Wouter Goed, Senior Country Manager Benelux voor Jamf, las het nieuws over het 2023 Global Risks Report dat het World Economic Forum in Davos heeft gepresenteerd. De opstellers van dit rapport benadrukken dat cybersecurity een topprioriteit moet worden. Een blog in onze reeks ‘Het Meest Opvallende Nieuws Van..’ waarin iemand uit de markt een week lang onze nieuwsberichten volgt.

“Dit nieuwe rapport van het WEF maakt opnieuw duidelijk dat zowel organisaties als particulieren cybersecurity echt serieus moeten gaan nemen. Natuurlijk had het eigenlijk allang een topprioriteit moeten zijn. De cyberrisico’s blijven toenemen en de gevolgen van een succesvolle aanval kunnen ernstig zijn. Bedrijven kunnen enorme financiële en reputatieschade lijden en particulieren kunnen het slachtoffer worden van identiteitsdiefstal of fraude. Dus het is echt een zaak van iedereen.”

Phishing blijft uitdaging

“Het rapport besteedt onder andere aandacht aan de risico’s die bedrijven lopen door phishing. In 2022 was maar liefst 90% van de Nederlandse organisaties slachtoffer van ten minste één succesvolle phishing-aanval. Waar ik mij nu veel zorgen over maak, is de groeiende inzet van allerlei AI-tools door cybercriminelen. Die maken het voor vrijwel iedereen heel makkelijk om een geavanceerde phishing campagne op te zetten, compleet met overtuigende e-mailteksten en met de vormgeving van organisaties die we allemaal kennen en vertrouwen.

Daar komt bij dat deze phishing aanvallen zich steeds vaker richten op mobiele telefoons, waarop het bijvoorbeeld lastiger is te zien of een link wel legitiem is. De inzet van AI gaat echter veel verder dan alleen goed lopende en grammaticaal correcte teksten. We hebben de eerste gevallen al gezien van deepfake fraudepogingen waarbij een stem van een directeur levensecht werd nagebootst en waarin deze opdracht gaf om een groot bedrag over te maken. Met de snelle ontwikkeling van realtime deepfake video’s worden dit soort risico’s nog groter. Want als een niet van echt te onderscheiden directeur in een videocall een betaalopdracht geeft, dan zullen de meeste mensen daar niet verder iets achter zoeken.”

Desinformatie grote zorg

“De risico’s van AI voor onze samenleving gaan echter verder dan alleen financiële cybercrime. Het WEF-rapport noemt door AI-gegenereerde desinformatie als de op één na grootste zorg in het wereldwijde risicolandschap in 2024. Generatieve AI wordt steeds meer ingezet om zeer geloofwaardige desinformatie te genereren en te verspreiden, met een snelheid en een volume die voorheen niet mogelijk waren. Dit jaar wordt een belangrijk politiek jaar, met in ons land de kabinetsformatie en in de VS natuurlijk de presidentsverkiezingen. AI zal zeker ingezet worden om stakeholders en stemmers – en daarmee de uitslag – te beïnvloeden. Met alle gevolgen van dien. Het is dan ook goed dat er nu zowel vanuit de EU als door de Nederlandse overheid visie en regels komen om de verdere ontwikkeling en vooral ook het gebruik van AI in goede banen te leiden.

Hoe dan ook, cybercrime, desinformatie en andere schadelijke activiteiten hebben onze aandacht echt nodig en zullen, zoals het WEF zegt, een topprioriteit moeten worden. Niet alleen voor IT- en securityteams, maar ook bij particulieren, medewerkers en vooral ook voor de directie. Want het businessmodel van cybercrime is intussen zo lucratief, dat het in de toekomst misschien wel aantrekkelijker gaat worden voor criminelen dan bijvoorbeeld de handel in drugs. Er is dus werk aan de winkel als het gaat om bescherming tegen cybercrime, voor ons allemaal. Want iedereen kan het slachtoffer worden.”

Deze week las Dyon De Bruijne, Principal Consultant bij Commvault, berichten op deze website. Het nieuws dat dat de Europese Centrale Bank de cyberweerbaarheid van 109 Europese banken gaat testen viel hem op. Een blog in onze serie ‘Het Meest Opvallende Nieuws Van…’.

De Bruijne: “Iedereen heeft baat bij deze test, omdat de cyberweerbaarheid van ons financiële stelsel cruciaal is voor onze samenleving. Maar als databeschermingsprofessional ben ik ook gewoon nieuwsgierig naar wat hieruit gaat komen. Niemand weet nu waar het systeem precies tekortschiet.”

Miljarden puzzelstukjes

De test door de ECB heeft alles te maken met de aankomende Digital Operators Resilience Act (DORA): Europese wetgeving die eisen stelt aan de cyberweerbaarheid van financiële instellingen. De Bruijne: “Financiële instellingen zijn vervlochten met de haarvaten van onze maatschappij. Ligt het betalingsverkeer stil, dan komt vrijwel alles tot stilstand. Dat maakt financiële instellingen aantrekkelijke doelwitten voor partijen die chaos willen veroorzaken. Genoeg reden dus om bijzondere eisen te stellen aan de cyberweerbaarheid van financiële partijen. De ECB gaat nu een deel van de DORA-eisen testen: recovery readiness. Dat is maar goed ook, want DORA zal begin 2026 ingaan en het is momenteel niet duidelijk of de financiële sector er tegen die tijd klaar voor zal zijn.”

Veel databronnen

“Financiële instellingen staan voor een aantal specifieke uitdagingen als het gaat om het herstellen van hun data. Om het betaalverkeer te regelen putten hun business applications uit een grote aaneenschakeling van databronnen. Voor een simpele betaling moeten de gegevens van verschillende personen, rekeningen en andere zaken in een fractie van een seconde in de juiste volgorde aan elkaar geknoopt worden. Het voltooien van een transactie is daarmee bij uitstek een proces met veel ‘afhankelijkheden’, oftewel onmisbare schakels, op het gebied van data. Dat is een puzzel die elke dag voor miljarden transacties moeten worden gelegd ”

De Bruijne vervolgt: “Die schakeltjes moeten op precies het juiste moment worden vastgelegd om recovery uit te kunnen voeren. Stel dat ik een betaling doe bij de supermarkt en er herstel wordt uitgevoerd, alleen besluit mijn bank een andere momentopname te herstellen dan de bank van de supermarkt. Zo kan mijn betaling makkelijk kwijtraken. Als zoiets zou gebeuren in het internationale betalingsverkeer, wat om honderden miljoenen euro’s per seconde gaat, heb je een onmetelijk grote puinhoop. Financiële partijen zijn voor DORA zelf al met hun cyberweerbaarheid aan de slag gegaan, waardoor er geen standaarden zijn. In feite weet niemand nu hoe de afhankelijkheden precies lopen. Dat maakt zo’n eerste test als deze bijzonder interessant.”

Een puzzel leggen met blockchain?

Dat we nu één test doen, is beter dan geen test doen. Maar als het hierbij blijft, schiet dat rijkelijk tekort, vindt De Bruijne. “Banken moeten nu op een maandelijkse basis hun activiteiten rapporteren aan waakhonden. Ook de datasystemen zijn constant in verandering en dat vraagt om constant opnieuw testen. Maandelijkse recovery rapportages invoeren zou een logische stap zijn die de druk op organisaties niet eens aanzienlijk zal verhogen; recovery readiness is namelijk relatief makkelijk in een aantal KPI’s te vangen, zoals binnen hoeveel tijd je je productieapplicaties weer online hebt.”

“Wat een grotere uitdaging zal worden, is ervoor zorgen dat de eerder genoemde afhankelijkheden goed op elkaar aansluiten. Om die eis echt haalbaar te maken zullen we mogelijk gebruik moeten gaan maken van nieuwe technologieën. Automatisering zal een grotere rol moeten gaan spelen. Niet alleen omdat de systemen te complex zijn voor een mens om bij te benen, maar ook omdat het synchroniseren van alle afhankelijkheden dan structureel afgestemd kan worden. Een potentiële joker hier zijn technologieën zoals Blockchain die transacties decentraal en transparant vastleggen. Enerzijds lijkt de ECB huiverig voor deze technologie, anderzijds zal die misschien nodig moeten zijn om het probleem van afhankelijkheden weg te nemen. Dat recovery testen op termijn zulke systeemveranderingen een zetje kan geven laat wel zien hoe cruciaal cyberweerbaarheid geworden is.”

