Koninklijk Hoger Instituut voor Defensie

Koninklijk Hoger Instituut voor Defensie

VEILIGHEID & STRATEGIE SÉCURITÉ & STRATÉGIE

Nr 105 April 2010

Bescherming van de nationale kritische infrastructuur tegen een dreiging tot asymmetrische proliferatie. Bart Smedts

ISSN : 0770-9005

Bescherming van de nationale kritische infrastructuur tegen een dreiging tot asymmetrische proliferatie Bart Smedts

Koninklijk Hoger Instituut voor Defensie Studiecentrum voor Veiligheid en Strategie Renaissancelaan 30 1000 Brussel

Executive Summary In a previous study, "Weapons of mass destruction: legacy of the Cold War and threat to the future," recommendations were formulated applicable to several domains in order to improve national emergency planning. One of the recommendations was aimed at proper risk assessment as an essential part in the evaluation of the resources to be deployed in CBRN(E) scenarios: since 9/11, we witnessed disruptive conventional attacks in London, Madrid, Mumbai and Islamabad to name but a few. Should we also underline the shift of the Afghan conflict to Pakistan, a nuclear weapon state which has not signed the Nonproliferation Treaty? Risk analysis can help determine what this means or what improvements should be made to existing plans, or what infrastructure should be better protected. As the Minister of Defence Pieter DE CREM emphasizes in his Policy Note, future threats will materialize in proliferation, international terrorism, unequal distribution of wealth, organized crime and pandemics. This threat is further increasing due to consequences of globalization as the growing energy demand, climate change, urbanization, demographic explosion and its sociological consequences as well as the present economic crisis. This study aims to shed some light on the consequences of aforementioned problems, hence risk analysis and critical infrastructure protection are key words in an environment of asymmetrical proliferation. In a first part, the framework will clearly be defined by the explanation of relevant definitions, for concepts like risk, threat and impact are often interchangeably used: this can result in unclear contextual documents which are useless. Once these foundations laid out, the methodology for the development of a sound critical infrastructure protection planning can be detailed. The second part of this study focuses on the international interpretation that was given to the concept of critical infrastructure (protection). Therefore, both the approach of the European Union and NATO are highlighted. In the final part, the national policy is analyzed and recommendations are proposed. National legislation in the European framework, procurement, Communications Security, and market regulation of private partners as well as the availability of information are fundamental national requirements. Further, a network of national computer emergency response teams, protection of critical (information) infrastructure in expeditionary capabilities, i

supranational relevant treaties and a European strategic vision on critical infrastructure protection are important on the international level. Network enabled capabilities, protection of information flows and interoperability (UN, NATO, EU, ...), dependency and cascade effects, defining rules of engagement and cyber activity concepts, operational cooperation in research and development, as well as EU-NATO rationalization of networks contribute to a holistic approach for defence forces. These policy recommendations could improve homeland protection as well as capabilities for expeditionary forces.

ii

Inhoudstafel Lijst van afkortingen Inleiding

1 4

DEEL 1: RISCICOANALYSE: OPZET, DEFINITIES EN SAMENHANG 7 1.1 OPZET: WAAROM RISICOANALYSE? 8 1.2 GETROFFEN DOMEINEN VAN STRATEGISCHE TRENDS EN NATUURLIJKE OF OPZETTELIJKE RAMPEN (STRATEGISCHE CONTEXT) 13 1.3 AFWIJKING VAN STRATEGISCHE TRENDS: VERRASSING VERSUS SCHOK 25 1.4 DE WMD-DIMENSIE 32 1.5. DEFINITIES 38 1.5.1. Dreiging en dreigingsanalyse 38 1.5.2. Impact en impactanalyse 42 1.5.3. Risico en risicoanalyse 45 1.5.4 Asymmetrisch proliferatierisico 50 1.5.5 Preventiemaatregelen en risicobeheer 56 1.5.6 Kritische infrastructuur 60 1.5.7 Bescherming van kritische infrastructuur (Critical Infrastructure Protection CIP- en Critical Information Infrastructure Protection -CIIP) 61 1.6. VAN SAMENSTELLENDE DELEN TOT METHODOLOGIE 65 1.7. DEELBESLUIT 67 DEEL 2: INTERNATIONALE BENADERINGEN 2.1. EU-BENADERING 2.1.1. CIP 2.1.2. CIIP 2.1.3. Wisselwerking en afhankelijkheid tussen CI(I)P 2.1.4. Militaire benadering van CI(I)P binnen de EU 2.2. NAVO-BENADERING 2.2.1. CIP 2.2.2. CIIP 2.2.3. EU-NAVO: Synergie? 2.3. DEELBESLUIT

69 70 70 74 81 83 86 87 88 94 100

DEEL 3: NATIONALE BENADERINGEN EN AANBEVELINGEN VOOR EEN NATIONALE AANPAK 103 3.1. NATIONALE AANPAK 104 3.1.1. Algemeen 104 3.1.2. CIP 104 iii

3.1.3. CIIP 107 3.2. AANBEVELINGEN 114 3.2.1. Nationale wetgeving in Europees kader 114 3.2.2. Aankopen 115 3.2.3. Communicatiebeveiliging 117 3.2.4. Het BIPT: marktregulator en informatieverstrekker 118 3.2.5. Beschikbaarheid van de informatie 120 3.2.6. Belang van een netwerk Nationale CERT(s) 121 3.2.7. Naar een cel risicoanalyse en bescherming kritische infrastructuur (CIP) 122 3.2.8. CIP en expeditionaire capaciteit 124 3.2.9. Supranationale verdragen voor CIIP en belang voor Defensie 125 3.2.10. Naar een Europese strategie CIP en uitvoeringsmodaliteiten? 127 3.2.11. Network enabled capabilities (NEC): bescherming van informatiestromen en interoperabiliteit (VN, NAVO, EU,…) 129 3.2.12. Wisselwerking en afhankelijkheid tussen CI(I)P: cascade-effecten en hun gevolgen 130 3.2.13. Definities, ROE en wetgeving 131 3.2.14. Defensive/offensive cyber acivities 132 3.2.15. Operationele samenwerking en R&D 134 3.2.16. Kritische Energie-infrastructuur 135 3.2.17. Communicatie EU-NAVO en rationalisatie netwerken 136 3.2.18. Holistische benadering CIP/CIIP 137 3.2.19. Rationalisatie structuur organisatie CIP/CIIP 138 3.2.20. Naar een strategie van samenwerking tussen Defensie en actoren uit verschillende FOD’s 139 3.3. DEELBESLUIT 141 ALGEMEEN BESLUIT

144

BIJLAGEN BIJLAGE 1 : VERGELIJKING NIEUWE EN OUDE VEILIGHEIDSOMGEVING. BIJLAGE 2 : EUROPESE DEFINITIES KRITISCHE INFRASTRUCTUUR. BIJLAGE 3 : LIJST MOGELIJKE RISICO’S. BIJLAGE 4 : VOORSTEL VAN SECTOREN OP TE NEMEN IN DE LIJST KRITISCHE INFRASTRUCTUUR. BIJLAGE 5 : EUROPEES-MEDITERAAN NETWERK IN HET KADER VAN EUR-OPA. BIJLAGE 6 : CI²RCO ACTIEPLAN VOOR CIIP R&D AGENDA (2007). BIJLAGE 7 : CONCLUSIES “ARECI” STUDIE-ZWAKHEDEN. BIJLAGE 8 : EU ACTIEPLAN I2010. BIJLAGE 9 : EU-STUDIES MET BETREKKING TOT CIIP_2009. BIJLAGE 10 : EU-MS ORGANOGRAM. BIJLAGE 11: NAVO CIVIL EMERGENCY PLANNING EN CYBER DEFENCE. BIJLAGE 12 : NC3O SUB-STRUCTURE.

149

iv

150 152 156 162 163 165 166 168 171 172 173 175

BIBLIOGRAFIE OFFICIËLE DOCUMENTEN BOEKEN ARTIKELS UIT TIJDSCHRIFTEN EN PERS. JAARBOEKEN INTERNETSITES TOESPRAKEN EN CONFERENTIES. INTERVIEWS EN BRIEFINGS

177 178 181 183 186 187 188 189

v

vi

Lijst van afkortingen 3D-LO ADCC ADIV ARECI ASPR ATU BCIP BDD BelNIS (of BENIS) BIPT BIVV BNIX C³ C4ISR

CBRNE CCD CoE CDC CDMA CERT CFSP CGCCR CI²RCO CIP CIIP CIVCOM CIWIN CNO CNVV COMIXTELEC CORDIS CPCC

Diplomacy, Defence, Development, Law and Order Algemene Directie Crisiscentrum Algemene Dienst Inlichtingen en Veiligheid Availability and Robustness of Electronic Communications Infrastructures Agreements, Standards, Policies, Regulations Action Against Terrorism Unit Belgian Critical Infrastructure Protection Biological Dispersal Device Belgian Network Information Security Belgisch Instituut voor Posterijen en Telefonie Belgisch Instituut Voor Verkeersveiligheid Belgisch Internetknooppunt Command, Control and Communications Command, Control, Communications, Computers, Intelligence, Surveillance and Reconnaissance Chemical, Biological, Radiological, Nuclear, Explosive Cooperative Cyber Defence Centre of Excellence Center for Disease Control Cyber Defence Management Authority Computer Emergency Response Team Common Foreign and Security Policy Crisiscentrum van de regering Critical Information Infrastructure Research Co-ordination Critical Infrastructure Protection Critical Information Infrastructure Protection Committee for Civilian Aspects for Crisis Management Critical Infrastructure Warning Information Network Computer Network Operations Commissie voor de Nationale Verdedigingsvraagstukken Comité Mixte de Télécommunications Community Research and Development Information Service Civil Planning and Conduct Capability 1

CSIRT CWC

DDoS DHS EADRCC EADRU EC ECDC EDA EDHS EEAS EECMA EGC EISAS ENEA ENISA EP3R EPCIP ESDP EU EUMC EUMS FCCU Fedict HEU IAEA IPSC ITDB JRC KEI KI KII KSZ MIC NAVI NC3A

2

Computer Security Incident Response Team Convention on the Prohibition, of the Development, Production, Stockpiling and use of Chemical Weapons and on their destruction. Distributed Denial of Service Department of Homeland Security Euro-Atlantic Disaster Response Coördination Centre Euro-Atlantic Disaster Response Unit Europese Commissie European Centre for Disease Control European Defence Agency European Department of Homeland Security European External Action Service European Electronic Communications Market Authority European Government CERTs group European Information Sharing and Alert System Ente per le Nuove technologie, l’Energia e l’Ambiente European Network and Information Security Agency European Public Private Partnership for Resilience European Programme for Critical Infrastructure Protection European Security and Defence Policy Europese Unie European Union Military Committee European Union Military Staff Federal Computer Crime Unit Federale Overheidsdienst voor Informatie en Communicatietechnologie Highly Enriched Uranium International Atomic Energy Agency Institute for the Protection and Security of the Citizen Illicit Trafficking Data Base Joint Research Centre Kritische Energie Infrastructuur Kritische Infrastructuur Kritische Informatie-Infrastructuur Kruispuntbank van de Sociale Zekerheid Civil Protection Monitoring and Information Centre Nationaal Adviescentrum Vitale Infrastructuur NATO Consultation, Command and Control Agency

NCIRC NGO NIP OCAD OVSE PoW DAT PRA PSC RDD REGETEL ROE SCADA SOP UAV UNDRO UNISDR WMD

Computer Incident Response Capability Niet-gouvernementele organisatie Nood- en Interventieplanning Coördinatieorgaan voor de dreigingsanalyse Organisatie voor Veiligheid en Samenwerking in Europa Program of Work Defence Against Terrorism Probabilistic Risk Assessment Political and Security Committee Radiological Dispersal Device Regeringstelecommunicatienetwerk Rules Of Engagement Supervisory Control and Data Acquisition Standard Operating Procedures Unmanned Aerial Vehicle United Nations Disaster Relief Office United Nations International Strategy for Disaster Reduction Weapons of Mass Destruction

3

Inleiding In een voorgaande studie, “Massavernietigingswapens: erfenis van de Koude Oorlog en bedreiging voor de toekomst”, werden pijnpunten vastgesteld in de nationale nood- en interventieplanning. Eén daarvan, de risicoanalyse, is een essentieel onderdeel in de evaluatie van de in te zetten middelen in het kader van de bescherming in CBRN(E) scenario’s. De noodzaak voor investeringen wordt vaak in twijfel getrokken. Dit is minder het geval wanneer we het hebben over de inzet van expeditionaire troepenmacht, maar des te meer over middelen die hier in België moeten worden voorzien. Men baseert zich vooral op de lage waarschijnlijkheid van voorkomen van de evenementen die dergelijke maatregelen zouden vereisen. Wat men echter niet mag vergeten is dat bij de vijand, onder welke vorm die zich ook moge manifesteren, zowel de capaciteit als de wil bestaan tot inzet van middelen die men kan catalogeren onder de CBRN(E)-noemer. Sinds 9/11 hebben we nog conventionele aanvallen gekend in Londen, Madrid, Islamabad en Mumbai, om er maar enkele te noemen. In de evaluatie van de noodzaak tot bijkomende middelen, moet men niet zozeer de lage frequentie van deze incidenten beschouwen, maar eerder de catastrofale impact. Het is niet ongepast om hier ook te wijzen op het feit dat in Japan de Aum-sekte vijf jaar lang actief was en meerdere pogingen ondernam om aanvallen uit te voeren met biologische en chemische agentia. Moeten we ook nog herhalen dat Talibantroepen vanuit Afghanistan hun strijd hebben verlegd naar Pakistan, een kernwapenstaat die het Nonproliferatieverdrag niet heeft ondertekend? Kunnen we ons veroorloven in deze omstandigheden vertrouwen te hebben in de goede afloop van dit conflict zonder verdere besluitvorming omtrent eigen bescherming? Men mag niet vergeten dat zelfs zonder de kernwapens van Pakistan, de ideologie van niet-staatsactoren tot bezit van blauwdrukken heeft geleid bij bevolkingsgroepen in eigen land. Niets weerhoudt deze actoren om ook bij ons vernielingen aan te brengen en slachtoffers te maken. De psychologische impact op de bevolking die op weg van of naar het werk, geconfronteerd wordt met een dodelijke aanslag met talrijke slachtoffers is enorm. Het beleid kan het zich dan ook niet veroorloven om de besluitvorming, die moet toelaten op een systematische manier de inzet van middelen te optimaliseren, naast zich neer te leggen. Risicoanalyse kan helpen bepalen welke deze middelen zijn of welke verbeteringen moeten aangebracht worden aan bestaande plannen, of welke infrastructuur beter beveiligd dient te worden. In de Politieke Oriëntatienota van de Minister van Defensie Pieter DE CREM wordt de bezorgdheid uitgedrukt omtrent de bedreiging die men gematerialiseerd ziet in proliferatie, internationaal terrorisme, ongelijke 4

verdeling van de welvaart, georganiseerde misdaad en pandemieën. Deze dreiging ondervindt bovendien een toenemende druk door fenomenen die rechtsreeks voortvloeien uit de globalisering zoals de groeiende energiebehoefte, de klimaatsverandering, de demografische explosie en de verstedelijking, de lopende economische crisis en alle sociologische gevolgen die hieruit voortvloeien. Men kan enkel vaststellen dat de machtsverhoudingen in de wereld grondig gewijzigd zijn sinds de oprichting van de NAVO. Deze nieuwe uitdagingen voor de Alliantie hebben geleid tot de vaststelling dat een nieuw strategisch concept noodzakelijk was. Ook de doctrines ter verdediging van het eigen grondgebied van de Alliantie zijn onderhevig aan grondige herziening. In dit kader wil dit werk meer aandacht schenken aan risicoanalyse, kritische infrastructuur en de beveiliging ervan. Deze studie beoogt een licht te werpen op enkele aspecten i.v.m. voormelde problematiek. Vooreerst dient het kader duidelijk afgebakend te worden door de gangbare definities grondig te verankeren. Zoals we zullen merken, worden begrippen als o.m. risico, dreiging en impact, te pas en te onpas door elkaar gebruikt. Hierdoor wordt de context en de daaruit voortvloeiende redenering totaal onduidelijk. In een eerste gedeelte beoogt men duidelijkheid te scheppen in de grote dispariteit aan definities die men hieromtrent kan vinden. Pas wanneer deze fundamenten klaar zijn, kan men aandacht vestigen op de methodologie voor de omschrijving van de behoeften in nood – en interventieplanning en bescherming van kritische infrastructuur. Het tweede deel van de studie richt zich op de internationale invulling die men heeft gegeven aan het begrip kritische infrastructuur. Daarom worden zowel de benadering van de NAVO als van de Europese Unie belicht. Mogelijkheden tot synergie worden hieruit geïdentificeerd om de inzet van middelen te optimaliseren in het kader van de bescherming van voornoemde kritische infrastructuur. Voorstellen tot rationalisatie in die richting worden geformuleerd. Het derde en laatste deel geeft voornamelijk een nationale benadering weer. De methodologie die hier werd gevolgd, is gestoeld op de werkwijze in deel twee van dit werk. Uit de supranationale benaderingen worden mogelijke wegen tot synergie alsook toepassingsdomeinen belicht die in België van belang zouden kunnen zijn. Vervolgens worden de beleidsmatige aanbevelingen geformuleerd. Bedoeling is om tot een systematische en coherente benadering te komen van de problematiek. Het is duidelijk dat, hoewel de nationale problematiek in fine het doel is, de voorgestelde maatregelen ook gericht moeten zijn op de activiteiten van onze troepen in operaties. De aanbevelingen die geformuleerd worden, zullen dan ook dit aspect belichten waar mogelijke toepassingen uitgebaat kunnen worden. In het besluit zullen de meest dringende problemen nog even aangehaald worden. Onontgonnen gebieden en domeinen die aanleiding kunnen geven tot wetenschappelijk onderzoek in verschillende vakgebieden worden eveneens weergegeven. 5

De standpunten van de auteur geven niet noodzakelijk de standpunten van Defensie of het Koninklijk Hoger Instituut van Defensie weer.

6

Deel 1

Riscicoanalyse: opzet, definities en samenhang

7

1.1. Opzet: waarom risicoanalyse ? Vooreerst dringt de vraag zich op waarom men zich zou moeten inlaten met risicoanalyse. Het antwoord is te vinden in de vaststelling dat er zich een veiligheidsprobleem opdringt. Het besluitvormingsproces dat aan de basis ligt van de duidelijke omschrijving van het probleem, om uiteindelijk te leiden naar adequate maatregelen, is de risicoanalyse. Men dient er zich bewust van te zijn dat de uitkomst van een dergelijke analyse kan afwijken van de verhoopte verwachtingen. De conclusie van de besluitvorming terzake zou kunnen leiden naar nieuwe investeringen en aangepaste maatregelen. In een moeilijke economische situatie is dit een argument dat kan tellen. Waarom er dan toch verder op ingaan? Precies omdat de risicoanalyse een systematische methodologie inhoudt: het besluit dat zal rijpen in het proces, zal onweerlegbaar zijn met welke argumenten ook. Het kan allerminst bestempeld worden als ondoordacht of ad hoc maatregel zonder visie. Een volgende vraag die zich aanbiedt is: welke vakgebieden of toepassingsdomeinen kunnen genieten van een dergelijke aanpak? Alle productieprocessen, vakgebieden, diensten en beveiligingssystemen uit de privé- of de openbare sector kunnen voor hun besluitvorming terugvallen op deze techniek. Er zullen niet enkel voorstellen en maatregelen ter verbetering duidelijk worden, maar eerdere tekortkomingen zullen eveneens op de voorgrond treden. Dit is eveneens het geval voor de krijgsmacht en de ordediensten: deze gevallen zullen in dit werk meer onze aandacht trekken. Of het nu gaat om beveiliging in het thuisland of in een expeditionaire troepenmacht, de risicoanalyse zal steeds aan de basis liggen van de behandeling van een veiligheidsprobleem: in dit kader past de beveiliging van een luchthaven ergens in Centraal-Azië of een ambassade in België. Het probleem dat vaak opduikt in het proces is datgene welke betrekking heeft op de financiële middelen die nieuwe toewijzingen zullen krijgen: verandering op zich stuit meestal op weerstand. Mensen worden liever geleid door procedures en methodes die ze al kennen van jaar en dag. Naast deze problematiek is er ook mogelijk een financiële impact verbonden aan de uitvoering/verandering van de maatregelen, die door de methode werden vooropgesteld. De weerstand die dit veroorzaakt, zal nog veel groter zijn en de manager of chef die ze moet uitvoeren moet hier rekening mee houden. Voor bedrijven met commerciële belangen kan deze methode zelfs door de leiding opzij geschoven worden uit vrees dat overdreven winstmarges afgeroomd zullen worden voor de aanpassing van enkele veiligheidsmaatregelen of de verbetering van de reeds voorziene arbeidsveiligheid. 8

Maar het probleem reikt veel verder dan dat. Zoals CLARKE1 het terecht aanhaalt, is risicoanalyse gebaseerd op probabilistisch denken, m.a.w. men gaat in het denkproces uit van de waarschijnlijkheid dat een gebeurtenis zich voordoet met ernstige tot catastrofale gevolgen. Zoals men reeds heeft aangehaald, kan men deze argumentatie opzij schuiven omwille van financiële aspecten, maar ook omwille van hun statistische frequentie: men kan toch een belangrijke inspanning van de organisatie niet monopoliseren voor een gebeurtenis die, statistisch bewezen, zelden of nooit zal voorkomen? Op korte termijn kan dit een correcte analyse zijn van de situatie. Men mag echter niet uit het oog verliezen dat ontwrichtende rampen steeds vaker voorkomen en dat de gevolgen ervan jaren nadien nog materiële sporen nalaten, om nog maar te zwijgen van het menselijk leed dat niet meer herstelbaar is. Of het nu gaat over grote natuurrampen, die toenemen in frequentie omwille van klimaatsveranderingen, of financiële crisissen die alle bevolkingslagen treft (maar de meest zwakke eerst), worst- case scenario’s gebeuren op ogenblikken waarop men ze niet verwacht en waarvoor men bijgevolg onvoorbereid is. Een bijkomend aspect dat eigen is aan onze samenleving is de concentratie van de bevolking enerzijds en anderzijds de concentratie van industrie die alsmaar dichter bij de bevolking wordt ingeplant. Op zich vormt dit een element dat bijdraagt tot een verhoogd risico op ernstige impact, hetgeen kan vermeden worden door fysische verspreiding van de oorzaken en mogelijke doelwitten. Deze verdunning van de bedreiging is de oplossing die als een rode draad wordt vooropgesteld door PERROW2. De frequentie van het evenement doet er in dit geval niet toe. De gevolgen van een dergelijke gebeurtenis zijn zo ingrijpend, dat de gevolgen voor de samenleving jaren later nog nazinderen en waarschijnlijk hun plaats zullen verwerven in geschiedenisboeken. Nog een tegenargument dat men vaak hoort in de mond van critici is het irrationele denken dat aan de basis ligt om zich toe te spitsen op gebeurtenissen waarvan de waarschijnlijkheid zeer laag is. Men hoort vaak genoeg dat er al problemen genoeg zijn die de moeite waard zijn om er zich op toe te leggen (zoals armoede in de derde en vierde wereld, ziekte, werkloosheid,…). Vooreerst moet men hiertegen opwerpen dat in een militaire omgeving deze gebeurtenissen al veel minder onwaarschijnlijk zijn dan men zich kan voorstellen, alhoewel ze een dagelijkse dreiging vormen in het kader van buitenlandse opdrachten. Bovendien moet men hieraan toevoegen dat dergelijke “militaire” evenementen nog meer impact hebben op de samenleving wanneer ze zich voordoen in burgermilieu door bijvoorbeeld terroristische aanslagen.

1

CLARKE, L., « Thinking about Worst-Case Thinking », in Social Inquiry, Vol.78, N°2, May 2008, p.154.

2

PERROW, C., The next catastrophe: Reducing our vulnerabilities to Natural, Industrial and Terrorist Disasters. Princeton University Press, March 2007.

9

Men dient hier wel het onderscheid te maken tussen het plannen van worst case scenario’s en het toekennen van het worst case label aan een evenement a posteriori. In het eerste geval zoekt men naar planning en maatregelen die de gevolgen/impact op de samenleving kunnen verkleinen. In het tweede geval is men meestal op zoek naar verantwoordelijken met inzicht op de catastrofale gevolgen die hadden moeten voorzien worden in de bestaande plannen. Het plannen op zich (en het voorafgaandelijk analytisch denkwerk) laat toe om een duidelijk beeld te verkrijgen in alle processen en parameters die invloed hebben op de Instelling dat men wil beveiligen. In die context laat het denkproces toe om procedures en middelen te voorzien om weerstand of veerkracht te ontwikkelen tijdens en na een incident. Vandaar ook het belang van de Nood- en Interventieplanning (NIP) op nationaal niveau, alsook in het kader van internationale samenwerking (EU, NAVO, etc.). Wat alleszins moet vermeden worden, is dat op het einde van het proces een gevoel van veiligheid wordt gecreëerd. Niet alle gevaar is geweken wanneer het proces is doorlopen en plannen of maatregelen klaar zijn. Een regelmatige herziening van het hele denkproces moet gepland worden. Zonder dit wordt het hele proces voorbijgestreefd. In dat geval komt men inderdaad in een situatie terecht waarbij ongeoorloofde investeringen werden uitgevoerd zonder opvolging en bijgevolg zonder effectief resultaat. Het is belangrijk dat we op dit punt de aandacht vestigen op het werk van de Commissie ter preventie van massavernietigingswapens, proliferatie en terrorisme. In de samenvatting van het rapport, wordt het volgende vermeld3: “The Commission believes that unless the World community acts decisively with great urgency, it is more likely than not that a weapon of mass destruction will be used in a terrorist attack somewhere in the World by the end of 2013.” De aanvallen van 11 september te New York waren van “conventionele” aard. Nochtans was hun impact op de samenleving dermate ontwrichtend, dat men ze niet kan negeren. Zo ook voor aanslagen in Madrid (2004), Londen (2005), Pakistan (2008), en Mumbai (2009), telkens weer uitgevoerd in het hart van de stad, te midden van gewone burgers. Desondanks besluit de Commissie dat het nog erger kan. De capaciteit bestaat inderdaad: tussen 1990 en 1995 lag de Aum-sekte in Japan aan de basis van 17 aanslagen, waarvan 7 pogingen bleken om biologische wapens te gebruiken4,5. Uiteindelijk slaagde een aanval in de metro van Tokio op 20 maart 1995 door gebruik van Sarin zenuwgas. 3

GRAHAM, B., et al., World At Risk: The report of the commission on the prevention of weapons of mass destruction, proliferation and terrorism; Vintage Books, December 2008, p.xv.

4

Chronology of Aum Shinrikyo’s CBW Activities, Monterey Institute of International Studies, p.1.

5

Japan’s Doomsday Cult Sought Ebola for Weapon, Reuters World Service, 24 March 1996.

10

Uit deze voorbeelden blijkt dat het “onwaarschijnlijke” reeds plaatsgreep, en rapporten sluiten een herhaling van deze scenario’s niet uit. Moet men dan niet alles in het werk stellen, en inderdaad investeren om ten minste een coherent denkpatroon te kunnen ontwikkelen dat ons zou kunnen helpen aan de ontwikkeling van efficiënte maatregelen tegen dit type aanslagen. Laten we niet vergeten dat het niet enkel om aanslagen gaat. Een incident op een chemisch bedrijf kan door de vernoemde concentratie van industrie en bevolking dezelfde catastrofale gevolgen hebben! We kunnen vaststellen dat aanbevelingen met betrekking tot de problematiek die ons aanbelangt niet steeds worden opgevolgd, zelfs indien men er specifiek naar vraagt. In het eindrapport van de Commissie ter onderzoek van de aanslagen van 11 september worden (in 2005!) een aantal aanbevelingen geformuleerd om dit type incidenten te vermijden in de toekomst. Het gedeelte inschatting van de kwetsbaarheid en risico’s ten opzichte van kritische infrastructuur krijgt één van de slechtste evaluaties6: “Critical infrastructure and vulnerabilities assessment: A draft National Infrastructure Protection Plan (November 2005) spells out a methodology and process for critical infrastructure assessments. No risk and vulnerability assessments actually made (eigen onderlijning); no national priorities established; no recommendations made on the allocation of scarce resources. All key decisions at least a year away. It is time that we stop talking about setting priorities, and actually set some.-Grade D.” Ook daar waar het ergste is gebeurd, bestond blijkbaar nog steeds de weerstand om te investeren in maatregelen ter voorkoming van incidenten. Of de reden nu gezocht moet worden in de optiek dat men ervan uitgaat dat dergelijke incidenten toch geen tweede maal zouden plaatsgrijpen, of zuiver uit financiële overwegingen blijven onbeantwoord. Feit is dat in 2009 de situatie er nog steeds niet echt is op vooruitgegaan. Men heeft nieuwe instellingen in het leven geroepen als The Homeland Security Council (HSC) en een Department of Homeland Security (DHS). De samenwerking met andere departementen is echter niet duidelijk en de bevelvoering tijdens een incident is volkomen in het vage gelaten. Dit is nochtans één van de essentiële problemen, naast een concrete invulling en planning van alle noodzakelijke middelen op het terrein, waaraan een efficiënte risicoanalyse zou kunnen tegemoet komen. Deze methodologie zou een blauwdruk kunnen afleveren om de aard van de capaciteiten te bepalen, die noodzakelijk zijn bij specifieke incidenten, wie deze zou moeten leveren en bedienen, hoe men middelen ter plaatse krijgt en hoe ze geïntegreerd worden in het plan van aanpak. Deze

6

KEIN, T., et al., «Final report on the 9/11 Commission Recommendations», in 9/11 Public Discourse Project, December 5, 2005, p.1.

11

elementen, die deel uitmaken van de NIP als resultaat van doorgedreven onderzoek naar bedreiging, impact en risico, hebben echter nog geen efficiënte aanpak gekend. 9 jaar na de feiten in het land dat zo zwaar geteisterd werd door de aanslagen, liggen de vereisten om rampen in eigen land efficiënt te kunnen aanpakken nog steeds niet vast7. Allerhande redenen kunnen hiervoor aangehaald worden. Eén ervan is ongetwijfeld het prijskaartje dat eraan vastkleeft. Het is echter nog veel kostelijker om in de plaats van proactieve risicoanalyse, a posteriori een beroep te moeten doen op rampenbestrijding. Het is een vaststaand feit dat een oplossing moet gevonden worden, al was het maar om ook bij ons niet achter de feiten aan te lopen. Een analyse van de getroffen domeinen inzake NIP, ongeacht de oorzaak, dringt zich op. Pas dan kan men de risicoanalyse grondig bestuderen.

7

WORWUTH, C., «The Next Catastrophe: Ready or Not? », in The Washington Quarterly, Vol.32, N° 1, p.100.

12

1.2. Getroffen domeinen van strategische trends en natuurlijke of opzettelijke rampen (strategische context) Men kan slechts vaststellen dat in de komende jaren specifieke domeinen in de samenleving onder druk zullen komen te staan. De oorzaak hiervoor is te vinden in menselijke impact op de omgeving en evoluties in de samenleving. Het is noodzakelijk een duidelijk onderscheid te maken tussen de onderdelen van een goed functionerende maatschappij die onder druk komen te staan door trends, dan wel door terrorisme of gewapend conflict. In eerste instantie zijn er een aantal strategische trends die bepaalde domeinen uit de samenleving letterlijk onder druk zetten. Anderzijds leiden gewapende conflicten en terroristische activiteiten eveneens tot situaties die bepaalde domeinen uit de samenleving zodanig beïnvloeden dat de situatie aanleiding kan geven tot rampzalige gevolgen. Beide aspecten zullen bondig belicht worden in het kader van de gevolgen die ze kunnen betekenen voor de operationele inzet en de NIP. Het spreekt voor zich dat deze domeinen elkaar kunnen overlappen en dat opzettelijke rampen kunnen uitgelokt worden, maar dat de oorzaak eveneens kan gevonden worden in een natuurlijke evolutie van een strategische trend. Welke elementen dragen bij tot de wijziging van strategische trends die zich aftekenen in de periode tot 2036? De drie belangrijkste drijfveren die de komende dertig jaren een invloed zullen hebben op onze levenswijze zijn klimaatverandering, globalisatie en wereldwijde ongelijkheid. Deze drijfveren zullen de trends bepalen waardoor men in vier domeinen drastische veranderingen zal ervaren op korte of lange termijn. Deze domeinen kan men omschrijven onder algemene noemers als populatie en grondstoffen, identiteit en eigenbelang, beleid en openbare orde, kennis en innovatie8. Concreet zijn de gevolgen hiervan acuut merkbaar in: •

8

Instabiliteit van de (energie)markt: reeds tijdens de aanloop van de financiële crisis in september 2008 werd het duidelijk dat meer en meer actoren hun eigen (energie)markt wilden vrijstellen door het afsluiten van bilaterale akkoorden. De impact op andere sectoren van de economie toont aan dat een wereldwijde recessie niet door protectionistische maatregelen

Development, Concepts and Doctrine Centre (DCDC) Global Strategic Trends Programme 2007-2036, UK MOD, January 2007, p.xiii.

13

kan ingedijkt worden. Niet alle landen hebben hier echter een gelijkaardige rol om te bepalen welk beleid ze zullen volgen. Ontwikkelingslanden zullen ook hier meer en meer de gevolgen dragen van wat een multisectoriële crisis zal worden. Het streven naar eigenbelang kan in deze omstandigheden een gevaarlijke voedingsbodem vormen, bijzonder in instabiele regio’s.

14

•

Instabiliteit van voedselprijzen: toenemende vraag en klimaatsverandering staan in schril contrast met stabiele voedselprijzen. Daar waar in de Westerse landen producenten reeds onder druk staan, is dat des te meer het geval voor regio’s waar woestijnvorming en erosie van de bodem door ontbossing de endogene teelt onder druk brengen. Dit effect zal zich nog meer laten voelen indien men de teelt van gewassen in het kader van brandstofproductie wil doordrukken: de beschikbare oppervlakte voor eetbare gewassen komt zo onder druk met als gevolg dat de voedselbevoorrading voor de betrokken bevolking in het gedrang komt.

•

Competitie in toelevering van energiebronnen: een voorbeeld van wat de gevolgen hiervan zouden kunnen teweeg brengen, werd geïllustreerd tijdens de gascrisis tussen Rusland en Oekraïne (2008-2009), waardoor de doorvoer naar OostEuropese lidstaten tijdelijk werd afgesloten gedurende een barre winterperiode. Commerciële belangen zijn duidelijk belangrijker dan de morele verplichting om leveringscontracten te respecteren. Om toelevering te blijven garanderen, zullen grote consumenten zich minder afhankelijk moeten kunnen opstellen ten opzichte van de klassieke olie- of gasleveranciers. In dit opzicht zijn er twee parameters die de gang van zaken zullen bepalen. In eerste instantie zou men de bestaande aanvoerlijnen kunnen beveiligen voor wat de toelevering betreft. Alternatief is het duidelijk dat nieuwe energiebronnen zullen moeten gevonden worden: de projectie tot 2030 toont aan dat de vraag naar fossiele brandstoffen nog steeds in stijgende lijn zal verlopen op wereldvlak, terwijl deze bronnen niet onuitputtelijk zijn. Ter illustratie wordt in figuur 1 een grafische voorstelling gegeven van de vraag in 2004 en de projectie ervan naar 2030. Natuurlijk moet men om een betrouwbaar beeld te krijgen rekening houden met het feit dat deze trendkaart opgesteld werd in 2007. Men moet dus zeker rekening houden met de gevolgen van de crisis die zich in september 2008 heeft ingezet. De olieprijs zal hierbij een essentiële rol spelen om een betrouwbare weergave te kunnen weerspiegelen. Een algemene verwachting, afgezien

van deze factoren, is dat de vraag naar fossiele brandstoffen zal blijven groeien in groeipolen uit Azië. Figuur 1: Regionale vraag naar olie op wereldvlak, horizon 20309.

