De baan veranderde, de focus niet. Waar cyber voor hem als Nationaal Coördinator Terrorismebestrijding en Veiligheid een van de prioriteiten was, is het dit als directeur-generaal van de AIVD nog steeds. Natuurlijk, binnen zijn vorige functie keek Dick Schoof naar terroristische activiteiten in de breedste zin van het woord, nu focust hij ook op activiteiten van statelijke actoren. Op activiteiten van landen die kwaad willen in Nederland. Maar dat verandert niets aan de steeds groter wordende dreiging vanuit de cyberhoek. Dat heeft volgens Schoof te maken met de positie die cyber inneemt in onze samenleving. Er gebeurt niets meer zonder cyber. “Nederland is een van de meest ontwikkelde en innovatieve landen in de wereld en daarom een interessant en aantrekkelijk doelwit om digitaal te bespioneren, te beïnvloeden en te saboteren. Andere landen proberen op allerlei manieren in de ICT-systemen in Nederland te komen om daar vervolgens informatie uit te halen ten behoeve van hun economie, hun ontwikkeling op het gebied van wetenschap of technologie.”

In het Global Risk Report 2019 van het World Economic Forum staan cyberaanvallen en datafraude en -diefstal zowel in de top 10 van risico’s die het meest waarschijnlijk zullen voorkomen als risico’s met de meeste impact op onze maatschappij. Eens?

“Ja, absoluut. Wereldwijd zie je in de rapporten over dit onderwerp, niet alleen in die van het World Economic Forum, altijd cyber security, geopolitieke spanningen en terrorisme als top drie. Ze wisselen soms in mate van belang, maar dat zijn altijd dé onderwerpen als het gaat om nationale veiligheid van verschillende landen.”

Is cyber security dan niet overkoepelend bij al die gevaren?

“Zeker, ook al omdat er op dit gebied heel veel nieuwe ontwikkelingen zijn. De cyberwereld intensiveert steeds maar weer verder. Een digitale aanval kan bijvoorbeeld ook een van de onderdelen zijn die landen gebruiken in de hybride conflictvoering naast klassieke methodes als economische sancties en politieke druk en zodoende is cyber ook een belangrijke asset in het domein van geopolitieke spanningen. Om tot een maximaal resultaat te komen is er vaak sprake van een combinatie van klassieke en digitale middelen. Cyber wordt door landen gebruikt om andere landen te beïnvloeden, onder druk te zetten of om informatie te achterhalen.”

Welke nieuwe gevaren zijn er voor ons land allemaal bijgekomen door de digitale transformatie die we hebben meegemaakt?

“Dat zit ‘m met name in de hele verwevenheid van de digitale infrastructuur die steeds groter wordt. Waar je tien tot vijftien jaar geleden één systeem raakte met een cyberaanval, raak je nu een hele sector en vaak ook nog veel andere sectoren. Het cascade-effect is veel groter.”

En wanneer bemoeit de AIVD zich daar dan mee? 

“Dat ligt aan de actor die erachter zit. Als het ene bedrijf het andere bedrijf bespioneert, dan is het bedrijfsspionage en dan is het relevanter voor andere partijen om te onderzoeken. Krijgen wij een dergelijke melding en kunnen wij dat herleiden naar een statelijke actor, dan gaan we er natuurlijk wel mee aan de slag. Nou is het wel zo dat het juist in die cyberwereld ongelooflijk moeilijk is om te bepalen wie het is. Soms huren landen anderen in om het voor ze te doen.”

Maar wat als de actor geen land is, maar de gestolen informatie voor Nederland wel van landsbelang? 

“Dat is inderdaad een tweede punt waar we naar kijken: wat is er nou precies gestolen? Want als dat om informatie gaat die je zou kunnen betitelen als de kroonjuwelen van zo’n bedrijf, waardoor dat bedrijf kan omvallen en dat bedrijf bovendien van kritisch belang is voor de nationale economie dan is onze interesse zeker wel groter. Blijkt uit onderzoek dat er geen statelijke actor achter zit, dan informeren we de instantie die er wel over gaat, bijvoorbeeld Team High Tech Crime van de politie voor opsporing of het NCSC voor advies.”

Er gaan een hoop wilde verhalen rond: wat is het reële gevaar van cyberaanvallen door landen als Rusland en China?

“Ik kan dat niet beantwoorden met een cijfer voor de kans dat dit gebeurt, maar we weten dat bijvoorbeeld Rusland geïnteresseerd is in onze informatie en systemen. We achten het dus ook hoogstwaarschijnlijk dat ze digitale aanvallen tegen Nederland uitgevoerd hebben en sluiten niets uit. Het is algemeen bekend dat Rusland de intentie en capaciteit heeft om bijvoorbeeld Nederland en andere Europese landen te raken. Waar ik dan aan denk? Het bekendste voorbeeld hiervan dat algemeen bekend is, is hoe in Ukraine een elektriciteitscentrale plat is gelegd. Dergelijke aanvallen kunnen ook in Nederland gebeuren. We nemen dat soort voorbeelden daarom zeer serieus en adviseren de energiesector en andere sectoren waar de andere landen interesse in hebben dan ook om hier maatregelen tegen te nemen.” 

En China?

“Die hebben op dit moment echt een andere agenda. De Chinezen zijn meer geïnteresseerd om te komen in systemen waar ze informatie en kennis kunnen verzamelen over research en development en technologie die past in hun behoefte om te komen tot economische ontwikkelingen. Die richten zich dus op hoogwaardige technologische bedrijven en universiteiten.”

Zijn bedrijven en mensen binnen de overheid zich voldoende bewust van het gevaar? 

“In toenemende mate. Ik zit hier pas drie maanden, maar heb in mijn vorige functie als Nationaal Coördinator Terrorismebestrijding en Veiligheid ook veel met cyberdreiging te maken gehad, en mijn conclusie van de afgelopen jaren is dat men zich in het bedrijfsleven en bij de overheid steeds bewuster wordt van de kansen, want dat biedt cyber ook, en dreiging van de digitalisering. Je ziet dat cybersecurity board business is geworden. Maar dat gezegd hebbende: het kan nog veel beter. Het blijft natuurlijk een ratrace. De beveiliging wordt beter en geavanceerder, maar de aanvallen ook.”

En wat doet de AIVD om bedrijven en overheden te helpen die ratrace te winnen?

“Wij adviseren de Rijksoverheid en alle spelers uit de vitale sector over hoe ze hun digitale veiligheid moeten inrichten, en hoe ze staatsgeheimen moeten beveiligen. We werken hierbij ongelooflijk intensief samen met onze partners. Verder doen wij natuurlijk andere dingen dan onze partners zoals de politie en het Nationaal Cyber Security Centrum (NCSC), en op basis van onze ervaring geven wij gerichte adviezen aan collega’s die zich dan weer richten op preventie. Wij zijn een taartpunt in het geheel van samenwerkende partijen die ons land veilig moeten houden op het gebied van cyber en onze core business is het detecteren en verijdelen van gerichte aanvallen van andere landen op ons land.”