Capacity building

Capacity building in cybersecurity is het systematisch opbouwen en versterken van kennis, vaardigheden, middelen en institutionele structuren die nodig zijn om digitale dreigingen effectief te bestrijden. Het gaat verder dan het trainen van individuen: capacity building omvat het opzetten van nationale cybersecurity-strategieen, het ontwikkelen van wetgeving, het versterken van technische capaciteiten en het bouwen van samenwerkingsverbanden tussen overheid, bedrijfsleven en kennisinstellingen. Nederland speelt internationaal een actieve rol in cyber capacity building, onder andere via het Global Forum on Cyber Expertise (GFCE) dat vanuit Den Haag wordt gecoordineerd.

Hoe werkt capacity building? Stappen

Cyber capacity building verloopt via een gestructureerde aanpak. De eerste stap is een behoefteanalyse (needs assessment): vaststellen wat de huidige cybersecurity-capaciteiten zijn en waar de tekortkomingen liggen. Dit kan op nationaal niveau (hoe staat het land ervoor?) of op organisatieniveau (welke competenties ontbreken?). Internationale frameworks als de National Cyber Security Index (NCSI) en het Cybil-kennisplatform bieden meetinstrumenten om het volwassenheidsniveau te bepalen.

De tweede stap is het ontwerpen van een programma dat de geidentificeerde tekortkomingen adresseert. Dit kan variieren van technische trainingen voor SOC-analisten tot het ondersteunen van een land bij het opstellen van cybersecurity-wetgeving. Effectieve capacity building is altijd afgestemd op de lokale context: wat werkt in Nederland, werkt niet noodzakelijk in een ontwikkelingsland met andere prioriteiten en randvoorwaarden.

De derde stap is uitvoering. Bij technische capacity building gaat het om het opzetten van trainingscentra, het ontwikkelen van curricula, het organiseren van cyberoefeningen en het delen van tools en best practices. Bij institutionele capacity building gaat het om het opzetten van nationale CERT's (Computer Emergency Response Teams), het ontwikkelen van incident response-procedures en het creeren van juridische kaders voor cybersecurity. De vierde stap is evaluatie en borging: meten of het programma effect heeft gehad en ervoor zorgen dat de opgebouwde capaciteiten duurzaam zijn.

Wanneer voer je capacity building uit?

Capacity building is een doorlopend proces dat op meerdere niveaus plaatsvindt. Op nationaal niveau investeren overheden continu in het versterken van hun cybersecurity-capaciteiten. De Nederlandse Cybersecurity Strategie 2022-2028 heeft capacity building als een van de kernpijlers benoemd, met concrete doelstellingen voor het versterken van de digitale weerbaarheid van overheid, bedrijfsleven en samenleving.

Op internationaal niveau is capacity building een belangrijk instrument van buitenlands beleid. Nederland investeert via het Ministerie van Buitenlandse Zaken in cyber capacity building-programma's in ontwikkelingslanden en opkomende economieen. Het doel is tweeledig: deze landen helpen hun eigen cyberveiligheid te verbeteren en tegelijkertijd de mondiale cyberveiligheid versterken, omdat cyberdreigingen geen grenzen kennen. De International Cyber Strategy 2023-2028 van Nederland benadrukt het belang van deze internationale inspanningen.

Op organisatieniveau is capacity building relevant wanneer je security awareness-programma opzet, een SOC bouwt, je incident response-capaciteit versterkt of je medewerkers bijschoolt in specifieke security-competenties. Het verschil met ad-hoc trainingen is dat capacity building structureel en programmatisch is: je bouwt duurzame capaciteit op in plaats van eenmalig kennis over te dragen.

Wat kost capacity building?

De kosten variieren enorm afhankelijk van het schaalniveau. Op organisatieniveau kost een structureel security awareness-programma tussen de tien- en vijftigduizend euro per jaar, afhankelijk van de omvang van je organisatie. Het opzetten van een intern SOC is een investering van honderdduizenden tot miljoenen euro's, inclusief tooling, personeel en training.

Op nationaal niveau investeert Nederland jaarlijks tientallen miljoenen euro's in cybersecurity capacity building. Het NCSC heeft een jaarbudget van circa twintig miljoen euro, en daarbovenop komen investeringen via het Ministerie van Defensie, Justitie en Veiligheid, en Buitenlandse Zaken. Security Delta (HSD), het Nederlandse veiligheidscluster met meer dan 300 organisaties, faciliteert samenwerking en kennisdeling tussen publieke en private partijen.