9

•

In deze context kan men ervan uitgaan dat de vraag naar nieuwe kerncentrales zal toenemen, in afwachting van rendabele hernieuwbare energie. Gezien kernfusie niet commercieel uitbaatbaar blijkt voor horizon 2050, zal de traditionele kernsplijting onvermijdelijk deel uitmaken van de overgangstechnologie. Op zich houdt dit risico’s in op het vlak van proliferatie van nucleair materiaal.

•

Demografische veranderingen: onder druk van de globalisatie en aangehaalde onzekerheden in verband met energie en voedselbevoorrading, zijn betrokken populaties meer geneigd zich terug te plooien op hun etnische, communautaire of tribale afkomst. Intrinsiek zal dit een permanent instabiele situatie tot stand brengen in betrokken regio’s.

Development, Concepts and Doctrine Centre (DCDC) Global Strategic Trends Programme 2007-2036, UK MOD, January 2007, p.33.

15

•

Politieke gevolgen: tot aan het begin van de economische crisis van september 2008 leken de VS de belangrijkste plaats te zullen innemen op het politiek toneel. Het dominoeffect op andere sectoren van de economie heeft deze positie verzwakt: het zwaartepunt van alle inspanningen moest gericht worden op het economisch herstel. Ondanks de aanwezigheid van snel groeiende markten als China en India, hebben die ook zware geleden onder de economische crisis. De vooruitzichten schatten een groei in die, zeker voor wat China betreft, het BNP van de VS zou overtreffen tegen 2040. Figuur 2 illustreert deze trend.

Figuur 2: Evolutie van het BNP van groeiende Aziatische markten horizon 205010.

De lopende crisis zal wellicht haar invloed laten gelden, althans wat de tijdlijn van deze extrapolatie betreft. •

Landen zoals Rusland hebben zich meer verdekt opgesteld met betrekking tot de impact van de crisis op de energiesector11. De grote economische afhankelijkheid van de inkomsten van de verkoop van zowel gas- als olieproducten zal ongetwijfeld interne politieke spanningen ten top doen drijven in de actuele crisis en nog lang nadien.

10

Development, Concepts and Doctrine Centre (DCDC) Global Strategic Trends Programme 2007-2036, UK MOD, January 2007, p.48.

11

BHALLA, R., et al., « Turkey and Russia on the Rise », in Stratfor Geopolitical Intelligence Report, March 17, 2009, p.3.

16

Nieuwe bronnen zullen aangesproken moeten worden en daarom is de macht over de velden van Centraal-Azië op zich van strategisch belang in de Russische politiek van de komende jaren. In de EU is het ondertussen duidelijk geworden dat samenwerking de enige oplossing kan zijn om een uitweg te vinden voor de nakende recessie. Deze spanningen vormen ook een voedingsbodem voor vernieuwd nationalisme en protectionisme. Dit kan dan opnieuw een terugval betekenen in domeinen als demografie, economie, voedselbevoorrading en energetische politiek. Het blijkt dat alle trends terug te brengen zijn tot evoluties die zich voordoen in domeinen als demografie, cultuur, sociale omstandigheden, economische ontwikkeling, politieke context, technologische ontwikkeling en natuurlijke bronnen. Het voorzien van mogelijke scenario’s in deze domeinen heeft betrekking op een al dan niet specifieke geografisch beperkte problematiek of items als klimaatverandering, georganiseerde misdaad, etc. Voor iedere trend kunnen mogelijke scenario’s uitgetekend worden die veiligheidsrisico’s inhouden. Analyse hiervan laat dan weer toe om veiligheidspolitiek af te stemmen op de verwachtingen en gewapend conflict te voorzien en, indien mogelijk, te vermijden met de medewerking van internationale organisaties als de VN, OVSE, EU, regionale partnerschappen, etc. Wat de invloed van gewapende actie betreft, moet men het onderscheid maken tussen terroristische activiteiten enerzijds, en gewapende conflicten tussen staten anderzijds. Een sluitende definitie rond terrorisme kan men niet terugvinden: eensgezindheid ontbreekt hierrond. Men zou zich eerder moeten baseren op de invulling die deze term krijgt in nationale wetgevingen. Volgens BENNETT12 zijn er vier elementen die het terrorisme karakteriseren:

12

•

Het is vooraf gepland en niet impulsief uitgevoerd.

•

Het is politiek gericht, bedoeld om de bestaande politieke macht te wijzigen.

•

Doelwit zijn burgers en geen militairen of militaire installaties.

•

De acties worden uitgevoerd door niet-staatsactoren (géén leger).

BENNETT, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007, p.1.

17

Of men het nu al dan niet eens is met deze benadering, kan men niet ontkennen een aantal kenmerken essentieel zijn in terroristische activiteiten. Terrorisme kan men beschrijven als de activiteit van individuen of groeperingen (niet-staatsactoren) die al dan niet steun krijgen van een reguliere Natie, en die door geweld willekeurige of uitgezochte doelwitten bestoken om hun wil op te dringen op een doelpubliek. Een voorbeeld hiervan zijn de aanslagen op toeristen in Egypte met als doel de toeristische sector schade toe te brengen. Om hun doel te bereiken, zullen doelwitten liefst in het oog springen of goed bekend zijn. De geplande actie moet van die aard zijn dat het nieuwsbericht er ruimschoots aandacht aan schenkt. Verder moet het doelwit zwak genoeg zijn, d.w.z. dat de aanval uitgevoerd kan worden zonder al te grote inzet van veel middelen terwijl een maximale menselijke en/of materiële schade wordt gerealiseerd. Op die manier kan zodanig veel schade aangericht worden aan essentiële infrastructuur of economie dat de normale werking van de samenleving erdoor wordt ontwricht. Men dient hier nog even aandacht te schenken aan de doelwitten van terroristische activiteit. De US Air Force Antiterrorism Standards geeft in een duidelijke beschrijving van mogelijke doelwitten13. De letters in het acroniem DSHARPP staan voor de criteria die in aanmerking kunnen genomen worden om een gunstig doelwit uit te kiezen:

13

•

Demography: deze overweging heeft betrekking op welke populatie getroffen gaat worden. Zijn militairen dan wel burgers het doelwit? Werken ze voor de overheid of gaat het om voorbijgangers?

•

Symbolism: hier neemt men in overweging of de doelgroep van enige symbolische betekenis kan zijn in de samenleving, bijvoorbeeld Joden, allochtonen, militairen,…

•

History: er is mogelijk een voorgeschiedenis aan het feit waarom een bepaalde groep doelwit wordt in bepaalde onstabiele regio’s. Ook de methodologie en de capaciteit in gebruik kan deel uitmaken van die historiek.

•

Accessibility: of het doelwit nu bereikt kan worden zonder hindernis of door medewerking van “insiders” heeft weinig belang. In militaire termen spreekt men over 4 fasen die onontbeerlijk zijn in de toegankelijkheid: de mogelijkheid tot

Air Force Instruction 10-245 van 3 April 2006, certified current 17 November 2008, aanhangsel 9. Varianten op DSHARPP zijn in gebruik naargelang het department dat een identificatiesysteem wenst. Zo zijn er CARVER (en varianten) en MSHARPP gebruikt door respectievelijk Special Forces en Staatsadministratie in de VS. Zie in dit verband BENNET, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007, pp.244-250.

18

infiltratie, bereik van het doelwit, bereik van het essentieel element van het doelwit en exfiltratie. Het is belangrijk te noteren dat deze elementen ook essentieel zullen zijn om toegang tot essentiële infrastructuur te ontzeggen. Hoe beter deze 4 fasen aan beveiliging onderworpen worden, hoe moeilijker de bereikbaarheid voor ongewenste aanval of sabotage. •

Recognizability: is het doelwit gemakkelijk herkenbaar? Ligt het in de stad en kan het eenvoudig bereikt worden. De aanslagen in Mumbai hebben aangetoond dat de schutters gebruik hebben gemaakt van het Internet (Google Earth) om hun verkenning en volgroute op touw te zetten.

•

Population: hier wordt algemeen aangenomen dat hoe dichter bevolkt, hoe meer het doelwit in aanmerking komt om aangevallen te worden met als doel collaterale schade te maximaliseren.

•

Proximity: is het geselecteerde doelwit niet in de nabijheid van een publiek dat door terroristen als “te beschermen” beschouwd worden m.a.w. zou de collaterale schade meer nadeel kunnen brengen aan de actie dan het hoofddoel?

Eenmaal het doelwit uitgekozen, zijn de tactieken zeer uiteenlopend: brandstichting, cyberaanval, vernieling van infrastructuur (of toeleveringskanalen), economische schade door besmetting van consumptiegoederen, ecologische schade door besmetting van drinkwater, explosies, valse meldingen, kaping, moord, sabotage, gijzeling, kidnapping, diefstal, enz. Een speciale dimensie moet men toekennen aan het gebruik van massavernietigingswapens (Weapons of Mass Destruction-WMD). De CBRN-dimensie zal later in meer detail belicht worden met betrekking tot deze problematiek. Los van terroristische activiteit moet men rekening houden met gewapend conflict tussen staten en de strategische trends die hier de oorzaak van kunnen zijn in de komende jaren. Sommige kunnen met de voornoemde overlappende gevolgen hebben. In 2004 werd door de Universiteit van München een historische trendanalyse uitgevoerd14. Door middel van computersimulatie werden geschiedkundige indicatoren geanalyseerd naar hun geldigheid voor de evaluatie van te verwachten trends. Om een visie te ontwikkelen over de evolutie van gewapende conflicten horizon 2035 werden uit deze analyse vier krachtlijnen weerhouden in het kader van veiligheid en conflict:

14

Zentrum für Transformation der Bundeswehr, Historische trendanalyse. Workshop report, Munich 2004.

19

20

•

Na het tijdperk van de industrialisering komt “het tijdperk van de kennis”: het vergaren, beheren, uitbaten en vrijwaren van informatie. Toegang tot kennis en uitwisseling van informatie speelt dus een cruciale rol tussen individuen, sociale groepen, maar ook staten en allianties. De vrijwaring van deze kennisstructuur is van cruciaal belang om de overhand te krijgen tijdens gewapend conflict. Een duidelijke kennis van wat er zich op tactisch en strategisch gebied afspeelt, is essentieel voor de efficiënte inzet van troepen. Hierdoor is het kwantitatief overwicht, dat vroeger de determinerende factor was, niet langer een garantie tot succes. Een illustratie hiervan is de initiële falende tactiek van Pakistan in de strijd tegen de Taliban. De opleiding van troepen gebeurde tot 2008 nog steeds in een geest van massale inzet van troepen met zware middelen. Deze aanpak van “totale oorlog” dringt zich op in het kader van de geopolitieke situatie ten opzichte van militaire reus India die sinds eeuwen als vijand nummer één wordt aanzien. Andere tegenstrevers, nu de Talibanmilities, hebben aangetoond dat dergelijke aanpak niet doeltreffend kan zijn in gebieden als de Hindu-Kush zonder duidelijke situation awareness. Zeer weinig middelen zijn in deze context nodig om Pakistaanse troepen uit te schakelen. Een herziene aanpak in de loop van 2009 m.n. in de Swatvallei heeft haar nut bewezen.

•

De kwetsbaarheid van de moderne samenleving is een direct gevolg van vorig punt: ontbreken of wegvallen van toegang tot informatie kan catastrofale gevolgen hebben voor de goede werking van de maatschappij. Als gevolg van deze karakteristieke kwetsbaarheid kan deze zich uiten op tal van andere vlakken als voedselbevoorrading, beschikbaarheid van water en energiebronnen en toegang tot informatieen beheersnetwerken zoals het Internet. Deze kwetsbaarheid wordt in tal van voorbeelden duidelijk: de cyberaanvallen in Estland op het informaticanetwerk in 2007, waarvan duidelijk bewijsmateriaal ontbreekt vanwege het gebruik van servers over de hele wereld. Een ander voorbeeld is de onderbreking van de gasdistributie van Rusland naar Oekraïne tijdens de winter van 2008-2009, waardoor WestEuropese landen ook niet meer werden bevoorraad. De les die hieruit getrokken moet worden, is dat een belangrijke krachtlijn in alle nieuwe ontwikkelingen, of ze nu van militaire aard zijn of niet, gericht zal zijn op de (fysische) bescherming: bescherming van informatie, van bevoorrading en infrastructuur.

•

De gewijzigde omstandigheden van oorlogvoering: de oorlog zoals die door onze veteranen uit de twee Wereldoorlogen werd geleefd, was er nog steeds één die conceptueel past in het kader van theorieën uit de 19e eeuw: ondanks industriële en technologische ontwikkeling was het Clausewitziaans concept van totale oorlogvoering ten voordele van nationale belangen nog steeds van toepassing. Het concept “oorlog” had ook tijdens de koude oorlog betrekking op conflicten tussen staten met massale militaire capaciteiten. De aanslagen van 11 september 2001 hebben dit concept grondig aangetast: de betrokkenheid van natiestaten in internationale organisaties en de onderlinge afhankelijkheid van hun economie (recent nog geïllustreerd door de wereldwijde impact van sectorale ontsporing) verkleinen de mogelijkheid op conflicten omtrent regionale belangen zonder ze volledig uit te sluiten. Nochtans zal men eerder als aanleiding van toekomstig gewapend conflict aandacht moeten vestigen op oorzaken die wereldwijde gevolgen kunnen ondergaan op alle aspecten van de samenleving: de belangen zullen zich eerder supranationaal manifesteren en de verdediging ervan zal ook moeten benaderd worden in het kader van allianties.

•

De asymmetrische aspecten van oorlogvoering: deze worden verder nog afzonderlijk behandeld.

Ook de globalisatie werkt volgend COKER15 een veiligheidsrisico (lees risico voor gewapend conflict) in de hand. Daarom zijn “nieuwe oorlogen” fundamenteel verschillend van de Clausewitziaanse benadering. Veiligheidsaspecten zullen in de toekomst draaien om WMD, terrorisme, milieu, ongelijkheid van kansen, migratie, georganiseerde misdaad en ziekte. Als gevolg hiervan is het niet ondenkbaar dat de een krijgsmacht meer en meer wordt ingezet als verbeterde politiemacht, rol die niet binnen het kader van de activiteiten ligt, waar dan ook ter wereld. Bovendien loopt men hiermee het risico dat het politieke kader wegvalt waarbinnen militaire inzet moet kaderen. Merken we nog op dat in deze nieuwe benadering van oorlogvoering de NAVO wel degelijk een toekomst heeft. De oorspronkelijke reden voor de oprichting mag dan wel verdwenen zijn, alleen allianties zullen een antwoord kunnen bieden aan nieuwe conflicten. Aanpassing van doctrines in de schoot van allianties dringt zich dus wel op.

15

In COKER, C., « Globalisation and Insecurity in the Twenty-First Century: NATO and the management of Risk », in Adeplhi Paper 345, International Institute for Strategic Studies, 2002 wordt “globalisatie” omschreven als de interconnectie van locale gebeurtenissen of activiteiten met als resultaat gevolgen die merkbaar zijn op wereldschaal.

21

Volgens MAHNKEN16 kan men bovendien geografische zones identificeren waarbinnen, tegen horizon 2025, conflictueuze strategische interestgebieden aanleiding kunnen geven tot gewapend conflict. Voorbeelden hiervan zijn terug te vinden in regio’s als: •

Het Midden-Oosten: deze regio zal als globaal strategisch interessegebied kritiek blijven omwille van tegenstrijdig voordeel in domeinen als bestaanszekerheid en algemene veiligheid, militaire overmacht, demografische onzekerheid, fysische scheiding van bevolkingsgroepen, strijd om de controle over de levensnoodzakelijke watervoorziening en energievoorziening.

•

Azië (China en India) wordt aanzien als een groeipool op het vlak van de wereldeconomie wat deze gebieden tegelijk bijzonder kwetsbaar maakt in een context van economische terugval. Dezelfde regio is bron van bezorgdheid uit hoofde van de internationale gemeenschap omwille van de risico’s tot nucleaire proliferatie (Noord-Korea en Iran). In deze context mag men de problematische toestand van Pakistan niet uit het oog verliezen. Als de facto kernwapenstaat is het bijzonder kwetsbaar voor de verschuiving van het Afghaans conflict naar eigen grondgebied: dit werd pijnlijk duidelijk in de realiteit.

•

Afrika zal een pijnpunt blijven in vele aspecten17: de klimaatsverandering, de bodemerosie en bosontginning, gecombineerd met demografische explosie zullen een permanente druk blijven op vele landen van het Afrikaanse continent. De tekorten aan levensnoodzakelijke middelen van de bevolking staan er in schril contrast met de uitbating van grondstoffen door niet-Afrikaanse firma’s die er de natuurlijke rijkdommen van het continent weghalen. Deze situatie, die in vele gevallen bevorderd wordt door onderling vijandige etnische groepen, laat vermoeden dat gewapende crisissen nog op de agenda zullen blijven in de komende jaren.

In hetzelfde kader werd door ZOTTI18, in opdracht van het US Marine Corps een lijst van informatieve trends voorgesteld, met het oog op de 16

MAHNKEN, T., «Visions of Transformation 2025-Shocks and Trends», Naval Postgradual School Transformation Chair, February 2007, p.4.

17

CALLENBACH, C.P, et al., Rapport « Militaire inzetmogelijkheid in Afrika », Instituut Clingendael, Den Haag, Maart 2008.

18

ZOTTI, M., « Strategic trends and implications », Information paper SVG/MCCDC, Strategic Vision Group, 12 February 2008.

22

identificatie van mogelijke oorzaken tot gewapende conflicten tussen 2007 en 2025: •

Ongelijke verdeling van de welvaart tussen de westerse maatschappij en de ontwikkelingslanden is een bron van frustratie en spanning. Deze spanningen kunnen uitmonden in herhaaldelijke gewapende crisissen tegen westerse belangen.

•

Demografische dichotomie door de vergrijzing in “rijkere westen” en de bevolkingstoename in de ontwikkelingslanden doet ook in dit domein spanningen opdagen. Fiscale druk op de werkende bevolking zal defensiebudgetten onder druk zetten in het westen. De ontwikkelingslanden daarentegen zien hun gewapende groeperingen aanzwellen met een als maar jongere bevolkingsgroep en schrikken er niet meer voor terug om kindsoldaten actief in te zetten.

•

Verstedelijking van en migratie naar kustgebieden in Afrika en Azië veroorzaakt hoge werkloosheid en gebrek aan essentiële nutsvoorzieningen. Bovendien is de kans reëel dat vloedgolven zoals deze van december 2004 zich in de toekomst opnieuw voordoen. Ontwrichting van hulpverlening en plundering zijn een mogelijke oorzaak voor de tussenkomst van gewapende troepenmachten.

•

Schaarste van grondstoffen en energiebronnen: vooral het gebrek aan drinkbaar water, strijd om controle over energiebronnen en energievoorziening is een permanente bron van bezorgdheid voor landen die als “klant” beschouwd moeten worden. Daar waar in het verleden gewapende conflicten vooral een territoriale oorzaak hadden, is het niet uitgesloten dat deze in de toekomst ontstaan omwille van het gebrek aan water- of energievoorzieningen.

•

Nieuwe groeipolen in Azië zullen alles in het werk stellen om de verkregen economische marktposities te vrijwaren. Dit betekent dat de vrijwaring van de energievoorziening gegarandeerd moet worden door de aanvoer van grondstoffen ook al moeten die gezocht worden op andere continenten (bijvoorbeeld in Afrika). Dit aspect alleen is een element voor blijvende spanning in de komende jaren.

•

Strijd tussen globalisatie enerzijds en soevereiniteit, identiteit anderzijds: de globalisatie van politieke, economische en industriële activiteit veroorzaakt een vervaging van het eigen nationaliteitsgevoel. Bovendien is de eigen greep op de wereldeconomie verloren gegaan zoals is gebleken tijdens 23

het uitbarsten van de economische crisis in september 2008. Het domino-effect van de crisis in de Amerikaanse economie naar de rest van de wereld heeft de grondvesten van de vrije markt ernstig in gevaar gebracht. Nieuwe groeipolen, die onlangs hun poorten openden naar de vrije markteconomie en die er hun heil in zagen, delen nu in de klappen. Dit brengt interne spanningen teweeg wat regionale conflicten niet uitsluit. •

24

Vervaging van de vormen van oorlogvoering: sinds WOII zijn de vormen van conflict vervaagd. Van open en totale oorlogvoering, heeft men veranderingen kunnen vaststellen: zo hebben in Afghanistan de Mujahedin de overhand haalden over reguliere troepen van het Sovjet-leger. Naast deze irreguliere oorlogvoering heeft men de toename kunnen vaststellen van terroristische activiteiten op burgers, de inzet van kindsoldaten in Afrika en Azië, het groeiend belang van georganiseerde criminaliteit in oorlogvoering, war by proxy (door tussenpersonen of groeperingen die de identiteit van de ware agressor verbergen) en cyberaanvallen. Meer en meer zal de samensmelting van deze verschillende fenomenen leiden tot een hybride vorm van oorlogvoering. Deze zullen een mengpatroon vertonen van voornoemde oorlogsvormen in verschillende operatietheaters. De inzet van conventionele troepen zal samenvloeien met onconventionele tactieken door gebruik van nieuwe technologie. Zo is er bijvoorbeeld de uitschakeling van leiders aan de hand van raketten afgevuurd vanaf onbemande vliegtuigen (UAV’s) of terroristische activiteiten van onafhankelijke groeperingen en de aanzet tot geweld en criminaliteit om wanorde en een gevoel van permanente onveiligheid te creëren. In deze context zal men meer en meer niet-staatsactoren zien optreden tijdens conflicten. Deze kunnen door eigen capaciteit of door medewerking van soevereine staten beschikken over WMD-capaciteit en de logistieke capaciteit benutten van hun sponsors om deze massavernietigingswapens af te leveren in stedelijke omgeving.

1.3. Afwijking van strategische trends: verrassing versus schok Men stelt vast dat de strategische trends die zich aankondigen zich vaak niet in het domein van het militaire kader afspelen. Nochtans is het belang van de inzet zo groot dat er aanleiding zou kunnen zijn tot conflictsituaties. Vandaar dat voornoemde problematiek steeds in het centrum van de belangstelling van het politieke en militaire beleid zou moeten blijven staan met het oog op snelle respons om verrassing of schok te vermijden. Een essentieel verschil dringt zich hier op tussen strategische verrassingen en strategische schok, geenszins synoniemen van elkaar. De grens tussen deze twee begrippen is te vinden in de samenvloeiing van meerdere kenmerken nl. de weerslag op de samenleving (zie ook het belang van impact in het begrip risico verder in dit werk), de grootte van de ontwrichting die erdoor veroorzaakt wordt en ten slotte de wijze waarop het voorval voorzien was in bestaande planning19. Natuurlijk moeten we hieraan toevoegen dat de bestaande planning niet voldoende is: ook de nodige middelen moeten voorzien worden om een zekere weerstand te kunnen bieden aan het incident. De volgende figuur illustreert dat een strategische schok, per definitie ontwrichtend voor de goede werking van de samenleving, steeds een impact zal hebben voor het militair apparaat, hetzij door inzet, hetzij door wijziging in organisatie: zelfs een economische crisis kan een weerslag vertonen door een verminderde interesse voor het militair aspect door politieke keuze of omwille van het gebrek aan middelen.

19

FREIER, N., « Known unknowns: unconventional “strategic shocks” in defense strategy development. », in PKSOI Papers, November 2008, p.7.

25

Figuur 3: Domeinen en implicaties van strategische schokken20.

Dit is ook merkbaar in de voorgaande crisis van 1929 en kan ook nu een verdoken gevaar inhouden. De trends die zich aftekenen kunnen aanleiding geven tot gewapend conflict, maar economisch gezien is men dezer dagen geneigd het belang aan investeringen voor Defensie te beperken. Dit leidt tot een veiligheidsparadox: men weet dat de tendensen afstevenen op mogelijke crisissituaties met militaire implicaties in meer operatiegebieden, maar tegelijk is men geneigd om de investering in middelen terug te schroeven omwille van een samengaande economische crisis. Naast de natuurlijke evolutie van tendensen kunnen militaire doctrines (of operationele plannen) dergelijke strategische schokken net als doel hebben. QIAO LIANG en WANG XIANGSU hebben deze hypothese uitgebreid toegelicht in het kader van de aard van toekomstige conflicten21. Volgens hen zijn conflicten niet te beperken tot gewapend treffen, maar kunnen ze uitgevochten worden in domeinen als economie, financiën, ecologie…etc. In dit opzicht zou de overwinnaar zelfs gekend zijn zonder de stap te moeten zetten naar open gewapend conflict. Methoden die in deze visie gebruikt zouden kunnen worden, zijn eveneens terug te brengen tot

20

MAHNKEN, T., « Vision of Transformation 2025 - Shocks and Trends », Forces Transformation Chairs Meeting, February 12-13, 2007.

21

LIANG, Q., XIANGSUI, W, Unrestricted warfare. China’s master plan to destroy America. Pan American Publishing Company, Panama, 2002-summary publication. Originally published in 1999 by China’s People Liberation Army, Beijing, 1999, pp.38-42.

26

voornamelijk niet-militaire activiteit22: psychologische beïnvloeding, smokkel en verstoring van de economische markt, mediaoorlog, illegale drugshandel, verstoring van informatienetwerken, technologische concurrentie, overspoelen van de markt door namaakproducten, betwisting van grondstoffen, culturele oorlogvoering en manipulatie in de toekenning van hulp aan derden hebben niet noodzakelijk betrekking op het gebruik van militaire macht (zelfs in stabilisatieopdrachten). Sommige van deze praktijken herkennen we. Ze halen regelmatig de krantenkoppen. Maar we zijn er ons niet noodzakelijk van bewust dat dergelijke praktijken, op een massale manier uitgevoerd, een volledige ontwrichting van de maatschappij kan veroorzaken, zonder inzet van één enkele militair. We kunnen ons voorstellen wat men zou kunnen opbrengen aan operationele militaire middelen te midden een financiële crisis zoals die uitbrak in september 2008. De redenering van de auteurs is dat de vorm van oorlogvoering zich niet meer beperkt tot het slagveld23: “The goal of this kind of warfare will encompass more than merely“ using means that involve the force of arms to force the enemy to accept one’s own will.” Rather, the goal should be “to use all means whatsoever - means that involve the force of arms and means that do not involve military power, means that entail casualties and means that do not entail casualties - to force the enemy to serve one’s own interest.” Men dient zich dus af te vragen of dergelijke ontwrichtende trends voorspelbaar zijn en welke middelen men kan inzetten om dit te voorkomen: reactief, proactief of beiden? Volgens KWA CHONG GUAN heeft de recente geschiedenis reeds meerdere malen bewezen dat men niet mag berusten op de goede capaciteit van inlichtingendiensten24 ook al worden bestaande tendensen veelvuldig en vanuit alle aspecten bestudeerd, kunnen lineaire extrapolaties minder dan voorheen een betrouwbare basis zijn voor besluitvorming en crisisbeheer. Meer en meer zal men rekening moeten houden met plotse afwijkingen van het vastgestelde evolutiepatroon hetgeen door NASSIM NICHOLAS TALEB omschreven wordt als “Black Swans”25. De onoverkomelijke hindernis voor het beleid is te wijten aan het feit dat vaak a posteriori een verklaring voor onverwachte gebeurtenissen gezocht wordt. Vaak wordt ze ook onjuist verklaard, waardoor een verkeerd beeld wordt opgehangen dat toch nog in bestaande modellen of theorieën past. Het gevaar 22

In dien verstande dat deze acties niet per se door militairen moeten worden uitgevoerd, hetgeen niet uitsluit dat er toch militairen bij betrokken worden.

23

LIANG, Q., XIANGSUI, W, op.cit. p.43.

24

KWA, C.G., « Role of Intelligence in International Crisis Management », Nanyang Technological University, December 2008, pp 217 e.v.

25

TALEB, N.N, The Black Swan; The impact of the highly improbable. New York Random House, 2007.

27

voor het achteraf verklaren van strategische mislukkingen werd reeds in de 18de eeuw aangegeven door CLAUSEWITZ! Verklaringen a posteriori, onder de vorm van signalen die door deze of gene actor opgevangen hadden moeten worden, houden géén rekening met de informatie die beschikbaar was op het beslissende moment en kunnen bijgevolg niet tot bruikbare conclusies leiden26. Wel kunnen lessen getrokken worden uit het beheer tijdens het incident, de voorbereidingen om in de toekomst incidenten van diezelfde aard beter aan te pakken of de middelen in materieel, personeel, uitrusting en opleiding die men moet voorzien om beter het hoofd te kunnen bieden27. Een mogelijke oplossing voor een aanpak a priori zou kunnen gevonden worden door aandacht te schenken aan zwakke signalen als indicatoren: de keuze van de juiste optie in de verschillende mogelijkheden die voor ons liggen in het verdere verloop van een bestaande trend werd reeds onderzocht door ANSOFF in 197528. Strategische verrassingen worden door hem beschreven in het kader van economische belangen voor firma’s: op het moment van de waarheid zijn noch de oorzaken noch de mogelijke oplossingen duidelijk. Plotse, ongewone veranderingen kunnen een bedrijf ernstig verlies toebrengen of geplande winst in rook zien opgaan. In deze benadering kan men goed de gelijkenis zien met strategische belangen van Staten die geconfronteerd worden met plotse onverwachte aanvallen, zoals de aanvallen van 11 september in New York en hun gevolgen. De twee benaderingen die door het beleid volgens hem moeten gevolgd worden zijn: •

Efficiënt crisisbeheer na de gebeurtenissen: dit behelst snelle en efficiënte reactie in de eerste fasen van een ontwrichtende gebeurtenis. Een voorbeeld hiervan is de inzet van gespecialiseerde eenheden in het geval van CBRN(E)aanslagen.

•

Het probleem aanpakken voordat het zich voordoet: deze benadering behelst de voorbereiding voor onverwachte scenario’s zodat strategische discontinuïteit haar dringende en onverwachte aspect verliest.

De integratie van beide benaderingen gebeurt door graduele respons door toenemende inzet van middelen tijdens incidenten. Hiervoor is informatie van essentieel belang en men weet dat net dat aspect zo kritisch is 26

« Le véritable mal ne se produit que lorsqu’on veut à tout prix que le connu suffise à expliquer les effets qu’on lui attribue, par conséquent une fausse importance ». VON CLAUSEWITZ, C, De la guerre. Traduction intégrale par Denise Laville. Paris, Les éditions de minuit, 1955, p.154.

27

Bijlage 1 geeft de vergelijking tussen de veiligheidsaspecten voor en na de Koude oorlog.

28

ANSOFF, I.H., « Managing strategic surprise by response to weak signals », in California Management Review, Vol.18, N°2, 1975, pp.21-33.

28

in de behandeling van strategische verrassingen. Om die reden ziet men in de eerste fasen van een crisis, wanneer de informatie vaag en inconsistent is, een reactie die nog niet op concrete maatregelen is gericht, maar op het opdrijven van de paraatheid en de flexibiliteit. Van zodra de informatie meer gericht is en bevestigd wordt, moet men onmiddellijke in actie kunnen treden met concrete middelen. De voorbereidende opbouw zal toelaten om snel en accuraat te reageren. Men kan inzien dat een aarzelende diplomatie zonder duidelijke agenda of met partijpolitieke vooroordelen een onmiskenbare last zullen zijn in de efficiënte aanpak van een strategische crisis die zich manifesteert in een trendbreuk. Hoger werden enkele trends vermeld die zich duidelijk aftekenen. Hiervoor kan men reeds maatregelen voorzien. Men ziet echter dat voor deze “gekende problemen” geen snelle en coherente aanpak mogelijk blijkt. Wat moet men dan verwachten in geval van onverwachte trendbreuken die de samenleving dreigen te verlammen? Zijn er dan ook oplossingen mogelijk? Alleszins zou het mogelijk moeten zijn om maatregelen te voorzien om ook hier een minimum aan reactievermogen aan de dag te leggen. Om dit te kunnen verwezenlijken zijn dreigingsanalyses en impactanalyses vereist die kaderen in een coherente risicoanalyse. In een tijdperk van strategische onzekerheid is dit de enige correcte aanpak. Deze zal kunnen leiden naar het formuleren van concrete maatregelen in situaties waarvoor in normale omstandigheden geen antwoord op te formuleren is. Een bijkomende problematiek voor militaire strategische planning is te vinden in de impact op de gewijzigde technologische evolutie en nieuwe tendensen. Deze kunnen eveneens in handen van niet-staatsactoren vallen en gericht zijn op de bestaande responscapaciteit die men tot stand zou hebben kunnen brengen. GOURE29 ziet als belangrijkste bedreiging in deze tendensen onder meer:

29

•

De beschikbaarheid van kennis en technologie voor het gebruik van massavernietigingswapens.

•

Toenemende reikwijdte en accuratesse van ballistische raketten die verdedigingsystemen kunnen omzeilen.

•

Geïmproviseerde tuigen en zelfmoordaanslagen.

•

De horizontale proliferatie van capaciteit om communicatiemiddelen aan te vallen, bijvoorbeeld in de ruimte.

GOURE, D., « Hunting for Black Swans: Military Power in a Time of Strategic Uncertainty », Lexington Institute, 2008 Air Force Strategy Conference, June 9, 2008.

29

•

De verticale proliferatie van middelen in handen van nietstaatsactoren om bepantsering van tanks, vliegtuigen of schepen te vernietigen.

•

De toegenomen elektronische capaciteit die zowel staten als niet-staatsactoren de capaciteit verschaffen om aanvallen te plannen op computer- en informatienetwerken.

•

De toegenomen capaciteit om installaties ondergronds te bouwen, te verschuilen en verstevigen, waardoor ze moeilijker te lokaliseren zijn en onbereikbaar worden voor eventuele aanvallen. Voorbeelden hiervan zijn de installaties van Iran in het kader van het nucleair onderzoeksprogramma.

Zoals men uit de aangehaalde voorbeelden kan uitmaken, kunnen strategische schokken zich zowel op militair vlak als op niet-militair vlak voordoen. Ongeacht de aard van de ontwrichting die zich aanbiedt, zal men moeten rekening houden met het feit dat militaire steun in dergelijke omstandigheden vereist is, alleen al door de ontoereikende burgerlijke middelen. Hierdoor is een voortdurende inzet van de Krijgsmacht als steun aan de Natie enerzijds, en als operationele inzet in gewapend conflict anderzijds, een absolute noodzaak waarmee militaire planning rekening zal moeten blijven houden. Militaire middelen die in deze omstandigheden worden ingezet zullen moeten functioneren in een context die volledig afwijkt van de vooropgestelde opdracht. Bestaande capaciteit moet daarvoor flexibel inzetbaar zijn zowel in vijandige omstandigheden (context van bedreiging door Natiestaten of niet-staatsactoren) als in omstandigheden die de inzet vragen door een vereiste massale inzet in afwezigheid van gekende vijandige context. Deze laatste is het minst beheersbaar en moeilijk te plannen. Het wettelijk kader waarin Defensie haar plaats vindt is door hulp aan de Natie te bieden in de NIP. Een gepaste militaire respons zou in deze omstandigheden, zoals eerder vermeld, proactief moeten ingezet kunnen worden. Dit staat in schril contrast met de reactieve capaciteit waarin de Krijgsmacht haar plaats vindt en strategische planning gebeurt. Zoals TANGREDI het duidelijk poneert30: “…Because they cannot be anticipated, such events are very difficult to plan for effectively. At least two reasons apply. First, by their very nature, these events alter the international system by their reversal of significant trends, thereby undermining the facts upon which future planning is built. Second, many of these events fall outside the scope of traditional permitted defense planning”.

30

TANGREDI, S., «All Possible Wars? Towards a Consensus View of the Future Security Environment, 2001-2025. », in McNair Security Paper 63, November 2000, Chapter 7.

30

Enkele theoretische eigenschappen die proactiviteit van militaire capaciteit bevorderen zijn onder meer te vinden in: •

De nadruk die men wil leggen op capaciteitgerichte planning in de plaats van planning tegen een welbepaalde bedreiging.

•

Flexibiliteit, bereik en reactiesnelheid.

•

Een geïntegreerde samenwerking tussen land-, lucht- en marinecomponent in operationele omstandigheden. In dit kader is ook de interoperabiliteit belangrijk die internationale operaties vereisen om doeltreffend te werk te kunnen gaan. Vermeldenswaard is dat de NAVO steeds deze interoperabiliteit heeft nagestreefd, terwijl de VN in geen enkel opzicht, zelfs voor een essentieel C³ element als communicatie streeft naar interoperabiliteit. Misschien moet hier één van de redenen gezocht worden van de beperkte resultaten die door VN-blauwhelmen soms worden bereikt tijdens conflictbeheersing.