Noodzaak compliant te zijn

Andere organisaties kunnen ook tests verwachten. De ECB is nu begonnen met een aantal systeembanken, maar uiteindelijk zal De Nederlandse Bank ook komen aankloppen, besluit de Bruijne. “Niet alleen banken, maar alle partijen binnen het financiële ecosysteem zullen op een bepaald moment compliant moeten zijn. De kans is groot dat er meer tests op komst zijn om af te tasten waar de moeilijkheden liggen in andere delen van het financiële systeem. Met het oog op 2026 zouden financiële partijen er daarom goed aan doen om zelf alvast onderzoek te doen naar hoe zij hun recovery readiness en cyberweerbaarheid kunnen veiligstellen.“

Huawei organiseerde onlangs het jaarlijkse event Huawei Connect om de Europese partners bij te praten over de ontwikkelingen in het portfolio. De belangrijkste thema’s waren duurzaamheid, digitale transformatie én de snelle opmars van het eigen cloudplatform. Mels Dees interviewde na afloop Serge Schulte, de ­Nederlandse Channel Director over Huawei en het partnerlandschap.

Tijdens de dagen in Parijs, waar het evenement plaatsvond, werd meer dan ooit duidelijk dat Huawei ambitieus is. En vooral ook dat het partners nodig heeft bij het realiseren van die ambities. Jim Lu, Senior Vice President of the ­European Region was er eerlijk over. “De afgelopen jaren waren voor ons in Europa niet altijd makkelijk. Maar in tijden van weerstand leer je jouw vrienden kennen. Ik wil namens ­Huawei mijn dank uitspreken voor de trouw en support van onze partners.” Lu ging daarbij kort in op de vraag die hij naar eigen zeggen in Europa bijna dagelijks krijgt van partners: “Kunnen jullie nog wel aan de modernste chipsets komen?” Het antwoord dat Lu dan geeft is kort: “Zeker want we bouwen die chipsets zelf.” Hierdoor had de fabrikant afgelopen jaren ook nauwelijks last van leveringsproblemen. Ook niet in Nederland, waar Huawei in Eindhoven over een warehouse met voorraad beschikt, legt de ­Nederlandse Channel Director ­Serge Schulte desgevraagd uit. Schulte werkte eerder al drie jaar binnen het team van Huawei in Nederland, verliet de organisatie, maar is nu sinds bijna drie maanden terug als Channel Director, hij was voorheen Channel Manager. We spreken hem tijdens Huawei Connect 2023.

Je bent nu bijna drie maanden ­terug na een afwezigheid van drie jaar. Wat is er veranderd binnen de organisatie van Huawei in Nederland?

Serio Schulte: “Het team is nog ­sterker geworden. Sommige mensen zijn doorgegroeid. De solution director waarmee ik nu mag werken was destijds solution manager. Die heeft dus een stap gemaakt. De sales­director is ook een Nederlander. Er is een sterk team dat goed op elkaar ingespeeld is. En de ­Nederlandse markt goed kent.”

De hele markt richt zich op managed services

Wat zie je voor ontwikkelingen in de partnerwereld?

“Meer dan ooit richt de hele markt, van leverancier via het kanaal tot en met de eindklant zich op managed services. Het wordt steeds belangrijker dat elke partij onderdeel wordt van complete proposities. Dat geldt met name voor ons en de partners. We verkopen niet zozeer producten, maar complete oplossingen. Zo willen wij met onze distributeurs en reseller-partners echt het verschil maken. Samen met de partners ­kijken we naar het type klanten dat op zoek is naar een oplossing voor hun business-uitdagingen. Dat betekent overigens ook dat de rol van Channel Manager evolueert. De functie is veel meer dan voorheen gedreven door de business van de klant. Onze Channel Managers ­worden business partners in plaats van accountmanagers.”

In die zin verleent Huawei als vendor ook services aan de serviceprovider.

“Precies! De eindklant heeft een uitdaging in de propositie naar de eindgebruiker en wij helpen de partner daarbij. En dat kan ook met de eindklant erbij zijn, zodat je een driehoeksgesprek krijgt waarbij ­iedereen met elkaar meedenkt. Wij hebben veel te bieden, met ons uitgebreide portfolio. Dus proberen we eerst de vraag van de eindklant naar de partner zo concreet ­mogelijk te krijgen. Dat zien wij als de ultieme manier van klantgedreven werken.”

Welke vragen krijg je het meest van partners?

“Dat is tijdens het evenement ­natuurlijk ook ter sprake gekomen, en terecht. Dat zijn vragen als: Wie is de eigenaar van Huawei? Het antwoord is dan: wijzelf – de mensen die hier werken. Dat is echt heel belangrijk om te vermelden. Een andere vraag is: wie maakt de producten. Ons antwoord is dan, en daarin onderscheiden we ons in veel gevallen, dat we echt alles zelf maken. En dat is meteen onze kracht. Zoals bijna alle sprekers tijdens het evenement aangaven besteden we heel erg veel geld en energie aan innovatie. En dat in de breedste zin: van producten, tot services, tot ons ­eigen cloud-platform Toen ik terugkwam bij Huawei ben ik meteen weer naar China gegaan, en daar doe je dan enorm veel inspiratie op. Je ziet wat het bedrijf ontwikkelt, wat we bouwen en hoe het wordt toegepast. Er wordt echt een ecosysteem gebouwd. Zo ontstaat een op elkaar afgestemde omgeving van oplossingen.”

Partners moeten sneller dan ooit schakelen

Wat gaat 2024 brengen vanuit jouw perspectief?

“Ik zie dat partners op zoek zijn naar nieuwe businessmodellen. De eindklanten hebben de beweging gemaakt naar as-a-service-proposities. Partners moeten inspelen op een heel volatiele markt: er moet sneller dan ooit geschakeld ­worden. Dat vereist flexibiliteit. Dan is het heel krachtig als je een leverancier hebt met R&D-power waardoor bepaalde benodigde features heel snel ontwikkeld kunnen worden. En ook snel in productie gaan.”

En kan een Channel Manager in Europa wensen of behoeftes van partners en eindklanten ook naar de ontwikkelaars in de Huawei-­organisatie brengen?

“Ja, zeker. We hebben daarnaast ook vaak de mogelijkheid partners mee te nemen naar China. Dan ­leren ze ook de organisatie en de cultuur van Huawei kennen. Het mooie is dat de Nederlandse specialisten in de organisatie allemaal Chinese counterparts hebben. Daardoor kunnen we heel snel schakelen met de ontwikkelaars in China. Als je in China bent, dat geldt voor mij, maar ook voor de partners, dan zie je niet alleen de producten maar ook hoe het wordt toegepast, bijvoorbeeld de oplossingen voor Smart Cities. Of voor het onderwijs. Een andere vraag die we vaak krijgen, om ­terug te keren op het eerdere onderwerp, betreft de kwaliteit van onze producten. Laat ik duidelijk zijn. We bedienen consumenten, enter­prises en de grootste carriers. En als de kwaliteit goed genoeg ik voor die carriers, dan is dat een sterke boodschap en een erkenning voor de kwaliteit van onze oplossingen.”

Vertel eens iets over de opzet van het partnersysteem?

“We hebben verschillende soorten partners. We kennen onder meer solution partners, sales partners en ook cloud partners. Veel partijen beginnen als geregisseerde partners. Iedereen kan zich registreren, maar dat is slechts het begin. Eerst is het van belang dat de partner kennis opbouwt en zich certificeert. Simpel gezegd: wil je onze oplossingen verkopen en implementeren, dan moet je gecertificeerd zijn. Dat is iets dat wij en de partner samen oppakken. We ondersteunen de partners op veel manieren. Wil een organisatie voor een eindklant een Proof of Concept laten zien, dan kan dat. Daarvoor hebben we een eigen Experience Centre in Rijswijk. Daar laten we eigenlijk alles zien. Niet alleen het hele enterprise IT-portfolio, maar ook onze digital power tak en onze 5G en Wifi-7 oplossingen. Je ziet vooral ook hoe dat alles met elkaar samenhangt en communiceert. Het is immers nadrukkelijk een ­holistisch ecosysteem dat we bouwen. Zo worden we voor een breed scala aan industrieën een one-stop-shop.En de verschillende verticals binnen Huawei delen ook die technieken en solutions met elkaar. Partners kunnen dat in Rijswijk zien en ermee werken. En uitproberen, ook als onderdeel van certificeringen. Het is niet alleen theorie wat we tijdens trainingen overdragen, partners kunnen er meteen mee werken. We hebben ook VAR’s in ons partner-­ecosysteem. Die kunnen direct bij ons inkopen, dus zonder tussenkomst van onze distributeurs Arrow of Exclusive Networks.”