De return on investment van capacity building is moeilijk direct meetbaar maar wordt zichtbaar in betere detectie en respons bij incidenten, lagere schade bij beveiligingsincidenten en een hogere positie op internationale cybersecurity-indices. Nederland scoort consequent hoog op de National Cyber Security Index, mede dankzij structurele investeringen in capacity building. Het alternatief, niet investeren in capaciteit, leidt tot grotere kwetsbaarheid en hogere kosten bij incidenten. Een reactive aanpak is altijd duurder dan een proactieve investering in cyberweerbaarheid.

Een effectief capacity building-programma bevat verschillende componenten die elkaar versterken. Technische trainingen zorgen voor directe competentieverhoging bij security professionals. Cyberoefeningen en simulaties testen de respons van teams onder realistische omstandigheden. Kennisdeling via conferenties en communities of practice verbreidt best practices. Beleidsondersteuning helpt bij het creeren van de juiste randvoorwaarden. En publiek-private samenwerking zorgt voor kruisbestuiving tussen de kennis en middelen van overheid en bedrijfsleven.

Het meten van capacity building-resultaten is essentieel om de effectiviteit te beoordelen en programma's bij te sturen. Gebruik indicatoren als het aantal getrainde professionals, de gemiddelde detectie- en responstijd bij incidenten, de resultaten van red team-oefeningen en de scores op internationale cybersecurity-indices. Kwantitatieve metingen gecombineerd met kwalitatieve evaluaties geven het meest volledige beeld van de bereikte capaciteitsversterking.

Op Europees niveau speelt ENISA een belangrijke rol in cyber capacity building door het ontwikkelen van trainingsmaterialen, het organiseren van de pan-Europese cyberoefening Cyber Europe en het publiceren van richtlijnen voor het opzetten van nationale en sectorale CERT-teams. Nederlandse organisaties profiteren van deze Europese initiatieven doordat ze toegang krijgen tot gestandaardiseerde trainingen, oefenscenario's en best practices die zijn afgestemd op het Europese dreigingslandschap. De samenwerking tussen nationale en Europese capacity building-initiatieven versterkt de gezamenlijke cyberweerbaarheid van de hele Europese Unie.

Veelgestelde vragen over capacity building

Wat is het verschil tussen capacity building en security awareness?

Security awareness richt zich op het bewustmaken van medewerkers over cyberdreigingen. Capacity building is breder en omvat ook het opbouwen van technische capaciteiten, institutionele structuren en beleidskaders. Security awareness is een onderdeel van capacity building, niet een synoniem.

Welke internationale organisaties doen aan cyber capacity building?

Het Global Forum on Cyber Expertise (GFCE), de Wereldbank, het VN Office of Counter-Terrorism, ENISA en bilaterale samenwerkingsverbanden zijn de belangrijkste actoren. Nederland is oprichter en voorzitter van het GFCE en speelt een leidende rol in internationale cyber capacity building.

Hoe meet je de effectiviteit van capacity building?

Gebruik frameworks als de National Cyber Security Index (NCSI) of de ITU Global Cybersecurity Index voor nationale metingen. Op organisatieniveau meet je effectiviteit via security-KPI's zoals detectietijd, responstijd, aantal incidenten en resultaten van phishing-simulaties en cyberoefeningen.

Is capacity building alleen voor grote organisaties?

Capacity building is relevant voor elke organisatiegrootte. Voor MKB-bedrijven gaat het vaak om het opzetten van basismaatregelen, het trainen van medewerkers en het ontwikkelen van een incident response-plan. Brancheorganisaties en sectorale samenwerkingsverbanden bieden vaak gezamenlijke capacity building-programma's aan.

Hoe draagt Nederland bij aan internationale cyber capacity building?

Nederland investeert via het GFCE, bilaterale programma's en de International Cyber Strategy in het versterken van cybercapaciteiten in andere landen. Concrete activiteiten zijn het trainen van CERT-teams, het ondersteunen van cyberwetgeving en het delen van kennis via platforms als Cybil.

Versterk je cybersecurity-capaciteiten. Vergelijk Security Awareness aanbieders op IBgidsNL.