•

De mogelijkheid om de capaciteit op te drijven en uit te breiden.

Het is duidelijk dat militaire inzet in deze omstandigheden bijzonder complex wordt omwille van de invulling die men dient te geven aan concrete definities die volledig zullen afwijken van wat men tot hier toe in militaire termen beschreef als hostile act of hostile intent. Dit heeft natuurlijk rechtstreekse gevolgen voor de toepassingsdomeinen van vroege waarschuwingsnetwerken die men moet in werking kunnen stellen. Ook de Rules of Engagement (ROE) bij inzet van militaire capaciteit zullen aangepast moeten worden aan deze nieuwe omgeving. Ook voor dit specifiek punt heeft het verleden aangetoond dat een onduidelijke benadering van de ROE, catastrofaal kan zijn voor de uitvoering van de opdracht alsook het ingezet personeel (bijvoorbeeld onder VN-mandaat).

31

1.4. De WMD-dimensie Een aspect dat men zeker niet uit het oog mag verliezen in deze problematiek en de voorbereiding is het belang van massavernietigingswapens en de proliferatie ervan naar niet-staatsactoren. De inzet van WMD zal onvermijdelijk leiden naar een scenario van strategische schok zoals die eerder werd besproken. De beschikbaarheid van WMD voor niet-staatsactoren is een evolutie die niet evident is: in eerste instantie waren deze wapens in handen van het militair apparaat van natiestaten. We hebben echter kunnen vaststellen dat er meer en meer gebruik wordt van gemaakt (zie Aum-sekte) en dat het belang van deze wapens zowel voor staten als niet-staatsactoren nieuwe uitdagingen doet ontstaan voor militaire troepen die ingezet worden in een conventionele context, hetzij op nationaal grondgebied of in een expeditionair contingent. Los van de trends die zich in andere domeinen aftekenen, bracht een overzicht van de graduele druk van WMD op de veiligheid van de samenleving reeds in 200431 aan het licht dat strijdkrachten voor nieuwe uitdagingen komen te staan. Zo wordt een onderscheid gemaakt tussen traditionele, onregelmatige, ontwrichtende en catastrofale uitdagingen:

31

•

Traditionele middelen die ingezet worden tegen strijdkrachten kunnen gecatalogeerd worden onder de gekende en herkenbare militaire capaciteit. Deze worden reeds lange tijd in gebruik genomen in bestaande doctrines voor inzet tijdens gewapend conflict tegen andere staten: voorbeeld hiervan zijn conventionele strijdkrachten van land, lucht- en zeemachten en strategische kernwapens van kernwapenstaten.

•

Onregelmatige methodes worden eerder gebruikt door nietstaatsactoren of staten, al dan niet via proxy-organisaties, om een bestaande staatstructuur te ondermijnen: voorbeelden hiervan zijn het terrorisme en de ondersteuning ervan door externen (zoals Hezbollah door Iran) of burgeroorlog.

•

Ontwrichtende methodes zijn voornamelijk te vinden in technologische capaciteit die toegepast kan worden in specifieke domeinen, bijvoorbeeld het verstoren van informatienetwerken door cyberaanvallen. In deze categorie kan men ook de energievoorziening catalogeren (of die nu

National Defense Strategy of the United States of America, Department of Defense, March 2005, pp.2-3.

32

verhinderd wordt door afsluiting van aanvoer, of door vernietiging van infrastructuur). •

Catastrofale gevolgen worden verwacht door inzet van WMD of middelen met gelijkaardige effecten tegen burgerbevolking of infrastructuur door niet-staatsactoren of schurkenstaten. Mogelijk zijn onder deze categorie de inzet van raket of mortieraanvallen, transfer van WMD naar nietstaatsactoren of het gebruik van dispersiesystemen van radiologische agentia (Radiological Dispersal Device-RDD).

Het is echter duidelijk dat geen enkele van deze vier mogelijkheden zich in zuivere vorm zal manifesteren: eerder zullen alle vormen min of meer samensmelten tot wat door FREIER32 een “hybride norm” wordt genoemd. Hierdoor wordt de weerstand zowel in geprojecteerde scenario’s als op eigen grondgebied ernstig verstoord. Een belangrijke factor in deze hybride context is de onzekerheid over de tijdsduur van ontwrichtende en catastrofale omstandigheden waarin de samenleving in die ontwrichtende situatie zal moeten vertoeven. Dit is precies de factor die aangepakt kan worden door planning voor onconventionele en niet-militaire gevolgen van een aanval of een natuurlijke oorzaak (ongevallen of sabotage in chemische fabrieken bijvoorbeeld). Gelukkig zijn er meerdere hindernissen die de inzet van dergelijke wapens beperken zoals de beschikbaarheid van materiaal en grondstoffen (vaak onder controle van internationale comités), kennis van productie- en opslagcapaciteiten, de fysische overdracht naar het doelwit en de verspreidingstechnieken (met of zonder springstoffen). Anderzijds moet men ook beseffen dat het niet zo moeilijk is om alternatieven te vinden, niet noodzakelijk door aankoop via officiële kanalen, die hetzelfde resultaat bereiken. Het Internet biedt tal van mogelijkheden en recepten voor mensen die WMD “in de keuken” willen bereiden. Vaak kunnen alternatieven gevonden worden voor CBRN(E)-materiaal en grondstoffen die onder controle staan en dus onbereikbaar zijn. Chemische precursoren of producten die voorkomen in bijlagen van de chemische wapenconventie (Convention on the Prohibition, of the Development, Production, Stockpiling and use of Chemical Weapons and on their destruction-CWC), kunnen gevonden worden uit oude munitie die nog dagelijks gevonden wordt in de Westhoek. Pesticiden kunnen echter ook in dat opzicht gebruikt worden. Biologisch materiaal is moeilijker verkrijgbaar, gezien de selectie van het agens gepaard moet gaan aan diefstal of procuratie 32

FREIER, N., « Strategic competition and resistance in the 21st Century: Irregular, Catastrophic, Traditional, and Hybrid Challenges in Context. », in Strategic Studies Institute, United States Army War College, May 2007, pp. 46-62.

33

op een of andere manier. Antraxsporen schijnen nog het meest stabiele en meest beschikbare agens te zijn. Ze kunnen uit de natuur (in de nabijheid van vee) gewonnen worden door personen met kennis van zaken. Radiologisch materiaal is beschikbaar uit oude toestellen die niet wettelijk werden afgevoerd. Schroothandelaars worden regelmatig geconfronteerd met de aanwezigheid van ongewenst radiologisch afval. In containerparken, waar geen meetportieken zijn, zal het niet anders zijn. Sommige artikels die in de handel verkrijgbaar zijn, bevatten vaak een radiologische bron. Ook dit kan gebruikt worden om een vuile bom (RDD) te maken. Splijtstof (uranium of plutonium) voor kernwapens is niet zo eenvoudig te bemachtigen: ook het gebruik ervan voor energieopwekking, wordt streng gecontroleerd. Het is dus niet erg waarschijnlijk dat niet-staatsactoren rechtstreeks over splijtsof zouden beschikken. Indien dat toch het geval zou zijn, moet nog de technologie beheerst worden om kernwapens aan te maken. Gevaarlijker is de diefstal van deze wapens of de rechtstreekse beschikbaarheid door overname van de macht in een kernwapenstaat. Dit is precies het gevreesde scenario dat zich zou kunnen voordoen in Pakistan: de tribale regio die grenst aan Afghanistan is onder controle van Talibanmilities. Op minder dan 200km van de Khyberpas, op de weg richting Islamabad, ligt het dorp Wah, een mogelijke site is voor de samenstelling van kernwapens33. De beschikbaarheid van kernwapens voor een groepering waarvan men aanneemt dat ze aan de basis ligt voor de aanslagen van 11 september 2001 in New York is de absolute nachtmerrie voor de internationale gemeenschap. Tot slot vermelden we nog de springstoffen die zelf aangemaakt kunnen worden en waar tal van referentiewerken vrij beschikbaar zijn34. Het is interessant even stil te staan bij de indicatoren die in een vroeg stadium kunnen wijzen op het (mogelijk) gebruik van WMD. Vooreerst zijn er onverklaarbare slachtoffers vastgesteld, al dan niet in grote getale. Waargenomen symptomatologie is belangrijk om snelle beschermingsmaatregelen voor de bevolking en behandeling voor de overlevende slachtoffers te voorzien. De waargenomen symptomen zullen karakteristiek zijn voor het type agens dat gebruikt werd. Belangrijk is ook dat men snel kan vaststellen of men te maken heeft met een gebruik van WMD. Het niet herkennen van dit scenario zou besmetting van sorteercentra, ziekenhuizen, of hulpverleners tot gevolg kunnen hebben. Typisch voor het gebruik van WMD, minder belangrijk in stedelijke omgeving, zijn de slachtoffers bij vee of het afsterven van plantenmateriaal. Ook de ongewone aanwezigheid van dampen of mistvorming kan wijzen op verspreiding van

33

CNS databases: selected Pakistani Nuclear Facilities. Beschikbaar op http://cns.miis .edu/reports/pdfs/pakistan.pdf geraadpleegd op 03 april 2009.

34

LEDGARD, J., The preparatory manual of explosives. A comprehensive laboratory manual. Paranoidpublications group, 2002.

34

WMD. De ongewone aanwezigheid van afvalvaten of verspreidingssystemen kan ook wijzen op het gebruik van dit type agentia35. De gevolgen die men kan verwachten na een WMD-scenario, met strategische schok tot gevolg, kan men ook onderbrengen in typische scenario’s. Zonder exhaustief te willen zijn kunnen we bijvoorbeeld aannemen dat hulpverleners overspoeld gaan worden door oproepen. De onmiddellijke tussenkomst van niet getraind personeel36 dat niet over adequate detectiemiddelen beschikt, zal echter tot gevolg hebben dat ook deze mensen blootgesteld worden met als gevolg dat de hele hulpverleningsketen voor conventionele rampen ontwricht wordt. Anderzijds kan men ook verwachten dat een dergelijk incident brede media-aandacht zal genieten. De huidige berichtgeving die bijna in real time te volgen is, kan een vluchtelingenstroom veroorzaken die de wegen en andere transportnetwerken volledig verlammen. Het gebruik van WMD kan ook politieke gevolgen hebben. Onmiddellijk na de inslag van de vliegtuigen in de WTC-torens wist men dat deze actie op een oorlog zou uitdraaien. Dat deze zo lang zou duren kon niemand vermoeden. Wel kon men verwachten dat de hele gemeenschap van de VS, omwille van de oorlog alleen, de gevolgen zou voelen en getroffen zou worden tot in eigen familiekring. Gebruik van biologische wapens kan een bijkomend probleem genereren: buiten de vaststelling dat hospitalen overspoeld worden door slachtoffers, zal men snel merken dat het aantal besmette personen veel groter is dan deze die zich aangemeld hebben. Bovendien zullen de contacten en transporten van eventuele besmette personen kunnen zorgen voor een zeer snel uitbreidende besmettingshaard. Hierdoor zullen inspanningen moeten geleverd worden om de traceerbaarheid van personen na te gaan wat impliciet onmogelijk is indien mensen in de clandestiniteit op het grondgebied vertoeven. Men herkent hier de initiële fase van de A H1N1 grieppandemie. Het blijkt dus geenszins overbodig om over een waarschuwingssysteem te beschikken, dat op één of andere manier indicaties zou kunnen geven voor het treffen van maatregelen, of het nu gaat in het vooruitzicht van direct gewapend conflict of nakende terroristische aanslag. Spijtig genoeg bevinden we ons hier niet op het terrein van de exacte wetenschappen: tendensen en terroristische aanslagen, zelfs aanzet tot gewapend conflict kunnen niet met absolute zekerheid weergegeven worden: de zekerheid is nog verder zoek wanneer het waarschuwingssysteem dat men gebruikt, slechts kan steunen op een beperkte aanvoer van informatie van dubieuze oorsprong of waar de informatiestroom te laat op gang komt. Nochtans moet het systeem een 35

Voor een meer exhaustieve benadering van de WMD-problematiek verwijzen we naar het werk van dezelfde auteur, verschenen in Veiligheid en Strategie onder de titel Massavernietigingswapens, erfenis van de koude oorlog en bedreiging voor de toekomst.

36

De eerste hulpverleners zullen misschien helemaal niet weten dat hun tussenkomst kadert in een aanval met niet-conventionele agentia.

35

werkmiddel zijn voor de besluitvorming van het beleid. Het beleid zelf kan slechts efficiënte maatregelen nemen gestoeld op zekerheden, waardoor opnieuw een paradox ontstaat: het informatie- en waarschuwingsnetwerk zal output verschaffen gesteund op waarschijnlijkheden en dit zal de input vormen voor het besluitvormingsproces van het beleid. In de beste omstandigheden zullen getroffen maatregelen adequaat blijken (of, a contrario, overdreven zijn indien er niets is gebeurd). Deze paradox wordt door GRABO duidelijk omschreven als37: “Warning is an intangible, an abstraction, a theory, a deduction, a perception, a belief. It is the product of reasoning or of logic, a hypothesis whose validity can be neither confirmed nor refuted until it is too late.” Hoe duidelijker de voortekenen en hoe meer bewijs in een bepaalde richting wijzen, hoe groter de waarschijnlijkheid om tot een juiste beslissing te komen in de waarschuwingsketen, in theorie althans. Zekerheid zal er echter pas zijn nadat de gebeurtenissen al dan niet hebben plaatsgevonden. Voor de politieke leiders zal dit het moment zijn waar voornoemd debat met de oppositie wordt gevoerd over het al dan niet nemen van deze of gene beslissing. Ook hier geeft GRABO de juiste samenvatting van de situatie van politieke besluitvorming terzake38: “Policymakers must recognize that warning cannot be issued with absolute certainty, even under the best of circumstances.” Een militair bevelhebber daarentegen kan en mag zich niet veroorloven om géén gestructureerd plan klaar te hebben waarin met alle mogelijke scenario’s wordt rekening gehouden. De werkelijkheid kan dan nog afwijken van de plannen, oefeningen en opleidingen, ze zullen alleszins een basis vormen waarop hulpverleners kunnen terugvallen tijdens de inzet in een militair scenario of in een scenario dat kadert in de hulp aan de Natie. Waar moet men dan de grens trekken? Wanneer wordt men verwacht actie te ondernemen en wanneer niet? Een mogelijke leidraad wordt gegeven door HEUER39: “One guideline for identifying unlikely events that merit the specific allocation of resources is to ask the following question: Are the chances of this happening, however small, sufficient that if policymakers fully understood the risks, they might want to make

37

GRABO, C., Anticipating Surprise: Analysis of strategic warning. University Press of America, Maryland, 2004, p.4.

38

GRABO, C., op.cit., p.13.

39

HEUER, R.J., Psychology of Intelligence Analysis. CIA’s Center for the Study of Intelligence, 1999, p.183.

36

contingency plans or take some form of preventive or preemptive action? If the answer is yes, resources should be committed to analyze even what appears to be an unlikely outcome.” Risicoanalyse blijkt dus eveneens op een basis van waarschijnlijkheden te rusten. Op zich zijn hier twee mogelijkheden: een eerste mogelijkheid is gebaseerd op woordkeuzen die een bepaalde graad van (on)zekerheid weergeven. In essentie is deze theorie reeds vastgelegd 1968 door KENT40 en verder uitgebaat door HEUER41 in 1999. Een andere benadering is gebaseerd op meer wetenschappelijke, epistemologische gronden. De toepassing van waarschijnlijkheidsleer kan het onderzoek van de informatie rationaliseren. Bovendien is de output naar de gebruiker duidelijker. Dit betekent niet dat de output naar het beleid minder subjectief is. Het kan er al op lijken dat een duidelijke en ondubbelzinnige waarde aan de waarschijnlijkheden worden gegeven hetgeen minder ruimte laat voor interpretatie door woordkeuze, feit is dat de output nog steeds gebaseerd is op subjectieve waarschijnlijkheden. Deze theorie dateert reeds uit de 18e eeuw en is gebaseerd op de theorieën van BAYES en LAPLACE. Het valt buiten het bestek van dit werk dieper in te gaan op de exhaustieve uiteenzetting van deze theorieën. Hiervoor kan men terecht in referentiewerken waarschijnlijkheidsleer. Het lijkt hier echter gepast om de verschillende definities vast te leggen die alle deelaspecten van de risicoanalyse verankeren alsook de gevolgen die eraan moeten gegeven worden teneinde een gepaste respons te kunnen leveren om strategische schokken op te vangen.

40

KENT, S., Estimates and Influence. Steury, 1968.

41

HEUER, R.J., op.cit., p.155.

37

1.5. Definities Indien risicoanalyse berust op waarschijnlijkheden, kan men stellen dat een risico gebonden is aan een zekere graad van onzekerheid omtrent de capaciteit van een mogelijke vijand, zijn doelwit en de onzekerheid met betrekking van de gevolgen van een aanval op een doelwit. Vandaar dat risico’s ook wel eens omschreven worden als indirect, onzeker en toekomstgericht m.a.w. een waas van onzekerheid omhult dit begrip. Dit is niet zo verwonderlijk aangezien een risico zich pas als dusdanig zal onthullen wanneer het zal plaatsgrijpen. De bedoeling van deze paragraaf is een adequate definitie te geven aan alle onderdelen van de risicoanalyse zodat enkele onzekerheden kunnen omzeild worden door veiligheidsmarges in te bouwen. Men mag echter niet uit het oog verliezen dat, ook al zijn er maatregelen en noodplannen, tijdige reactie verwacht wordt om een dreiging in een vroeg stadium correct te evalueren en het beleid te informeren. Zonder deze essentiële stap, is er geen efficiënt vervolg mogelijk en zullen de fysische, morele en financiële gevolgen moeten gedragen worden. Zoals GRABO terecht schrijft42: “Warning does not exist until it has been conveyed to the policymaker, and he must know he has been warned.”

1.5.1. Dreiging en dreigingsanalyse Dreiging en risico zijn termen die vaak onterecht gebruikt en onderling verwisseld worden. Zelfs in organisaties als UNESCO en United Nations Disaster Relief Office (UNDRO) werd er vaak zonder eensgezindheid gesproken over dezelfde termen door de andere invulling die men eraan geeft. Daarom werd in 1979 een gemeenschappelijke definitie vastgelegd onder volgende vorm43: “Natural hazard meaning the probability of occurrence, within a specific period of time in a given area, of a potentially damaging natural phenomenon”. Een dreigingsanalyse is het onderzoek naar de aard en de ernst van specifieke dreigingen die schade kunnen aanrichten. In het groenboek van het 42

GRABO, C., Anticipating Surprise: Analysis of strategic warning. University Press of America, Maryland, 2004, p.14.

43

UNDRO (United Nations Disaster Relief Organization), Natural Disasters and Vulnerability Analysis. Report of Expert Group Meeting, UNDRO, Geneva, 9-12 July 1979, p.8.

38

Europees programma ter bescherming van kritische infrastructuur wordt een bedreiging omschreven als44: “Any indication, circumstance, or event with the potential to disrupt or destroy critical infrastructure, or any element thereof. An allhazards approach to threat includes accidents, natural hazards as well as deliberate attacks. It can also be defined as the intention and capability of an adversary to undertake actions that would be detrimental to critical assets.” Vaak wordt naast de dreiging, de term gevaar (“hazard”) gebruikt die hier een rechtstreekse uitbreiding van is. SMITH definieert deze term als volgt45: “The hazard can be defined as a potential threat to humans and their welfare.” De oorzaak voor een dreiging kan men bijgevolg opsplitsen in twee categorieën nl. van menselijke oorsprong (conflict, ongeval, terrorisme,…) of natuurlijke oorsprong (overstromingen, aardbevingen, voedselgebrek….). Dit neemt niet weg dat de ene bedreiging de aanleiding kan worden tot een andere: een conflict kan er de oorzaak van zijn dat er locale of verspreide voedseltekorten gegenereerd worden. Hoewel het niet de bedoeling is om een wiskundige invulling van elk van de samenstellende delen van de risicoanalyse te geven, lijkt het toch interessant om te zien hoe de verschillende elementen in verhouding staan ten opzichte van elkaar. Daarom wordt voor elk onderdeel een korte omschrijving gegeven van wat men zich grafisch zou kunnen voorstellen bij een risicoanalyse. Hoewel parametrische modellering niet de bedoeling is, zijn korte formules soms onvermijdelijk. Zo stelt men bijvoorbeeld dat bedreiging symbolisch kan voorgesteld worden als samenstelling van motivatie, capaciteit, opportuniteit van een tegenstrever enerzijds en impact op een doelwit anderzijds46: Bedreiging = Motivatie + Capaciteit + Opportuniteit + Impact

(1.1)

Hierbij verstaat men onder motivatie alle politieke of religieuze drijfveren die een tegenstander in staat stellen om een aanval te plannen en uit 44

Groenboek van de Europese Commissie, COM(2005), Commissie van de Europese Gemeenschappen, Brussel, 2005, p.25.

45

SMITH, K., Environmental Hazards, Assessing risk and reducing disaster. Routledge, London 1996.

46

BENNET, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007, p.220.

39

te voeren. De capaciteit omvat zowel de technische en financiële middelen maar ook de opleiding om dergelijke aanslagen te plegen. De opportuniteit stelt zich vaak door gebreken in de beveiliging. De impact veronderstelt dat de aanval een zeker effect heeft op het geplande doelwit of de psychologische ingesteldheid van de bevolking. Op zich is het niet evident dat de term “impact” opgenomen wordt in het begrip bedreiging: de invulling van de definitie wordt gegeven in volgende paragraaf en geeft hier deels een antwoord. Een even fundamentele reden is wel de volgende: de Belgische wetgever heeft zowel in de wet op de evaluatie van de dreiging47 als in het KB tot uitvoering een orgaan voor dreigingsanalyse in het leven geroepen. Op geen enkele manier wordt bepaald dat ook de impactanalyse onder de bevoegdheid van het Coördinatieorgaan voor dreigingsanalyse (OCAD) zou vallen. In een voorgaande studie werd reeds voorgesteld om in de schoot van het Crisiscentrum van de regering een specifieke cel risicoanalyse op te richten48: deze zou de informatie die uit het OCAD stroomt, en die het resultaat is van een geactualiseerde dreigingsanalyse, kunnen verwerken (zoals verder besproken wordt in het gedeelte risicoanalyse). In militaire termen impliceren deze definities dat er in termen van dreiging een vijand bestaat die een zekere capaciteit bezit om toe te slaan en ook een wil en de mogelijkheid heeft om die capaciteit te gebruiken. Deze capaciteit, wil en mogelijkheid (threat) duiden naar een probabilistische benadering m.a.w. men gaat in dreigingsanalyse uit van het feit dat er een waarschijnlijkheid (hazard in de veronderstelling van potential threat) verbonden is aan de daadwerkelijke inzet van voornoemde capaciteit. Als men deze redenering doortrekt, kan men formule (1.1) uitbreiden als volgt: Dreigingsanalyse = bedreiging x probabiliteit

(1.2)

hetgeen de weergave is van de definitie zoals door SMITH gehanteerd. Hierbij wordt de bedreiging weergegeven wordt door de formulering uit (1.1) zonder weliswaar het begrip impact, dat deel uitmaakt van een afzonderlijke analyse om redenen die reeds werden aangehaald. De evaluatie van deze dreiging gebeurt in de praktijk in België en binnen het kader van terroristische dreiging door het OCAD. De bevoegdheden van het OCAD werden vastgelegd in het K.B. van 28 november 2006, tot uitvoering van de wet van 10 juli 2006 betreffende de analyse van de dreiging. De wetgeving omtrent dreigingsanalyse voorziet vier niveaus van dreiging waarmee men in feite duidt op zowel de ernst als de

47

Wet betreffende de analyse van de dreiging van 10 juli 2006.

48

SMEDTS, B., «Massavernietigingswapens: erfenis van de koude oorlog en bedreiging voor de toekomst?» In Veiligheid en Strategie, Koninklijk Hoger Instituut voor defensie, 2009, p.120 (aanbeveling 3.2.6.).

40

waarschijnlijkheid van het gevaar of van de dreiging49: niveau 1-laag tot niveau 4-zeer ernstig. Hierdoor is het duidelijk dat de wetgever verkozen heeft om een kwalitatieve invulling te geven aan het begrip (zie hoger). Merken we nog op dat in uitvoering van deze wet nog onduidelijkheid bestaat. Zo vermeldt bijvoorbeeld de woordvoerder van het Crisiscentrum van de regering (CGCCR) dat de ernst van de dreiging evolueert van niveau 1 (matig) tot niveau 4 (zeer ernstig)50. Op het eerste zicht lijkt dit een onbelangrijk detail, maar op basis van de wetgeving, en in het kader van het gebruik van definities die de grondslag leggen voor verdere evaluatie is dit een onaanvaardbare evolutie. Denken we in termen van dreiging en dreigingsanalyse of de evaluatie ervan, dan zijn er de facto doelwitten betrokken in het denkproces. In principe zou dus de evaluatie van de dreiging moeten gebeuren met betrekking tot een reeks doelwitten die gelijst zijn. Idealiter zou deze lijst minstens ook betrekking moeten hebben op de maatregelen die bescherming bieden aan kritische infrastructuur. In de praktijk weten we dat ook personen opgenomen zijn in de lijst die het OCAD hanteert. Uiteraard kan de lijst uitgebreider zijn dan zich louter te beperken tot infrastructuur, maar we beperken de redenering hier tot het strikt noodzakelijke: het lijkt evident dat de belangrijkste infrastructuur in een dergelijke lijst ter evaluatie van de dreiging wordt opgenomen. Een uitbreiding naar andere mogelijke doelwitten, zal het werk enkel moeilijker maken. We mogen niet vergeten dat de dreigingsanalyse de allereerste stap is in de risicoanalyse: hierdoor is de noodzaak voor een efficiënte aanpak van deze benadering een absolute noodzaak. Bij gebrek hieraan zullen alle verdere stappen van de analyse onadequaat en bijgevolg nutteloos zijn. Wat de werkwijze ingewikkelder maakt, is dat het CGCCR beschikt over een lijst CriViSen, die zoals in een vorige studie vermeld, een catalogus bevat van kritische, vitale en gevoelige punten51. Los van het feit dat de definitie van de respectievelijke delen van dit acroniem niet duidelijk werden omschreven, moeten we vaststellen dat het een lijst betreft van meer dan 13500 punten. Het spreekt vanzelf dat het een onmogelijke taak is voor het OCAD om deze lijst op regelmatige basis te evalueren naar mogelijke dreiging. Meer nog, OCAD beschikt zelf niet over de lijst CriViSen, die in de schoot van de CNVV52 werd ontworpen. Eind 2008 was er nog geen sprake van het beschikbaar maken van deze lijst voor overheidsdiensten zoals federale politie, OCAD of interventiediensten met het oog op de voorbereiding van de hulpverlening. Nochtans vermeldt het KB van 28 49

KB van 28 Nov 2006 tot uitvoering van de wet van 10 Juli 2006 betreffende de analyse van de dreiging, Art.11, §.6.

50

MERTENS, P., Briefing Algemene Directie Crisiscentrum, FOD Binnenlandse Zaken van 06 Februari 2008, slide 15.

51

Naar het Frans: Critiques, Vitaux, Sensibles.

52

Commissie voor de Nationale Verdedigingsvraagstukken.

41

november 2006 met betrekking tot de werking van het OCAD dat “De toegang tot de gegevensbank betreffende kritieke nationale infrastructuur en beheerd door de Commissie voor de Nationale Verdediging Vraagstukken (sic) wordt toegekend aan het OCAD overeenkomstig de modaliteiten bepaald bij een protocolakkoord afgesloten tussen de directeur-generaal van de Algemene Directie Crisiscentrum en de directeur van het OCAD”53. In de praktijk blijkt er geen enkele concrete uitvoering van dit besluit tot op het ogenblik van redactie te bestaan54. Een concrete coördinatie zou eerst en vooral de definities moeten vastleggen waaraan alle actoren zich zullen houden. Vervolgens moet een lijst samengesteld kunnen worden van punten die naar bedreiging geëvalueerd kunnen worden. Overeenkomst tussen FOD Binnenlandse Zaken en de Algemene Directie van het Crisiscentrum (ADCC) zou kunnen leiden tot een nieuwe structuur die de kritische infrastructuur nationaal benadert zodat ze ook kan gebruikt worden door het OCAD voor de evaluatie van de dreiging “te gepaste tijde”55. In de praktijk komt dit erop neer dat CriViSen vanaf nul herzien zal moeten worden in het licht van deze multilaterale samenwerking. Van deze kans moet gebruikt kunnen gemaakt worden om ook te voldoen aan de eisen die gesteld worden door de EU in verband met het inventariseren van nationale en Europese kritische infrastructuur. Hierop komen we verder in deze studie terug.

1.5.2. Impact en impactanalyse Na de studie van de dreiging, volgt een evaluatie van de impact. Indien de dreiging geen impact (lees invloed) kan hebben op welk niveau van de samenleving dan ook, is er geen risico en dient er verder geen aandacht aan geschonken te worden. Ook voor dit begrip kan men verschillende invullingen vinden. Eén ervan is terug te vinden in de FRISK-studie56:

“La vulnérabilité est la sensibilité ou l’exposition de notre monde et de nos sociétés à un aléa et à ses effets endommageurs.” In deze definitie wordt door de term aléa de dreiging bedoeld zoals weergegeven uit formule (1.2) uit vorige paragraaf. Zoals verder in het verslag wordt weergegeven, is de identificatie van de impact (of gevoeligheid) niet zo eenvoudig als de bedreiging. Redenen hiervoor zijn in de eerste plaats 53

KB van 28 November 2006 Art.14.

54

Informatie Comd CNVV van 14 april 2009.

55

KB van 28 November 2006 Art.3; 1°.

56

Federal Risk Inventory, Survey and Knowledge building (FRISK), Rapport Final, Université de Liège, Novembre 2004, p.3.

42

te vinden in de moeilijkheid om een hiërarchie te vinden in de impact: de verantwoordlijken zijn in principe niet erg geneigd om de graad van gevoeligheid weer te geven voor de verschillende bedreigingen die geïnventariseerd kunnen worden. Enerzijds kan dit te wijten zijn aan de totale afwezigheid van beschermingsmaatregelen hetgeen de gevoeligheid vergroot. Anderzijds kan men ook een verklaring vinden in het verlangen om discreet te blijven in de informatie die men vrij wil geven. Zeker is dat er een lijst prioriteiten ten aanzien van het begrip impact moet opgesteld worden om de risicoanalyse te kunnen vervolledigen en de nodige maatregelen te kunnen voorzien. Merken we hier op dat hoe meer maatregelen voorzien kunnen worden, hoe lager de impact van een bedreiging zal zijn. De algemene definitie voor impact (of gevoeligheid) die door UNDRO wordt aangenomen is diegene die door COBURN57 werd gegeven, nl.: “Vulnerability, the degree of loss to each element should a hazard of a given severity occur.” In deze definitie wordt door “hazard” de bedreiging bedoeld die eerder werd vernoemd in het gedeelte dreiging en dreigingsanalyse. Teruggrijpend naar de veiligheidsuitdagingen voor de strijdkrachten kan men hier een verband leggen tussen de impact, de waarschijnlijkheid en de reeds vermelde trends in traditionele, onregelmatige, ontwrichtende en catastrofale veiligheidstrends58. De eenvoudigste manier om het verband te zien is een schematische weergave:

57

COBURN, A.W., et al. « Vulnerability and Risk assessment », in Disaster Management Training Program, UNDP, 1991, p.49.

58

Zie § 1.4 (WMD-dimensie) voor de definitie van de respectievelijke termen.

43

Figuur 4: Impact in militaire context59.

Men dient hier te benadrukken dat er geen duidelijk afgebakende grens bestaat tussen één of andere vorm van impact en dat, zoals eerder vermeld, een hybride norm d.w.z. de samensmelting van verschillende vormen van destabiliserende effecten gelijktijdig plaats kunnen hebben. Om de grafische, kwalitatieve benadering van figuur 4 iets meer te detailleren voor wat de impact kan betekenen, kan de benadering van BENNETT60 gevolgd worden. Die is immers analoog aan de benadering die reeds werd vermeld in het kader van de dreigingsanalyse van het OCAD: ook hier wordt een gradatie voorgesteld die oploopt van 1 tot 4. In de veronderstelling dat er nog geen maatregelen zijn om de impact op te vangen worden de gradaties gedefinieerd als volgt: 1: verwaarloosbaar d.w.z. geen noemenswaardige verwondingen of schade. 2: marginaal d.w.z. kleine verwondingen of beperkte schade aan kritische infrastructuur. 3: kritisch d.w.z. ernstige verwondingen of beperking van de mogelijkheid om diensten te verlenen door aangerichte schade.

59

Figuur samengesteld uit de theoretische benadering van impactanalyse en de verklaring van hybride norm in strategische context. BENNETT, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007, p.226. en FREIER, N., « Strategic competition and resistance in the 21st Century: Irregular, Catastrophic, Traditional, and Hybrid Challenges in Context. », in Strategic Studies Institute, United States Army War College, May 2007, p.46.

60

BENNETT, B., ibid.

44

4: catastrofaal d.w.z. dodelijke slachtoffers of vernietiging van de infrastructuur. In allerlei vakgebieden worden wel andere benaderingen of invullingen aan de term impact of gevoeligheid gegeven: samenvattend kan men stellen dat de impact een weergave is van de gevolgen die voortvloeien op de actie van een bestaande dreiging (zie hoger). Dit is precies de reden waarom een dreigingsanalyse gericht moet zijn op het evalueren van de dreiging op specifieke doelwitten, die later ook uitgebaat zullen worden door de risicoanalyse. Ook in dit geval kan men zuiver kwalitatieve evaluaties verkiezen boven numerieke gegevens of probabilistische modellen. De keuze ligt bij de gebruiker, maar de methodologie dient consequent en herhaaldelijk toegepast te worden. Een bijkomend element waar men rekening dient mee worden gehouden, is het dynamisch karakter van een impactanalyse. Zoals ook het geval is voor de dreigingsanalyse, zal de output op een gegeven ogenblik een statische momentopname zijn: in de tijd zal de impactanalyse ook veranderen omwille van bijvoorbeeld maatregelen die genomen werden om de gevoeligheid in geval van een aanval op een kerncentrale te beperken. Daarom zal ook de impactanalyse synchroon met de dreigingsanalyse moeten herzien worden. Gezien de opmerkingen omtrent bevoegdheden lijkt het aangewezen dat deze taak toegeschreven wordt aan het CGCCR in de voorgestelde structuur61.

1.5.3. Risico en risicoanalyse Een vaststelling die zich ook hier opdringt, is dat er reeds lang definities worden gebruikt, maar dat iedereen conceptueel over iets anders praat. Voor een overzicht van de verschillende definities in gebruik, kan men bij ORTWINN62 terecht. Volgens UNDRO kan men de term risico omschrijven als volgt63: “The term risk refers to the expected losses from a particular hazard to a specified element at risk in a particular future time period. Loss may be estimated in terms of human lives, or buildings destroyed or in financial terms.” 61

SMEDTS, B., «Massavernietigingswapens: erfenis van de koude oorlog en bedreiging voor de toekomst?» In Veiligheid en Strategie, Koninklijk Hoger Instituut voor defensie, 2009, p.120.

62

ORTWINN, R., «Three decades of risk research », in Journal of Risk Research, Vol.1, N° 1, pp.49-71, 1998.

63

UNDRO (United Nations Disaster Relief Organization), Natural Disasters and Vulnerability Analysis. Report of Expert Group Meeting, UNDRO, Geneva, 9-12 July 1979, p.34.