Los van de eigen organisatie: ­welke trends zie je nog?

“Allereerst een beweging naar duurzaamheid, en daar is onze organisatie al heel lang mee bezig. Daarnaast hebben organisaties twijfels over de cloud-strategie. Ze verlaten soms de public cloud ten behoeve van een hybride oplossingen. Daarom is ons ­eigen cloudplatform zo gebouwd dat je snel en kostenefficiënt de migraties kunt uitvoeren die je wilt. Ons principe is dat we alles as-a-service aanbieden en binnen een open standaard. Je hebt dus nooit een vendor lock-in. Heb je al een installed stack? Dan betekent dat niet dat het niet naast of binnen onze cloud-omgeving kan. Er is heel veel mogelijk. Daarom groeit Huawei Cloud ook zo hard.”

Het begin van het nieuwe jaar is hét moment om vooruit te kijken. Wat gaat dit jaar ons brengen op het gebied van IT? We vroegen het enkele van onze partners en Mels Dees onderzocht wat diverse onderzoeksbureaus ervan denken. Een paar voorzichtige conclusies: In de IT-sector zullen in 2024 belangrijke trends nog sterker dan voorheen bij ­elkaar komen. Clouddiensten blijven in belang toenemen, AI vestigt zich definitief, maar mede door de invoering van NIS2 is security belangrijker dan ooit. Lees alle trends en voorspellingen voor 2024 hieronder.

Onderzoeksbureau Gartner verwacht dat de wereld­wijde IT-uitgaven in 2024 5,1 biljoen dollar zullen bedragen. Dit komt neer op een stijging van 8% ten opzichte van 2023. De groei wordt gedreven door aanzienlijke investeringen in IT-diensten, communicatiediensten en software-uitgaven, waarbij cloud computing (ook nu weer) de grootste stijging laat zien. Bovendien verwacht Gartner dat de integratie van kunstmatige intelligentie (AI) in cybersecurity-maatregelen nieuwe uitdagingen én kansen zal creëren.

Gartner schetst in een vooruitblik de belangrijkste sectoren die bijdragen aan de te verwachten piek in IT-uitgaven. Het bureau voorspelt dat IT-diensten goed zijn voor 1,55 biljoen dollar en communicatiediensten voor bijna 1,5 biljoen. Software-uitgaven komen volgend jaar uit op ongeveer 1 biljoen. Opmerkelijk is volgens Gartner dat cloud computing naar verwachting de meest aanzienlijke groei in investeringen zal laten zien. Dit niet ­alleen door toenemend gebruik, maar vooral ook door tariefstijgingen van de cloud-providers.

John-David Lovelock, Vice President en Distinguished Analyst bij Gartner, benadrukt de impact van AI op beveiligingszorgen en verklaart dat “AI een nieuw beveiligingsrisico voor organisaties heeft gecreëerd”. Gartner verwacht dubbelcijferige groei in alle segmenten van uit­gaven voor IT-security komend jaar 2024. We komen later in dit artikel terug op de trends in IT-security.

Het dempend effect van abonnementsdiensten

De verschuiving van de technologiesector naar software-abonnementsmodellen en as-a-service-verkoopstrategieën wordt beschouwd als een verzachtende factor tijdens economische neergangen. In veel markten is al sprake van een recessie, en grootschalige herstel durven maar weinig onderzoekers te voorspellen. Analisten durven wel te stellen dat de evolutie van het abonnementssoftwaremodel in de afgelopen ­jaren waarschijnlijk de impact van economische vertragingen zal verzachten, vanwege de loyaliteit en voorspelbaarheid die een abonnement met zich meebrengt.

Software abonnementen bieden stabiliteit bij economische onzekerheden

Gartners voorspellingen voor 2024 benadrukken de groei in belangrijke technologiemarkten. De uitgaven aan datacentersystemen zullen naar verwachting met bijna 10% stijgen. De markt voor hardware groeit waarschijnlijk 5%. Het onderzoeksbureau verwacht dat software-uitgaven de grootste groei zullen doormaken, waarbij de wereldwijde uitgaven naar verwachting zullen stijgen van $916 miljard in 2023 tot $1,04 biljoen in 2024, wat een jaarlijkse stijging van bijna 14% vertegenwoordigt. De groei van communicatiediensten wordt voorspeld op 3% per jaar.

Trends in security

We zagen al dat Gartner verwacht dat het belang van security in 2024 nog groter zal worden. Om die ­reden werpen we een blik op de verwachtingen die security-­specialist Kaspersky publiceerde in hun Kaspersky Security Bulletin. Kaspersky verwacht dat AI-tools de productie van spear-phishing-berichten zullen stroomlijnen, waardoor aanvallers hyper-gepersonaliseerde inhoud kunnen genereren die specifieke personen imiteert. Het exploiteren van kwetsbaar­heden in veelgebruikte software en devices blijft een aandachtspunt, met het potentieel voor nieuwe, grootschalige en onopvallende botnets die in staat zijn gerichte aanvallen uit te voeren. Door de staat gesponsorde cyberaanvallen zullen naar verwachting toenemen, waarbij cybercriminelen steeds geavanceerdere technieken inzetten.

Cybersecurity-uitdagingen en AI

Terwijl AI een sleutelrol blijft spelen in verschillende industrieën, creëert de integratie ervan in cybersecuritymaatregelen zowel uitdagingen als kansen, merkte Gartner al op en Kaspersky onderschrijft dit. De dynamische aard van op AI gebaseerde bedreigingen vereist dat organisaties proactieve cybersecuritystrategieën formuleren die geavanceerde AI-tools benutten voor dreigingsdetectie, -analyse en -respons. AI-gedreven imitaties en exploits vormen een aanzienlijke uitdaging voor traditionele cybersecuritymaatregelen, aangezien aanvallers geavanceerde technieken gebruiken om traditionele verdedigingsmechanismen te omzeilen. Kaspersky benadrukt het belang van het beveiligen van mobiele, draagbare en slimme apparaten, aangezien deze endpoints belangrijke doelen zijn voor cybercriminelen.

Organisaties moeten prioriteit geven aan de implementatie van robuuste beveiligingsmaatregelen, waaronder versleuteling op het endpoint zelf, regelmatige software-updates en gebruikersauthenticatieprotocollen. In het licht van voortdurende cybersecurity-uitdagingen wordt samenwerking en informatiedeling tussen organisaties van het grootste belang. Platforms voor het delen van dreigingsinformatie, brancheconsortia en publiek-private samenwerkingen spelen een cruciale rol bij het bevorderen van collectieve verdediging tegen cyberdreigingen. NIS2 speelt een rol in dit proces, omdat het bedrijven dwingt informatie over incidenten te melden, terwijl ze aan de andere kant ook ondersteuning krijgen bij het oplossen van een incident.

Belangrijke rol partners

Naarmate het IT-landschap zich ontwikkelt in 2024, moeten organisaties technologische innovatie en cybersecurity-uitdagingen navigeren. Partners spelen daarbij een belangrijke rol. De voorspellingen van Gartner benadrukken de voortdurende groei van IT-uitgaven, met een bijzondere nadruk op software, IT-diensten en communicatiediensten. De evolutie van abonnementssoftwaremodellen biedt een zekere mate van stabiliteit te midden van economische onzekerheden. In het domein van cybersecurity ­vormen door AI aangestuurde bedreigingen aanzienlijke uitdagingen, wat een proactieve en samenwerkende aanpak noodzakelijk maakt. NIS2 zal dat proces waarschijnlijk versnellen.

2024 moet het jaar worden van NIS2. Want hoewel de invoering van de nieuwe regels in Nederland trager verloopt dan in andere landen, staat de Europese deadline vast. In oktober van dit jaar gaat NIS2 voor veel (IT-)bedrijven gelden. We schetsen de stand van zaken.

Tijdens een evenement van Claranet gaf Petra Oldengarm, directeur Cyberveilig Nederland, een lezing over NIS2. De organisatie waaraan zij leiding geeft telt 110 leden en werd vijf jaar geleden opgericht. Cyberveilig Nederland is een belangenvereniging die zich inzet voor het vergroten van kwaliteit en transparantie in de cybersecuritysector.

