ook voor cyberbeveiliging, is opensource. Het gebruik van verschillende soorten open source is deel van het concept om tot soevereiniteit te komen. Dat is de weg die Europa wil bewandelen.”
Europese bedrijven gaan nooit succesvol zijn als ze niet dezelfde strategie volgen als Amerikaanse bedrijven.
Maarten Bovée, CEO NTX
Moeilijke consensus
Toch missen de experten een uniforme visie in Europa, ook als het op regelgeving aankomt. “Hoewel NIS2 een Europese regelgeving is, heef elke lidstaat zijn eigen regels, en die regels kunnen van de ene dag op de andere veranderen”, zegt Seldeslachts. Zoals in België, waar het Centrum voor Cybersecurity België (CCB) de regels voor de gezondheidszorg terecht fors aanscherpte als gevolg van de stijgende dreiging en de zorgsector als essentiële sector wordt aangemerkt”.
“Dat is voor mij de grootste fout die met NIS2 gemaakt is”, vindt Menil. “In plaats van één regelgeving zeiden ze tegen de nationale autoriteiten: zet het om in je eigen land. Dus heb je verschillen tussen Frankrijk, Nederland, Luxemburg en België. Een bedrijf dat in de EU wil uitbreiden, moet aan de vereisten van alle EU-lidstaten voldoen.”
“Een goed voorbeeld is het centrale meldportaal”, zegt Mukherjee. “Elk land had daar zijn eigen mening over, en het was heel moeilijk om binnen ENISA tot enige overeenstemming te komen. Zelfs over specifieke domeinen komen we moeilijk tot een consensus in Europa. ”
“Ik vind het net goed dat regels als NIS2 en DORA er zijn, want ze doen je nadenken, ze maken je matuurder en ze maken onze wereld veiliger”, merkt Spruyt op. “Voor een incident op nationaal niveau wil een bedrijf niet op Europees niveau moeten rapporteren. De Digital Omnibus ambieert veel van die complexiteit te reduceren”, pikt Seldeslachts in. “Wees maar voorbereid, want de komende tien jaar komt er zowat elk jaar een nieuwe wet bij.”
24 uur vs 6 maanden
Balakrishnan vraagt evenwicht tussen regulering en innovatie, kijkende vanuit een Amerikaanse bril. “In de VS beweegt alles veel sneller, een deal kan in 24 uur rond zijn, terwijl in Europa een aanbesteding zes maanden kan duren. Tegen dan is de technologie weer geëvolueerd. Toch mag je regulering niet enkel zien als een rem op innovatie, want ze kan ook helpen om een kader voor vertrouwen en soevereiniteit te vormen. Maar als je compliance en regulering enkel als papierwerk behandelt, bouw je geen innovatie of snelheid op”.
Kris Spruyt focust vooral op de goede kant. “Het doet je nadenken: hoe weerbaar ben ik op het vlak van cybersecurity, hoe weerbaar ben ik tegen AI-fraude? Regulering dwingt je om na te denken over wat je als bedrijf beter kan doen om matuurder te worden. Ik sta achter regulering, want het zet bedrijven aan om efficiënter en competitiever te worden. Je moet het wel omarmen.”
“Het grote gevaar is dat je binnen grotere organisaties voor elke regelgeving een complianceproject begint op te bouwen, en dat die naast elkaar lopen. Dat creëert overhead en verspilling”, waarschuwt Mukherjee. Spruyt nuanceert. “NIS2 en DORA hebben veel overlap. Binnen de organisatie volgt één afdeling alle Europese regels op.”
“De VS hebben net veel meer regels dan Europa”, werpt Menil op. Het delen van informatie loopt volgens hem stroef in België en de EU. “Je hebt verschillende instanties die aan verschillende ministeries rapporteren en niet met elkaar mogen praten. Dat is in meerdere landen zo. Op Europees niveau is de samenwerking nog slechter. Maar op technisch niveau delen technische mensen meestal wel. De uitdagingen zitten op het ‘ijzeren’ niveau.”
“Als Europese vendor moeten we wel samenwerken met andere vendoren. Wij zijn sterk in intelligence, en partners vragen daarom. Europa kan sterk zijn als ecosysteem”, zegt Mukherjee.
Wees maar voorbereid, want de komende tien jaar komt er zowat elk jaar een nieuwe wet bij.
Ulrich Seldeslachts, CEO LSEC
Technologie als bier
Volgens Bovée hangt het effect van regels af van wat hun doel is. “Regulering is oké als ze bedoeld is om bedrijven te beschermen en de beveiliging en maturiteit te verbeteren. Maar als je het doet om innovatie af te knijpen, vertrek je vanuit de verkeerde focus. Daar is een mooi verhaal over.
Bovée zet zijn punt kracht bij met een anekdote. “We hebben in België duizenden verschillende bieren die anders smaken. In Duitsland zeiden ze ergens in de middeleeuwen: we gaan het bier reguleren. Nu kan je in Duitsland hetzelfde bier van twintig verschillende brouwers drinken, en het smaakt allemaal hetzelfde. Dat krijg je als je op een bepaald moment innovatie begint te reguleren: alles ziet er hetzelfde uit, smaakt hetzelfde en is gemiddeld. In de VS heb je meer concurrentie en meer mensen die dingen uitproberen.”
Seldeslachts gaat niet akkoord: “Europa reguleert innovatie niet. Ik zou zelfs zeggen dat het omgekeerd is: dankzij regulering krijg je nieuwe soorten innovatie”.
CRA
Dat is volgens Seldeslachts waar de recent ingegane Cyber Resilience Act (CRA) om draait. “Die is er gekomen om de Europese markt te beschermen tegen Chinese en Amerikaanse leveranciers die onveilige producten op de markt brengen. Ze moeten basispraktijken in cybersecurity toepassen. Vermindert dat de innovatie? Natuurlijk niet. Het ondersteunt innovatie net, want bedrijven bedenken nu nieuwe manieren om een toestel te beveiligen.”
“Vroeger kon elk bedrijf een product totaal onveilig op de markt brengen. Ze wisten van exploits en kwetsbaarheden in een toestel en konden het toch zonder problemen verkopen”, gaat Seldeslachts verder. “Nu is het verplicht om een gerapporteerde of geëxploiteerde kwetsbaarheid in een product binnen 24 uur te melden op Europees niveau. Het dwingt de fabrikanten om met die kwetsbaarheden aan de slag te gaan.”
“Opgelet”, pikt Menil in, “kwetsbaarheden en de uitbuiting ervan zijn niet het grootste probleem in cybersecurity. Dat zijn configuratieproblemen. Je kan vandaag de beste tien, twintig, dertig cybersecurityproducten kopen, maar als je ze niet correct uitrolt, ben je kwetsbaar.” “Dan ben je eraan”, vult Seldeslachts aan. “Daarom verplicht CRA ook om documentatie voor correct gebruik beschikbaar te stellen, zonder dat klanten ervoor moeten betalen.”
Het effect van NIS2 en verwante wetgeving verdeelt het panel. Sommige experten vrezen dat regels de Europese technologie trager of eenvormiger maken, anderen zijn van mening dezelfde regels een duw naar veiligere producten en matuurdere bedrijven. Europa zal moeten kiezen over het zijn technologiebedrijven karaktervolle trappist of flauwe pils wil laten brouwen.
Vroeger konden bedrijven totaal onveilige producten op de markt brengen. Nu zijn ze verplicht met kwetsbaarheden aan de slag te gaan? Vermindert dat innovatie? Natuurlijk niet.
Ulrich Seldeslachts, CEO LSEC