45

Belangrijk in deze definitie is dat zowel de bedreiging (“hazard”) als de impact bepaald voor een welbepaald doelwit (“a specified element at risk”) aan bod komen. Uit deze definitie is het ook duidelijk dat de evaluatie van het risico overeenstemt met een specifieke tijdstip (“in a particular future time period”) en dus moet beschouwd worden in permanente evolutie te zijn. De meer recente benadering van de EU (2005) vloeit voort uit de harmonisatie van definities in gebruik omtrent kritische infrastructuur (zie bijlage 2). Nog recenter werd in United Nations International Strategy for Disaster Reduction (UNISDR) dezelfde term omschreven als64: “The combination of the probability of an event and its negative consequences.” Zowel kwalitatief als kwantitatief kan men deze definities invullen. Voorbeelden van kwantitatieve benaderingen zijn terug te vinden in het werk van PEDUZZI65. Zoals eerder vermeld, maken exhaustieve probabilistische uiteenzettingen niet het onderwerp uit van dit werk: een algemene, grafische benadering zal volstaan om het begrip in context te brengen van wat vooraf werd besproken. BENNETT66 ontleedt het begrip risico in drie elementen nl. een bedreiging (1) op een essentieel punt dat gevoelig is (2) voor deze dreiging en dus nadelen zal ondervinden (3) van een aanval. Grafisch (zie figuur 5) kan men dit voorstellen door de resultaten van de dreigingsanalyse (D) - waaraan een zekere waarschijnlijkheid wordt geassocieerd - in verband te brengen met de resultaten van de impactanalyse (I). Het resultaat is een becijferd risico (R) voor de beschouwde dreiging en impact. Het resultaat is dus punctueel in de tijd en de oefening dient dus voor beleidsmatige doeleinden op regelmatige tijdstippen herhaald te worden. Gelijke waarden voor risico’s kunnen uitgezet worden, waardoor men iso-risicolijnen bekomt. Men dient zich bewust te zijn van de betekenis van deze voorstelling: een gelijke waarde voor het bekomen risico (R) heeft niet noodzakelijk dezelfde betekenis. Inderdaad een gelijkaardig mathematisch resultaat kan bekomen worden door een hogere dreiging en waarschijnlijkheid, maar met lagere impact. Omgekeerd kan een lagere dreiging, maar grotere impact een gelijkaardig mathematisch risico opleveren. Het is essentieel bij de interpretatie van cijfers, met het oog op het vastleggen van maatregelen, deze elementen in beschouwing te nemen. Zo niet dreigt het gevaar dat bijvoorbeeld zwakke punten (hoge impact voor een 64

UNISDR (United Nations International Strategy for Disaster Reduction), Terminology on Disaster Risk Reduction, Geneva, 2009, p.11.

65

PEDUZZI, P., «Global Risk And Vulnerability Index Trends per Year. ». GRAVITY, Phase II: Development analysis and results. United Nations Development Programme, February 2002.

66

BENNETT, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007, p.226.

46

bepaalde dreiging) verdrinken in de massa gegevens die gegenereerd kunnen worden uit een geautomatiseerde berekening. Met deze informatie als achtergrond kan men voorrang geven aan deze risico’s die de hoogste waarden scoren, of de gemeenschappelijke risico’s die op de iso-risicolijnen te vinden zijn met de hoogste waarden. In de praktijk zou de input voor de waarden op de as “dreiging” van figuur 5 geleverd moeten worden door OCAD, terwijl de invulling van “impact” en berekening van “risico”, taken zijn voor een geïntegreerd geheel binnen het CGCCR. Automatisch impliceert dit dat OCAD een evaluatie moet kunnen uitvoeren op mogelijke doelwitten waarvoor het CGCCR een duidelijke impactanalyse heeft kunnen realiseren: een dreigingsanalyse uitvoeren op een doelwit waarvoor geen risicoanalyse kan uitgevoerd worden (omdat bijvoorbeeld andere lijsten van doelwitten worden gehanteerd), kan niet leiden tot een efficiënte risicoanalyse. Het gevolg zal zijn dat onaangepaste plannen worden gehanteerd. Figuur 5: Resultaat risicoanalyse.

In concreto betekent dit dat na de becijfering, zowel voor België als voor geprojecteerde troepen, een lijst van risico’s naar voor zal komen die de hoogste prioriteit zal krijgen67. Op basis van de FRISK-studie68, kan men 67

Een alternatieve voorstelling dan deze van figuur 5 is het diagram van FARMER, dat dezelfde output geeft als wat hier werd voorgesteld. Voor een meer exhaustieve benadering van de kwantitatieve evaluatie van de risico’s en het diagram van FARMER kan beroep gedaan worden op DESCROCHES, A., «Justification des échelles d’évaluation et de criticité pour l’analyse préliminaire des risques », Présentation congres AFGRIS, Paris, Octobre 2004. In deze voorstelling wordt de dreiging omschreven als “vraisemblance du niveau d’aggression associé à l’occurence de l’événement redouté” terwijl impact gedefinieerd wordt als “gravité des dommages résultant de l’occurence de l’événement redouté”.

68

FRISK, op.cit., conclusions. Zie exhaustieve lijst van de risico’s in bijlage 3: uit deze lijst werden de vermelde prioriteiten geselecteerd om als eerste aangepakt te worden in specifieke noodplannen.

47

veralgemenen en de belangrijkste risico’s (op datum van de evaluatie van 2004) catalogiseren onder: •

Aanval onder te brengen in de categorie CBRN(E).

•

Onderbreking van energievoorziening (elektriciteit, gas, olie) omwille van breuk in leidingen. Door de recente ontwikkelingen (januari 2009) kan men hier de moedwillige onderbreking van de aanvoer aan toevoegen.

•

In het verlengde van vorige risico’s kan men, op basis van de incidenten in Henegouwen in februari 2009, de onderbreking van drinkbaar water toevoegen. Analoog is een onderbreking van de voedselketen mogelijk door toevallige of moedwillige contaminatie.

•

Nucleair incident in kerninstallaties.

•

Seveso-incident.

•

Epidemie, pandemie of uitbraak van nieuwe ziektes.

•

ICT-incidenten of cyberaanvallen.

•

Overstromingen.

Wanneer men de resultaten van de risicoanalyse uitzet voor verschillende scenario’s, bekomt men een schematische voorstelling zoals weergegeven in figuur 669: de risico’s zijn geïdentificeerd en eventueel becijferd Risk assessment. Het resultaat van de risicoscore wordt weergegeven in arbitraire waarden. Men ziet echter dat aan de hand van deze voorstelling een selectie kan gemaakt worden van prioritaire risico’s70: hiervoor kan men dan de middelen mobiliseren om een zo groot mogelijke weerstand te bieden aan de dreiging of om de maatregelen te voorzien (proactief of reactief) die de impact op het beschouwde doelwit zullen beperken Risk mitigation. Het moet duidelijk zijn dat niet elk gevolg geëlimineerd kan worden: residuele risico’s zullen blijven bestaan, ondanks het voorzien van maatregelen. Het moet wel mogelijk zijn om deze residuele risico’s tot een aanvaardbaar minimum te herleiden. De bepaling van de grens tussen aanvaardbaar en onaanvaardbaar residueel risico is een beslissing van het beleid. Men moet er echter van uitgaan dat, onafhankelijk beschouwd, geen enkel risico aanvaardbaar is: steeds zal men kosten en baten moeten afwegen ten opzichte van elkaar. Aan de kostenzijde zullen zelfs soms mensenlevens in de schaal moeten 69

Arbitrair werd de voorstelling beperkt op 15 risico’s die niet nader geëxpliciteerd worden. Voor een exhaustieve lijst van de risico’s die bekomen werden naar aanleiding van de FRISK studie wordt nogmaals verwezen naar bijlage 3.

70

Belangrijk om te vermelden is dat de prioritaire noodplannen het ICT-element niet in beschouwing nemen.

48

afgewogen worden. Zelfs indien deze balans positief uitvalt, is het resultaat niet bevredigend indien men resultaten kan bekomen met een lager residueel risico, zeker indien dit kan behaald worden door lagere meerkost. Omgekeerd kan men kiezen voor een groter risico omdat de kosten ervan drastisch lager liggen en draagbaar zijn voor de maatschappij. Figuur 6: Evaluatie van de risicoscore. cataloog 16

14

12

Risico

10

8

cataloog

6

4

2

0 1

2

3

4

5

6

7

8

9

10

11

12

13

14

15

Cataloog

Men moet er zich echter bewust van zijn dat volledige uitsluiting van elke vorm van risico onmogelijk is: noch financieel, noch organisatorisch is dit een haalbare kaart. Wel kunnen de gevolgen voor de samenleving beperkt worden tot een minimum, zeker indien er slachtoffers verwacht worden onder de bevolking. Men dient er ook bewust van te zijn dat risico’s, bijvoorbeeld als gevolg van terroristische dreiging of pandemieën, een cascade aan gevolgen kan veroorzaken waardoor de hele systematiek van de samenleving wordt bedreigd. Hierdoor zijn gerichte maatregelen op één enkel risico niet meer doeltreffend, zelfs op nationaal vlak. Men er dan ook beter voor zorgen dat de aanpak op internationaal niveau gecoördineerd wordt. De toegenomen globalisering, de complexiteit en afhankelijkheid van verschillende sectoren, kunnen immers cascade-effecten veroorzaken op internationaal vlak. De economische wereldcrisis, die zich aankondigde in de zomer van 2008, illustreert dit overduidelijk. De mogelijke verspreiding van een nationaal incident naar het internationale niveau is inherent aan de complexiteit van het risicolandschap. De hedendaagse risico’s zijn vaak gericht op hun uitwerking op een systeem of uitwerking op het functioneren van de samenleving. Per definitie zijn ze moeilijk te identificeren in een vroeg stadium, en zijn nationale plannen in dergelijke scenario’s slechts te beschouwen als een pleister op een houten been. Ook hiervan zijn de aanloop naar de economische crisis van 2008 of de pandemie van 2009 sprekende voorbeelden. Eenmaal de gevolgen zichtbaar worden, is het vaak te laat om op efficiënte wijze te kunnen ingrijpen, tenzij internationale en gecoördineerde actie werden voorzien voor het type incident dat zich afspeelt. Het is duidelijk dat het 49

gelijktijdig voorkomen van dergelijke scenario’s het effect van afzonderlijke incidenten nog zal versterken, hetgeen voor gevolg heeft dat risicobeheer (risk management) nog moeilijker wordt. Het is duidelijk dat de methodologie om de risico’s in kaart te brengen bepalend zal zijn voor het verder verloop van de gebeurtenissen: risico is steeds relatief en wordt anders ervaren door verschillende waarnemers. Om die reden moet men steeds kunnen terugvallen op het geactualiseerde antwoord van volgende vragen: •

Wat kan er mis lopen?

•

Hoe waarschijnlijk is het dat deze gebeurtenis zich voordoet?

•

Wat zijn de gevolgen van een dergelijke gebeurtenis?

Pas wanneer de antwoorden op deze vragen werden gevonden, kan men denken aan de maatregelen die men er tegenover zal plaatsen. Ook die zullen op regelmatige basis herzien moeten worden om gelijke tred te houden met de geactualiseerde toestand van het risico.

1.5.4 Asymmetrisch proliferatierisico Vooreerst dient men duidelijk het onderscheid te zien tussen lineariteit (of de afwijking ervan) en asymmetrie. Zoals uitgelegd in vorige paragrafen heeft de lineariteit betrekking op de trends die men wil onderzoeken: men maakt extrapolaties van gekende gegevens teneinde een idee te hebben over een bepaalde parameter in de (nabije) toekomst. We hebben gezien dat afwijking van deze tendens, zogenaamde trendbreuken of onvoorziene wijzigingen (Black Swans), ernstige ontwrichtende gevolgen kunnen veroorzaken voor de samenleving. Asymmetrie heeft betrekking op een andere eigenschap: intuïtief kan men symmetrie in verband brengen met evenwicht en in het geval dat ons aanbelangt evenwicht in het domein van militaire slagkracht. Asymmetrie moet dus noodzakelijkerwijs slaan op een onevenwichtige balans der strijdkrachten. Deze onevenwichtige verdeling kan echter niet louter terug te brengen zijn tot kwantiteit: in dat geval zou iedere oorlog uit de geschiedenis op een of andere manier, ware het op strategisch of tactisch niveau, asymmetrisch van aard zijn geweest: zeer zelden stonden gelijke troepenmassa’s tegenover elkaar. Eventueel zou men het asymmetrisch karakter van conventionele oorlogvoering nog kunnen herleiden tot het aanwenden van een andere methodologie of technologie die tot de overwinning leidt. Sommigen vinden in dit verband de hedendaagse relevantie

50

van CLAUSEWITZ terug71: gezien oorlogvoering de voortzetting is van politiek met andere middelen, is de kern van symmetrische oorlogvoering gebaseerd op de moedwillige erkenning van een politieke rem die de grenzen bepaalt van gewapend conflict. In dit opzicht verhindert de politiek dat gewapend conflict zou vervallen in een spiraal van geweld zonder vooropgestelde doelen. In deze context zou het geweld asymmetrisch worden wanneer bijvoorbeeld economische of religieuze doelen de rem op het intrinsieke geweld wegnemen. Het gevolg is dat het wegvallen van begrenzing implicaties zal hebben voor actoren, doelen, methodes, plaats en tijd. In deze context zou men kunnen terugvallen op tactieken van onconventionele oorlogvoering. Een meer pragmatische definitie van asymmetrische dreiging is terug te vinden in de NAVO-Doctrine72: “A threat emanating from the potential use of dissimilar means or methods to circumvent or negate an opponent’s strength while exploiting his weaknesses to obtain a disproportionate result.” Asymmetrie kan men dus ook associëren met een zwakkere tegenstrever die de overweldigende militaire capaciteit van een vijand wil omzeilen door terroristische activiteit om politieke en sociale onvrede te creëren bij de tegenstrever. Volgens STEPANOVA73 is terrorisme de manifestatie van geweld bij uitstek die eenzijdig geweld tegen burgers gebruikt als asymmetrische confrontatie tegen een sterkere vijand. Dit geweld kan vereenzelvigd worden met zowel natiestaten als niet-staatsactoren. Twee opmerkingen moeten hier ter aanvulling aangebracht worden: vooreerst is het sinds de aanslagen van 9/11 duidelijk dat men evenveel politieke commotie kan veroorzaken door aanslagen dan tijdens gewapend conflict. Ten tweede dient men vast te stellen (zie figuur 7) dat het aantal incidenten is toegenomen van 1998 tot 2006, maar dat het aantal slachtoffers nog veel sterker toegenomen is in verhouding. Dit impliceert dat men doelbewust verkiest om meer (dodelijke) slachtoffers te maken.

71

HABEGGER, B., International Handbook On Risk Analysis and Management. Professional experiences. Center for Security Studies, ETH Zurich, 2008, p.135.

72

Allied Joint Doctrine AJP-01(C). NATO, March 2007, Lexicon-5.

73

STEPANOVA, E., «Terrorism in Asymmetrical Conflict, Ideological and Structural Aspects. » SIPRI Research Report N° 23, Oxford University Press, 2008, p.2.

51

Figuur 7: Terroristische aanslagen van 1998-200674.

Hoewel deze opzet voornamelijk door conventionele methodes werd nagestreefd, is het niet uitgesloten dat ook CBRN-materiaal voor dit oogmerk kan gebruikt worden. Het internationaal atoomagentschap (IAEA) heeft tot 2006 officieel 18 incidenten geregistreerd met betrekking tot aangerijkt uranium en plutonium. Het merendeel van de gerapporteerde incidenten75 betrof echter kleine hoeveelheden die te koop werden aangeboden. Voor wat ander radiologisch materiaal betreft, werden tot 2005 542 incidenten waargenomen. Van 1996 tot 2006 merkt men een stijging in het aantal incidenten van minder dan 30 tot meer dan 100. Een duidelijke tendens tekent zich af naar meer terroristische activiteit, gericht op meer slachtoffers, en parallel hieraan een toename van het aantal gerapporteerde incidenten met betrekking tot radiologisch materiaal. Men kan niet ontkennen dat de vrijwillig gelijste incidenten in de databank van het internationaal atoomagentschap geen volledig beeld schetsen het werkelijk aantal: zonder te willen vallen in speculatieve schattingen, kan men ervan uitgaan dat het werkelijke cijfer hoger ligt dan het gerapporteerde aantal. Men kan enkel vaststellen dat de tendens van het toenemend aantal incidenten gelijk loopt met het toegenomen aantal aanslagen en slachtoffers. Het is logisch om een verband te trekken naar de mogelijkheid om CBRN-materiaal vroeg of laat opnieuw terug te vinden op een “plaats delict” na een aanslag, zoals in het verleden reeds gebeurde76. Het risico van het gebruik van een “vuile bom” in de omgeving van burgers is sindsdien reëel, ook met betrekking tot gebruik van radiologisch

74

International association for the Study of Insurance Economics, « The Role of Risk Management and Insurance in the Leisure Industry », Seminar of the Geneva association, Madrid, 16-17 November 2006. Working paper N°322, February 2007, p.11-6.

75

IAEA Illicit Trafficking Data Base, Fact Sheet. Vienna, August 2006.

76

Denken we maar aan de Sarin-gasaanval in de metro van Tokio.

52

materiaal. Het toegenomen aantal incidenten in smokkel van dit type materiaal, toont bovendien aan dat zich ook in dit domein een tendens naar proliferatie aftekent. Enkel met betrekking tot materiaal afkomstig van de voormalige Sovjet-Unie, vermeldt een verslag aan het Amerikaans Congres77: “We find it highly unlikely that Russian authorities would have been able to recover all the material likely stolen. Undetected smuggling of weapons-usable nuclear material has likely occurred, and we are concerned about the total amount of material that could have been diverted or stolen in the last 15 years.” Dergelijke onregelmatige transfers kunnen al dan niet om commerciële redenen uitgevoerd worden, vaak door werknemers van gevoelige installaties (opslagplaatsen, centrales, wapendepots, etc…). Het resultaat is de beschikbaarheid op de markt voor niet-staatsactoren van CBRN-materiaal. Zelfs de Amerikaanse politieke nota over het gebruik van kernwapens stelt dat drie veiligheidsaspecten prioritaire aandacht van de OBAMA-administratie zullen vergen78: •

Een halt toeroepen aan-, en een terugkerende beweging in gang zetten tegen de proliferatie van kernwapens.

•

Het reduceren van het risico dat terroristen een nucleaire aanval uitvoeren.

•

Het reduceren van het risico dat de VS en Rusland opnieuw in vijandige relaties afdrijven naar de gevaren die stammen uit het tijdperk van de Koude Oorlog.

Nucleair terrorisme wordt dus ook in de VS als een reële dreiging ervaren. Nauwelijks één bladzijde verder kan men lezen79: “The threat of nuclear terrorism is already serious, and, as more nations acquire nuclear weapons or the fissile material needed for nuclear weapons, it will increase.” En verder80:

77

Annual Report to Congress on the Safety and Security of Russian Nuclear Facilities and Military Forces. National Intelligence Council, April 2006, p.3.

78

US Nuclear Weapons Policy. Council of Foreign Relations, Independent Task Force Report N°62, New-York, April 2009, p.xi (eigen vertaling).

79

US Nuclear Weapons Policy, op.cit., p.xii.

80

US Nuclear Weapons Policy, op.cit., p7.

53

“The United States faces a daunting set of challenges, including the risk of nuclear terrorism, threats from emerging nuclear states such as Iran and North Korea, the illicit transfer of nuclear technologies through black markets, the potential for loss of control of nuclear weapons or weapons-usable materials, especially those from Pakistan, the increased importance of nuclear weapons in Russia’s defense planning, and the uncertainty in China’s strategic development.” Ook na de studie van de universiteit van Luik ter identificatie van de risico’s in België, kwam men tot de vaststelling dat na het catalogiseren de top 4 van de risico’s onder te brengen was onder de noemer “CBRNincidenten”81. Het is duidelijk dat zowel op nationaal als op internationaal niveau rekening gehouden wordt met dit type incidenten. Dezelfde gevolgen als voor inzet van CBRN-agentia kan trouwens uitgelokt worden door een conventionele aanval op bestaande installaties. Dit betekent dat men zowel preventief (bescherming van installaties) als proactief (het verhinderen van terroristische activiteit) maatregelen moet kunnen afstemmen op een methodologie die gebaseerd is op internationale samenwerking. Ook wanneer duidelijk wordt dat bestaande wapenopslagcapaciteit in handen dreigt te vallen van vijandige groeperingen82, dienen alle middelen ingezet te worden om dit tegen te gaan. In dit opzicht speelt ook het non-proliferatieregime en al haar controlemechanismen een essentiële rol om de bestaande stocks aan CBRN-materiaal en wapens te traceren. We kunnen hier enkel vaststellen dat niet alle categorieën in het CBRN-acroniem gelijkaardige garanties of opvolging genieten. Het zal duidelijk worden in de nabije toekomst of de internationale gemeenschap door de geplande herzieningsconferenties werk wil maken van de veiligheid van dit type materiaal door het versterken van de VN-verdragen terzake. Zeer concreet werden voor scenario’s met betrekking tot dirty bombs risicoanalyses uitgevoerd. Bijvoorbeeld voor het geval van aanslagen in de haven van Los Angeles83. Onder de alternatieven werden m.n. de radioactiviteit en haar verspreiding, de aard van de bom, de juiste verhoudingen van springstoffen en radioactief materiaal bestudeerd. Uiteindelijk werden verschillende afleveringsmethodes nagegaan alsook de ideale sites voor detonatie naargelang de heersende weersomstandigheden. Welke ook de modellen en/of methodes zijn die men wil gebruiken in de

81

Federal Risk Inventory, Survey and Knowledge building (FRISK), Rapport Final, Université de Liège, Novembre 2004, p.54.

82

Talibanmilities in Pakistan bijvoorbeeld.

83

ROSOFF, H., von WINTERFELDT, D., «A Risk and Economic Analysis of Dirty Bomb Attacks on the Port of Los Angeles and Long Beach.», in Risk Analysis, Vol.27, N° 3, pp.533-546, 2007.

54

evaluatie van de gevolgen, de resultaten zullen steeds terug te brengen zijn tot categorieën als: •

Onmiddellijke dodelijke en zwaar gekwetste slachtoffers door schokgolf en blootstelling aan hoge radioactiviteit.

•

Middellange- en langetermijneffecten ten gevolge van verspreiding van radioactief materiaal door de lucht.

•

Economische gevolgen door vernieling, sluiting, evacuatie en decontaminatie van de getroffen zone.

Het aantal dodelijke slachtoffers zal afhankelijk zijn van de bevolkingdichtheid op de locatie van de detonatie. De slachtoffers die blootgesteld zullen worden aan straling zullen voornamelijk te vinden zijn bij de hulpverleners die in eerste instantie niet weten dat ze betrokken zijn in een radiologisch incident. Bestaande nood- en interventieplannen kunnen in principe voorzien in de beperking van de gevolgen te wijten aan blootstelling door verspreiding van een radioactieve wolk, vooropgesteld dat de bevolking tijdig gewaarschuwd kan worden. De economische schade ten gevolge van dergelijke incidenten is echter niet te overzien. In het aangehaald voorbeeld kunnen terminals dagen tot weken geneutraliseerd zijn omwille van restbesmetting en tijdrovende decontaminatieprocedures. Dit vormt trouwens het belangrijkste objectief van dergelijke incidenten: het onklaar maken van infrastructuur die onontbeerlijk is voor de goede werking van de economie. Het opzet in de identificatie van onontbeerlijke middelen is de kerntaak na de identificatie van kritische infrastructuur, maar dat zal later nog worden toegelicht. Belangrijk hier is dat na een risicoanalyse en de evaluatie van de verschillende scenario’s, de adequate beschermingsmaatregelen worden voorzien. In het voorbeeld dat we hebben aangehaald, kan dit gevolgen hebben voor zowel aanvoer vanuit het land als tijdens de ontlading op de kade: de aangebrachte goederen zouden onderzocht worden door het daartoe voorziene materieel (scanners), bediend door daartoe opgeleid personeel. In dit opzicht blijkt dat ook in onze havens van Zeebrugge en Antwerpen reeds in 2008 en nog in 2009 ernstige problemen bestaan die de werking van dergelijke apparatuur in het gedrang brengen84, terwijl Rotterdam reeds in 2007 door de VS gerekend werd onder de best beveiligde havens o.m. door de goede werking en gebruik van dit type apparatuur. Een andere mogelijke benadering van de asymmetrische tactiek kan men vinden in de ICT-sector: cyberaanvallen kunnen wereldwijd gelanceerd worden op vijandelijke servers via omwegen die nauwelijks te traceren zijn. In dit opzicht is dit een ideaal middel voor een strijder die beperkt is in

84

Kamer van Volksvertegenwoordigers: Schriftelijke vragen en antwoorden. Kamer, 2e zitting van de 52e zittingsperiode, 30 Juni 2008, p.5428.

55

conventionele militaire middelen, die de vijand wil treffen door het verstoren van C³ of logistieke aanvoer. Niet zonder reden wordt deze benadering ondergebracht onder de noemer asymmetrisch proliferatierisico. MYRLI, rapporteur voor de NAVO, besluit in dit verband85: “All indications signal that cyber attacks are now one of the most serious asymmetric threats faced by the Alliance and its member states, along with terrorism and nuclear proliferation. The open nature of the Internet makes preventing cyber attacks difficult; effective international cooperation will be critical to addressing this problem in the years to come.”

1.5.5 Preventiemaatregelen en risicobeheer Risicobeheer (“Risk management”), omvat alle acties die worden ondernomen na de risicoanalyse en evaluatie om te komen tot de identificatie van adequate preventiemaatregelen. Het beoogde doel in deze stap is het risico tot een aanvaardbaar minimum te beperken door inzet van middelen onderworpen aan een kosten- batenanalyse. Hierin zijn taken vervat als het onderscheiden en begrijpen van het risico en haar objectieven, het bepalen van de adequate tegenmaatregelen en de gevolgen van de toepassing ervan, het toezicht organiseren op de daadwerkelijke controle van het betreffende risico (d.w.z. regelmatige actualisatie van de dreiging, het risico en de adequate inzet van tegenmaatregelen desbetreffend). Men zal moeten aanvaarden dat, welke middelen ook ingezet worden, een risico beperkt kan worden86, maar niet ongedaan kan gemaakt worden. Een residueel risico zal steeds aanvaard moeten worden. Dit is het dilemma dat het onderwerp uitmaakt van risicobeheer: het risico moet herleid worden tot een aanvaardbaar minimum. Dit betekent dat het residueel risico voor de bevolking aanvaardbaar moet zijn, terwijl het beleid de evaluatie ervan eerder kan situeren in de becijfering van de kost van de middelen die nodig zijn om dit niveau te bereiken. Volgens BENNETT87 beheersen vier principes de werking van het risicobeheer: •

Onaanvaardbare risico’s vermijden: door een correcte en geactualiseerde analyse van de dreiging moet men in staat zijn om alle gevaren in kaart te brengen om tot een efficiënte

85

NATO and Cyber Defence (027 DSCFC 09 E), NATO Parliamentary Assembly, 2009 Spring Session, pt.60.

86

Of anders uitgedrukt kan een risico een lagere score krijgen in de risico-evaluatie na de inzet van maatregelen.

87

BENNETT, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007, p.240.

56

risicoanalyse te komen. Hiervoor moet men zorgen dat de dreiging geëvalueerd wordt op de relevante doelwitten. •

Bepalen van het risico op het juiste beheersniveau: beslissingen moeten kunnen genomen worden op een niveau dat laag genoeg gelegen is in de hiërarchie om snel en efficiënt te kunnen optreden. Bevoegd personeel moet hiervoor in plaats gesteld worden.

•

Aanvaard het risico indien de kosten-batenanalyse negatief is: in het kader van wat werd uitgelegd omtrent de principes van risicobeheer, weet men dat sommige maatregelen exorbitante kosten kunnen veroorzaken. Bovendien kunnen die maatregelen misschien niet eens in staat zijn om de bestaande dreiging efficiënt uit te schakelen. Bijkomende informatie kan hier noodzakelijk zijn naar de relevantie van de dreiging.

•

Risicobeheer moet geïntegreerd kunnen worden in planning en operaties op alle niveaus: dit betekent dat op alle niveaus van de NIP, maar ook van eender welke militaire operatie, een duidelijk beeld gevormd moet worden van wat de relevante dreiging is, welke de tactische en strategische punten zijn die hierbij bescherming moeten kunnen genieten, en hoe men die bescherming kan materialiseren.

Voorzien van maatregelen verhoogt paraatheid de weerstand tegen dreiging hetgeen het risico verlaagt. Indien we de evaluatie van de risico’s (zie figuur 6) uitzet tegenover de maatregelen die kunnen ingezet worden, bekomt men een driedimensionale grafiek zoals (figuur 8). Om de invloed van de maatregelen op de oorspronkelijke risicoscore te visualiseren, werden vier mogelijke niveaus aan maatregelen uitgezet die overeenkomen met een toegenomen inzet (bijgevolg meerkost). Het eerste niveau stelt het niveau voor dat bereikt werd in figuur 6 d.w.z. de output van de risicoanalyse zonder maatregelen.

57

Figuur 8: Invloed van maatregelen op oorspronkelijk risico-3D-voorstelling.

14

12

10

8 Risico niveau 4 niveau 3 niveau 2 niveau 1

6

4

2

0 1

2

3

4

5

6

7 Cataloog

8

9

10

11

12

niveau 1 niveau 2 niveau 3 Maatregelen niveau 4 13

14

15

Vanaf niveau 2 t.e.m. 4 zien we de invloed van maatregelen die steeds meer middelen vereisen (kost, materieel, manschappen): een exhaustieve bespreking van de maatregelen voor alle voorgestelde risico’s zou ons te ver leiden, maar enkele voorbeelden kunnen duidelijk maken welke gevolgen verbonden zijn aan de inzet van maatregelen. Men kan zien dat risico 4 in de figuur hoog scoort. Nochtans is de systematische inzet van maatregelen (tot op niveau 4 die men arbitrair aan de hoogste inzet en kosten heeft geassocieerd) het risico niet drastisch kunnen beperken in dit domein. Omgekeerd ziet men dat risico 2 vanaf de eerste maatregelen een veel betere score haalt: tamelijk beperkte middelen zijn dus misschien voldoende om dit risico tot een aanvaardbaar minimum te herleiden. Tot slot kan men vaststellen dat voor sommige risico’s de maatregelen slechts vanaf een zeker niveau een drastische invloed hebben op de initiële risicoscore: risico 14 wordt slechts matig ingeperkt door de eerste drie niveaus, terwijl het laatste bijna de gehele score tot een minimum herleidt. Deze enkele voorbeelden tonen aan dat een risicoanalyse op zich niet voldoet: een beheer van de maatregelen en een adequate inschatting van het restrisico ten opzichte van de kosten en baten zijn een absolute noodzaak in een efficiënte aanpak. Deze aanpak moet gericht zijn op de controle van alle stappen vanaf de vaststelling van de dreiging (en een juiste en geactualiseerde inschatting ervan) tot het beheersen van het risico met de juiste middelen: een overkill aan middelen zou deze onbeschikbaar maken voor andere opdrachten die simultaan kunnen plaatsgrijpen. Een tekort, om welke reden dan ook, zou een onaanvaardbaar risico inhouden voor eventuele slachtoffers. Een economische laagconjunctuur kan echter de middelen beperken die Defensie zou kunnen inzetten ter bestrijding van risico’s in een “allesomvattende aanpak”, doelend op het feit dat alle mogelijke dreigingen 58

gepland en uitvoerbaar moeten zijn door de voorziening van middelen en personeel. FREIER haalt deze problematiek aan en geeft een alternatief dat net gebaseerd is op risicoanalyse en risicobeheersing88: hiertoe schuift hij acht principes naar voor, weliswaar kaderend binnen de Amerikaanse context, maar ze zijn evengoed bruikbaar voor een klein land als België met beperkte middelen, die doordacht ingezet moeten worden. Vooreerst moet Defensie geïntegreerd worden in een geïntegreerd geheel van alle overheidsdepartementen om gezamenlijk de gevaarlijkste conflicten aan te pakken die schijnen op te duiken. Een gevolg hiervan is dat het permanent beheer van onconventionele dreiging geoptimaliseerd moet kunnen worden. De huidige dreiging is, zoals hoger aangetoond, niet meer onder te brengen in kleine hokjes van zuiver militaire, juridische, civiele of politionele aard: risico’s die de samenleving bedreigen, lopen over een breder spectrum, waaronder bijvoorbeeld terrorisme, extremisme, proliferatie, of economische en politieke instabiliteit. Daarom zijn noodplannen en ook militaire plannen te herbekijken om duidelijk omschreven tactische en strategische objectieven te bereiken. Het spreekt voor zich dat de politieke besluitvorming hierin een belangrijke rol speelt en dat een duidelijk tijdskader moet omschreven worden waarbinnen men vastgestelde doelen wil bereiken, met omschrijving van de daartoe voorziene middelen. De tot voor kort gangbare denkbeelden om het gewenste, ideale te betrachten moet herzien worden in realistische objectieven die haalbaar en noodzakelijk zijn: de duidelijke omschrijving is nog belangrijker in hybride vormen van oorlogvoering. Een belangrijke bijdrage in de investeringen voor één welbepaalde capaciteit mondt in de huidige conjunctuur uit in een netto verlies voor een andere. Daartoe stelt FREIER voor om partners te betrekken, of beter nog een adviserende capaciteit te betrekken in het voorzien en evalueren van toekomstige dreiging. Een andere mogelijkheid is het uitbouwen van nichecapaciteit op een gecoördineerde manier d.w.z. dat specialisatie over de verschillende deelnemende partners verspreid wordt om dusdanig ook de inspanning te verspreiden zonder het vakmanschap te verliezen of de opleiding voor het betrokken personeel te laten verwateren. Verder zou men de strategische schok moeten integreren in Defensieplanning: op zich zijn deze gebeurtenissen ondenkbaar door de ontwrichtende gevolgen, maar toch kunnen ze zich voordoen gezien de aard van de zich aftekenende tendensen. Daarom is ook een holistische benadering van dergelijke incidenten aan te moedigen in de ontwikkeling van plannen, strategie en capaciteit. Het is duidelijk dat de eerder voorgestelde risicobenadering in het kader van ontwrichtende trends duidelijk op haar plaats is, zeker voor wat de bescherming van kritische infrastructuur (KI) betreft. Het bewijs is de net aangehaalde Amerikaanse benadering ter rationalisatie van de inzet van middelen in dit kader.

88

FREIER, N., « Towards a risk management defense strategy. », in PKSOI Papers, August 2009.

59

1.5.6 Kritische infrastructuur Zoals in een eerdere studie aangetoond, is ook in dit geval geen eenduidige definitie te vinden: de invulling van de term KI is afhankelijk van de bron die men raadpleegt. De invulling die de EU, de NAVO en België aan deze definitie geven, zullen in volgende delen worden besproken. Algemeens stelt BENNETT dat KI bestaat uit complexe systemen die producten en diensten afleveren voor dagelijkse behoeften89. Deze infrastructuur ondersteunt de goede werking van de maatschappij. De toegenomen complexiteit (lees informatisering) en de mondialisering (lees verbondenheid) hebben ervoor gezorgd dat verschillende elementen invloed konden hebben op de goede werking van KI: natuurlijke oorzaken, ongevallen of intentionele daden kunnen betrokken installaties onklaar maken en bijgevolg de goede werking van de maatschappij in het gedrang brengen. De oorzaak van het onheil moet zelfs niet in alle gevallen gezocht worden in het land zelf: een illustratie hiervan zijn de cyberaanvallen op Estland in het voorjaar van 2007. Alle diensten van dit land werden buiten werking gesteld door moedwillige externe aanvallen via het Internet. Dit voorbeeld toont dat de gevolgen van een aanval op KI van economische aard kan zijn, sociale gevolgen kan hebben of zelfs aanleiding kan geven tot materiële schade en slachtoffers. De vaststelling van de enorme impact van dergelijke aanvallen heeft ertoe geleid dat men zich meer en meer is gaan toeleggen op de bescherming van KI. Omgekeerd zijn aanvallen (of tegenaanvallen) meer en meer gericht op dit type doelwitten. In een ontwerp van een nieuwe presidentiële richtlijn van de VS met betrekking tot de afschaffing van Counter Force Nuclear Targeting wordt de mogelijkheid om vijandige strijdkrachten (of ondersteunende capaciteit) permanent als mogelijk doelwit voor kernwapens voor goed opgegeven. In de plaats hiervan, beschrijft men in New Targets for Minimal Deterrence de infrastructuur waarvan de vernietiging de economische en industriële fundamenten van een land onderuit zou halen, met evenwel beperking van burgerlijke slachtoffers. Letterlijk omschrijft men de nieuwe doelwitten voor kernwapens als volgt90: “The shift I am ordering is not from counterforce to “countervalue” (the targeting of population centers) but rather to a new set of targets we characterize as “infrastructure” targets.