Allereerst besteedde Oldengarm aandacht aan de historie van de NIS. “De ‘oorspronkelijke NIS bestaat sinds 2018,” legde ze uit. Ondernemingen werden steeds vaker slachtoffer van cybercriminaliteit en dat zette de EU aan tot het optuigen van regels. “De NIS richtte zich op slechts een beperkt aantal organisaties en de bedoeling was daar een aantal eisen aan te stellen.”

Nederland koos er destijds voor om een groter aantal sectoren onder de NIS te scharen dan de initiële Europese richtlijn voorschreef. “We waren dus iets strenger dan de EU, vooral doordat ook zogenaamde vitale aanbieders al onder de NIS vielen.” Dit past bij het principe dat ook geldt bij de invoering van de NIS2, dat de Europese lidstaten zelf bepalen of er sectoren of branches worden toegevoegd aan de door Europa voorgeschreven lijst.” Onder de ‘oude’ NIS vallen in Nederland tussen de 800 en 1000 bedrijven en organisaties.

Rechten en plichten

Al vanaf het begin kwam de NIS met zowel rechten als plichten voor die ondernemingen die onder de richtlijn vallen. Oldengarm: “Zo hebben die bedrijven recht op ondersteuning bij een incident het CCERT. Daarnaast wordt informatie over kwetsbaarheden en cyberdreigingen met hen gedeeld.”

De uitdaging is dat niet duidelijk is gedefinieerd wat passende maatregelen zijn

De plichten die de eerste versie van de NIS met zich meebracht worden omschreven als de opdracht aan organisaties om ‘passende technische en organisatorische maatregelen te nemen om incidenten te voorkomen.’ Daarnaast voorziet de NIS in toezicht: heb je te maken met een incident als onderneming en val je onder richtlijn, dan moet je er melding van doen. En dat kan consequenties hebben als zou blijken dat de getroffen maatregelen toch niet genoeg blijken te zijn. Oldengarm: “De uitdaging daarbij is, dat niet duidelijk gedefinieerd is in de ‘oude’ wat nu precies passende maatregelen zijn. Dat bepalen ondernemingen in principe zelf.”

Bredere scope

Sinds 2018 is het aantal cyberincidenten niet afgenomen. Integendeel. Ransomware bestond weliswaar al sinds 1989, maar groeide in de loop van het vorige decennium uit tot een ware plaag. Ook de snelle opmars van malware en andere bedreiging die ‘as a service’ kunnen worden afgenomen en aanvallen door of namens statelijke actoren namen enorm toe. Dit leidde tot de ontwikkeling van een update van de NIS, de NIS2. “Die moet voor veel meer organisaties gaan gelden. En daarnaast moet ook nauwkeuriger worden gemeld wat onder passende maatregelen om incidenten te voorkomen zou moeten vallen.” De nieuwe regels werden een jaar geleden door de EU vastgesteld en per 17 oktober van dit jaar moeten de lidstaten van de EU deze regels vertaald hebben naar nationale wetgeving.

Consultatieronde

Na de Europese vaststelling zijn het eerst de nationale parlementen die de wet moeten aannemen. “Nederland koos ervoor een consultatieronde op te nemen in het proces. Die had aanvankelijk in september 2023 moeten plaatsvinden, maar is nog steeds niet houden.” Zo bezien lijkt de deadline van oktober dit jaar nauwelijks nog haalbaar. En, vertelt Oldengarm, NIS2 gaat pas van kracht na goedkeuring door de Tweede en Eerste Kamer. “Dat betekent echter niet dat ondernemingen rustig kunnen afwachten. Er zijn ook elementen in de Europese richtlijn die rechtstreekse werking hebben. Die regels gelden dan direct ook voor Nederland.” Heel concreet is het overzicht van die ‘directe’ maatregelen nog niet, maar, geeft Oldengarm aan, de verwachting is dat Digital Service Providers direct de impact zullen merken van NIS2.

Ook bedrijven die zelf niet essentieel zijn, maar onderdeel van de toeleveranciersketen, vallen onder NIS2

Ketenaansprakelijkheid

Petra stelt dat de bedrijven en sectoren die onder NIS2 grofweg onder twee categorieën vallen, namelijk belangrijk en essentieel. Oldengarm: “Ook het toezicht is binnen NIS2 anders geregeld en het gaat om veel meer bedrijven dan voorheen, namelijk tussen de 10.000 en 12.000 organisaties die rechtstreeks onder NIS2 vallen.” Indirect zijn dat er nog veel meer, want ook ondernemingen, zelfs als die heel klein zijn, die onderdeel zijn van een keten, bijvoorbeeld als toeleverancier, waarin zich ook een NIS2-bedrijf bevindt, vallen onder de nieuwe wetgeving.

Ook NIS2 komt weer met rechten plichten voor de ondernemingen die eronder vallen. “De overheid zal nadrukkelijk ondersteuning bieden bij incidenten en doorgaan met informatievoorziening over dreigingen en kwetsbaarheden.” Oldengarm stelt dat het bieden van die ondersteuning een uitdaging kan zijn vanwege het grote aantal bedrijven dat onder de NIS zal vallen.”

Onevenwichtige lijst

De directeur van Cyberveilig Nederland maakt duidelijk dat ze de lijst niet heel evenwichtig vindt: “Het is een breed scala aan maatregelen, maar rijp en groen door elkaar. De eerste maatregel gaat over beleid gebaseerd op risicoanalyse, terwijl een andere maatregel heel technisch MFA voorschrijft.”

Bij onvoldoende maatregelen is sprake van sancties die, zoals het genoemd wordt ‘evenwichtig en afschrikwekkend’ moeten zijn. Petra: “De handhavers krijgen veel bevoegdheden. Dat kan gaan tot het intrekken van vergunningen, het vervangen van directies tot zelfs hoofdelijke aansprakelijkheid van betrokkenen.”

In onze rubriek ‘Het meest opvallende nieuws volgens…’ volgt een prominent in de markt een week lang intensief de berichtgeving op ChannelConnect.nl. Hij of zij selecteert een bericht dat opviel en geeft er een reactie op. Vandaag Paul van Boerdonk van Claranet Benelux.

Op 20 december publiceerde ChannelConnect een artikel over de stelling van Arwin van der Sluis, CEO van NFIR, dat de VNG gemeentes moet helpen met de NIS2. De aanleiding voor dit pleidooi was de berichtgeving van eind november dat er duidelijkheid gegeven is vanuit het ministerie van Binnenlandse Zaken en Koninkrijksrelaties dat gemeentes onder de nieuwe NIS2-richtlijn te vallen.

Interpretatieverschillen bij implementatie NIS2

Paul van Boerdonk, Managing Director van Claranet Benelux, ziet enorme verschillen in de adoptie van de nieuwe NIS2-richtlijn bij verschillende branches, en zelfs binnen de branches. “We zijn nu ruim een jaar bezig om de gevolgen van de nieuwe NIS2-richtlijn door te vertalen richting de organisaties die onder deze richtlijn vallen. Het valt op dat enkele branches zich nu nog steeds niet bewust zijn van het feit dat ze wel degelijk onder deze nieuwe richtlijn vallen. Dat terwijl die in oktober 2024 zal worden omgezet in een nieuwe wetgeving.

De impact van het vallen onder deze nieuwe wetgeving is serieus, ongeacht of je als ‘belangrijke’ of ‘essentiële’ entiteit wordt ingeschaald. Dat er nu uitsluitsel gegeven is vanuit het ministerie zorgt natuurlijk voor duidelijkheid en dat is fijn voor de gemeentes die twijfelde. Dat is het nadeel van de interpretatieverschillen die er zijn bij het omzetten van een Europese richtlijn naar een nationale wet. Een deel van verantwoordelijkheid ligt bij de landen zelf en dat pakt elk land dus anders op.”

Toepasbaarheid van NIS2

“We zien dat ook terug bij bijvoorbeeld woningcorporaties. Nederland heeft een afwijkende opzet qua organisatie op het gebied van sociale huurwoningen. In veel Europese landen hangen dergelijke organisaties onder de overheid waardoor ze automatisch onder de NIS2-richtlijn vallen. In Nederland zijn woningcorporaties onafhankelijke entiteiten. Daardoor vallen ze niet alleen niet onder aanbestedingswetgeving, maar zijn ze dus ook niet specifiek benoemd in de NIS2 als branche waar de NIS2 op van toepassing is. Gezien de gevoeligheid van de persoonlijke gegevens die verwerkt worden en de omvang van de organisaties, is het wachten op een zelfde definitieve bevestiging vanuit de overheid dat zij ook onder de NIS2-richtlijn vallen. Er is binnen de woningcorporaties een groep die hier al op vooruitloopt en er actief mee bezig is. We moeten er voor zorgen dat de anderen nu aanhaken en ook meegaan om de cyberweerbaarheid te vergroten.”

Cyberweerbaarheid doe je samen

“Het is overigens goed dat het artikel benoemt dat er meer verwacht mag worden van de Vereniging Nederlandse Gemeenten. Vergis je niet, voldoen aan de nieuwe wetgeving op basis van de NIS2-richtlijn is een behoorlijk kluif. Wij zien hier organisaties, zowel gemeentes, woningcorporaties als bijvoorbeeld (maak)industrie, mee worstelen. Het beste advies dat we kunnen geven, is om de samenwerking op te zoeken. Kijk naar brancheorganisaties of andere security-communities die hiermee aan de slag gaan.

Wij werken bijvoorbeeld samen met partijen als Cyberveilig Nederland en Cyberweerbaarheidcentrum Brainport. Dit zijn onafhankelijke partijen die organisaties met dezelfde uitdagingen bij elkaar brengen om kennis te delen en samen te werken. Uiteindelijk gaat het helemaal niet primair om de letterlijke wettekst die er komt, maar is het verhogen van de cyberweerbaarheid de essentie. Je kan dan het wiel opnieuw uitvinden, of de samenwerking zoeken.  En samen zorgen dat een cyberaanval wordt afgeslagen of de impact van een hack of datalek zo klein mogelijk is.”

Er zijn heel veel IT-dienstverleners in Nederland. En af en toe lichten we er eentje uit, die zijn verhaal mag vertellen aan zijn collega’s via ChannelConnect. Deze keer is dat Intermax Group. We spraken oprichter en CEO Ludo Baauw.

Intermax begon 30 jaar geleden op een zolderkamer. “Een serviceprovider biedt letterlijk diensten aan de klanten,” vertelt Baauw. “Die willen dat je iets voor ze doet, omdat ze weten dat de provider het beter kan dan zij zelf. En zo ben ik dus in 1994 begonnen. Internet bestond net en ik dacht: dit gaat het helemaal worden, dit is fantastisch. Op mijn zolderkamer ontdekte ik de kracht van het web. Al snel moest ik mensen uitleggen wat het internet is, en e-mail, en sommigen wilden dan dat ik het regelde. Ik herinner me dat een van de eerste klanten vroeg om een e-mail nummer.” Inmiddels heeft het bedrijf zo’n 250 medewerkers en bedient het heel specifieke klanten.

Internetcrisis

“Tijdens de internetboom had ik concurrenten die aan het begin van de week vijf medewerkers hadden. Op vrijdag waren het er vijftig en kort erop 500. Overnames waren aan de orde van de dag en alles van geleend geld. In 2000 gingen zij ten onder – maar wij gingen door en bestaan nog. Toen hadden we al een paar ziekenhuizen als klant en die maakten zich zorgen of ik zou overleven. Ik kon uitleggen dat ik bewust kleiner en zelfstandig was gebleven. Dat is in het belang van de klant en van de medewerker. Vanaf dat ­moment kwam er ook klanten naar me toe van bedrijven die te groot ­waren geworden of weer werden overgenomen. Die zochten persoonlijke aandacht en een partij met kennis.”

‘Purpose’

“Bij het eerste bedrijf van de groep, Intermax, werken nu 115 mensen. De hele groep van zes bedrijven biedt werk aan 250 medewerkers. Je vraagt hoe we bij deze krappe arbeidsmarkt aan personeel komen. Wel, we zijn al vaak verkozen tot beste werkgever, door allerlei instanties en organisaties. Daar hebben we niet voor betaald, althans: niet aan die jury’s. We investeren wel in onze mensen! Je moet die waardering van de eigen werknemers verdienen. Dat lukt ons. Er werkt hier een hele club fijne mensen die over de vloer ­komen bij hele mooie klanten, die vaak een maatschappelijk relevant profiel hebben. En er zit, zoals dat tegenwoordig heet, purpose in dit bedrijf. Er komen hier mensen die jarenlang bij een concurrent werkten, al drie keer een overnametraject hebben meegemaakt door een nieuwe aandeelhouder die de investering snel wil terugverdienen. Hier werk je met fijne collega’s, voor interessante klanten en geldt de menselijke maat. We zijn een beetje apart in het ICT-landschap. Niet de grootste club, maar wel de leukste. Het is een beetje als Sparta, niet te massaal, het is familiair, gezellig en ze kunnen ook nog eens heel aardig voetballen. Maar we streven wel naar Champions League kwaliteit.”

Als ik nu een bedrijf zou starten, dan zou het weer een serviceprovider zijn

Gevoelige data

“Intermax is dus een serviceprovider; we hebben vijf datacenters in ­Nederland. Daarin draaien 7000 servers. We beheren eigenlijk de hele ICT-infrastructuur voor veel partijen in de gezondheidszorg, maar ook voor overheden, voor de Tweede Kamer, voor het Ministerie van Economische Zaken. We deden veel voor de GGD’s en het Ministerie van VWS tijdens de coronapandemie. Daarbij ging het om snel opschalen met extreme aandacht voor de gevoeligheid van de persoonlijke data. Alle gegevens moesten in Nederland blijven, de operatie mocht niet stilvallen. Simpel gesteld is het zo dat wij steeds de hele technische infrastructuur beheren, tot en met het technisch applicatiebeheer. Maar we doen niet de ontwikkeling van de applicatie. Een mooi voorbeeld is het Elektronisch Patiënten Dossier (EPD) dat elk ziekenhuis gebruikt. Stel een ziekenhuis werkt met Chipsoft HiX. De eigen IT van het ziekenhuis beheert, eventueel samen met een partner en met Chipsoft zelf de functionaliteit van de applicatie. Wij doen het technisch beheer. En dat is dan inclusief firewalls en beveiliging, back-up en patching. We zijn de belangrijke, maar vaak onzichtbare mens achter de schermen.”

Zelf ondernemen

“Het klinkt misschien gek na al die jaren: maar als ik nu een bedrijf zou starten, dan zou het weer een serviceprovider zijn. En nog steeds in een bepaalde niche, zodat we van specifieke onderwerpen bij een bepaalde doelgroep heel veel weten. Dan kunnen we schieten met scherp – en altijd raak. Het mooie van deze branche is dat ik zelf nog steeds kan ondernemen. Als ik iets boeiends vind, AI, Machine Learning, dan stort ik me erop en zoeken we samen als ‘intermakkers’ een oplossing die mogelijk bij ons past. Soms met mensen van de bedrijven hier, maar soms ook met een externe partner die van iets verstand heeft dat wij in huis nog niet hebben. Soms werken de plannen niet, maar dat geeft niet, daar leer je ook van. Vaak blijkt het wél een goede move te zijn. Dat betekent overigens niet dat ik onmisbaar ben hier. De zes bedrijven hebben allemaal een eigen directeur en een MT. Als ik op de Coolsingel onder de tram kom, hoop ik dat men een paar dagen verdrietig is, maar het bedrijf gaat natuurlijk door.”

In Fort bij Vechten, als verdedigingswerk onderdeel van de Hollandse Waterlinie, organiseerde Sophos een evenement voor partners. Op de eerste blik leek die locatie ideaal: waar kun je beter over IT-security spreken dan in een bunker? In de praktijk echter werd dit deel van de Waterlinie nooit tijdens een oorlog ingezet. Dit terwijl de specialisten van Sophos dagelijks de strijd met cybercriminelen voeren. Wel laat de Waterlinie zien dat investeringen, strategie en continue aandacht nodig is in een strijd tegen aanvallers, of dat nu fysieke legers zijn of cybercriminelen.

“Bedrijven staan vaak voor de uitdaging om tientallen beveiligingsproducten te gebruiken in een poging hun business te beschermen,” legde Bruna Durand, VP Sales bij Sophos, uit. “Dit resulteert niet alleen in toenemende kosten, maar velen van hen geven aan dat ze de situatie gewoon niet aankunnen. Het dreigt hun volledige security onbeheersbaar te maken.” Als reactie daarop maken veel bedrijven de overstap naar het afnemen van cybersecurity als een dienst.