89

BENNETT, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007, p.55.

90

KRISTENSEN, H., NORRIS, R., OELRICH, I., «From Counterforce to Minimal Deterrence: a new nuclear policy on the path toward eliminating nuclear weapons», in Disarmament Diplomacy, N° 90, Spring 2009, pp.76.

60

Infrastructure targets are facilities such as oil refineries, iron and steel works, aluminum plants, nickel plants, thermal electric power plants, and transportation hubs that can be destroyed while minimizing collateral civilian casualties. In short, they are the essential components that constitute the sinews of modern societies. Their destruction would decimate the economic and industrial foundation of any country. Knowing that the attack on infrastructure would follow if any nation were unwise enough to attack the United States or its allies with nuclear weapons should be enough for a deterrent – to the extent anything is – to prevent an attack in the first place.” Men kan zich voorstellen dat officiële standpunten ook door nietstaatsactoren gelezen worden. Deze zijn niet zo afhankelijk van infrastructuur als een Natiestaat, maar kunnen wel dezelfde doelwitten bestoken om met hun meer beperkte middelen de economische en industriële fundamenten van deze Natiestaat te ondermijnen. Een essentieel onderdeel in het proces dat moet leiden tot bescherming van KI, is de identificatie ervan. Hiertoe dient men een evaluatie te maken van de producten of diensten met betrekking tot hun onontbeerlijkheid ten opzichte van de werking van de samenleving. Vervolgens moeten de kritische onderdelen ervan geïdentificeerd en naar waarde geschat worden. Concreet maakt men hier een evaluatie die antwoorden moet bieden op vragen m.b.t. het aantal slachtoffers dat te verwachten is met een aanval op de beschouwde installatie, de gevolgen voor de output indien een aanval zou uitgevoerd worden op een vaste installatie of een informatienetwerk, de beschikbaarheid van back-ups en de beschikbaarheid van materieel en manschappen in het kader van beproefde noodplanning. De antwoorden die men op deze vragen kan formuleren, zullen een evaluatie toelaten met betrekking tot de volgende stap: de bescherming van KI. De pragmatische benadering van dit probleem heeft voor gevolg dat een infrastructuur die als “kritisch” wordt bestempeld automatisch bescherming zal moeten genieten. Dit betekent concreet dat men over juridische middelen, personeel, materieel en budgetten moet kunnen beschikken om deze opdracht tot een goed einde te brengen.

1.5.7 Bescherming van kritische infrastructuur (Critical Infrastructure Protection -CIP- en Critical Information Infrastructure Protection -CIIP) Bescherming van kritische infrastructuur is een terminologie die pas sinds 1997 als dusdanig bekend werd91. De invulling van de betrokken

91

LEWIS, T., Critical Infrastructure Protection in Homeland Security: defending a networked nation. Wiley-Interscience, 2006, p.2.

61

sectoren in dit domein wordt tot op vandaag besproken. Men dient echter in te zien dat deze discussie eindeloos is, aangezien de antwoorden gegeven worden naargelang het belang dat men hecht aan bepaalde sectoren m.a.w. de perceptie die men heeft over de afhankelijkheid van de samenleving van de betrokken sectoren: antwoorden zijn o.m. cultuurgebonden. Het is dus niet verwonderlijk dat een universele invulling van deze definitie ontbreekt. Toch kan men het proces dat leidt naar de bescherming van KI als volgt voorstellen: Figuur 9: Schematische voorstelling van de bescherming van KI. Identificatie van KI

Waardeperceptie

(Her)evaluatie van tegenmaatregelen

Risicoanalyse

Dreigingsanalyse

Kwetsbaarheidsanalyse

In dit schema vindt men alle elementen terug die hoger reeds werden besproken. Het wordt ook duidelijk hoe de KI bij de risicoanalyse hoort en hoe belangrijk het is om op regelmatige tijdstippen de volledige cyclus te doorlopen: indien dit niet gebeurt, loopt men het gevaar te investeren in onaangepaste maatregelen. Naast de aangegeven vereiste om regelmatig de in figuur 9 weergegeven cyclus te doorlopen, moet nog bijkomende opmerkingen gemaakt worden: de methodologie gebaseerd op risicoanalyse vertrekkende vanuit een analyse van “dreiging”, “impact” en “gevoeligheid” is onder te brengen in de categorie Probabilistic Risk Assessment” (PRA) met als doel de bescherming van kritische infrastructuur na te streven Risk-based decision theory. Op zich is er niets mis met dat model, maar men moet wel voor ogen houden dat hier een aantal hypothesen aan verbonden zijn, nl.92:

92

•

De mogelijke incidenten moeten exhaustief weergegeven worden.

•

De incidenten kunnen niet simultaan plaatsgrijpen.

•

De probabiliteit van ieder scenario is accuraat genoeg om besluitvorming te garanderen.

LARACY, J., «Applying STAMP to Critical Infrastructure Protection», 2007 IEEE Conference on Technologies for Homeland Security, Woburn, May 16-17, 2007, pp.1-2.

62

Elementen die niet accuraat ingeschat kunnen worden door deze benaderingen zijn bijvoorbeeld menselijke factoren93, software-bugs, de algemene veiligheidscultuur van gebruikers en kinderziekten van systemen. Daarom stapt men vaak over op een benadering die gebaseerd is op het modelleren van netwerken en de interconnecties tussen de verschillende sectoren en incidenten. Hierdoor integreert men o.a. ook de mogelijkheid tot cascade-effecten. Vooral dit laatste probleem, dat de onderlinge afhankelijkheid van verschillende sectoren onderstreept, brengt bijkomende moeilijkheden aan het licht in de bescherming van een netwerk van systemen. Deze problematiek werd reeds in 2004 door ZIMMERMAN onderstreept94: de gevoeligheid van het geheel zal, omwille van netwerkvorming en afhankelijkheid, mogelijk frequenter onder belasting komen te staan, met verstrekkende gevolgen die langer zullen duren. Het dient nog vermeld dat ook de speltheorie betrokken kan worden in de benadering om tot een beste strategie te komen. Ook hier zijn hypotheses aan verbonden: •

Sluitende informatie over activiteiten van mogelijke vijanden is voorhanden ook indien ze van strategie veranderen.

•

De evaluatie van de activiteiten van tegenstrevers wordt anders gepercipieerd door de partijen, wat de identificatie van de beste strategie als uitkomst in het gedrang kan brengen95. In dit geval kunnen de sociale beperkingen vooropgesteld in Behavioral game theory een mogelijk antwoord leveren op het probleem96.

We dienen hier nog het belang te onderstrepen van het verschil tussen CIP en CIIP: CIP is zuiver op infrastructuur gericht en de ontwrichting/vernietiging kan aanleiding kan geven tot schade/doden. CIIP handelt over de bescherming van de informatie-infrastructuur en haar netwerken: de ontwrichtende gevolgen van schade zullen zich voornamelijk vertalen naar communicatieproblemen, wegvallen van diensten of het wegvallen van controle over procestechnologie. Men mag echter het verband van CIP met CIIP niet uit het oog verliezen: kritische informatieinfrastructuur kan bijvoorbeeld onderworpen worden aan aanvallen op

93

Zoals een aanpassing van de tactiek van de tegenstrever om beschermende maatregelen te ontwijken. Zie McGILL, W., AYYUB, B., KAMINSKIY, M., «Risk Analysis for Critical Asset Protection», in Risk Analysis, Vol. 27, N° 5, 2007, pp.1278 e.v.

94

ZIMMERMAN, R., « Decision making and the Vulnerability of Interdependent Critical Infrastructure », CREATE Report 04-005, Homeland Security Center, October 10, 2004 (draft), p.1 en 4.

95

Indien men de voordelen van de tegenstrever niet kan identificeren, wordt de bepaling van het NASH-evenwicht en dus ook de bepaling van de beste strategie onmogelijk.

96

ASHEIM, G., B., « Behavioral game theory », Lectures in game theory, Oslo University, spring 2009.

63

besturingssystemen97 van kritische infrastructuur. Om die reden kan men CIP beschouwen als een allesomvattende benadering in dien verstande dat CIIP ook deel uitmaakt van CIP. Men stelt vast dat in de problematiek van de bescherming van CI/CII, zoals eerder vermeld, een kosten- batenanalyse uitsluitsel zal moeten geven over wat te beschermen: niet alles kan beschermd worden en niet alle risico’s kunnen herleid worden tot het aanvaardbare minimum met aanvaardbare investeringen. Daarom zal men de aandacht moeten vestigen op doelwitten die de grootste waarschijnlijkheid hebben om onderhevig te zijn aan aanvallen. Alternatief kan men de aantrekkelijkheid van het doelwit verlagen door beschermingsmaatregelen die vetragend werken of de aanvaller verplichten om meer (en duurderde) middelen in te zetten. In dit opzicht is een proactieve houding te verkiezen boven een afwachtende houding. Onderschepping van illegale logistieke transporten via havens kunnen aanslagen verijdelen vooraleer er schade aangericht wordt, slachtoffers vallen, of via de informatie-infrastructuur geïnfiltreerd wordt en onherroepelijke schade induceert in tal van domeinen die de samenleving beheersen. Ook in het domein van de veiligheidsincidenten met betrekking tot deze informatieinfrastructuur kan men een trend waarnemen van toegenomen externe oorzaken. Figuur 9 illustreert de verschuiving die plaatsgreep ten gevolge van veiligheidsincidenten in de periode voor het jaar 2000 en daarna. Figuur 10: Evolutie van cyber-veiligheidsincidenten per type98.

Volledig in overeenkomst met de evolutie die men kan vaststellen met terroristische aanslagen (figuur 7) zien we een sterke toename van externe oorzaken tot bedreiging van cybernetwerken. Welke ook de oorzaak van dit fenomeen kan zijn, men dient ze in rekening te brengen tijdens de dreigingsen risicoanalyses om gunstige maatregelen te kunnen uitwerken. 97

Cyberaanvallen gericht op besturings- en/of controlesystemen die men catalogiseert onder het acroniem SCADA (Supervisory Control and Data Acquisition).

98

BYRES, E., LOWE, J., «The myths and Facts behind Cyber Security Risks for Industrial Control Systems», VDE Congress, Berlin, October 2004, pp.2-3.

64

1.6. Van samenstellende delen tot methodologie Uit de voorgestelde stappen kan men een rode draad trekken die terug te vinden is in iedere coherente risicoanalyse, vooropgesteld dat vermelde hypothesen in acht genomen worden en voldoende garanties bieden voor de efficiëntie van de maatregelen die zullen worden voorgesteld. Een mogelijke opeenvolging van stappen behelst: •

Identificatie van KI en vaststellen van waarden: bepalen van een catalogus op basis van vastgelegde criteria en internationale definities zoals voorgesteld in bijlage 2. De huidige CriViSen-lijst voldoet niet aan deze vereisten. Een luik cyberinfrastructuur is onontbeerlijk: mogelijk biedt de herziening van deze verouderde lijst naar nieuwe criteria oplossingen (zie verder).

•

Dreigingsanalyse: proactieve identificatie van elementen die KI op een of andere manier zouden kunnen bedreigen in de (nabije) toekomst. Verder dan een ad hoc analyse van potentiële incidenten, moet men ook strategische trends (zoals eerder gedefinieerd en omschreven in enkele sectoren) tijdig kunnen onderscheiden om een aangepaste reactie te ondernemen.

•

Kwetsbaarheidsanalyse: bepalen van de impact van een incident op KI rekening houdend met de gevoeligheid van de bestaande installaties voor een incident dat zich voordoet.

•

Risicoanalyse: men dient hier te vermelden dat een catalogus van bestaande risico’s reeds a priori uitgevoerd kan worden (zoals gebeurde tijdens de FRISK-studie). Hiertoe dient men een onderscheid te maken tussen de mogelijke risico’s naar oorzaak, aard, doelwit, aard van gevolgen, in overeenkomst met de vastgestelde definities. Een mogelijk resultaat van deze oefening is de lijst die in bijlage 3 gegeven wordt. Verschillende modellen kunnen toegepast worden om een classificatie van de risico’s te bekomen naar prioriteit. Belangrijk is dat men inziet dat deze prioriteiten een dynamische evolutie kennen: afhankelijk van de vastgestelde trends en dreigingen moet men de voorrang kunnen herschikken. Asymmetrische proliferatie zal zich ook aanpassen naar de maatregelen die werden voorzien: een ernstige CBRN dreiging kan bijvoorbeeld de aandacht 65

afleiden van een nakende of lopende cyberintrusie. Bovendien mag men in deze essentiële fase de afhankelijkheid van verschillende domeinen (en de cascadeeffecten van één enkel incident) niet uit het oog verliezen. Mogelijke praktische hulpmiddelen voor evaluatie van de veiligheid van KI (inclusief cyberveiligheid) werden in 2008 opgesteld door het Nederlandse Nationaal Adviescentrum Vitale Infrastructuur (NAVI)99: enerzijds is er een Handreiking Risicoanalyse100 en anderzijds een checklist voor cyber security101. •

Vastleggen of herziening van maatregelen in het kader van CIP en CIIP. Zoals men heeft vastgesteld dat de cyberinfrastructuur onderdeel uitmaakt van de KI, moet men ook hier specifieke maatregelen uitwerken in het kader van CIIP. Men moet ook rekening houden met het feit dat CIIP in dit kader onderdeel uitmaakt van het ruimer begrip CIP.

De maatregelen die zullen leiden tot de bescherming van kritische infrastructuur kunnen dan ondergebracht worden onder het risicobeheer met o.m.:

99

•

De middelen tot preventieve aanpak waarin ook de oefeningen/opleidingen kunnen ondergebracht worden (prevention, training and exercise).

•

De reactie op eerste signalen (mitigate).

•

De capaciteit om een lopend incident snel te kunnen detecteren (detection and early warning).

•

Het hoofd kunnen bieden tijdens het incident (respond).

•

De oorspronkelijke werking in goede conditie kunnen herstellen om uiteindelijk tot een normale situatie terug te kunnen keren (recovery).

•

Lessen trekken uit de gebeurtenissen (lessons learned).

Toegang Internet via http://www.navi-online.nl

100

101

Handreiking Risicoanalyse, Nationaal Adviescentrum Vitale Infrastructuur, Juni 2008. US-CCU Checklist voor cyber security, US cyber consequences unit, vertaald door het Nationaal Adviescentrum Vitale Infrastructuur, juni 2008.

66

1.7. Deelbesluit In dit gedeelte hebben we de definities willen verankeren omtrent begrippen als dreiging en dreigingsanalyse, impact en impactanalyse, risico en risicoanalyse. Dit heeft ons geleid tot de omschrijving van het asymmetrisch proliferatierisico, de invloed van preventiemaatregelen en het risicobeheer. Begrippen als kritische infrastructuur en kritische informatie-infrastructuur werden eveneens besproken. Wat de definities betreft, hebben we in een eerste gedeelte getracht om de incoherenties en discrepanties weg te werken. In elk van de onderdelen van de risicoanalyse tot en met de bescherming van de kritische infrastructuur kan men alternatieve invullingen van de definities terugvinden. Bedoeling was om op de voorgestelde definities verder te bouwen om in het vervolg van de studie een systematische aanpak van de problematiek te garanderen. De samenhang van de aangehaalde begrippen werd nagegaan om te komen tot een sluitende methodologie. In dit deel werd zeer bondig de problematiek van de bescherming van de kritische infrastructuur aangehaald. Dit heeft enkel als bedoeling om ook in deze domeinen de definities vast te leggen en duidelijk te stellen. De concrete invulling van de bescherming van KI zal in deel 2 meer uitgebreid aan bod komen door de respectievelijke benaderingen van de EU en de NAVO te belichten. Vervolgens worden pistes tot synergie onderzocht voor mogelijke toepassing op nationaal vlak.

67

68

Deel 2

Internationale benaderingen

2.1. EU-benadering 2.1.1. CIP Naast de terroristische aanslagen op de WTC torens en de metro’s in Londen en Madrid, heeft de tropische storm Katrina aangetoond dat natuurlijke rampen bestaande infrastructuur ernstig kunnen beschadigen. Langdurige ontwrichting van de goede werking van de maatschappij kan, zoals in deel 1 vermeld, te wijten zijn aan natuurlijke of menselijke oorzaken. Daarenboven moet men vaststellen dat politieke beslissingen eveneens gelijkaardige gevolgen kunnen hebben: een illustratie hiervan zijn de onderbrekingen van gastoevoer vanuit Rusland naar Europa tijdens de winter van 2008-2009. Ook de energiesector schijnt dus een essentieel onderdeel te zijn dat in beschouwing genomen dient te worden onder het aspect bescherming van kritische infrastructuur. Men moet bovendien het belang inzien van de interconnectie tussen de verschillende betrokken sectoren. Globalisatie heeft de kwetsbaarheid ten gevolge van deze interconnecties doen toenemen. Als gevolg daarvan zijn netwerken en diensten soms nauwelijks te onderscheiden in sommige sectoren als energie, informatieuitwisseling, communicatie, voedselveiligheid en transport. Cascade-effecten te wijten aan het falen in één sector, zijn dus zeker niet ondenkbaar. Een bijkomende moeilijkheid wordt veroorzaakt als gevolg van de liberalisering van de markteconomie en de privatisering van bedrijven: nationale overheden beschikken niet meer over de controle over alle sectoren die essentieel zijn voor de samenleving. Hierdoor kunnen nationale of supranationale belangen soms tegenstrijdig zijn met commerciële belangen van privébedrijven. Vooraleer over te kunnen gaan tot het beschermen van KI, hebben we vastgesteld dat men een cyclus moet doorlopen waarin risicoanalyse gevolgd wordt door de definitie van KI, het catalogiseren van KI en ten slotte het selecteren van maatregelen die de risico’s voor KI kunnen verlagen. Men komt echter snel tot de vaststelling dat, wat de definitie van KI betreft, andere maatstaven worden gehanteerd naargelang het land van oorsprong. Meer algemene benaderingen werden reeds gegeven en refereren ofwel naar het belang voor de systematische werking van de samenleving of nog naar de symbolische waarde van een installatie/infrastructuur. Nog een andere benadering berust op het feit of het “kritische” aspect te wijten is aan het doel van de infrastructuur, dan wel de gevolgen die het uitvallen ervan zou teweeg brengen op de samenleving. De praktische invulling van een KI-lijst is afhankelijk van een eenduidige methodologie, zoals uiteengezet in deel 1 van dit werk. Daarna volgt de uitdaging uit te maken of een infrastructuur nationaal dan wel regionaal als “kritisch” kan bestempeld worden. In het laatste geval is geen 70

gecentraliseerde actie vereist. Men mag echter niet uit het oog verliezen dat een uiteindelijke “lijst” gevoelige informatie kan bevatten niet alleen omwille van het feit dat de KI zelf wordt bloot gegeven, maar bovendien omwille van het feit dat een dergelijke lijst gevoelige veiligheidsinformatie kan bevatten. De regelmatige herziening van de lijst (en toetsen aan de nieuwe risico’s) is een essentieel onderdeel van de procedure tot bescherming van KI. Een poging om tot een Europese benadering te komen voor een definitie van KI kwam tot stand in 2005 door publicatie van een groenboek. In het kader van het European Programme for Critical Infrastructure Protection (EPCIP) werden respectievelijk 11 sectoren en 37 bijhorende diensten of producten voorgesteld om te lijsten als KI102 (zie bijlage 4). Het voorstel tot richtlijn weerhield 11 sectoren en 29 subsectoren. De EU-raad legde uiteindelijk op 8 december 2008 een richtlijn vast waarin slechts 2 sectoren en 8 subsectoren overbleven (energie en transport)103: de initiële verantwoordelijkheid voor de bescherming van KI blijft een nationale bevoegdheid. Belangrijk is het onderscheid dat gemaakt wordt tussen nationale KI en Europese KI: de Europese dimensie geldt vanaf een infrastructuur kritisch wordt beschouwd voor meer dan één lidstaat van de Unie. Naast de uiteindelijk vastgelegde sectoren is de EU zich ervan bewust dat KI ook buiten de Unie gelegen kan zijn. Hiermee werd nadrukkelijk het belang aangegeven van bijvoorbeeld pijpleidingen die de EU voorzien van ruwe olie en gas. Deze installaties transiteren via landen die grenzen aan de EU, maar vernietiging/misbruik ervan kan ongeziene gevolgen hebben voor de economie in de EU. Dit is precies geïllustreerd door het uitvallen van de aanvoer van gas vanuit Rusland. De interconnectie van de hedendaagse economie werd aangetoond door de economische crisis. Ook de onderbreking van diensten of de vernietiging van infrastructuur buiten de Unie kan gevolgen hebben voor de EU, delen ervan, en omgekeerd. Internationale samenwerking wordt in dit verband aangemoedigd om via sectorale akkoorden tot duurzame oplossingen te komen. Gezien de uitwisseling van informatie over dreiging en kwetsbaarheden een cruciale rol speelt in het geheel, werd duidelijk dat een specifiek netwerk noodzakelijk was. Deze taak werd toebedeeld aan het Critical Infrastructure Warning Information Network (CIWIN)104. Het netwerk bestaat uit twee functionaliteiten, nl. vooreerst een elektronisch forum voor de uitwisseling van informatie over de bescherming van KI. Daarnaast is er een functionaliteit 102

COM (2005) 576 final bevestigt in het voorstel tot richtlijn COM (2006) 787 final van 12 december 2006

103

Richtlijn 2008/114/EC van 8 december 2008 waarnaar de lidstaten zich moeten schikken tegen 12 januari 2011 (Art.12).

104

COM (2008) 676 final.

71

voor snelle waarschuwing waarmee lidstaten waarschuwingen kunnen melden aan de Commissie in verband met acute risico’s en bedreigingen voor KI. Alle lidstaten kunnen deelnemen in dit netwerk mits ondertekening ven een memorandum van overeenstemming. CIWIN is een netwerk dat de uitwisseling van informatie tussen lidstaten van de EU ondersteunt. De beveiliging ervan wordt nog besproken, terwijl de interne communicatie van de Commissie wordt ondersteund door het bestaande ARGUS-platform105. De financiële ondersteuning voor initiatieven om en rond EPCIP zal geleverd worden door het Specific Program for Prevention, Preparedness and Consequence Management of Terrorism and other Security Related Risks (CIPS) en dit tot 2013, overeenkomstig de termijn van het zevende kaderprogramma van de EU. In dit opzicht is de verwezenlijking van het EPCIP-programma een dynamisch proces. Zoals aangekondigd in de jaarlijkse overzichten werd de context als volgt vastgelegd106: “Within the competence of the European Community, the programme offers a comprehensive framework and contributes to the development of the European Programme for Critical Infrastructure Protection (EPCIP) as well as policy measures aiming at upholding, and/or guaranteeing security and public order during a crisis situation.” Bijkomende instrumenten voor de totstandkoming van EPCIP worden aangeleverd door consultatie van expertgroepen, uitwisseling van informatie en identificatie van afhankelijkheden. Vermelden we nog dat concreet, op gebied van civiele veiligheid, hulp gevraagd kan worden via het Civil Protection Monitoring and Information Centre (MIC): een waarschuwingssysteem van de Europese Commissie om wederzijdse hulp sneller op gang te brengen en te coördineren tussen lidstaten in geval van ernstige noodgevallen107. Op niveau van de Raad werd in 1987 nog een samenwerkingsplatform in het leven geroepen door de Ministers van de Raad van Europa onder de noemer EUR-OPA: volgens de tekst van de resolutie 87/2108, situeren haar 105

General Rapid Alert System is een intern netwerk voor de verspreiding van informatie binnen directies en diensten van de Commissie in crisisomstandigheden. Merk op dat een rationalisatie van de snelle waarschuwingsnetwerken binnen de EU een vereiste op zich vormen, die de coherentie van het ICT- netwerk ten goede zal komen (zie aanbevelingen).

106

http://ec.europa.eu/justice_home/funding/cips/printer/funding_cips_en. htm geraadpleegd op 13 juli 2009. De kalender van de activiteiten werd initieel bepaald door het EPCIP Action Plan zoals vastgelegd in bijlage van COM(2006)786 final.

107

Een dagelijks overzicht (MIC-Daily) van de lopende incidenten is beschikbaar via http://ec.europa.eu/environment/civil/index.htm geraadpleegd op 14 juli 2009.

108

“Setting up a co-operation group for the prevention of, protection against, and organization of relief in major natural and technological disasters.” In dit kader werden een aantal

72

bevoegdheden zich in het crisisbeheer van grootschalige rampen van natuurlijke of technologische oorsprong. Hiertoe wordt de samenwerking van de lidstaten aangemoedigd om in een multidisciplinair kader projecten te ontwikkelen die de sensibilisering en de weerbaarheid van de bevolking vergroten. Een algemeen overzicht van de deelnemende centra is weergegeven in bijlage 5. Teneinde een gemeenschappelijke werkbare basis te creëren terzake, bracht de Commissie in 2009 een document uit109 waarin de nood aan een coherente en gemeenschappelijke aanpak werd benadrukt in een efficiënt Europees kader. Hiertoe worden vier krachtlijnen uitgestippeld: •

Het bepalen van voorwaarden die het beheer toelaten om een politiek voor rampenpreventie uit te tekenen met kennis van zaken (gebaseerd op correcte en wetenschappelijk onderbouwde informatie).

•

Actoren en politiek van de rampenbeheersing samen te brengen.

•

Bestaande middelen beter uitbaten ten voordele van het voorkomen van rampen.

•

Versterking van internationale samenwerking op vlak van preventie.

Ontegensprekelijk legt dit document een gunstige basis voor een rationalisatie van de bestaande middelen en hun gebruik. Zoals we in de aanbevelingen zullen merken, zijn er nog mogelijkheden tot verbetering. Sinds 2000 werd door de EU-Raad een nieuwe permanente structuur in het leven geroepen met als opdracht het operationeel beheer van het civiele aspect van ESDP operaties nl. de Civil Planning and Conduct Capability (CPCC). Die staat onder politiek en strategisch toezicht van het Political and Security Committee (PSC-zie organogram bijlage 10110), op gelijk niveau met de militaire tak het EU Military Committee (EUMC). De directeur is de functionele overheid inzake planning van civiele capaciteit en expertise die beschikbaar is in de Militaire Staf (EUMS) (via de Civiele/Militaire cel) voor planning en uitvoering van de operationele civiele aspecten van crisisbeheersingsoperaties. In plaats stelling werd voorzien vanaf augustus 2007. Als voorbeeld van enkele operaties die onder de bevoegdheid van deze instantie vallen, kunnen we vernoemen: EUPM (Bosnië and Herzegovina), projecten opgestart, bijvoorbeeld een databank voor weergave van incidenten (EM-DAT) http://www.emdat.be/Database/terms.html geraadpleegd op 14 juli 2009. 109

COM (2009) 82 final van 23 februari 2009: A Community approach on the prevention of natural and man-made disasters.

110

PSC wordt ook geadviseerd door het Committee for Civilian Aspects for Crisis Management (CIVCOM) die informeert, aanbevelingen en opinies formuleert in het kader van civiele aspecten van crisisbeheersing.

73

EULEX (Kosovo), EUPOL (RD Congo), EU SSR (Guinea Bissau), EUBAM Rafah (Palestina), EUPOL COPPS (Palestina), EUJUST LEX (Irak) en EUPOL (Afghanistan). Ook in het voornoemde domein van rampenpreventie en rampenbeheersing in het kader van CIP zou dit organisme een niet te verwaarlozen rol kunnen spelen. Het is opvallend dat ook in deze materie de verspreiding van de verschillende verantwoordelijkheden naar voor komt. GYA omschreef het in 2008 als volgt voor het domein capacity and capability111: “Also required, is a stronger EU liaison between the CPCC (the Civilian Planning and Conduct Capability - directly responsible to the SG/HR Javier Solana) and DGE IX (civilian crisis management DG of the Council General Secretariat under DGE IX) – particularly visà-vis training and concepts.” Veel duidelijker wordt het niet als we er het origineel document op naslaan waarin gesteld wordt112: “The EUMC will provide guidance, through DGEUMS, on the military activities undertaken by the EUMS within the framework of civilian crisis management. Contributions by the EUMS for civilian aspects of crisis management remain under the functional responsibility of DGE IX for all activities (planning, Fact-Finding Missions, etc.) up to and including the development of the CMC and, where appropriate, CSO/PSOs. Once a decision to launch a mission is taken, these contributions come under the functional responsibility of DCPCC. Reporting on these activities to the CIVCOM will be conducted in accordance with established procedures on civilian aspects of crisis management.” Het is duidelijk dat zich een rationalisatie van de werking, de informatiestroom en de bevoegdheden opdringt.

2.1.2. CIIP In het vooruitzicht van het jaar 2000 kwam de angst op voor een millenniumbug op wereldniveau, die het hele informatienetwerk zou kunnen lam leggen. Al snel werd duidelijk dat zowel de informatie als de dragers en vectoren ervan, ernstig verstoord kunnen worden. Met CIIP doelt men dus de

111

GYA, G., JACQUEMET, O., « ESDP and EU-mission update. », in ISIS European Security Review, ISIS, N°39, July 2008.

112

Doc 7235/08 van 18 maart 2008 (COUNCIL DECISION amending Decision 2001/80/CFSP on the establishment of the Military Staff of the European Union), p.11.

74

bescherming van deze twee luiken. Hierbij moet men rekening houden met aspecten die fundamenteel verschillen van CIP: •

In principe is iedere burger klant van het informatienetwerk. Tevens vormt hij ook de zwakke schakel: niet iedereen is grondig geïnformeerd over de problemen omtrent beveiliging van informatie of dragers. Hierdoor wordt bescherming zeer moeilijk: gezien de wereldbevolking in principe toegang kan krijgen tot het netwerk, is de veiligheid nog moeilijker te garanderen in vergelijking met de CIP problematiek waar privébedrijven eigenaar zijn van de infrastructuur die beschermd dient te worden. Een herhaalde informatiecampagne ten voordele van de gebruiker zou zeker niet misstaan. Het Belgisch Instituut Voor Verkeersveiligheid (BIVV) organiseert regelmatig campagnes rond verkeersveiligheid. Een gelijkaardige aanpak door het Belgisch Instituut voor Posterijen en Telefonie (BIPT) in het kader van informatieveiligheid zou de klanten van het informatienetwerk elementaire veiligheidsinformatie kunnen verstrekken.

•

Een bijkomend element van onderscheid is de afwezigheid van begrenzing: wat het succes maakt van het informatienetwerk is tevens haar zwakste schakel. Nationale grenzen zijn totaal irrelevant, men kan dus niet meer spreken over een infrastructuur die voor één of meer lidstaten van belang kan zijn. Vooral deze sector is gevoelig voor cascadeeffecten. Daarom zal bijzondere aandacht besteed moeten worden aan een supranationale aanpak van de beschermingsproblematiek.

De cyberaanvallen op het netwerk van Estland zijn begonnen in april 2007 en hebben aangetoond dat gecoördineerde aanval op het netwerk van een Natie zowel privépersonen als de overheid konden treffen in hun dagelijkse werking om op die manier de samenleving lam te leggen. De gevolgen hebben velen wakker geschud en het gevaar doen inzien van gecoördineerde aanvallen op het cybernetwerk in combinatie met een fysische dreiging. De moeilijkheid in dit vakgebied is te vinden in de nationale benadering van CIIP: sommige landen vertrouwen die in grote mate toe aan de private sector (Zwitserland, Groot-Brittannië), terwijl anderen de voornaamste rol in handen van de overheid leggen, inclusief door inzet van militaire experten (Zweden, Frankrijk, VS). Het voorbeeld van Estland was een belangrijke test-case: het is ondertussen duidelijk dat een snelle waarschuwingsketen noodzakelijk is op supranationaal vlak. Verder wordt de aandacht gericht op een strafrechtelijke benadering van cybermisdrijven. Ingevolge de vastgestelde tekorten in Estland, hebben de G8 besloten om een netwerk op te richten voor de coördinatie om het gebruik van het Internet voor terroristische doeleinden te ontzeggen. De wettelijke basis voor deze actie is te vinden in de verordening 75

van de Ministeriële Raad van de Organisatie voor Veiligheid en Samenwerking in Europa (OVSE)113: samenwerking wordt door de Action Against Terrorism Unit (ATU) gepromoot op basis van het bestaande G8 24/7 Computer Crime Network, dat ook als centraal orgaan kan fungeren voor het detecteren van ongeoorloofde netwerkmisbruiken en cyberterrorisme. Iedere lidstaat heeft een contactpersoon (POC) in deze werkgroep: België heeft deze taak toevertrouwd aan het FCCU van de Federale Politie. De EU heeft eveneens een aantal initiatieven genomen om de strijd tegen cyberaanvallen beter te coördineren. In dat opzicht was de krachtlijn van de acties o.m. gericht op het coördineren van nationale initiatieven: het beoogt een harmonisatie van nationale wetgeving met wettelijke voorziening voor de bescherming van gegevens en privacy (hoewel dit laatste ook in het voordeel van de georganiseerde misdaad kan werken). Bovendien werd een Europees Netwerk voor Informatieveiligheid (ENISA) opgericht114. Hoewel het geen operationele bevoegdheid heeft in de bestrijding van cyberaanvallen, werkt het agentschap als expertiseplatform. De vaststelling dat er geen grensoverschrijdende samenwerking was op gebied van netwerk- en informatieveiligheid heeft ertoe geleid dat een nauwere samenwerking werd aangemoedigd tussen lidstaten om problemen omtrent IIP te voorkomen, en wanneer nodig te bestrijden. Tot dit doel werden de bevoegdheden van ENISA vastgelegd als volgt115: •

De Europese Commissie (EC) en de lidstaten bijstaan en adviseren over informatieveiligheid en problemen met betrekking tot software of hardware aanpakken in samenspraak met de producenten. Als expertisecentrum is dit de taak bij uitstek voor dit Agentschap.

•

Verzamelen en analyseren van gegevens met betrekking tot veiligheidsincidenten in Europa; behandelen van nieuwe risico’s.

•

Risicoevaluatie en risicobeheersing promoten om de capaciteit te verbeteren om veiligheidsrisico’s aan te pakken.

•

Uitwisseling van informatie en samenwerking tussen de verschillende actoren in de informatieveiligheid, meer bepaald door partnerschappen tussen de private en de publieke sector.

113

OVSE MC Decision 7/06.

114

European Network and Information Security Agency (ENISA). Gelegen te Heraklion, Kreta.

115

COM (2007) 861 final, p.18.

76

•

Bijhouden van ontwikkeling van standaardnormen voor producten en diensten gericht op de netwerk- en informatiesamenleving.

•

Interoperabiliteit van netwerken en informatieplatformen garanderen wanneer lidstaten technische vereisten aanpassen die de veiligheid in het gedrang brengen.

•

Internationale samenwerking ondersteunen, wat meer en meer vereist is gezien de globale problematiek in deze sector.

Initieel aangesteld op 14 maart 2004 voor een periode van vijf jaar116, werd het mandaat verlengd tot 13 maart 2011. Daarna, met het oog op de beslissingen van 2007 te bekrachtigen met betrekking tot de kaderwetten van de telecommunicatiesector, zou de European Electronic Communications Market Authority (EECMA) de bevoegdheid van ENISA erbij nemen117. Ook in het kader van het zesde kaderprogramma (6FP), heeft de EU vooruitgang willen boeken in dit domein. Men kan in de studie van het CI²RCO project118 de agenda erop naslaan: “The Agenda is structured around the following eight groups of R&D topics: 1. Holistic system security. 2. Risk management & vulnerability analysis. 3. Prevention & detection. 4. Incident response & recovery. 5. Survivability of systems. 6. Polices and Legal environment. 7. Fundamental research and development. 8. Non-technological issues which compromise CIIP.” Het project was bedoeld om de achterstand ten opzichte van de transatlantische initiatieven in te halen onder leiding van een consortium geleid door Duistland, Frankrijk, Italië, Zwitserland en Nederland. Merk op dat agendapunten 1 en 8 specifiek gericht zijn op het aspecten die interafhankelijkheid van sectoren benadert, hetgeen een essentieel element is, wil men cascade-effecten kunnen bedwingen. Bijlage 6 herneemt het actieplan om de voorgestelde agenda na te leven.