Parallel met uitbesteding naar datacenters

Het fenomeen dat in de wereld van cybersecurity zichtbaar is, vertoont daarmee opmerkelijke parallellen met wat eerder gebeurde in de datacenteromgeving, stelde Durand. “In het begin waren de eigen datacenter-omgevingen van bedrijven eenvoudig. Maar naarmate de digitale transformatie groeide nam de complexiteit toe. Uiteindelijk verplaatsten organisaties de datacenter-infrastructuur buiten hun eigen fysieke locaties. Ze lieten het geheel beheren door externe dienstverleners.”

De verschuiving naar cybersecurity als dienst is een natuurlijke evolutie, is de overtuiging van Durand, en biedt partners veel kansen. “Het is daarbij essentieel om te begrijpen waarom organisaties deze richting inslaan. Het aantal ransomware-aanvallen is alarmerend hoog, met 69% van onze klanten die op de een of andere manier melding maakten van een dergelijke aanval. Het is voor ondernemingen echter een ingewikkelde opgave om adequaat op een ransomware-aanval te reageren.”

Gebrek aan personeel

Durand vertelde dat 80% van de incidenten afkomstig is van onbeheerde apparaten en 74% wordt veroorzaakt door menselijke elementen of misconfiguratie. “Nieuwe tools en configuraties, samen met de uitdagingen van adequaat getraind personeel, maken het moeilijk om gelijke tred te houden met de groeiende complexiteit van cybersecurity. Daarom stapt men over op security as a service, dat afgenomen kan worden via een partner. Ook al omdat cybersecurity 24/7 aandacht vereist, terwijl de meeste ondernemingen dat zelf niet intern kunnen realiseren.”

Naast het tekort aan middelen, ervaren organisaties een overvloed aan meldingen en incidenten. 71% Van de professionals geeft aan dat ze overladen worden met gegevens. Durand: “Het categoriseren en effectief reageren op deze gebeurtenissen wordt steeds uitdagender, waardoor het aanvals-oppervlak voor potentiële aanvallen alleen maar groter wordt.”

Verkorten reactietijd bij security

In deze context wordt tijd van cruciaal belang wanneer een aanval plaatsvindt. Dat bleek uit verschillende presentaties in het fort. Het gemiddelde tijdsbestek om een aanval aan te pakken is 16 uur. “Maar met de inspanningen van Sophos kunnen we dit verkorten tot 38 minuten. Het verminderen van de reactietijd is van vitaal belang in een landschap dat voortdurend evolueert,” stelde ook Chester Wisniewski (foto). Hij is Field CTO Director bij Sophos. “Door intensief samen te werken met onze partners en trends en ervaringen te delen, kunnen we een veerkrachtige verdediging tegen cybercriminaliteit opbouwen. En onze digitale wereld veiliger maken voor iedereen.”

Discussies over IT en duurzaamheid gaan vaak over het energie- en watergebruik van datacenters. Dat is niet terecht, blijkt uit een Grotetafelgesprek dat ChannelConnect organiseerde met specialisten uit de sector. “Deze branche loopt voorop in duurzaamheid, maar weet het niet altijd over te dragen.”

Alexandra Schless, CEO van NorthC ­Datacenters, trapt het Grotetafelgesprek af. “Als je kijkt naar data­centers, of eigenlijk de hele IT-sector, zie ik dat men al heel bewust bezig is met duurzaamheid. De noodzaak is echt wel doorgedrongen.” ­Volgens Schless kijken ondernemingen steeds meer hoe ze hun aandeel kunnen ­nemen in de energietransitie.Andrew van der Haar van Dutch Datacenter Association (DDA) denkt bij duurzaamheid en IT ook aan de mooie initiatieven die IT al mogelijk maakt om de maatschappij te verduurzamen. “Allerlei processen zijn efficiënter en duurzamer geworden. Dat kan groot zijn, bijvoorbeeld in industriële omgevingen, maar ook nauwelijks merkbaar. Google Maps zorgde ervoor dat we minder vaak om ­moeten rijden omdat we de route niet ­kennen. Ook de digitalisering van veel administratie die voorheen papiergebonden was, is een vorm van verduurzaming.”

Ook Michiel Verkroost, Directeur Arup, ziet het zo. “De hele sector is er actief mee bezig. De verduurzaming zou alleen wel verder moeten gaan dan alleen het energievraagstuk. Biodiversiteit gaat ook belangrijker worden, dat zullen we moeten integreren in onze ambities.” Robert Jan de Boer (ENGIE) valt hem bij, als hij stelt dat duurzaamheid een containerbegrip is. “Circulariteit, watergebruik, energie en biodiversiteit vallen er allemaal onder.” Ook hij ziet veel verwevenheid tussen IT en verduurzaming. “En ik zie ook veel IT-applicaties die inzicht geven in het gebruik van energie. En hoe jouw afname van energie gekoppeld is aan een duurzame bron.” Daarnaast valt het hem op hoe duurzaam de sector al is. “Vanuit ENGIE werken we vaak met een aantal datacenters samen, en ik moet zeggen dat ze echt vooroplopen.”

Schless valt hem, als directeur van NorthC, bij. “Als je hardware en faciliteiten zoals ­koeling concentreert in een datacenter heb je specialisten die zich ermee bezighouden. Dat is duurzamer dan wanneer je het op een eigen locatie plaatst, ook omdat data­centers er belang bij hebben dat het energiegebruik laag is. We geven onze colo-klanten ook vaak advies over de meest duurzame inrichting van racks.”

Stelling 2: De IT-sector slaagt er niet in hun duurzaamheid uit te dragen

Hier zijn alle deelnemers aan het Grotetafelgesprek het mee eens. Schless: “ik denk dat onze industrie er niet zo goed in is om de successen en inspanningen duidelijk over te brengen.” De Boer ­(ENGIE) wijst op het feit dat het bij IT, en vooral data­centers, gaat om een relatief ­jonge sector. “Onbekend maakt onbemind.”

De grootste uitdaging daarbij is het feit dat duurzaamheid te veel een op een gekoppeld wordt aan energieverbruik. “Niet aan het feit dat we veel aan bredere duurzaamheid doen, en vooral niet aan het belang van de sector als geheel.” Schless zegt dat we ­zowel als economie als geheel, als privé ­volledig afhankelijk zijn van de IT-omgeving. Het is een wezenlijk onderdeel van leven en werken. “Terwijl het toch bij beleidsmakers en consumenten een ver van hun bed onderwerp blijft.” We moeten volgens haar naar een veel holistischer beschouwing. “Dankzij IT en datacenters konden we massaal thuiswerken, dat heeft wezenlijk bijgedragen aan de economie.” Het belang van IT wordt onvoldoende onderkend.

De Boer gaat nog kort in op het energievraagstuk. “Het energienetwerk is ‘overvallen’ door de snelle groei van hernieuwbare energieproductie. Daar lopen we nu tegenaan.”

Stelling 3: Overheid, wetgeving en IT matchen niet met elkaar

In tijden van verkiezingen is het een interessante vraag: verdiept de politiek (landelijk, provinciaal, lokaal) zich voldoende in het belang van IT en datacenters? Als brancheorganisatie weet DDA daar alles van. Van der Haar geeft aan dat zijn organisatie als vertegenwoordiging van de branche inderdaad een handleiding schreef waarmee de politieke partijen input kregen voor het opstellen van hun verkiezingsprogramma’s. “Dat heeft niet altijd het effect dat je hoopt. Het water- en energiegebruik wordt vaak nog steeds veel te groot voorgesteld.”

Los van de verkiezingshectiek maakt DDA ook deel uit van de zogenoemde Digitale Binnenhof Academie. ­“Samen met andere brancheorganisaties vormen we een platform dat informatie deelt met politici en ambtenaren.” Zo ­kunnen geïnteresseerden wetenschappelijke publicaties tot zich nemen. “En we organiseren ook kennissessies over bijvoorbeeld duurzaamheid.”

Voor Verkroost (Arup) gaat dat goede initiatief nog niet ver genoeg. “Tot op de dag van vandaag sluit regelgeving niet aan bij wat de branche is en wat die doet.” Sterker nog: die regelgeving sluit helemaal niet aan bij het belang van de digitale infrastructuur. “Dat lukt ook niet als je de markt en de kennisinstituten niet veel actiever betrekt bij het formuleren van eenduidig beleid. Het gaat over het inbrengen van kennis, kennis die politici vaak niet hebben. En dat is geen schande, maar gebruik de kennis waar die in de branche aanwezig is.” Zolang dat niet gebeurt, komen we geen stap verder, is zijn overtuiging. “En er wordt te veel besloten op ad-hoc basis, Dat zorgt niet voor een­duidigheid.”