116

Regulation (EC) N°460/2004.

117

COM (2007) 699.

118

Critical Information Infrastructure Research Co-ordination (CI²RCO) project Onderzoek opgestart van 01 maart 2005 tot 28 februari 2007. Critical Information Infrastructure. The CI²RCO project: Towards a European Research Agenda. The CI²RCO consortium, 2007, p.13.

77

Sinds de EU-Raad haar strategie publiceerde voor een veilige informatiegemeenschap in Europa119, werden hernieuwde initiatieven genomen in het kader van doorgedreven R&D actieplan. Zo verscheen in maart 2007 het rapport van de ARECI-studie120 die de zwakke schakels van de communicatie-infrastructuur lijst. Anders dan de traditionele benadering vanuit een bestaande dreiging, gaat men uit van de bestaande zwakheden. Deze kennis laat toe om verbeteringen aan te brengen die iedere aanval zou moeten kunnen weerstaan. Bijlage 7 geeft een overzicht van de vastgestelde domeinen en de specifieke onderdelen die de zwakheid van het netwerk determineren. In het kader van het eEurope 2005 Action Plan121 werd een tussentijds rapport uitgegeven waarin men tot de vaststelling komt dat de technische evolutie op vlak van ICT veruit de wettelijke activiteit in dit domein overstijgt122. Daarenboven is men zich wel degelijk bewust van de fragmentatie tussen lidstaten van capaciteit in het domein van ICT. De nood bestaat om op Europees niveau initiatieven te ontwikkelen die zowel de competitiviteit bevorderen, alsook deze kloof tussen de koplopers en de rest van de groep te dichten. Hiertoe werd een “landenprofiel” opgesteld en het actieplan vastgelegd tot 2010 (zie bijlage 8). Men dient er zich bewust van te zijn dat een tekort of een discrepantie in ICT-capaciteit tussen de lidstaten onderling, het veiligheidsprobleem niet eenvoudiger maakt. De keten is immers zo sterk als haar zwakste schakel, ook in het ICT-domein. Daarom dient de bestaande capaciteitskloof zeker gelijktijdig met een coherente veiligheidsvoorziening opgelost te worden. Met als doel Europa te beschermen tegen grootschalige cyberaanvallen, vaardigde de Europese Commissie een document uit dat duidelijke actiepunten vastlegt in verschillende domeinen123: Tabel 1: actiepunten van de Europese Commissie Preparedness and prevention

Baseline of capabilities and services for pan-European cooperation

target: end of 2010 for agreeing on minimum standards; end of 2011 for establishing well functioning National/Governmental

119

2007/C 68/01.

120

Availability and Robustness of Electronic Communications Infrastructures.

121

CR Doc 5197/03.

122

Preparing Europe’s digital future. i2010 Mid-Term Review. European Commission, April 2008, p.13.

123

COM (2009) 149 final, pp.8-11.

78

European Public Private Partnership for Resilience (EP3R)

European Forum for information sharing between Member States Detection and response

European Information Sharing and Alert System (EISAS)

Mitigation and recovery

National contingency planning exercises

Pan-European exercises on large-scale network security incidents

Reinforced cooperation between National/Governmental CERTs

CERTs in all Member States124. target: end of 2009 for a roadmap and plan for EP3R; mid of 2010 for establishing EP3R; end of 2010 for EP3R to produce the first results125. target: end of 2009 for launching the Forum; end of 2010 for delivering the first results. target: end of 2010 to complete the prototyping projects; end of 2010 for the roadmap towards a European system target: end of 2010 for running at least one national level exercise in every Member State126. target: end of 2010 for the design and run of the first pan-European exercise; end of 2010 for pan-European participation in international exercises127. target: end of 2010 for doubling the number of national bodies participating in EGC: end of 2010 for ENISA to develop reference materials

124

Op het ogenblik van redactie bestaat de European Government CERTs group (zie http://www.egc-group.org/) slechts uit delegaties van Finland, Frankrijk, Duistland, Hongarije, Nederland, Noorwegen, Zweden, Spanje en het Verenigd Koninkrijk. België beschikt sinds september 2009 over een nationaal en een militair CERT, maar het gebrek aan eenduidige definities zorgt voor een enorme achterstand ten opzichte van de andere lidstaten. Bij wijze van illustratie kan men aanvullen dat in het vooruitzicht van de Olympische spelen van Beijing 2008, cyberoefeningen werden georganiseerd door het Asia Pacific Computer Emergency Response Team (APCERT- zie http://www.apcert.org/ geraadpleegd op 10 juli 2008).

125

In dit kader wordt nationaal het “private public partnership” reeds gepromoot door de Federal Computer Crime Unit (FCCU) om vooruitgang te kunnen boeken ondanks het toenmalig gebrek aan nationaal CERT.

126

Benadrukken we hier het belang om te beschikken over een operationele CERT of CSIRT in het kader van dergelijke oefeningen. 127 Ook hier is achterstand vast te stellen in vergelijking met de activiteiten buiten Europa: Australië publiceerde in 2008 het verslag van de tweede nationale oefening “Cyber Storm II”.

79

International cooperation

European priorities on long term Internet resilience and stability Principles and guidelines for Internet resilience and stability(European level)

Principles and guidelines for Internet resilience and stability (global level)

Global exercises on recovery and mitigation of large scale Internet incidents

Criteria for European Critical Infrastructures in the ICT sector

ICT sector specific criteria

to support pan-European cooperation128. target: end of 2010 for EU priorities in critical Internet components and issues. target: end of 2009 for a European roadmap towards principles and guidelines for Internet resilience and stability; end of 2010 for agreeing on the first draft of such principles and guidelines. target: beginning of 2010 for a roadmap for international cooperation on principles and guidelines for security and resilience; end of 2010 for the first draft of internationally recognized principles and guidelines to be discussed with third countries and in relevant for a including the Internet Governance Forum. target: end of 2010 for the Commission to propose a framework and a roadmap to support the European involvement and participation in global exercises on recovery and mitigation of large-scale Internet incidents. target: first half of 2010 for the Commission to define the criteria for the European critical infrastructures for the ICT sector.

Het is duidelijk dat ICT hierin beschouwd wordt als een essentieel element in de Europese KI. Het directe gevolg hiervan is dat de sector ICT opnieuw opgenomen dient te worden in het EPCIP programma. Indien men er het begeleidende document op de bewuste communicatie op naslaat129, komt

128

80

Op 4 augustus 2009 was een aankondiging te vinden op http://belsec .skynetblogs.be/post/7190683/a-real-cert-in-belgium-to-be-established (geraadpleegd op 18 augustus 2009) betreffende de imminente creatie van een Nationaal Belgisch Gouvernementeel CERT.

men tot de vaststelling dat de impactstudie een beleid van vrijwillige toepassing van het actieplan verkoos boven een wettelijk bindend kader (bijvoorbeeld onder de vorm van een verordening). Reden hiervoor is te zoeken bij de verschillende nationale benaderingen van informatiebeveiliging, de operationele verantwoordelijkheid van de private sector en het voorlopige gebrek aan uitwisseling van informatie tussen openbare en private sector. Voor de volledigheid dient nog vermeld dat er studies lopende/gepubliceerd zijn in 2009 in het kader van EU-strategie en onderzoek naar CIIP. In bijlage 9 kan men een bondig overzicht vinden van referenties en resultaten die o.m. kaderen in het Community Research and Development Information Service (CORDIS) Framework Programme 7 (Studies on EU Policy Initiative on Critical Communication and Information Infrastructure Protection)130. Meer dan 90 onderzoeksprojecten werden reeds door het zevende kaderprogramma gefinancierd om een beeld te krijgen van de toekomstige evolutie van het Internet en haar afgeleide toepassingen en beveiliging131.

2.1.3. WISSELWERKING EN AFHANKELIJKHEID TUSSEN CI(I)P We hebben vermeld dat de EU de verantwoordelijkheden voor wetgeving en beheer aan de lidstaten laat. Nochtans stelt men vast dat niet alle lidstaten op dezelfde manier vordering boeken in de uitvoering van de richtlijnen. Het is dus belangrijk dat de lidstaten hun inspanningen op elkaar afstemmen om de beoogde doelstellingen van de actieplannen te bereiken. Wat de wisselwerking tussen verschillende sectoren betreft (onder EPCIP bijvoorbeeld), kan men vaststellen dat elektrische-, gas-, en olievoorzieningen ondergebracht zijn in de energiesector. Electriciteit kan echter afhankelijk zijn van olie en gasproductie (of omgekeerd). Bovendien heeft die infrastructuur controle- en bestuurssystemen (Supervisory Control and Data Acquisition-SCADA). Deze systemen zijn ook in wisselwerking met elkaar en bovendien onderhevig aan een hele reeks gevoeligheden die werden vermeld in bijlage 7. In de transportsector kunnen we het treinverkeer, luchtverkeer en zeetransport onderbrengen. Communicatie is echter essentieel in al deze subsectoren! Afhankelijkheden die men niet uit het oog mag verliezen, kunnen fysisch van aard zijn (bijvoorbeeld de output van een productielijn die gebruikt wordt in een andere infrastructuur). Cyberafhankelijkheid kan men 129

SEC(2009) 400 van 30 maart 2009.

130

Het EU FP7 loopt van 2007-2013.

131

TSELENTIS, G., et al., Towards The Future Internet. A European Research Perspective. IOS Press, 2009.

81

illustreren aan de hand van het belang van interfaces en databaseverbindingen. Geografische afhankelijkheid kan betrekking hebben op bruggen of wegen die gemeenschappelijke aanvoerroutes zijn voor verschillende KI. Het belang van de wisselwerking en de afhankelijkheden is duidelijk: zij vormen een essentieel onderdeel in de beoordeling van de gevoeligheid van het systeem. Niet alleen de sectoren of subsectoren afzonderlijk vormen een KI. Niet alleen scenario’s die deze sectoren individueel betrekken vormen risico’s! Ook de afhankelijkheid van de sectoren onderling is belangrijk voor de scenario’s indien men cascade-effecten in beschouwing wil nemen. In dit specifieke domein is eveneens onderzoek verricht (o.a. door de EU). In het kader van het 6th framework programme, werd onder project 004547 een werk afgeleverd met als titel ICT security & Dependability Research beyond 2010: Final strategy. In aanloop van het 7th framework programme worden de prioriteiten in het onderzoek voor de toekomst als volgt verdeeld132: •

Empowerment of stakeholders.

•

Europe-specific Security & Dependability.

•

Infrastructure robustness and availability.

•

Interoperability.

•

Processes for developing Secure & Dependable systems.

•

Security and Dependability Preservation.

•

User-centric security and dependability standardization.

•

Security and Architectures.

•

Technologies for security.

dependability

of

Service

Oriented

In datzelfde kader werd door ENEA133 onderzoek verricht naar complexe netwerken en interafhankelijkheid of ontwrichting van verbonden netwerken. Een van de resultaten is terug te vinden op de internetsite van ENEA: het betreft een instrument om analyse uit te voeren naar de gevoeligheid en de onderlinge afhankelijkheid van complexe

132

SecurIST ICT Security & Dependability Research beyond 2010: Final strategy. Deliverable 3.3 of the 6th framework programme. Project 004547, January 2007, p.37 e.v.

133

Ente per le Nuove technologie, l’Energia e l’Ambiente (Italian National Agency for New Technologies).

82

netwerkstructuren (Network Analysis Tool134). Ander wetenschappelijk onderzoek met betrekking tot de afhankelijkheid van een elektriciteitsnetwerk en een communicatienetwerk werd onder meer voortgebracht door de groep rond ROSATO et al135. Dit type onderzoeken is van cruciaal belang in het proces van risicoanalyses door toedoen van de afhankelijkheid van systemen onderling. Hierdoor kan a priori inzicht ontstaan in de cascade-effecten die een KI op een andere kan veroorzaken.

2.1.4. MILITAIRE BENADERING VAN CI(I)P BINNEN DE EU Gezien de verdeling der bevoegdheden over de drie pijlers van de EU, moet men een zicht krijgen op de stand van zaken met betrekking tot activiteiten/doctrines die in dit kader binnen de EU bestaan. De militaire structuur van de EU die past in de European Security and Defence Policy (ESDP) valt onder de tweede pijler van de organisatie. Op representatief gebied leiden de ambassadeurs de nationale vertegenwoordiging binnen het Political and Security Committee (PSC)136 om het Europees veiligheids- en defensiebeleid te bepalen. Het hoogste militair orgaan in de EU-Raad wordt gematerialiseerd door het EU-Military Committee (EUMC)137 waarin de militaire vertegenwoordigers van de lidstaten zetelen om het PSC bij te staan in militaire aangelegenheden. De militaire staf van de EU (European Union Military Staff-EUMS)138 staat in voor de verbinding tussen de EUMC en de militaire capaciteit die beschikbaar is binnen de EU. Bovendien is het de bron van militaire expertise ten voordele van de organisatie van de EU onder toezicht van het EUMC. De volledige taakbeschrijving en organisatie van de EUMS wordt beschreven in het document vermeld in voetnoot 138 het organogram is terug te vinden in bijlage 10. Belangrijk hier is dat alle vereisten en doctrines in verband met CIIP geproduceerd worden door de afdeling Requirements (CIS). Binnen het kader van ESDP, werden Computer Network Operations (CNO) door het EU Militair Comité aan het EDA voorgelegd voor analyse. Gezien deze taak niet paste binnen het kader van het EDA, werd de uitwerking van een concept CNO toevertrouwd aan de dienst CIS van de Europese Militaire Staf. We 134

Beschikbaar via http://irriis.nat.ylichron.it/ geraadpleegd op 08 juli 2009.

135

ROSATO, V., ISSACHAROFF, L., TIRITICCO, F., MELONI, S., DE PORCELLINIS, S., SETOLA, R., «Modelling interdependent infrastructures using interacting dynamic models.» Int.J.Critical Infrastructures, Vol 4, Nos.1/2, pp.63-79, 2008.

136

In het leven geroepen door de beslissing van de Raad op 22 januari 2001 (2001/78/CFSP).

137

In het leven geroepen door de beslissing van de Raad op 22 januari 2001 (2001/79/CFSP).

138

Beslissing van de Raad van 10 mei 2005 (2005/395/CFSP amending Decision 2001/80/CFSP).

83

moeten hier opmerken dat CNO veel verder gaat dan CIIP: het behelst zowel verdediging tegen aanval, uitbating van gegevens, als offensieve operaties. De expertise hiervoor is echter verdeeld over lidstaten, daarom werd op 4 juni 2009 een workshop georganiseerd. Daar werden volgende vragen behandeld als: welke zijn de beschikbare technieken, wie is betrokken, onder welke omstandigheden is de capaciteit te gebruiken? Duidelijk is dat de militairen op zichzelf geen beveiligd netwerk kunnen uitbouwen, tenzij zich volledig af te zonderen met hun operationeel netwerk. Anderzijds kan men zorgen voor een beveiligde integratie van de militaire- en burgernetwerken ten minste voor wat de verdedigingscapaciteit betreft. In september 2009 schreef men nog een ontwerp concept uit voor Computer Network Operations, document dat ondertussen uitgebracht werd met veiligheidsclassificatie. Merken we nog op dat de deze benadering fundamenteel verschilt van de NAVO-benadering zoals we verder zullen zien. Voor het ogenblik spreekt de NAVO in haar concept enkel over cyberdefence. Offensieve capaciteit wordt niet vermeld, hoewel het in de toekomst een van de aandachtspunten zal zijn. Om dit gedeelte af te sluiten, moeten we nog vermelden dat ook in de derde EU-pijler (Freedom, Security and Justice), afdelingen in het kader van strijd tegen het terrorisme toegespitst zijn op CIP (en dus ook voor een deel CIIP aangezien het EPCIP programma de opname van ICT in de betrokken sectoren onderschrijft). Een rationalisering van de werking binnen het domein CIP/CIIP zou een geïntegreerde en coherente aanpak misschien ten goede komen. Het in voege treden van het verdrag van Lissabon zou de verspreiding van de bevoegdheden over de verschillende pijlers in de richting van die rationalisatie moeten drukken. Dit zou de coördinatie en de efficiëntie ten goede moeten komen. De coherentie in het buitenlands beleid zou zich kunnen kristalliseren in de European External Action Service (EEAS): daar waar de militaire rol van de EU in de tweede pijler te vinden was, zien we in het geval van CI(I)P gedeelde bevoegdheden over de derde en de eerste pijler. Het ware opportuun om alle inspanningen te centraliseren. We komen hierop terug in het gedeelte aanbevelingen. De tot hiertoe gespreide rolverdeling in dezelfde deelgebieden CI(I)P was reeds onderwerp van eerdere discussie. Zo was het ook een van de beschouwingen die geformuleerd werden tijdens een seminarie omtrent de rol van cyberveiligheid binnen Common Foreign and Security Policy (CFSP) EU139: “At the Union level sizeable efforts to address cyber threats are already taken under the First and Third Pillars. The central question at the seminar was whether to address the cyber threat

139

84

General Secretariat of the Council of the EU and the EU Institute for Security Studies, « Cyber Security: What Role for CFSP? », Seminar held in Brussels on 4 February 2009. Institute Report IESUE/SEM(09)04, 10 March 2009, p.4.

under the Second Pillar too and to seek more comprehensive cross-pillar approach.” Uit voorgaande weet men dat men in de tweede pijler ondertussen werk heeft gemaakt van een concept omtrent CNO, welke de praktische invulling van dit begrip in de toekomst ook moge krijgen.

85

2.2. NAVO-benadering De rol die weggelegd is voor het militaire aspect is meestal ondersteunend (behalve enkele nationale uitzonderingen waar ook preventief troepen ingezet worden bij de afkondiging van een alarmfase). De NAVOmiddelen die een rol spelen in CIP en CIIP zijn gelijst in bijlage 11. De vijf scenario’s waarin de NAVO verondersteld wordt een rol te spelen zijn140: •

Ondersteuning van operaties van de Alliantie onder mandaat van Artikel 5.

•

Ondersteuning van crisisrespons operaties die niet onder Artikel 5 mandaat vallen.

•

Ondersteuning van nationale autoriteiten in burgerlijke noodsituaties.

•

Ondersteuning van nationale autoriteiten voor de bescherming van de bevolking tegen het gebruik van massavernietigingswapens.

•

Samenwerking met partners op het vlak van noodplanning.

Om Civil Emergency Planning (CEP) met een gecoördineerde aanpak te garanderen, is de belangrijkste rol onder de North Atlantic Council (NAC), toebedeeld aan het Senior Civil Emergency Planning Committee (SCEPC). CEP is een belangrijke activiteit in de voorbereiding van rampenbestrijding en is gericht op het coördineren van nationale middelen. In het kader van natuurlijke en veroorzaakte rampen bestaan er akkoorden die de rol van de NAVO vastleggen tijdens noodtoestanden. Zo zijn er het “NATO Policy on Disaster Assistance in Peacetime” van 9 mei 1995 en de verklaring “Enhanced Practical cooperation in the field of Disaster Relief” van 29 mei 1998. Bovendien erkent het Strategisch Concept van de NAVO van 1999 dat ernstige rampen een weerslag kunnen hebben op veiligheid en stabiliteit. In de nasleep van de aanslagen van 11 september 2001 werd tijdens de NAVO-top van Praag141 de aanzet gegeven tot het bepalen van een Civil Emergency Action Plan. Hierin wordt voorgesteld om een catalogus van alle beschikbare nationale middelen op te stellen in het kader van hulpverlening. Bovendien 140

Voor een exhaustive beschrijving voor de rol van de NAVO in noodplanning zie NATO Handbook, Public Diplomacy Division, Brussels, 2006, pp.297-302.

141

21-22 november 2002.

86

werden oefeningen voorzien om de interoperabiliteit in dit domein te toetsen en eventueel te verbeteren. Tijdens dezelfde top werd het Partnership Action Plan against Terrorism uitgegeven. In april 2005 werd door SCEPC een aangepast actieplan goedgekeurd om de inspanningen ook te laten gelden tijdens en na terroristische CBRN-aanslagen142. In dit plan wordt o.m. aandacht besteed aan de bescherming van KI en hulpverlening aan slachtoffers. De operationele entiteiten van de NAVO die voornamelijk tijdens de responsfase van rampenbestrijding in actie treden zijn het Euro-Atlantic Disaster Response Coordination Centre (EADRCC) en de Euro-Atlantic Disaster Response Unit (EADRU), beiden opgericht in juni 1998 te Brussel (NAVO-hoofdkwartier). Daar waar EADRCC voornamelijk een verzamelpunt voor informatie en een coördinatieorgaan voor de hulpverlening betreft, is het EADRU een multinationale smeltkroes van burgers en militairen die door de NAVO vrijwillig ter beschikking gesteld kunnen worden in noodgevallen ten gevolge van natuurlijke of terroristische calamiteiten. De operationele entiteiten binnen NAVO in het kader van ondersteuning bij noodplanning zijn dus het EADRCC en het EADRU. De belangrijkste verantwoordelijkheden zijn gericht op de coördinatie van nationale middelen en centralisatie van de informatie. Een bijkomend aspect naast de ondersteuning van burgermiddelen, is het feit dat militaire operaties vaak steunen op CIP en CIIP. De burgermiddelen moeten dus ook de militaire operaties kunnen helpen. Een voorbeeld hiervan kan men vinden in de betrokkenheid van de transportcomités van het SCEPC (zie verder) voor het identificeren van beschikbare transportmiddelen ten voordele van militaire operaties. CIP en CIIP zijn dus van cruciaal belang voor de Alliantie. Dit beperkt zich niet tot het land van oorsprong van de troepen, maar ook in expeditionaire capaciteit. Daarom is de bescherming van KI een essentieel aspect van alle NAVOopdrachten.

2.2.1. CIP In 2001, en de aanslagen van 9/11 zijn er niet vreemd aan, werd voor de eerste maal de paraatheid van lidstaten nagegaan in domeinen van CIP (planning en lijsten van infrastructuur). Dit mondde uit in een Concept Paper on CIP, opgesteld door SCEPC. Belangrijkste objectieven zijn samen te vatten in de uitwisseling van informatie omtrent CIP tussen belanghebbenden, bijstand en ontwikkeling van training- en opleidingsprogramma’s, bijdragen tot de identificatie van KI, bepalen van onderzoeksprojecten ter ondersteuning van CIP en het begeleiden van oefeningen in het kader van CIP. De Planning 142

Updated Action plan for the Improvement of Civil Preparedness for possible CBRN terrorist attacks.

87

Boards and Committees (PB&Cs) van het SCEPC (zie bijlage 11) hebben in dit kader de nodige studies opgestart. Nationale experten van de overheid en uit de industrie, alsook militaire vertegenwoordigers coördineren planning in acht technische vakgebieden die door deze PB&Cs worden bestreken: burgerluchtvaart, civiele bescherming, voedselveiligheid, industriële productie en logistiek, binnenlands oppervlaktetransport, medische aangelegenheden, scheepvaart, elektronische burgercommunicaties. Naast CEP hebben de Staatshoofden en Regeringsleiders in 2004 besloten om de nadruk te leggen op de ontwikkeling van spitstechnologie voor de bescherming van militaire capaciteit en troepen. CIP is één van de elf prioriteiten van het Programme of Work in het kader van het programma verdediging tegen terrorisme (Defence Against Terrorism Programme of Work). In 2005 werd door België voorgesteld om CIP bij de lijst te voegen en dit aspect wordt dan ook door België gestuurd: militaire kennis, technologie en capaciteit worden aangewend om de bescherming van strategische sites te beschermen op het territorium van geallieerden (zoals luchthavens, kerncentrales, communicatienetwerken etc.).

2.2.2. CIIP Sinds de NAVO-operaties in de Balkan werden regelmatig Distributed Denial of Service (DDoS) aanvallen ervaren op de netwerken van de Alliantie. Als gevolg hiervan werden een aantal taken in het domein van cyber defence uitgewerkt en toegeschreven aan specifieke agentschappen binnen de NAVOstructuur. Voor een algemeen overzicht van alle betrokken actoren bij cyber defence, verwijzen we naar bijlage 11143. Hoewel de NC3-organisatie afhangt van het militair comité, moeten we voor de volledigheid vermelden dat de NC3 Board rapporteert aan de NAC. De toebedeling van de verantwoordelijkheden is gegroeid samen met de activiteiten van de NAVO. Tijdens de NAVO-top van Praag werd besloten een technisch NATO Cyber Defence Programme op te starten met een Computer Incident Response Capability (NCIRC)144. Het coördinatiecentrum van deze capaciteit is gevestigd in het NAVO-hoofdkwartier te Brussel, terwijl het technisch centrum in Mons gevestigd is. In april/mei 2007 werd Estland bestookt door cyberaanvallen van het type DDoS. De impact op de Estse samenleving van deze aanvallen was zo ingrijpend, dat Estland voorstelde om een expertisecentrum op te richten om samenwerking tussen de NAVO-lidstaten te bevorderen, training uit te voeren en wettelijke voorschriften uit te werken om de weerbaarheid te versterken: het Cooperative Cyber Defence Centre of Excellence (CCD CoE-Talinn) werd in het leven geroepen met een duidelijk 143

Een meer uitgebreid organogram van de organisatie is terug te vinden in bijlage 12.

144

MCM-064-02 van 2 juli 2002 (bijlage AC/322-D/0056).

88

kader m.n. het NAVO-beleid omtrent cyber defence. Naast het CCD CoE (operationeel sinds april 2008), werd de Cyber Defence Management Authority (CDMA) gecreëerd145 (eveneens operationeel sinds april 2008; geaccrediteerd sinds oktober 2008). In tegenstelling tot het CCD CoE, dat vooral de rol van intellectueel platform en forum vervult, is met de CDMA een operationele capaciteit in het leven geroepen die verantwoordelijk is voor de initiatie en coördinatie van onmiddellijke en efficiënte actie op vlak van cyber defence waar vereist. In de praktijk is deze autoriteit belast met het sturen van het eerder vernoemde NCIRC dat organiek afhangt van het NATO Communications and Information Systems Services Agency (NCSA)-zie verder. De NAC heeft controle over de politiek en activiteiten omtrent cyber defence. In januari 2008 werd de cyber defence policy goedgekeurd146. Het NATO Consultation, Command and Control Agency (NC3A) en het NATO Military Committee (MC) hebben de verantwoordelijkheid deze ten uitvoer te brengen147 en hebben daartoe een werkingsconcept uitgewerkt148. Het NCIRC zal de praktische uitvoerder zijn om gepast te reageren tegenover iedere vastgestelde aanval. Maandelijks rapporteert NCIRC de waargenomen cyberincidenten of aanvallen op het NAVO-netwerk onder de vorm van een incidentenrapport. De modaliteiten van het gekozen beleid zijn geclassificeerd, maar men mag verwachten dat de taken van het CCD CoE volledig in overeenstemming zijn met de vastgelegde beleidskrachtlijnen149: •

De Alliantie voorzien van doctrines en concepten met betrekking tot cyber defence.

•

NAVO-lidstaten begeleiden aan de hand van training, lessen, en oefeningen.

•

Research and development in het domein.

•

Bestudering van aanvallen uit het verleden om er lessen uit te trekken.

•

Advies verlenen tijdens aanvallen die lopen.

145

NC3 Board on NATO Cyber Defence Management Authority AC/322-D(2008)0012-AS1 van 13 maart 2008.

146

C-M(2007)0120 van 20 december 2007.

147

NATO Cyber Defence Concept MC 0571 van 21 februari 2008.

148

CDMA Concept of Operations AC/322-D(2008)0042-Rev 1 van 18 december 2008.

149

NATO and Cyber Defence (027 DSCFC 09 E), NATO Parliamentary Assembly, 2009 Spring Session, p.6.

89

De NAVO heeft tevens de capaciteit ontwikkeld om eigen communicatiesystemen te beschermen onder de koepel van het NATO Communications and Information Systems Services Agency (NCSA). De taken van dit agentschap vallen in vier prioritaire deeldomeinen onder te delen150:

150

90

•

Prioriteit 1 wordt toegeschreven aan NAVO-operaties: beveiligde computernetwerken, telefonie en videoconferentie voorzien voor NATO Response Force (NRF), de International Security Assistance Force (ISAF) in Afghanistan, de NATO Training Mission in Irak en NAVO operaties in de Balkan. Bovendien wordt de eerstelijnsverdediging tegen cyberdreiging waargenomen door de detectie en het tegenhouden van computervirussen en ongeoorloofde intrusies in het NAVO-netwerk. 24hr/24 en 7 dagen op 7, zorgen voor de goede werking, het behoud, de controle en de administratie van essentiële componenten van het NAVO- netwerk door toezicht op systemen die essentieel zijn voor de opdrachten. In nauwe samenwerking met het NATO Maintenance and Supply Agency (NAMSA) en het NATO C3 Agency, logistieke steun voorzien voor ontplooide CIS-systemen die toegewezen zijn aan NCSA.

•

Prioriteit 2 wordt gegeven aan NAVO-oefeningen: hiermee doelt men op de levering van ontplooibare communicatiesystemen aan de NAVO alsook CISondersteuning aan oefeningen die ontworpen werden voor de ontwikkeling, het behoud, de accreditatie van operationele eenheden binnen de NAVO zoals NRF.

•

Prioriteit 3 situeert zich in de steun aan NAVOhoofdkwartieren: in dit geval voorziet men strategisch en politiek advies aan de leiding van het hoofdkwartier om efficiënt gebruik van CIS-mogelijkheden te garanderen. Bovendien worden zowel beveiligde als onbeveiligde computer-, telefonie- en videoverbindingen voorzien aan de vaste hoofdkwartieren in Europa, Noord-Amerika en Azië.

•

Prioriteit 4 wordt gegeven aan de ondersteuning van nieuwe CIS-systemen en projecten: de compatibiliteit van nieuwe hardware en software met de bestaande NAVO-netwerken wordt gegarandeerd. Verder wordt technisch advies verstrekt, computers, telefonie, en videoconferentieapparatuur in gebruik genomen. Onderhoud van hardware en software wordt uitgevoerd en ook de configuratie en controle van netwerken. Ten slotte wordt opleiding verstrekt aan het personeel op CIS van de NAVO.

http://www.ncsa.nato.int

In het kader van doorgedreven samenwerking dient men nog te vermelden dat, onder de overkoepelende taak van Civil Emergency Planning (CEP), dialoog en samenwerking in het kader van CIIP aangespoord wordt via het Civil Communications Planning Committee (CCPC). Dit comité, dat afhangt van SCEPC, is bevoegd om aanbevelingen te formuleren aan nationale autoriteiten teneinde te voldoen aan de vereisten van CIS, posterijen en andere diensten tijdens een noodgeval: algemeen kan men stellen dat CCPC de verantwoordelijkheid draagt voor communicatieplanning in geval van burgerlijke noodgevallen binnen de NAVO151. Dit geldt zowel voor militaire als niet-militaire gebruikers. In dit kader werd door het CCPC een aantal documenten gepubliceerd omtrent: •

Bescherming van KI152.

•

Gevolgen van postinfrastructuur153.

•

Nieuwe risico’s en dreiging voor burgertelecommunicatie154.

•

Vereisten voor de coördinatie van regelgeving voor nationale telecommunicatie.

•

Identificatie van nieuwe risico’s voor postdiensten155.

ontwrichting

van

kritische

Bovendien werd een bijdrage geleverd aan het NATO Action Plan on Cyber Defence, voornamelijk in de bijstand van de NAVO in het kader van Civil Emergency Planning. Met betrekking tot een mogelijke cyberaanval dient nog vermeld dat een dergelijk incident valt onder Art. 4 van het verdrag van Washington dat stelt dat156:

151

In het Draft CCPC compendium van 7 november 2005 wordt dieper ingegaan op de evolutie van de invulling van definities. Burgercommunicatiemiddelen is een term die ook evolutie heeft ondergaan naar de invulling door de convergentie tussen telecommunicatie, media en de sector van informatietechnologie. Als beschreven in EAPC(CCPC)WP(2003)2 verstaat men onder burgerlijke communicatie alle publieke en niet publieke communicatienetwerken, diensten en aanverwante systemen, post- en andere aanverwante diensten.

152

EAPC(CCPC)D(2002)8.

153

EAPC(CCPC)D(2003)2.

154

EAPC(CCPC)WP(2002)1, REV 1.

155

EAPC(CCPC)D(2003)1.

156

The North Atlantic Treaty, NATO Public Diplomacy Division, Brussels.

91

“The Parties will consult together whenever, in the opinion of any of them, the territorial integrity, political independence or security of any of the Parties is threatened”. In tegenstelling met Art. 5 dat stelt dat “The Parties agree that an armed attack against one or more of them in Europe or North America shall be considered an attack against them all;…” Men kan zich hier de vraag stellen of de operationaliteit niet in het gedrang komt indien bij de vaststelling van een aanval op een NAVO-lidstaat “consultatie” vereist is. Bij duidelijke vormen van agressie op vitale infrastructuur en informatie-infrastructuur die deze eventueel aanstuurt, is geen tijdverlies aangewezen. Of een cyberaanval onder Art.4 dan wel onder Art.5 van het verdrag van Washington onder te brengen is, valt moeilijk te beantwoorden: de aanval op een lidstaat moet immers duidelijk zijn. In het geval van Estland kon niet met kracht van bewijs achterhaald worden van waar de aanval ontsproot. Voorafgaand aan de NAVO-Top van Boekarest gaf de Secretaris-Generaal Jaap de Hoop SCHEFFER aan dat met betrekking tot cyber defence geen agressieve houding werd aangenomen en dat acties binnen dit domein zouden vallen binnen de termen van Art. 4. In dit opzicht zijn echter wel duidelijke afspraken vereist omtrent de invulling van definities als hostile act en hostile intent in cyberomgeving. Bijgevolg moeten ook de Rules of Engagement (ROE) van de vastgelegde responscapaciteit van de NAVO vooraf bepaald te worden. Een duidelijke afwijking is hier waar te nemen in vergelijking met de positie in de VS bijvoorbeeld. Volgens een definitie van de US Air Force uit 1995 omvat information warfare157: “an action within the information environment taken to deny, exploit, corrupt, or destroy an adversary’s information systems, and information operations, while protecting friendly forces against similar actions.” Hierin kan zowel een offensieve als defensieve capaciteit waargenomen worden. Dit is voor het ogenblik zeker niet de positie binnen de NAVO die enkel het defensieve aspect benadrukt (cyber defence en niet cyberwarfare). Hoewel C³-netwerken en infrastructuur steeds als eerste het doelwit worden tijdens een conflict, kan men zich afvragen of men in het kader van het verdrag van Washington niet preventief moet ageren op vijandige capaciteit alvorens zelf getroffen te worden. Het antwoord op deze vraag is eerder een politieke beslissing waar we in deze studie niet op zullen ingaan. Vanuit 157

92

HUGHES, R., «NATO and Global Cyber Defence.» In The Bucharest Conference Papers, The German Marshall Fund of the United States, Washington D.C., 2008, p.42.

praktisch oogpunt zou het ingenomen standpunt gericht moeten zijn op de veerkrachtcapaciteit tijdens en na een aanval: ontbreekt die mogelijkheid dan schijnt het logisch proactief trachten te vermijden dat eigen informatieinfrastructuur vernietigd of beschadigd wordt. Een van de elementen die speciale aandacht vereisen, is de ondersteunende capaciteit van de NAVO aan haar lidstaten. Een essentieel onderdeel van de capaciteit van de Alliantie is een netwerk van nationale CERT’s. Bovendien beschouwt de NAVO cyber defence als een nationale verantwoordelijkheid. Hoewel er al een 250-tal wereldwijd operationeel zijn, schieten nog enkele NAVO-lidstaten te kort in de uitwerking van deze capaciteit158. Nationale CERT’s, bevoegd voor het uitwisselen van informatie en capaciteit tijdens een aanval zijn van essentieel belang. Een bijzonder aspect dat in het kader van technologische toepassingen nog niet werd behandeld is de problematiek met betrekking tot C4ISR159. Essentieel in toepassingen op het terrein, is er echter geen formele NAVOdefinitie die invulling geeft aan het acroniem. Nochtans zijn er duidelijke vereisten vastgelegd onder meer in toepassingen die hun implicaties hebben voor lucht- en grondtroepen, zowel in het voorzien van situation awareness als mogelijkheden tot selectievere selectie en vernietiging van doelwitten. Ter beveiliging van de netwerken, en toename van de interoperabiliteit van de troepen, werd in 2007 een Roadmap for Air C4ISR samengesteld horizon 2017160. In het bewuste document wordt C4ISR omschreven als161: “The provision of information and intelligence to commanders that enables decision superiority necessary to execute the Commander’s Intent, along with the appropriate level of situational awareness, to the point of achieving the desired effect”. Onder de vastgestelde tekortkomingen en aanbevelingen naar de vooropgestelde doelstellingen worden o.m. vermeld162: “comprehensive governance, force development, alignment to the NNEC principles, sound programme management, improved 158

In België zal, zoals vermeld, pas in de loop van 2009 een Nationaal gouvernementeel CERT het daglicht zien, naast een militaire capaciteit.