Stelling 4: Het imago van datacenters op de arbeidsmarkt is goed

Als we constateren dat datacenters het lastig hebben in de publieke opinie, betekent dat dan ook dat de sector minder populair om in te werken? Van der Haar (DDA) meldt dat dit niet het geval is. “Ik merk juist wel een positief sentiment bij jongeren. Die willen weer meer dan een aantal jaar geleden weer in de ICT aan de slag.” En dat geldt ook voor het werk in datacenters. “Het is eerlijk werk en het wordt goed betaald. Men ziet het als een mooie sector met veel mooie ­projecten.”

Schless (NorthC)is het daarmee eens. “Er is sprake van veel innovatie in onze branche.” NorthC bouwde in ­Groningen een datacenter met brandstofcellen op ­basis van groene waterstof als back-up-stroom­voorziening. “Dat vinden jongeren net zo interessant en net zo leuk als wij zelf.”

Dat betekent niet dat de krapte op de ­arbeidsmarkt niet hier ook doorwerkt. Schless: “Daarom gaan we opleidingen aanbieden, verzorgen we gast­colleges en begeleiden we studenten.”

Het grotere probleem daarbij is niet het negatieve imago van datacenters, weten de deelnemers aan de discussie. “De grote tech-bedrijven, zoals Microsoft, Google en Meta bieden natuurlijk voor technische talenten fantastische loopbaanperspectieven. Daar gaan veel jongeren graag naartoe.”

Datacenters zorgen voor 13 duizend fulltime banen in Nederland

Het aantrekkelijke van een datacenter als werkplek kan dan toch weer de afwisseling zijn. Infratechniek en IT ­komen er immers samen. Verkroost (Arup): “De energiecrisis leeft onder jongeren, dat maakt datacenters voor hen interessant.” De Boer herkent dit. “We krijgen steeds vaker gemotiveerde sollicitanten met goede profielen die willen bijdragen aan de energietransitie en die inzien dat de energiesector veel interessante facetten heeft.”

We vragen Schless hoeveel mensen er eigenlijk in een datacenter werken. “Bij onze 12 datacenters in ­Nederland werken 40 engineers om 7/24 support aan te ­kunnen bieden.

DDA publiceerde afgelopen september een onderzoek naar de werkgelegenheid waar datacenters voor ­zorgen. “Dan heb je het bij de directe werkgelegenheid over 13.000 FTE’s. Met de schil direct eromheen gaat het richting de 120.000 mensen,” legt Van der Haar uit. Verkroost (Arup) vult aan: “En daar komen dan de ingenieurs en de aannemers die de datacenters bouwen nog bij. Kortom, het is qua werkgelegenheid een grote industrie in Nederland.”

Stelling 5: Datacenters moeten zich aansluiten bij het Science Based Target initiative (SBTi)

Deze stelling werd ingebracht door ENGIE. Robert Jan de Boer geeft een toelichting. “Het initiatief is gelinkt aan het Klimaatakkoord van Parijs, en berekent eigenlijk de fair share die een bedrijf dient te nemen om de ­stijging van de gemiddelde wereldtemperatuur te beperken tot ruim onder 2 graden Celsius, en zo mogelijk 1,5 graden Celsius.” Bij die fair share gaat het dan om de concrete bijdrage van een onderneming. “Wij staan als ENGIE op dit moment voor een bepaalde CO2-uitstoot. Dat representeert een zeker percentage van de globale CO2-footprint.” Op basis van Science Based Targets wordt echt per bedrijf een plan opgesteld waarin wordt berekend hoeveel die onderneming gaat reduceren en hoe ze dat gaat doen. “En daarover wordt heel trans­parant gerapporteerd met tussentijdse doelen.”

Zo stelt ENGIE zelf dat ze in 2045 Net Carbon Zero ­willen hebben gerealiseerd, voor alle drie de Scopes. We rapporteren daar elk jaar”

In de praktijk merkt De Boer dat steeds meer klanten zich aansluiten bij het initiatief, en dat is belangrijk, stelt hij. “We hebben elkaar immers hard nodig, want jouw Scope 2 kan onze Scope 3 zijn. Zo krijg je een keten­samenwerking en een ketenverantwoordelijkheid.

De SBTi-doelstellingen zijn uitdagend, ook voor ENGIE. We zullen meer duurzame klantoplossingen moeten ontwikkelen en fors inzetten op de bouw van nieuwe hernieuwbare productiemiddelen zoals offshore wind, groen gas en waterstof. .” Niet alleen zoekt De Boer ­klanten die deelnemen aan het initiatief, hij stelt dat ­datacenters ook die stap moeten zetten.

Van der Haar heeft een vraag over de Scope 3 impact. “Er bestaat daarvoor eigenlijk geen uniforme inter­nationale norm, hoe pak je dat aan?”

Wat gaat de overheid doen qua regelgeving omtrent duurzaamheid van datacenters?

De Boer legt uit dat SBTi werkt met stappen. “Eerst ­enthousiast maken, en vervolgens een begin maken met een nulmeting en carbon accounting. Vervolgens kom je met een gedegen CO2-reductieplan, met oplossingen zoals het gascentrales geschikt maken voor waterstof.” De vertaling van de keten wordt volgens De Boer straks ook afgedwongen door de grootste partijen. “Apple eist het bijvoorbeeld al van de toeleveranciers dat ze zich aan SBTi commiteren.”

“Onze industrie zal hier niet tegen zijn,” is de over­tuiging van Schless. “We kijken allemaal naar de volgende stappen als we nadenken over de investeringen die we doen. Maar wat gaat de overheid doen om ons te helpen? Wat worden de criteria waarop wij besluiten kunnen ­bouwen?”

Bij DDA herkennen ze dat. “Klanten stellen steeds ­vaker certificeringen en andere eisen aan datacenters. Dat is prima, als het internationaal erkende richtlijnen zijn. Maar als wij SBTi voorgeschreven krijgen en in Duitsland doen ze het anders, dan wordt het lastig. Zorg dus als sector en als overheid voor een gelijk speelveld en ­heldere doelen.”

Verkroost valt hem bij. “Daar zijn die grenzen van 2030 en 2050 zo belangrijk voor, dat zijn belangrijke momenten. Nu kijken we ernaar en is het niet meer dan een ­datum, maar eigenlijk is het een reisdoel. We zullen eerst moeten weten wat we eigenlijk onder klimaatneutraal verstaan. Daar hebben we bij Arup modellen voor ontwikkeld.”

Stelling 6: Datacenters moeten kijken hoe ze hun energiegebruik kunnen afstemmen op aanbod aan hernieuwbare energie

Als we kijken naar het Nederlandse elektriciteitssysteem, dan is het zo dat we uit een vraag-­gedreven systeem komen, legt De Boer van ENGIE uit. “Elektriciteitscentrales wekken momenteel nog elektriciteit op met fossiele brandstoffen.” Nu ­maken we steeds vaker gebruik van duurzame energie die weersafhankelijk is. “Doel is daar beter op aan te sluiten. Op momenten dat er een overvloed is aan wind en zon moet je bereiken dat dan de vraag hierop zo goed mogelijk aansluit.”

De sector is, kortom, op zoek naar flexibiliteit, bijvoorbeeld door elektriciteit goedkoper te maken als het aanbod groot is. “Wij hebben daarvoor een tool ontwikkeld die op uurniveau laat zien hoe een onderneming matcht met duurzame bronnen.” Dat kunnen eigen bronnen zijn, zoals zonnepanelen of een batterij, of externe hernieuwbare bronnen.

Bij datacenters is het spreiden van de behoefte aan energie lastig, blijkt uit de reacties tijdens het Grotetafelgesprek. “Wij waren juist altijd een heel aangename klant voor netwerkproviders vanwege onze heel constante vraag. Dat zorgde voor stabiliteit,” geeft Schless aan. “Wij kunnen niet afschalen als de productie laag is, ­zeker niet met klanten in verschillende tijdzones.” Verkroost brengt het vraagstuk terug tot de kern: “Je hebt op bepaalde momenten een overschot, en daar moet je wat mee. Bijvoorbeeld in de vorm van batterijen of de opwekking van waterstof.”