159

Command, Control, Communications, Computers, Intelligence, Surveillance and Reconnaissance.

160

The Joint Air Power Competence Centre (JAPCC) Roadmap for Air C4ISR in NATO, version 1.0, Nov 2007.

161

Op.cit., p.3.

162

Op.cit., p.36.

93

information management and better concept development and experimentation.” Bijzonder voor het eerste gedeelte (comprehensive governance), wordt de nadruk gelegd op het belang van de noden van de gebruikers te kennen, tegemoet te komen aan operationele vereisten van interafhankelijkheid, interoperabiliteit en integratie en in het bijzonder toezicht te houden op de capaciteiten van nieuwe lidstaten. We kunnen enkel vaststellen dat het beheer van ICT en afgeleide operationele systemen geen eenvoudige opdracht blijkt in de praktijk. Ook intern NAVO zal men in dit opzicht aandachtig moeten toezien om de operationele capaciteit van de Alliantie niet verdeeld te zien in topspelers en achterblijvers door een beperking van de deelcapaciteit van lidstaten. Op langere termijn hebben de vereisten van de NAVO zich ook gericht op cyber warfare (welke de invulling deze term ook moge krijgen) en niet meer beperkt zullen zijn tot cyber defence.

2.2.3. EU-NAVO: SYNERGIE? De communicatieproblematiek werd reeds in een eerdere studie vermeld. Zo bleek destijds dat in de schoot van de EU de communicatie soms moeilijk doorstroomt tussen de Commissie en het Secretariaat-generaal. Gezien de organisatie en de verdeeldheid van de verantwoordelijkheden, met betrekking tot CIP/CIIP, over de verschillende pijlers van de EU is dit geen vanzelfsprekende zaak. Ook tussen de EU en de NAVO schijnt de communicatie niet steeds van een leien dakje te lopen. Zo noemde de secretaris-generaal van de NAVO, Jaap De Hoop SCHEFFER, tijdens zijn afscheidsrede in Den Haag de slechte relatie tussen de EU en de NAVO “een van mijn grotere frustraties”. De politieke leiders hebben te weinig aandacht voor het feit dat deze relatie niet werkt, verkondigde hij163. Dit is een zaak die voor verbetering vatbaar is, zowel intern als extern in beide organisaties: alvorens over synergie te kunnen spreken, dient deze hindernis overwonnen te worden. Interoperabiliteit is ook van cruciaal belang tussen NAVO en EU. Dit geldt niet alleen voor operationele inzet op het terrein (bijvoorbeeld in het kader van noodplanning). Met betrekking to cyber defence, dat zowel vanuit de NAVO als vanuit de EU voornamelijk een nationale invulling krijgt, kan men er niet onderuit dat informatienetwerken verbonden zijn, over de grenzen heen, maar ook tussen de private en de publieke sector. Coöperatie tussen sectoren en instellingen zal dus cruciaal zijn om een robuust informatienetwerk tot stand te brengen. We hebben reeds vermeld dat ook de EU voorstander is van het creëren van een netwerk van nationale CERT’s, in overeenstemming met het standpunt van de NAVO (evenals de EU pleit de NAVO om een wereldwijd netwerk gerealiseerd te zien tegen 2010). Het 163

94

De Hoop SCHEFFER : « NAVO moet ingrijpen » in Het Parool, Amsterdam, 7 juli 2009.

NAVO-CERT dat als coördinerend orgaan moet fungeren binnen de operaties van de Alliantie is het eerder vernoemde NCIRC: het zal echter aan operationaliteit inboeten indien niet alle lidstaten over een eigen CERT kunnen beschikken. Hoewel een ruime verantwoordelijkheid wordt gelaten aan de lidstaten moet men de aandacht blijven vestigen op een “globale” benadering van de problematiek. Een mogelijkheid om de weerbaarheid te testen zijn oefeningen (zowel nationaal als internationaal). Merken we op dat ook in dit opzicht de VS een stapje voor zijn op de NAVO en de EU: in 2006 werd een grootschalige oefening gehouden (Cyber Storm I) om bestaande weerbaarheid en procedures te testen tijdens testaanvallen. Buiten de VS werden Groot-Brittannië, Canada, Australië en Nieuw-Zeeland uitgenodigd om deel te nemen. De versie van 10-14 maart 2008 (Cyber Storm II164), ging ervan uit dat de vijand eender welk netwerk kon binnendringen met scenario’s die varieerden van uitgebreide degradatie van het Internet tot aanvallen op SCADA systemen165. De oefening legde hierdoor ook de nadruk op de afhankelijkheid van kritische infrastructuur en informatie-infrastructuur. Bevindingen uit deze oefening zijn nuttig voor de gemeenschap: •

Crisisprocedures en organisatie dienen regelmatig herzien en getest te worden.

•

Bestaande relaties (tussen personen of organisaties) vereenvoudigen de snelle doorstroom van informatie tijdens een crisis.

•

Procedures voor crisiscommunicatie moeten op punt staan met aangepaste en gemandateerde aanspreekpunten.

•

Cybercrisissen vereisen reacties op maat (niet in alle gevallen standaard vast te leggen in procedures) en moeten meerdere afhankelijkheden in beschouwing nemen m.a.w. men moet bedacht zijn op het feit dat gevolgen verder kunnen reiken dan het louter wegvallen van één enkel systeem per incident.

•

Gepaste weerstand tegen incidenten is verbonden aan een gepast systeem dat stapsgewijze toename in maatregelen voorziet. Merken we op dat in de klassieke militaire alarmketens, in transitie van vredesvoet naar oorlogsvoet,

164

Cyber Storm II. National Cyber Security Exercise: Final Report. Australian Government, Attorney-Generals Department, Security and Critical Infrastructure Division, August 2008. k

165

De Europese Commissie wordt trouwens expliciet gevraagd werk te maken van een verbeterde bescherming van SCADA systemen tegen cyberaanvallen in COM(2009) 273 final- Annex 1 to EU CBRN Action Plan (action C.9 of goal 2 : enhance the security of high risk CBRN materials and facilities-chemical).

95

eveneens dergelijke stappen worden voorzien met aangepaste maatregelen bij iedere verhoging van paraatheid. Bij de vaststelling in het eEurope Action Plan 2005 dat fragmentatie van ICT- capaciteit tussen lidstaten166 optreedt, komt men tot het besluit dat het veiligheidsprobleem niet eenvoudiger wordt: om deze kloof te helpen dichten, is het misschien mogelijk om niet alle taken door de EU te laten uitvoeren, maar een gecoördineerd actieplan op te stellen met de NAVO (eventueel in het kader van CCPC). Het veiligheidsprobleem van de EU is er immers ook een voor de Civil Emergency Planning van de NAVO, dus is een betere samenwerking op gebied van veiligheid der nationale netwerken van de lidstaten in de supranationale instanties aangewezen. Men kan opmerken dat militaire middelen in het kader van CEP enkel voorzien worden ter ondersteuning van de bestaande burgermiddelen. De assistentie die door de NAVO aangeboden wordt, vormt echter geen centrale opdracht van de Alliantie. Bovendien worden in het kader van de EU meer en meer initiatieven genomen die deze aspecten invullen (oefeningen in het kader van CIP, structuren, netwerken). Zo moet men ook in het kader van de hulpverlening vaststellen dat parallelle structuren beter met elkaar zouden moeten kunnen samenwerken. Hierdoor kan men in fine parallelle structuren en incoherente taakverdeling vermijden. Een illustratie hiervan is de overeenkomst tussen het MIC (EU) en het EADRCC (NAVO). Verschillende organisaties zouden nauwer kunnen samenwerken in overlappende CI(I)P deeldomeinen. Aanvullingen daar waar mankementen vast te stellen zijn bij ene of andere partner kunnen enkel ten goede komen aan de samenwerking en verstandhouding tussen de leden van beide organisaties. De eigenheid van de EU als organisatie zonder uitgebouwde geïntegreerde militaire structuur, heeft er ook voor gezorgd dat op vlak van politie en justitie ver gevorderde samenwerking mogelijk blijkt: dit is essentieel in de proactieve aanpak van terroristische (CBRN) dreiging met impact op KI. In dit kader ziet men een taak weggelegd voor de EU die niet binnen de bevoegdheden van de NAVO ligt, maar die een meerwaarde kan bieden aan de Alliantie. Ook het EPCIPprogramma wijst in die richting. Men moet hier wel de bemerking maken dat op het vlak van ICT-beveiliging, de NAVO, omwille van haar militaire bevoegdheden, verder gevorderd is dan de EU. Een groot gedeelte van de NAVO-capaciteit met betrekking tot ICT-beveiliging tijdens CEP is gericht op de beveiliging ten voordele van de inzet of de ondersteuning van burgermiddelen. Samenwerking zou de productiviteit ten goede komen. Optimalisatie van de inzet van middelen in tijd en ruimte kan ook hier zijn toepassing vinden. Nieuwe structuren dienen niet in het leven geroepen te worden indien bestaande instanties het werk kunnen doen, eventueel in coöperatief verband. Zo kan taakverdeling in de ruimte tussen de organisaties ook een optie zijn. Bijvoorbeeld kan de inzet van zware middelen voor 166

96

Preparing Europe’s digital future. i2010 Mid-Term Review. European Commission, April 2008, p.18.

hulpverlening in projectie over lange afstand eerder een taak voor de NAVO zijn, terwijl middelen ingezet tussen buurlanden eerder toegewezen zou kunnen worden in EU verband. Een duidelijke aanvulling is mogelijk in de voorzieningen die getroffen werden in het kader van bescherming van kritische energie-infrastructuur. Hoewel energie één van de sectoren is die door het EPCIP programma worden ondersteund, geeft de EU toch een heel andere invulling aan het begrip CIP dan de NAVO167. Het relevante NAVO-rapport handelt niet over ongevallen of natuurlijke rampen, maar wel over moedwillige aanslagen op Kritische Energie Infrastructuur (KEI). Het al dan niet voorkomen op een lijst KEI wordt volgens dit rapport bepaald door de impact van de schade aan infrastructuur zelf en andere infrastructuur, diensten en sectoren die ervan afhangen; de kwetsbaarheid is terug te brengen tot het fysische, menselijke of IT-aspecten. In die zin wordt ook door de NAVO het belang van de afhankelijkheid van systemen benadrukt! Bovendien wil de Alliantie, in tegenstelling tot de EU168, duiden op het belang van eigen infrastructuur (zoals de EU met EPCIP), maar daarenboven op de infrastructuur die buiten het grondgebied van de Alliantie ligt, en die de aanvoer van energie garandeert (zoals havens, transportroutes, pijpleidingen, terminals en de interconnectie tussen elektriciteitsnetwerken). Binnen de EU zelf zijn verschillende nationale benaderingen vast te stellen. De supranationale benadering kan echter een beter (overkoepelend) inzicht geven van het probleem en de complementariteit die de EU en de NAVO voor elkaar kunnen betekenen. Als de EU meer nadruk legt op nationale infrastructuur (en de coördinatie van nationale benaderingen), kan de NAVO bijvoorbeeld meer aandacht schenken aan de bescherming van externe infrastructuur (door projectie- en interventiecapaciteit). Bovendien kan samenwerking op vlak van EU en NAVO de weerbaarheid vergroten door verdeling van taken. Hiermee wordt duplicatie of verdunning van inzetbare middelen vermeden. Naar het aangehaalde voorbeeld in het kader van cyber defence is de discussie omtrent de toepassing van Art.4 of 5 van het Verdrag van Washington in geval dat een lidstaat de toegang tot een energiebron wordt ontzegd nog lopende. Oplossingen kunnen hier gevonden worden door diversificatie van energiebronnen. Bovendien kan men nu reeds aandacht schenken aan de fysische bescherming van alternatieve energiebronnen die in gebruik worden genomen. Een tegemoetkoming aan deze verschillende invalshoeken kan gevonden worden in toegenomen samenwerking en training tussen EU en

167

Energy security: Co-operating to Enhance the Protection of Critical Energy Infrastructures (157 CDS 08 E rev 1), NATO Parliamentary Assembly, 2008 Annual Session. Bewust rapport benadrukt dat fysische aanvallen andere middelen vereisen dan politiek gemotiveerde onderbrekingen van energieaanvoer.

168

Het probleem van externe connecties wordt niet ontkend maar de uitwerking van bescherming wordt aangemoedigd via sectorale akkoorden.

97

NAVO. De installatie van Livorno bijvoorbeeld, waar SCADA-aanvallen kunnen worden gesimuleerd, kan gebruikt worden voor gemeenschappelijke projecten die kunnen uitmonden in hernieuwde procedures, eventueel onder toezicht van de NAVO Civil Emergency Planning. Deze installatie werd uitgewerkt door een gemeenschappelijk EU-project onder de koepel van het Joint Research Centre (JRC), onderdeel van het Institute for the Protection and Security of the Citizen (IPSC). Deze organisaties droegen bij tot het EPCIP-programma ten voordele van het Directorate-General for Justice, Freedom and Security. In dat kader van de EU werden eveneens studies uigevoerd om nationale capaciteiten te integreren ten voordele van de gemeenschap. Een gemeenschappelijke grond van samenwerking tussen NAVO en EU is misschien te vinden in de domeinen die het hoofd van de sector Preparedness and Crisis Management aanhaalt in juni 2008. Zo was er volgens Magnus OVILIUS in Europa destijds gebrek aan: •

Experimentele installaties van voldoende capaciteit voor de studie van energie- en telecommunicatie-infrastructuur.

•

Een gemeenschappelijke benadering van experimenteel onderzoek naar veiligheid. Dit zou zowel private als publieke partners aantrekken en ten goede komen aan gemeenschappelijke terminologie omtrent de beschrijving van aanvallen.

•

Aangepaste installaties voor het testen en valideren van nieuwe technologie, waar gewerkt kan worden met gevorderde oplossingen aan de hand van netwerken van actoren, eindgebruikers en ontwikkelaars.

Samenwerking in deze domeinen, onder meer tussen ENISA en het CCD CoE lijkt ons een oplossing die in het voordeel van beide partners zou zijn. Nochtans moeten we hier ook vaststellen dat er in de werkelijkheid geen formele uitwisselingen zijn tussen de EU en de NAVO. Beide organisaties kunnen dan al op de hoogte zijn van elkaars activiteiten, formeel is er geen contact buiten de NATO Capabilities Group. Nochtans had men kunnen verwachten dat op gebied van early warning, CDMA en het expertisecentrum naar samenwerking zou doen streven om duplicatie te vermijden. Het probleem lijkt verklaarbaar door de besluitvorming binnen de EU: aan de basis van alle beslissingen omtrent CI(I)P is men op nationaal niveau zeer terughoudend om gevoelige informatie vrij te geven. Het ligt dus zeker nog gevoeliger om nationale bevoeghdeden over te geven aan een supranationaal niveau. Binnen de lidstaten is men er vaak nog niet uit of men een CERTverantwoordelijkheid wil geven aan een militaire organisatie, een overheidsdienst, een academische instelling, een politionele dienst, private partners of andere. Vaak is er intern ernstige concurrentie. Op EU-niveau verklaart dit waarom er slechts zo weinig CERT’s terug te vinden zijn in het European Government CERTs Group (EGC) dat een forum blijft met vrijwillige deelname. Het Verenigd Koninkrijk heeft dit euvel nochtans handig weten te omzeilen door twee CERT’s in de organisatie te laten 98

opnemen nl. een interventie-eenheid die van de krijgsmacht afhangt naast een nationale CERT. Niets verplicht de Naties om meerdere nationale instanties te laten intekenen voor het EGC om aldus interne strijd te vermijden. Ook voor België zou dit een oplossing kunnen zijn, maar het blijft een politieke beslissing om middelen te decentraliseren, laat staan te denationaliseren en onder supervisie van de supranationale instanties te stellen. In een zuiver militaire context met een geïntegreerd commando zoals de NAVO is het haalbaar, maar in de schoot van de EU, waar deeldomeinen van CI(I)P behandeld worden door verschillende diensten verspreid over evenveel pijlers, blijkt dit nog een heikel punt, tot grote frustratie van de voormalige secretarisgeneraal De Hoop SCHEFFER (zie voetnoot 163). Een consequente benadering van definities met betrekking tot CI(I)P vs. CNO in beide organisaties, zou de samenwerking eveneens ten goede komen. Het uiteindelijke doel dat men zich in beide organisaties voor ogen houdt in de bescherming van KI is te herleiden tot de principes uiteengezet in 1.6 (prevention, training and exercise, mitigate, detection and early warning, respond, recovery lessons learned). Deze elementen zijn terug te vinden in de algemene aanpak van een incident omtrent KI. Het EU-actieplan169 vermeldt eveneens deze onderdelen. Wat de NATO Cyber Defence policy betreft, kan men een gelijkaardige aanpak afleiden uit de activiteiten die eerder werden vermeld (zie o.m. CCD CoE punt 2.2.2 van dit werk).

169

COM (2009) 149 final.

99

2.3. Deelbesluit CIP binnen de EU kadert volledig in het EPCIP-programma. Dit heeft sinds het eerste voorstel tot richtlijn een ernstige afslanking gekend. Van de 11 sectoren die initieel werden weerhouden in het EPCIP programma, bleven enkel transport en energie over. Men ziet echter op EU-vlak in dat het belang van ICT binnen deze twee sectoren te groot is om het zomaar te verwaarlozen. De mogelijkheid bestaat om ICT opnieuw op te nemen als een afzonderlijke sector. Op die manier worden CIP en CIIP onlosmakelijk verbonden. Net dit element schept problemen op gebied van CIIP gezien de verschillende verantwoordelijkheden die verdeeld zijn over de drie pijlers van de EUstructuur. Zelfs in het militaire embryo van het Europese Veiligheids- en Defensie Beleid, is men in de militaire staf nog maar net gekomen tot een cyber defence concept. De implicaties voor militaire operaties hebben echter nog géén discriminatie voorzien tussen cyber defence en cyber warfare: in Europese termen spreekt men over Computer Network Operations, dat zowel offensieve als defensieve invullingen kan krijgen. Op vele vlakken kan men vaststellen dat de organisatie van de NAVO beter gestructureerd is. Of het nu kadert in militaire operaties met betrekking tot bescherming van KI of steun aan civiele noodplanning, de structuren en verantwoordelijkheden liggen vast. De nodige middelen zijn voorzien of kunnen naargelang hun beschikbaarheid ingezet worden. Het probleem dat zich nog steeds acuut stelt, is de militaire samenwerking in de nationale noodplanning. Dit maakt ook deel uit van de CIP-problematiek. In vele gevallen wordt dit op een ad hoc basis ingevuld en in alle gevallen steunt de organisatie op de capaciteit van de lidstaten. De organisatie van CIIP in het kader van het cyber defence concept van de NAVO is opmerkelijk: het organogram is duidelijk en de aanspreekpunten liggen vast. Ook de verantwoordelijkheden zijn duidelijk omlijnd en kaderen in een concept dat zich vanaf de aanvang profileerde in een defence-concept. Andere activiteiten kunnen een mandaat krijgen van de NAC onder de voorwaarden die weergegeven worden in Art. 4 van het verdrag van Washington. Bovendien wordt een plaats vrijgehouden voor het uitwisselen van kennis en informatie in de schoot van een expertisecentrum. Opvallend is dat in de zoektocht naar synergie tussen de twee organisaties een flagrant gebrek aan informatie-uitwisseling blijkt te bestaan tussen de twee organisaties onderling: tijdens dit onderzoek is meermaals gebleken dat informatie die gevraagd werd aan verschillende personen moest gericht worden alvorens een correct aanspreekpunt te vinden. Op zich is dit 100

niet zo verwonderlijk als men de verdeelde verantwoordelijkheden beschouwt onder de verschillende directies van de EU. Zoals vermeld was dit trouwens één van de frustraties van de voormalige secretaris-generaal van de NAVO, Jaap De Hoop SCHEFFER. Zijn opvolger, Anders Fogh RASMUSSEN, wil alvast werk maken om de banden met de EU aan te halen. In het kader van het nieuw strategisch concept van de NAVO, en gezien de nieuwe de trends die opduiken in de vormen van dreiging, zullen bescherming van KI en KII zeker nog op de orde van de dag komen te staan. De veiligheid van de energievoorziening is daar een illustratie van: in vergelijking met de NAVO wordt dit aspect in de EU op een andere manier benaderd. Het volgende hoofdstuk wil de nationale capaciteiten op vlak van CIP en CIIP aan het licht brengen. Hierdoor kan men mogelijkheden identificeren om beleidsmatige aanbevelingen te formuleren ter verbetering van bestaande procedures, structuren of toepassingen.

101

102

Deel 3

Nationale benaderingen en aanbevelingen voor een nationale aanpak

,

103

3.1. Nationale aanpak 3.1.1. ALGEMEEN In dit deel wordt de nationale invulling van het supranationale kader toegelicht, zoals die door ons land wordt toegepast. Voor een meer gedetailleerde omschrijving van andere nationale invullingen, verwijzen we naar referentiewerken die specifiek zowel nationale CIP170 als CIIP171 behandelen. De richtlijn van de EU-Raad van december 2008172 geeft in haar overweging weer dat naast energie en vervoer ook andere sectoren (als ICT) in de richtlijn kunnen opgenomen worden. Uit voorgaande analyse blijkt dat dit een logische benadering blijkt gezien de grote afhankelijkheid van KI van bestaande informatie- en communicatienetwerken. In dat opzicht zou CIIP onlosmakelijk verbonden kunnen worden door CIP en zou een gecoördineerde aanpak van gelijklopende beschermingsmaatregelen ondernomen kunnen worden. Art.12 van de richtlijn wijst erop dat de lidstaten de nodige maatregelen dienen te treffen om uiterlijk op 12 januari 2011 aan de richtlijn te voldoen. Naast identificatie van KI worden reeds beveiligingsplannen, veiligheidsfunctionarissen en verslaggeving vermeld. Uiteindelijk zal dit alles zich moeten vertalen naar een nationale norm m.a.w. de nationale wetgeving zal moeten voorzien dat de praktische uitvoeringsmodaliteiten voor onze samenleving worden vertaald, rekening houdend met de verschillende actoren en de beschikbare middelen.

3.1.2. CIP De coördinerende en ondersteunende rol van de EU en de NAVO ter bescherming van KI is eerder in dit werk aan bod gekomen. De uitvoering en

170

Accord EUR-OPA risques majeurs. Analyse comparative de la Gestion Interministérielle des Risques Majeurs : Belgique, France, Russie, Bulgarie. Council of Europe, AP/CAT (2005) 30, Strasbourg, 21 juin 2005.

171

BRUNNER, E., SUTER, M. International CIIP Handbook 2008/2009. Center for Security Studies, ETH Zurich, 2008.

172

Richtlijn 2008/114/EG van 8 december 2008 inzake de identificatie van Europese kritieke infrastructuren, de aanmerking van infrastructuren als Europese kritieke infrastructuren en de beoordeling van de noodzaak de bescherming van dergelijke infrastructuren te beoordelen.

104

de invulling van de richtlijnen blijft in alle omstandigheden een verantwoordelijkheid van de lidstaten. In de Belgische nationale context is een belangrijke rol weggelegd voor het CGCCR. Het Crisiscentrum profileert zichzelf door op te treden als nationaal coördinator tot de bescherming van de kritieke infrastructuur173. Het CGCCR baseert zich op de definitie van de Europese richtlijn voor wat de invulling van de term kritische infrastructuur betreft. Nochtans is een belangrijk onderscheid terug te vinden in de aanpak. Wanneer de gevolgen zich tot het Belgisch grondgebied beperken, spreekt men over Belgian Critical Infrastructure Protection (BCIP). Hebben de gevolgen weerslag op meer dan één lidstaat van de EU, dan wordt dit onderverdeeld bij European Critical Infrastructure Protection en valt het onder het EPCIP-programma. Ter uitvoering van de Europese richtlijn treedt het Crisiscentrum ook op als contactpunt van het EPCIP- programma174. Hieruit volgt dat de voorlopig weerhouden sectoren van energie en transport onder coördinatie van de CGCCR geïnventariseerd dienen te worden. Lidstaten dienen aan de richtlijn te voldoen tegen uiterlijk 12 januari 2011. In het kader van BCIP beheert het CGCCR de databank ESSENTIAL, een aangepaste versie van CriViSen, om tot een inventaris te komen van KI op basis van de sectoren die initieel werden voorzien in het Groenboek tot ontwerp van de Europese richtlijn. Belangrijk te melden is dat CGCCR hiertoe overleg organiseert met alle betrokken partners teneinde de veiligheidsmaatregelen te voorzien, die aangepast zijn aan de dreiging. De basis van deze werkwijze ligt in de dreigingsanalyse, wettelijk toegewezen aan het OCAD. Het OCAD zal dus de dreigingsanalyse ook moeten afstemmen op de nieuwe inventaris KI. In feite komt het erop neer dat men vanuit OCAD een dreigingsanalyse zal moeten produceren die kadert binnen BCIP en/of EPCIP. In sommige gevallen kan het zijn dat deze evaluatie zich beperkt tot de interpretatie van de Directeur OCAD of diens assistent nl. bij toepassing van de embargoprocedure omschreven in artikelen 11 en 12 van de wet op de werking van de analyse van de dreiging175. Deze procedure onderwerpt de dreigingsanalyse aan de evaluatie van één persoon in het geval dat “de mededeling aan het OCAD de uitoefening van de strafvordering of de veiligheid van personen in gevaar kan brengen”. Hierbij wordt echter een bijzonder zware verantwoordelijkheid gelegd bij één enkel persoon die aan de basis ligt van de risicoanalyse. Deze zal moeten leiden tot aangepaste maatregelen. Reeds in 2008 wezen het vast comité I en comité P op het gevaar 173

http://cgccr.ibz.be/index.php?option=com_content&task=view&lang=nl&id=190 FFFFFF geraadpleegd op 22 oktober 2009.

174

In Artikel 10.2. van Richtlijn 2008/114/EG van de Raad van 8 december 2008, wordt verduidelijkt dat EPCIP-contacten aangelegenheden coördineren in verband met de bescherming van ECI binnen de lidstaat, met andere lidstaten en de Commissie. De aanwijzing van een EPCIP-contactpunt sluit niet uit dat andere autoriteiten in een lidstaat bij aangelegenheden in verband met de bescherming van ECI betrokken worden.

175

Wet van 10 juli 2006 betreffende de analyse van de dreiging.

105

van deze situatie176. Bovendien blijkt uit hun analyse dat er “…niet steeds een logica lijkt te zitten in de bestemmelingenlijst van de OCAD-evaluaties. Ook hier zou een geschreven leidraad een optie kunnen zijn.” Uit deel 1 van dit werk weten we dat de doorstroom van een adequate dreigingsanalyse essentieel is voor een coherent verloop voor de bescherming van KI op nationaal alsook op supranationaal vlak. Zelfs indien we ons beperken tot de twee sectoren die opgenomen werden in de EU-richtlijn van 8 december 2008 nl. transport en energie, moeten we vaststellen dat er te weinig aandacht is besteed aan uitwisseling van informatie tussen private en publieke partners. Hoewel aangemoedigd door de Europese Commissie, is men in België geconfronteerd met twee problemen. Vooreerst zijn private partners niet geneigd om hun soevereiniteit prijs te geven aan een gecentraliseerd orgaan als het CGCCR over eigen domeinbeheersing en meer bepaald op het vlak van veiligheid. Het is moeilijk voor een private firma om de zwakheden van het systeem bloot te geven aan iets wat voor hen een overheidsinstantie is die geen garantie kan geven over de discretie van de behandelde informatie. Bovendien weet men in het kader van de KI-databank nog niet welke overheidsdiensten toegang zullen krijgen en onder welke voorwaarden. Op zich stelt zich dus een veiligheidsprobleem met betrekking tot het vrijgeven van informatie aan mogelijk nietgecertificeerde personen die in het stramien van de operaties voorkomen. Zelfs in eigen huis leggen private bedrijven vaak strenge regels op om toegang tot deze informatie te bepreken. Zonder garanties en controles zullen ze dus niet geneigd zijn om deze gegevens te willen invullen in een databank. Als tweede probleem stelt men een typisch Belgische situatie vast: sector transport is op Europees vlak erkend als kritische infrastructuur maar deze is in België geregionaliseerd! Dit brengt met zich mee dat de problematiek die eerder werd aangehaald nog meer actoren zal betrekken in de uitwisseling en uitbating van informatie. Integreren we de andere sectoren, zoals chemische industrie, energieproductie, telecommunicatie, dan zijn vermelde veiligheidsproblemen nog gevoeliger. De meeste van deze sectoren zijn onderhevig aan interafhankelijkheid. Het gevolg is dat indiscreties of gevoeligheden in één sector een weerslag kunnen hebben op de goede werking van de andere sector. Tot hiertoe werd in risico-evaluaties weinig of geen rekening gehouden met deze mogelijkheid.

176

Gemeenschappelijk toezicht van het vast comité P en het vast comité I met betrekking tot het Coördinatieorgaan voor dreigingsanalyse. Rapport 2008/1, p.42.

106

Wat Defensie betreft, worden veiligheidsstudies meestal uitgevoerd in internationale samenwerkingsakkoorden. Zo werd België aangeduid als piloot CIP in het NAVO Programme of Work Defence Against Terrorism (PoW DAT). In dat kader organiseerde Defensie van 5 tot 15 oktober 2009 het evenement “Belcoast”. Dit had tot doel om operationele gebruikers in contact te brengen met de wapen- en technologische industrie. Hier wordt dus net de samenwerking tussen de publieke (Defensie) en private partners nagestreefd om door R&D oplossingen te vinden die de beveiliging van militaire installaties ten goede kunnen komen. Speciale aandacht werd gevraagd naar de ontwikkeling voor detectie, identificatie, waarschuwing, opsporing en nietlethale uitschakeling van terroristische dreiging. Deze kan vanuit de lucht, op de grond of van onder het wateroppervlak opduiken. Bijzonder wordt onderzoek naar geïntegreerde informatieverwerking voor commando- en controlesystemen nagestreefd.

3.1.3. CIIP Op vlak van ICT krijgt ons land eerder een gunstig rapport van Europa177 voor de Netwerk- en Informatieveiligheid, voor wat investeringen betreft. Hoewel ons land niet bij de koplopers hoort178, bevinden we ons toch in een gunstige tweede positie179 (op vier in het totaal). We moeten dit gunstig beeld enigszins nuanceren aan het licht van de resultaten die ENISA publiceerde in haar landenverslag over Resilient eCommunications Networks180. Aangezien Belgacom en Telenet ongeveer 90% van de communicatie-infrastructuur in handen hebben, is het land bijzonder afhankelijk van samenwerkingsakkoorden met de privésector. Bovendien blijkt de privésector weinig te investeren in weerstand/veerkracht van de netwerken. Budgettaire redenen zullen hier niet vreemd aan zijn. Hoewel de nationale wetgeving door de wet van 13 juni 2005 betreffende de elektronische communicatie deze dienst verplicht in Art.114, lijkt er weinig concreet beschikbaar in deze toepassing. Het Belgisch Instituut voor Posterijen en Telefonie (BIPT) is zowel de regulator als de controleur van de elektronische telecommunicatiemarkt. De competente autoriteiten voor de weerstand/veerkracht van de diensten zijn enerzijds het BIPT en anderzijds het gemengd comité voor telecommunicatie (Comité Mixte de 177

The European Network and Information Security Market. Scenario, Trends and Challenges. Final study report for the European Commission, DG Information Society and Media. IDC EMEA, April 2009, pp.7-11.

178

Denemarken, Finland, Nederland, Zweden en het Verenigd Koninkrijk.

179

Samen met Oostenrijk, Luxemburg, Frankrijk, Duistland en Ierland.

180

Resilient e-Communications Networks. Stock Taking of Member States’ Policies and Regulations related to Resilience of public eCommunications Networks. ENISA, September 2008, pp.24-34.

107

télécommunications_CoMixTelec). Dit comité wordt naast het BIPT aangevuld met het Ministerie van Landsverdediging. De supervisie van noodplanning in publieke elektronische communicatie is een bijkomende verantwoordelijkheid van dit comité. Nochtans heeft het BIPT de mogelijkheid niet om informatie op te eisen van de commerciële operatoren en kan het dus enkel rekenen op goede wil. De operatoren zijn echter zeer terughoudend om informatie omtrent incidenten of herstellende acties uit eigen organisatie vrij te geven, zich baserend op eigendomsrechten. Nochtans voorziet Art.114 van de wet van 13 juni 2005 eveneens deze informatieoverdracht. Overeengekomen informatieprotocollen zouden eventueel kunnen bijdragen tot een vlottere samenwerking tussen de openbare en de privésector. Op zich is de samensmelting van de beide bevoegdheden van regulator en controleur van elektronische telecommunicatiemarkt in één instelling vreemd. Men kan voor de goede gang van zaken moeilijk zowel reglementeren als controleren. Daarom is een deel van de taken (voorbereiden en coördineren van het ICT-beleid) in principe over te nemen door de directie telecommunicatie en informatiemaatschappij (E.9) van FOD Economie181, maar deze is nog niet bemand. Bovendien kan men zich vragen stellen bij de derde opdracht (zie voetnoot 181) die onder de bevoegdheid van deze directie valt: het overleg met andere nationale ICT-actoren gebeurt reeds in de schoot van het overlegplatform BELNIS (het vroegere BENIS of Belgian Network Information Security). Dit overlegplatform brengt vertegenwoordigers van alle federale diensten samen die zich buigen over de ICT problematiek: de Commissie voor de bescherming van de persoonlijke levenssfeer, de Nationale Veiligheidsoverheid (NVO), de Algemene Dienst Inlichtingen en Veiligheid (ADIV), de Staatsveiligheid, het Belgisch Instituut voor Postdiensten en Telecommunicatie (BIPT), de Federal Computer Crime Unit (FCCU), Controle en Bemiddeling (FOD Economie), de Federale Overheidsdienst voor Informatie- en Communicatietechnologie (Fedict), de Kruispuntbank van de Sociale Zekerheid (KSZ) en het Crisiscentrum ven de regering. Naar aanleiding van het initiatief van dit platform om een witboek te publiceren “Voor een Nationaal Beleid van de Informatieveiligheid”, zijn er volgens F.GODDEN182 negen projecten uit dit overleg weerhouden om de nationale informatieveiligheid te structureren: •

De definitie van een nationale strategie.

181

Het organogram is beschikbaar op http://mineco.fgov.be/ministry/organization/FOD_nl.htm. De directie E.9 staat onder toezicht van Adviseur-generaal D.TOTELIN. De organisatie van de directie is nog niet ingevuld op datum van 11 augustus 2009. De opdrachten luiden als volgt: voorbereiden van het Belgisch beleid op het vlak van de elektronische communicatie; coördineren van het te voeren ICT-beleid op federaal en interfederaal niveau; uitwerken van een structuurvoorstel voor het overleg met de andere machtsniveaus qua ICT-beleid.

182

GODDEN, F., « België timmert hard aan zijn informatiebeveiliging. », in Information Security, Media Planet, Maart 2009, p.7.

108

•

De globale beheersing van maatschappijvoorlichting en crisisbeheer.

•

Het opstellen van wetten en reglementen.

•

De vervolging van computercriminaltiteit.

•

De bescherming van de informatiesystemen van de overheid.

•

Evaluatie/certificatie en homologatie van de systemen die gevoelige informatie verwerken.

•

De organisatie van de opleiding.