De vraagstukken zijn complex; partijen hebben elkaar nodig

Op dat laatste gaat Schless in. “Wij hebben in ­Groningen nu twee waterstofcellen van ieder 500kW geplaatst en hiermee wordt op jaar­basis 24.000 liter diesel bespaard. Dat is een eerste stap.” Verkroost vraagt zich wel af of dit een issue moet zijn voor de IT-sector. “In feite is de energiesector verantwoordelijk voor de netten en de ­stabiliteit. Zij hebben een leveringsplicht als het gaat om energie.”

De Boer is het daarmee eens, maar hoopt wel op samenwerking. “De vraagstukken zijn complex, partijen hebben elkaar nodig.” Dat de overheid daar een sturende rol in moet hebben is wel duidelijk, want nu maken gemeenten los van elkaar beleid. Schless: “Het traject voor het verkrijgen van een vergunning voor het plaatsen van bijvoorbeeld waterstofcellen bij een nieuw datacenter verschilt per gemeente. En dat heeft een directe impact op bepaalde keuzes ten aanzien van de technische ­infrastructuur.”

Een ander voorbeeld dat ze aangeeft is het feit dat NorthC in Rotterdam, samen met een ­ander ­datacenter, restwarmte gaat leveren aan een nieuwbouwwijk. “Daar krijgen we geen vergoeding voor. Voor het verkrijgen van een vergunning in de toekomst is de verwachting dat het hergebruik van restwarmte een vestigingseis zal worden.”

Daar reageert Verkroost (Arup) fel op: “Het is ­onterecht dat dergelijke eisen op gemeentelijk ­niveau worden bepaald.” Van der Haar rondt dit deel van de discussie af. “Uit ons duurzaamheidsrapport blijkt dat datacenters een miljoen huishoudens van warmte kunnen voorzien. Dat is toch significant.”

Stelling 7: Er zijn genoeg succesverhalen te vertellen

De constatering dat een miljoen huishoudens verwarmd zou kunnen worden in samenwerking met datacenters, leidt tot de vraag of de deelnemers succesverhalen die de sector wist te realiseren kunnen delen met elkaar.

De Boer (ENGIE) ziet juist bij datacenters een enorme vooruitstrevendheid bij verduurzaming en innovatie. “Ze dragen actief bij aan hernieuwbare capaciteit. Het is een van weinige sectoren waar je zo’n bereidheid ziet.” De Boer heeft het dan niet alleen over de bijdrage aan wind­parken op zee, maar ook over kleinere projecten die datacenters efficiënter ­maken. “We zien dat vooral bij het aanpassen van gebouwen,” legt Verkroost (Arup) uit. “De tijd dat oude panden werden gesloopt is echt voorbij, door middel van retrofit worden enorme duurzaamheidsslagen gemaakt.”

Bij DDA zien ze dat datacenters vaak zelfs meer investeren in verduurzaming dan nodig is. “Puur omdat ze verder vooruitkijken en zich ­richten op 2050. Op dit moment kennen we 28 restwarmteprojecten. En die warmte wordt nu gratis gedeeld door de datacenters, terwijl het in de toekomst een verdienmodel voor de sector kan zijn. De branche loopt echt voorop.”

Alleen, en daar zijn alle deelnemers het over eens, de sector slaagt er, samen met hun klanten, onvoldoende in deze succesverhalen te delen en de impact van die verduurzaming uit te dragen.

Tot slot: Advies aan msp’s

In een laatste ronde van het Grotetafelgesprek vragen we de deelnemers om een advies of tip aan de ­lezers van ChannelConnect, de msp’s en mssp’s in Nederland. Van der Haar trapt af namens DDA. “We moeten samen met hen, de gebruikers van datacenters, breder ventileren hoe duurzaam we ­allemaal bezig zijn. En dat een samenwerking met een datacenter ook een positieve impact heeft op de footprint van msp’s en hun klanten. Denk alleen al aan het feit dat de datacenters werken met 99% duurzame stroom.”Schless onderschrijft dit. “Datacenters maken hele ketens meer duurzaam.” ­“Iedereen kan die impact verrekenen in zijn carbon-footprint,” vult Verkroost aan. De Boer meldt dat ENGIE de verduurzaming ook ziet als een reis. “Die maken we met elkaar. Blijf daarom vanuit de keten denken. De IT loopt echt voorop als het om verduurzaming gaat. Laten we zo doorgaan”

Voor de tiende keer organiseerde Huawei in Nederland het talentprogramma Seeds for the Future, dat wereldwijd al langer bestaat. 35 Studenten rondden het programma succesvol af en kregen deze week hun certificaat uitgereikt. Deelnemers die zich op een bijzondere manier wisten te onderscheiden ontvingen daarnaast nog een scholarship.

Behoefte aan talent

Victor Qian, CEO Benelux van Huawei, benadrukte het belang van een programma dat de interesse in (digitale) technologie bij studenten vergroot. “Onze sector is volledig afhankelijk van menselijk talent. Om de transformatie die digitalisering heeft ingeluid, voort te zetten, hebben we wereldwijd behoefte aan geschoolde medewerkers.”

Dat is de reden waarom Huawei het programma startte. “Het doel van dit programma is om jonge mensen geïnteresseerd, gepassioneerd en vertrouwd te maken met de loopbaanpaden in een technologiebedrijf”

Tech-auteur Christian Kromme sprak in dat kader over de impact die nieuwe technologieën zoals kunstmatige intelligentie zullen hebben op onze samenleving, onze organisaties en onze zakelijke partnerships.

“De wereld waarin we leven was lange tijd niet veel groter dan het oog kon zien, niet groter dan waar onze voeten ons konden brengen. Veranderingen gebeurden zeer langzaam, soms op lokaal niveau. Die veranderingen namen soms zelfs generaties in beslag. Iedereen kon zich aanpassen.”

De huidige situatie is volstrekt anders, maakte Kromme duidelijk. “We leven in een wereld die onstabiel en onvoorspelbaar is geworden. Een wereld die sterk verbonden is met slimme technologie. We zien allerlei exponentiële technologieën convergeren en elkaar versterken, waardoor ze nog onvoorspelbaarder worden.”

Surfer op een vloedgolf

De ontwikkelingen voor de komende drie tot vier jaar vergeleek Kromme met een enorme vloedgolf. “Het is een tsunami van digitalisering en automatisering. Er komt een enorme verstoring op ons af in een heel hoog tempo.” Voor veel individuen, voor veel organisaties is het een vrij angstaanjagend vooruitzicht.

“Mensen beginnen hun baan in twijfel te trekken. Is mijn baan over 5 jaar nog relevant? Zijn onze investering nog relevant?” Het veroorzaakt veel stress op alle niveaus van organisaties, maar Kromme stelde dat het allemaal een kwestie van perspectief is. “Je kunt diezelfde enorme golf ook vanuit het perspectief van een waarnemer zien. Als je dat doet, kun je zien dat deze golven een enorme kans bieden.”

Tenminste: als je begrijpt hoe de golf beweegt. “Dan kun je net als een surfer zorgen dat je op het juiste moment en op de juiste manier profiteert van de kracht van de golf.” Dat is precies wat grote technologiebedrijven vandaag de dag doen, meent Kromme. “Ze zijn niet bang voor technologie, ze omarmen het en gebruiken het in hun voordeel.”

Interfaces

Belangrijk is innovaties los te zien van technologie, gaf Kromme aan. “Het gaat om menselijke behoeften en gewoonten.” Als voorbeeld gaf hij iPads of andere tablets. “Een tweejarig kind kan het direct uit de doos gebruiken, je hoeft de handleiding niet meer te lezen. Het is zeer intuïtief. Oudere mensen kunnen het gebruiken, gehandicapte mensen kunnen het gebruiken. Ze kunnen een reis boeken, geld overmaken, allerlei dingen doen die voorheen niet zo laagdrempelig beschikbaar waren voor hen.”

De kern het betoog is daarom de overtuiging dat verstoring en digitalisering alles te maken hebben met het identificeren van nieuwe gebruikersinterfaces. “Dit, omdat technologie alles te maken heeft met het beheren van complexiteit. Het zal ons helpen om complexe dingen te beheren.” Kromme citeerde een uitspraak van Steve Jobs bij de introductie van de iPhone. “Hij zei dat technologie alles te maken heeft met het mogelijk maken van gewone mensen om buitengewone dingen te doen.”