•

De vertegenwoordiging bij de internationale instanties.

•

De samenwerking tussen de openbare en de privésector.

de

risico’s,

Het onmiddellijke besluit zou kunnen luiden dat middelen worden geïnvesteerd, maar dat ze niet optimaal worden gebruikt of in werking gesteld. De vraag of een militair of nationaal CERT (of beiden) kan bijdragen tot een gunstige evolutie van de coördinatie valt buiten kijf. Het bestaan van een CERT op nationaal vlak zal onze positie met betrekking tot het beheer en de coördinatie van CIIP-gerichte activiteiten drastisch verbeteren. Indien men de verschillende nationale actoren bestudeert die betrokken zijn in het CIIP-gebeuren en dus ook verantwoordelijk zijn voor het tot stand brengen van de vermelde Netwerk- en Informatieveiligheid, dan vinden we zeer uiteenlopende belangen terug183. Op nationaal vlak zijn de belangrijkste actoren Fedict (de FOD voor Informatie- en Communicatietechnologie) verantwoordelijk voor de uitvoering van ICT-beleid, het Ministerieel comité voor inlichtingen en veiligheid dat op ministerieel niveau toezicht houdt op de nationale inlichtingen en veiligheidspolitiek, FOD Economie bereidt het ICTbeleid voor op federaal niveau, het BIPT is marktregulator van de verschillende operatoren, de commissie voor de bescherming van de privacy zorgt voor regels die de privacywetgeving niet schenden, FOD Binnenlandse zaken is verantwoordelijk voor CIP en dus ook voor CIIP, DG Crisiscentrum coördineert crisissen op nationaal en regionaal niveau, de FCCU neemt cybercrime voor zijn rekening. Vergelijken we deze actoren met de verschillende taken die weggelegd zijn om tot een beveiligde KI te komen (zie 2.2.3), dan kan men een inschatting maken van wie welke taak het best op zich zou nemen. Deze verdeling zou zich moeten weerspiegelen in de wetgeving die de EU-Richtlijn zal vertalen naar nationale normen. Slaan we

183

ENISA Country Report-Belgium, beschikbaar op http://www.enisa.europa.eu/act/srt/files/ country-reports/Belgium.pdf geraadpleegd op 10 augustus 2009.

109

de lijst van opdrachten die uitgevoerd dienen te worden er nog even op na dan vinden we terug: •

De middelen tot preventieve aanpak, waar ook de oefeningen/opleidingen in onder te brengen zijn (prevention, training and exercise). In dit gedeelte zou men ook de specifieke risicoanalyse moeten terugvinden die gericht is op de bescherming van informatienetwerken en de bescherming van de eigen zwakke punten in het informatienetwerk.

•

De reactie op eerste signalen (mitigate).

•

De capaciteit om een lopend incident snel te kunnen detecteren (detection and early warning).

•

Het hoofd te kunnen bieden tijdens het incident (respond). De vraag dient hier gesteld of men zich beperkt tot defensieve maatregelen, dan wel offensieve acties. Ook dit zal bij wet moeten vastgelegd worden. Omstandigheden en verantwoordelijkheden moeten hier verduidelijkt worden.

•

De oorspronkelijke werking in goede conditie kunnen herstellen om uiteindelijk tot een normale situatie terug te kunnen keren (recovery). Dit houdt niet alleen herstel van de goede werking in, maar ook het uitvoeren van forensisch onderzoek dat toelaat oorsprong en methodes te identificeren. Deze informatie zal verbetering van snelle waarschuwing toelaten.

•

Lessen trekken uit de gebeurtenissen (lessons learned) met als doel het systeem te verbeteren m.a.w. gelijkaardige aanvallen in de toekomst onmogelijk te maken door het testen, validatie, oefening van intrusie op eigen systemen en certificatie. Ieder incident zal uiteindelijk moeten toelaten de robuustheid van het systeem te verbeteren.

Het platform BeNIS, hernoemd tot BelNIS (zie voetnoot 182), zou hier het noodzakelijke draagvlak moeten kunnen creëren voor een correcte taakverdeling en gecoördineerde samenwerking tussen voornoemde actoren. Een nationale wetgeving zal de vertaling vormen van de EU-richtlijn naar Belgische normen en zorgen voor een wettelijke onderbouwing van de afspraken die gemaakt werden op het BelNIS-platform. Voegen we hier nog aan toe dat een nationaal CERT gecreëerd werd in september 2009 en dat op militair vlak een CERT reeds actief was in de schoot van de inlichtingendienst van Defensie.

110

Willen we de oefening doen om voornoemde taken te verdelen onder de bevoegde actoren, dan kan men tot de volgende (gedeelde) verantwoordelijkheden komen: •

Prevention, training and exercise: CGCCR, CERT’s (nationaal en militair), FCCU en BIPT.

•

Mitigate: CERT’s in coördinatie met CGCCR.

•

Detection and early warning: CERT’s met eventueel het BIPT mits beschikking over de nodige middelen.

•

Respond: CERT’s en FCCU.

•

Recovery: alle actoren, in het bijzonder de getroffen sectoren zoals bankwezen, luchtverkeer of andere betrokken sectoren.

•

Lessons learned: BelNIS-platform en uitbating door alle actoren door coördinatie van de inspanningen in het vooruitzicht van nieuwe incidenten. Belangrijk is dat de providers verplicht worden om te voldoen aan de standaarden die noodzakelijk zijn om een zekere veerkracht van het gehele netwerk te verzekeren.

Merk op dat in deze taakverdeling een belangrijke rol weggelegd is voor het CGCCR. Deze moet de crisis kunnen overzien en waken over de uitvoering van het te voeren crisisbeleid dat door de overheid moet worden vastgelegd. Door de aanpassing van de CriViSen-databank naar de Europese Richtlijn en de daaruit voortvloeiende oprichting van de ESSENTIALdatabank184, heeft het CGCCR een belangrijke coördinerende taak in de uitvoering van de beslissingen die getroffen worden onder BelNIS. Het initieel bestaan van een afzonderlijke databank CIIP (in de schoot van Fedict185) en een afzonderlijke databank CIP/CIIP (cfr. CriViSen-upgrade naar EPCIP-criteria in de schoot van het CGCCR) werd in de loop van 2009 herzien om een poging tot integratie van de informatie tot stand te brengen. De oude CriViSen-databank wordt herzien en kreeg voor de gelegenheid de nieuwe naam “ESSENTIAL”. Deze applicatie herneemt de verschillende sectoren die in het initiële voorstel tot Europese Richtlijn werden opgegeven (11 sectoren -zie bijlage 4). De databank wordt o.m. gevoed door gegevens die door de verschillende sectoren worden vrijgegeven (zoals reeds het geval is voor de financiële sector). Het zal belangrijk zijn dat dubbel gebruik vermeden wordt (redundantie van informatie) en dat de verschillende 184

Databank opgesteld onder de noemer Belgian Critical Infrastructure Protection, zoals vermeld op de website van het CGCCR http://cgccr.ibz.be/index.php?option=com _content&task=view&id=190&Itemid=50&lang=nl geraadpleegd op 07 oktober 2009.

185

Databank voor belangrijkste Belgische IT, Nieuwsblad van 22 september 2009 geraadpleegd op 07 oktober 2009 via http://www.nieuwsblad.be/Article/Detail.aspx?aticleID =20090922107968

111

databanken identieke informatie weergeven. Informatie van sommige sectoren (zoals Seveso-bedrijven) kunnen juridische problemen opleveren omdat de verantwoordelijkheden, door het al dan niet opgeven van het bedrijf als kritische infrastructuur, ernstige gevolgen kan hebben voor de te treffen maatregelen. De databank CIIP, die opgesteld en verbonden zal worden met de databank KI van het crisiscentrum (Essential) schept een bijkomend probleem. Er moet in acht genomen worden dat de twee door de EU weerhouden sectoren (transport en energie) problemen scheppen in onze nationale organisatie: transport is immers een regionale overheid met als gevolg dat een reeks bijkomende actoren zullen moeten betrokken worden in de uitvoering van een exploiteerbare databank. Veiligheidseisen zullen gesteld moeten worden aan de toegang, zowel online als aan de terminals waar de gegevens moeten ingebracht worden, alsook aan de gebouwen en het personeel. Het probleem is nog groter indien men beschouwt dat men personeel zal moeten machtigen om de databank te voeden, maar dat datzelfde personeel niet gemachtigd zal zijn om de databank te exploiteren. Omgekeerd geldt hetzelfde: mensen zullen moeten vertrouwen op informatie die door een andere instantie zullen zijn ingevoerd in de overkoepelende databank. Een duidelijke taakverdeling lijkt aangewezen. De omzetting van de Europese richtlijn naar de nationale wetgeving lijkt dus de uitgelezen gelegenheid om ook de taken en verantwoordelijkheden in het beheer, de uitbating en de veiligheid van de databank en installaties vast te leggen. Het spreekt vanzelf dat CIIP hierdoor samenvloeit met CIP en dat cyberaanvallen niet geïsoleerd kunnen benaderd worden. Men zal eerder een geïntegreerde aanpak moeten voorzien in de opgelegde taken voor de behandeling van zowel aanslagen, (waarvoor CIP de veerkracht mee zal bepalen) met gevolgen voor het informatienetwerk (CIIP) en omgekeerd (door de bescherming tegen SCADA-aanvallen). Men mag de evaluatie van de dreiging niet uit het oog verliezen: dit essentieel onderdeel van de risico-evaluatie zal ook invulling moeten vinden in het CIIP-domein. Men kan verwachten dat ook hier een taak is weggelegd voor verschillende specialisten (CERT’s, FCCU), maar wettelijk is de dreigingsevaluatie een taak van het OCAD. Ook hier ziet men het belang van dit orgaan terug opduiken aan de basis van ieder incident. De dispariteit aan actoren die men kan terugvinden op nationaal niveau is slechts een weerspiegeling van de verspreiding der capaciteit op EU-vlak. De drie pijlers in de EU hebben eenheden die actief zijn in cyber defence, verspreid over verschillende Directoraten-Generaal. In pijler twee heeft men kunnen vaststellen dat de definitie cyberdefence, laat staan een eenduidig concept nog niet optimaal is. Men mag hopen dat de goedkeuring van het verdrag van Lissabon ook hierin een meerwaarde kan brengen. De NAVO geeft ons, zoals gezien, een betere structurele ondersteuning. Nationale wetgeving zou idealiter het sluitstuk moeten vormen tussen de NAVO en de EU, waarin de voordelen uit iedere organisatie worden gekristalliseerd tot een bruikbaar instrument waarin verantwoordelijkheden en middelen worden vastgelegd. In 112

de aanbevelingen zullen we trachten een richting te aan te duiden naar betere coördinatie.

113

3.2. Aanbevelingen 3.2.1. NATTIONALE WETGEVING IN EUROPEES KADER De Richtlijn van de EU-Raad 2008/114/EC van 8 december 2008, vraagt om een catalogisering van de kritische infrastructuur in domeinen als energie en transport. Naast de Europese kritische infrastructuur is het aangewezen om het nationale luik verder uit te werken en in de nationale wetgeving te verankeren tegen de in de richtlijn vooropgestelde datum van 12 januari 2011. Een dergelijke wet moet echter verder kunnen gaan dan enkele instanties te koppelen aan verantwoordelijkheden. Deze oefening werd hiervoor reeds uitgevoerd ter illustratie. Wat wel moet uitgeklaard worden, gaat veel dieper dan wat op Europees niveau wordt gevraagd. Vooreerst dient er een duidelijke aftekening te gebeuren tussen de verschillende verantwoordelijkheden die bij de betrokken FOD’s en diensten gelegd dient te worden. Hiervoor is een eenvormigheid in definities noodzakelijk. Nog te vaak moet men vaststellen dat CIP en CIIP door elkaar gebruikt worden. Uit wat voorafgaat is het duidelijk dat KI breder kan opgevat worden dan zoals vastgelegd in de Europese richtlijn. Hiervoor is het groenboek van de EU van 2006 met zijn 11 sectoren inderdaad een beter alternatief. Dit heeft echter als gevolg dat de invulling van de verantwoordelijkheden van alle respectievelijke actoren in betrokken sectoren verduidelijkt en afgebakend moet worden in de nationale wetgeving. Het CGCCR blijkt hiervoor als coördinator op te treden. Bij het uitbreiden van de cataloog omtrent KI moet men bewust zijn van het feit dat de maatregelen tot bescherming van KI evenzeer ruimer zullen moeten aangepakt worden. Hier opnieuw zullen actoren tevoorschijn komen die in specifieke gevallen verantwoordelijkheden zullen dragen in de bescherming van KI (CIP). De uitbreiding naar CIIP heeft betrekking op het opnemen van de sector ICT in de domeinen die moeten beschouwd worden als onderdeel van KI. Ook hier zijn specifieke diensten betrokken (zie hoger). Coördinatie van het geheel wordt een cruciaal element in de veerkracht van het nationaal aspect. De opname van ICT in de KI is echter niet meer terug te schroeven gezien de afhankelijkheden en de weerslag tussen de domeinen onderling. Hierdoor is de mogelijkheid van schade aan SCADA-systemen reëel en dient men in de NIP ook met dit aspect rekening te houden. Niet enkel de betrokken actoren moeten duidelijk omschreven worden, ook hun taken moeten vastliggen. Bovendien moet de wet het kader bieden voor de maatregelen die voorzien worden bij de verschillende incidenten die zich kunnen voordoen. 114

Zonder een al te strakke steiger te willen bouwen, moet men bewust zijn dat de veerkracht op nationaal vlak pas tot stand kan komen als iedereen zijn taken kent. Dit kan enkel onomstotelijk vastgelegd worden in een wet zoals die nu tot stand moet komen ter vertaling van de Europese richtlijn. Dit is een uitgelezen kans om alles in detail te bestuderen en dubbel gebruik van databanken of overlappende bevoegdheden te vermijden. Bovendien laat deze aanpak toe om duidelijkheid te scheppen voor iedere betrokken dienst. De afbakening van het werkterrein, de voorkomende actoren, hun respectievelijke bevoegdheden en de bruikbare middelen moeten vastgesteld en vastgelegd worden. Dit moet kunnen gebeuren op een flexibele manier die toelaat om snel en efficiënt te reageren op nieuwe, onvoorziene dreigingen en scenario’s.

3.2.2. AANKOPEN Op nationaal vlak zien we uit wat voorafging dat zich een ernstig probleem voordoet: zowel voor wat de CIP als voor wat de CIIP betreft, moet men tot de vaststelling komen dat het aantal actoren zeer groot is. Bovendien is de beslissingsketen afhankelijk van de informatiestroom tussen die verschillende actoren (FOD’s en andere overheidsdiensten). In de praktijk zien we dat elk van deze nationale actoren beschikt over eigen plannen, systemen en besluitvorming. Op zich is dat een normale zaak. Voor de correcte werking van plannen omtrent CIP en CIIP zal de besluitvorming echter vastgelegd moeten worden. Zoals in het voormalige punt vermeld, is de nationale vertaling van de Europese richtlijn een uitgelezen gelegenheid om dit vast te leggen in de wetgeving terzake. Concreet betekent dit dat de samenwerking tussen de verschillende diensten en private partners op een optimale manier moet kunnen gereguleerd worden. Naast betere communicatie zouden alle maatregelen, die voorzien zullen worden om de Europese en nationale KI te beschermen, in werking moeten kunnen gesteld worden op kort termijn of onmiddellijk in werking moeten kunnen treden. Maatregelen worden door het CGCCR voorzien ingevolge de coördinatie van de activiteiten bij incidenten. Het gebruikte materieel voor het beheer van de crisis (Commando en Controle) alsook de effectieve inzet die het incident vergt, is niet van dien aard dat alle overheidsdiensten op elkaar zijn afgestemd. Dit is zeker het geval wanneer private partners betrokken zijn. Zoals eerder vermeld, zijn deze partners al niet echt geneigd hun veiligheidsgevoelige informatie met derden te delen laat staan dat hen uitrusting en procedures zou opgelegd kunnen worden die aan welbepaalde criteria moeten voldoen om tot een geïntegreerde nationale aanpak te kunnen komen. Bovendien zal men rekening moeten houden met het feit dat procedures voor publieke aankoop op een zodanige wijze kunnen gevoerd worden, dat de opgelegde normen worden weerhouden in de contracten. Om standaardisatie te garanderen op internationaal niveau en mede inbreuken tegen de concurrentie te vermijden, is het aangewezen dat 115

dergelijke materie vooreerst op supranationaal niveau gereglementeerd wordt, alvorens vertaald te worden naar de nationale wetgeving. Nochtans zal men niet anders kunnen dan deze criteria op te leggen. Niet alleen omwille van nationale belangen en optimalisatie van de aanpak. Ook het internationaal aspect speelt hier een rol. De problemen die we net hebben aangehaald voor nationale actoren, doen zich evenzeer voor op internationaal niveau. CIP en CIIP hebben vaak een grensoverschrijdend karakter, al was het maar door de afhankelijkheid van verschillende domeinen onderling. De eenvoudigste illustratie die men kan vinden, zijn de gevolgen van een verstoring van de luchtvaartplanning (omwille van weersomstandigheden bijvoorbeeld). In het geval van aanslagen is in september 2001 duidelijk geworden welke gevolgen de luchtvaart en afhankelijke sectoren kunnen ondervinden bij ernstige incidenten. Om die reden is het op internationaal vlak nog meer van belang naar samenwerking en interoperabiliteit te streven. Niet alleen moet er trainingscapaciteit voorzien worden om de verschillende systemen op elkaar af te stemmen in militaire middens (bijvoorbeeld in het geval van Network Centric Operations). Ook in het burgerleven moet men over centra beschikken die oefeningen kunnen organiseren tijdens dewelke simulaties van incidenten op multinationaal vlak centraal staan. Een mogelijkheid is pooling te voorzien in toch kostelijke trainingscapaciteit. Zo kunnen systemen globaal aangekocht worden. Training laat toe om gestandaardiseerde procedures en beschermingsmechanismen uit te testen. Bijzonder voor het militaire milieu moet men ervan bewust zijn dat er op Europees niveau nog niet zoiets bestaat dat gelijkwaardig is met een NAVO-certificatie. Zelfs in het kader van de EU Battle Groups of de EDA is men in staat om CIIP te kunnen verzekeren tijdens operaties. Vanuit de EUCommissie is men trouwens nog steeds gericht op het voorzien van cybersecurity i.p.v. cyberdefence. De NAVO beschikt wel over dergelijke capaciteit en steunt daarvoor evenzeer op de capaciteiten van de lidstaten. In de praktijk gaan vaak dezelfde troepen op NAVO NRF of EU BG rol. Hoe kan men dan goed bevonden worden voor NAVO-opdrachten en niet voor de EU? Alle procedures moeten dus ook supranationaal binnen de EU afgeproken worden, misschien op NAVO-leest om optimale interoperabiliteit te garanderen op vlak van CIP en CIIP. Ook expeditionaire capaciteit moet kunnen instaan voor CIP en CIIP. Hiervoor is aankoop van materieel nodig geselecteerd op basis van eenvormige standaarden. Hiervoor kan pooling oplossingen bieden voor kostbare technologie zoals gedemonstreerd tijdens Belcoast 09. Men kan alleen maar hopen dat de ratificatie van het verdrag van Lissabon een gunstige interne en externe samenwerking zal tot stand brengen tot de realisatie en het onderhouden van operationele capaciteiten. Naast de NRF-beurtrollen van 2010 is immers een deelname aan EU BG voorzien eind 2011 of begin 2012. Vanaf 2013 zou België zelfs de leiding kunnen nemen 116

van deze BG die men schat op een capaciteit van +/- 1300 manschappen en een hoofdkwartier. Ook NAVO-operaties in Afghanistan hebben sterk te lijden onder de voorwaarden die de deelnemende landen stellen voor de inzet van hun troepen. Het aspect capaciteit zou geen rol mogen spelen. Het is daartoe uitermate belangrijk dat voor nieuwe aankopen synergie wordt nagestreefd. Op die manier worden problemen die zich voordoen binnen de NAVO alsook de EU simultaan aangepakt.

3.2.3. COMMUNICATIEBEVELIGING De beveiliging van de informatie is een essentieel element in de CIP/CIIP- schakel. Om die reden zal men na inventarisatie geen zicht hebben op de elementen die weerhouden werden als nationale of Europese KI. De geheimhouding zou bij wet moeten verzekerd worden a priori, zeker omwille van het groot aantal actoren dat betrokken is in de problematiek. Dit betekent ook dat iedere communicatie met betrekking tot maatregelen voor of tijdens incidenten, beveiligd moet kunnen worden. Hiermee vestigen we de aandacht op de telecommunicatie maar evenzeer op de elektronische communicatiemiddelen. Op nationaal vlak zal het CGCCR de coördinator zijn van de databank KI en de daaraan verbonden maatregelen. Men kan er dus van uitgaan dat de communicatie met de verschillende actoren die instaan voor de uitvoering van deze maatregelen op een beveiligde manier kan geschieden. Men kan hier opmerken dat crisiscommunicatie reeds via glasvezelverbinding kan uitgevoerd worden tussen sommige instanties via het Regetel-netwerk. Regetel staat voor REGEringsTELecommunicatienetwerk. Op zich is het uitstekend dat een onafhankelijk en redundant systeem voorzien is om de communicatie te vrijwaren tussen de overheidsdiensten tijdens een crisis. Alleen is de overschakeling naar het militair Bemilcom-netwerk voorzien via straal- en kabelverbindingen. Men weet dat ook die middelen onderhevig zijn aan storingen. Het is ook verwonderlijk dat sommige details van dit netwerk terug te vinden zijn op het Internet. Voorbeeld hiervan zijn de connecties die in kaart gebracht worden vanuit de parlementaire zone naar bijvoorbeeld Peutie, het Egmont instituut en de WTC torens186. We komen tot de vaststelling dat de derde kernopdracht van het regeringstelecommunicatienetwerk187 die bepaalt dat afgeschermde en alternatieve communicatiemiddelen moeten voldoen aan de vereiste “maximaal onafhankelijk te zijn van mobiele en/of vaste telefonienetwerken” in het gedrang komt.

186

Voorbeeld terug te vinden op website http://www.regetel.be/images/glasvezel/FODETAIL2 gif geraadpleegd op 10 oktober 2009.

187

Kernopdracht zoals vermeld op de website http://www.regetel.be/welkom.htm geraadpleegd op 10 oktober 2009.

117

Internationale crisiscommunicatie steunt en valt met de robuustheid van de nationale installaties. Bovendien moet men er zich bewust van zijn dat deze communicatie niet noodzakelijk beperkt zal zijn tot naburige landen. Snelle en efficiënte communicatie moet in crisistijd over de hele wereld kunnen transiteren, al was het maar om bijvoorbeeld cyberaanvallen adequaat en snel aan te pakken. Hiervoor berust men enerzijds op het internetverkeer en satellietcommunicatie. Ook deze kunnen tijdelijk onbruikbaar worden, zoals de meeste onder ons reeds hebben kunnen vaststellen. Belangrijker nog is het feit dat op één of ander knooppunt een private partner een belangrijke rol speelt in het netwerk. We zien dus opnieuw het belang van de garanties opduiken die gevraagd zullen worden van de private partners, zoals voor de aankopen ook het geval was. Het is van cruciaal belang dat de implicatie van private partners, zoals ook de publieke sector, voldoen aan wettelijk vastgelegde minimale vereisten. Gezien de voortdurende evolutie van de systemen zal men er bovendien op moeten toezien dat de vooropgestelde kwaliteit gegarandeerd blijft in de tijd en zich kan aanpassen aan nieuwe omstandigheden.

3.2.4. HET BIPT: MARKTREGULATOR EN INFORMATIEVERSTREKKER Bevoegd voor post en telecommunicatie, meer bepaald de elektronische communicatie, is het BIPT als marktregulator het best gepositioneerd om de internationale richtlijnen toepasbaar te maken op de Belgische markt. Anders gezegd, het BIPT is de beste gesprekspartner van de overheid met de private partners op gebied van ICT. Gezien het aantal dienstenleveranciers nog zeer beperkt is in ons land, moet het BIPT kunnen beschikken over een echte regulerende macht d.w.z. dat eventuele sanctionering mogelijk moet zijn in geval van overtreding. Ook in geval van het opleggen van minimale standaarden en criteria die de interoperabiliteit van onze communicatie en netwerken verbeteren, moet het BIPT over de nodige slagkracht beschikken om efficiënte maatregelen te kunnen opleggen. Naast de preventieve en repressieve capaciteiten, zou het BIPT middelen moeten kunnen inzetten om de burgerbevolking beter in te lichten. Met het voorbeeld van het Belgisch Instituut voor Verkeersveiligheid, moet ook in het ICT-domein meer werk gemaakt worden van informatiecampagnes ten voordele van de bevolking. Het stelen van identiteit kan één van de wegen zijn die bewandeld worden door terroristische groeperingen. Om dit te verhinderen is een beveiligd netwerk nodig, maar anderzijds moet iedere gebruiker beter ingelicht zijn over het veilig gebruik van ICT-communicatie. Ten voordele van privébedrijven zou men op maat geschreven evaluaties kunnen voorzien, gevolgd door kwaliteitscontroles en garanties van de gebruikte systemen en procedures.

118

Dit impliceert dat men binnen het BIPT natuurlijk over de nodige structurele middelen beschikt. Voor het personeel betekent dit ook dat veiligheidscertificatie voorzien moet worden, zeker in het kader van de samenwerking met het oog op responscellen of contactpunten die antwoorden moeten kunnen bieden in geval van cyberincidenten. Het volstaat immers niet dat men op nationale of supranationale lijsten over een naam of een mailadres beschikt, men moet zeker zijn dat iemand aan de andere kant van de lijn 24Hr op 24 en 7 dagen op 7 beschikbaar zal zijn. Dit geldt in het bijzonder voor de feedback die het BIPT zou moeten kunnen leveren aan het CGCCR. Naar de privésector en de telecommunicatieoperatoren kunnen overeengekomen informatieprotocollen bijdragen tot een vlottere samenwerking tussen de openbare en de privésector voor uitwisseling van incidentrapportage en acties voor rechtzetting. Nog een stap verder kunnen accreditatielabels door BIPT uitgereikt worden naar diensten die meewerken in de totstandkoming van procedures voor goede informatiestromen met het BIPT. De wettelijke bepalingen voorzien sancties voor het niet naleven van engagementen of het wegvallen van diensten geleverd door de operatoren. In de praktijk blijken slechts weinig incidenten officieel gemeld. De informatieplicht naar de marktregulator zou meer ondersteuning moeten kunnen krijgen. Dit kan alleen de sterkte van het volledige informatienetwerk ten goede komen. Naast de nationale samenwerking in het BelNIS-platform, stellen we vast dat er negen prioritaire assen zijn gedefinieerd ter bescherming van de nationale informatieveiligheid (zie hoger). Uit de lijst van voorgestelde prioriteiten kan men zien dat heel wat taken gedeeltelijk of volledig onder bevoegdheid van het BIPT vallen. Zo zijn er bij reglementering, bescherming van de informatiesystemen van de overheid, evaluatie en certificatie, homologatie en samenwerking tussen openbare en private partners zeker verantwoordelijkheden weggelegd bij het BIPT. Zoals eerder vermeld moeten hiertoe structurele middelen worden voorzien. Personeel, budget en materieel moeten dit Instituut in staat stellen om aan de vooropgestelde taken een volwaardige invulling te kunnen geven. Men moet toegeven dat in een periode van economische crisis het niet steeds in goede aarde valt om te duiden op het belang van toegekende middelen. Nochtans moet men ook in deze periode in staat zijn om prioriteiten te leggen. Gezien de voorgestelde analyse, de nieuwe vormen van bedreiging en de daaraan gekoppelde risico’s, kiest men voor prioritaire assen. Bijgevolg moet men alles in het werk stellen om deze belangrijke aspecten te beveiligen ongeacht het prijskaartje dat eraan hangt. Dit is een investering voor de toekomst die ervoor zal zorgen dat we op internationaal niveau kunnen blijven verder functioneren. In een land als België, dat inkomsten moet halen uit logistieke capaciteit, innovatie uit onderzoek en dienstverlening, moet alles in het werk gesteld worden om deze kerntaken naar behoren uit te voeren met het oog op het behoud van een concurrentiële positie.

119

3.2.5. BESCHIKBAARHEID VAN DE INFORMATIE Dit probleem van uitwisseling van informatie reikt op nationaal vlak verder dan wat eerder werd vermeld voor het BIPT: alle actoren in het CIP/CIIP gebeuren dragen bij tot een deel van de oplossing voor een sterk netwerk dat weerstand kan bieden aan incidenten en aanvallen. Het is dus niet meer dan normaal dat de informatie, weliswaar gericht, gedeeld wordt met alle betrokken partners. Het bestaan van monopolies van informatie van individuen of instanties dragen niet bij tot de goede werking van het geheel aan diensten die hun taken niet kunnen uitvoeren zoals ze het zelf zouden willen door het gebrek aan doorstroom van informatie. In deze materie is de kennis die gekluisterd blijft bij één persoon een mislukking voor de goede werking van de diensten aan de samenleving. Aan de basis van een efficiënte nationale risico-evaluatie ligt de dreigingsanalyse van OCAD. Deze zal de dreigingsanalyse moeten afstemmen op de nieuwe inventaris KI, of het nu kadert in de databank ESSENTIAL of andere toepassingen. In feite komt het erop neer dat men vanuit OCAD een dreigingsanalyse zal moeten produceren die, zoals eerder vermeld, kadert binnen het Belgische of Europese CIP-programma. De embargoprocedure omschreven in artikelen 11 en 12 van de wet op de werking van de analyse van de dreiging kan er echter toe leiden dat deze evaluatie zich beperkt tot de interpretatie van de Directeur OCAD of diens assistent. Dit is een zware verantwoordelijkheid die het gevaar inhoudt het verdere verloop van de risicoanalyse en de beschermende maatregelen in het gedrang te brengen. De wetgever zou de kans moeten grijpen om de wetgeving hieromtrent te herzien via een comité van experts, ontsproten uit verschillende FOD’s die betrokken zijn in de risicoanalyse en de coördinatie van de vereiste beschermingsmaatregelen. Ook de regionalisatie van het transport houdt inherent een gevaar voor slechte doorstroom van informatie: transport is een essentiële sector in het Europese CIP-programma. Gezien de organisatie in België met de gewestelijke verantwoordelijkheden van deze sector, schijnt het niet vanzelfsprekend om een eenduidige lijn te bepalen in de te volgen procedures die zullen leiden tot een coherent nationaal beleid omtrent de dreigings- en risico-evaluatie in deze sector. Een actualisatie van de verantwoordelijkheden van betrokken actoren lijkt de beste oplossing. Op internationaal vlak komen we tot de vaststelling dat er organisatorisch uitwisseling van informatie voorzien is in de organogrammen van respectievelijk de NAVO en de EU. Er rijst echter een probleem wanneer we dieper ingaan op de werkelijke doorstroom van informatie en de uitwerking ervan op vlak van CIP, bijvoorbeeld op het vlak van technologische ontwikkeling en samenwerking met private partners. Daar waar de technologische ontwikkeling, aan de zijde van de NAVO duidelijk gericht is op operaties (en België hiervoor de rol van piloot heeft vervuld), stellen we vast dat EDA, EU-MS en de Commissie gewrongen zitten in de uitvoering van CIP: een beter synergie en onderlinge taakverdeling zou het 120

beoogde doel ten goede komen. Uiteraard zijn opdrachten van de NAVO en de EU, en meer bepaald het Europees defensie- en veiligheidsbeleid, niet gelijklopend. Dat neemt niet weg dat ze wel op elkaar moeten afgestemd worden. NAVO- opdrachten kunnen immers vaak gevolgd worden door stabilisatieopdrachten door de militaire tak van de EU. Bovendien blijken in de praktijk dat dezelfde troepen instaan voor opdrachten opgelegd door beide organisaties. Het is dus belangrijk dat, rekening houdend met de specificiteit van de opdracht van elke organisatie, de uitwisseling van informatie ook op internationaal vlak geoptimaliseerd kan worden. Dit zal immers weerslag hebben op de informatie die door de lidstaten beheerd moet worden op nationaal vlak (CGCCR). Men kan besluiten dat op vlak van technologische ontwikkeling en operationele inzet, meer samenwerking moet nagestreefd worden in capaciteit en informatie. Deze laatste moet zowel horizontaal, bottom-up als top-down van een betere doorstroming kunnen genieten. Het belang van deze samenwerking is te verklaren door het concept 3DLO, gebaseerd op diplomatie, defensie, ontwikkeling, wetgeving en ordehandhaving voor de robuuste reconstructie na een conflict. In de aanloop van een conflict is de inzet van troepen (defensie) het bewijs dat de diplomatieke weg gefaald heeft. Na inzet van zware militaire middelen zou men echter snel moeten kunnen overgaan naar heropbouw door ontwikkelingssamenwerking (o.a. met inzet van NGO’s), herstel van diplomatieke kanalen, wetgeving en ordehandhaving (o.a. bestrijding van corruptie en opleiding van een eigen troepenmacht). Men weet uit ervaringen van Irak en Afghanistan dat dit een dynamisch proces betreft, waarin alle spelers op een bepaald ogenblik terug aan belang kunnen winnen. Het is dus des te belangrijker dat de actoren die in het 3D-LO-concept betrokken zijn, kunnen genieten van een feilloos informatienetwerk. Indien we hieraan koppelen dat NAVO-troepen in Afghanistan eerder ingezet worden voor zware militaire actie, weet men ook dat de overige taken weggelegd zullen zijn voor de overige actoren op het terrein (diplomaten, EU-troepen voor ordehandhaving, NGO’s). De beschikbaarheid en de uitwisseling van de informatie tussen alle betrokken actoren zou dus feilloos moeten kunnen verlopen, zowel tijdens als in de aanloop naar militaire operaties.

3.2.6. BELANG VAN EEN NETWERK NATIONALE CERT(S) Een nationaal CERT is een vereiste voor zowel de EU als voor de NAVO. Bovendien werd onder het BELNIS-platform al enkele jaren, op nationaal vlak, geijverd naar een CERT of, bij gebrek ervan, naar een CSIRT. Hier mag het echter niet bij blijven: supranationaal steunt men op het netwerk van bestaande nationale CERT’s. In september 2009 werd het nationaal CERT in het leven geroepen. Voor België is dit essentieel, gezien de centrale ligging binnen Europa met betrekking tot transport van goederen, maar ook voor het leveren van diensten. Bovendien is ons land sterk afhankelijk van haar logistieke capaciteit en technologische innovatie. In elk van deze domeinen zijn we zeer afhankelijk van controle- en informatienetwerken. 121

Bijgevolg is de werking van onze samenleving en onze industrie bijzonder gevoelig voor aanvallen op deze systemen. Het gebrek aan of de slechte werking van een nationaal CERT zou ons land op internationaal vlak, weze het binnen de EU of de NAVO, in een verzwakte positie stellen. We hebben kunnen merken dat ook andere landen binnen de EU problemen hadden om, binnen het kader van het EGC, één nationale CERT naar voren te schuiven. Niets verplicht de deelstaten echter één enkele instantie in te schrijven in het EGC-netwerk. Om interne strijd voor bevoegdheden op te lossen, kunnen verschillende afspraken gemaakt worden: •

Lidstaten moeten definities invullen in het kader van CI(I)P die overeenkomen met het algemeen kader dat werd vastgelegd door het supranationale niveau. Bovendien moeten intern de wettelijke beperkingen en bevoegdheden op de verschillende nationale niveaus bepaald worden.

•

Capaciteiten moeten bepaald worden om tussen de nationaal bevoegde instanties de samenwerking te verankeren. De verschillende mogelijkheden en beperkingen van eenieder moeten optimaal geïntegreerd worden tot een nationale entiteit die intern geen zwakke schakels meer vertoont. Dit betekent in de praktijk dat de capaciteiten van overheidsinstellingen en private bedrijven vaak op elkaar ingesteld moeten kunnen worden: standaardnormen voor uitrusting en connecties moeten dan nageleefd worden, best gespiegeld aan een internationale norm om internationale samenwerking te kunnen garanderen in de toekomst.

•

De nationale instantie die naar buiten zal treden (bijvoorbeeld in het kader van het EGC), zal moeten beschikken over geoptimaliseerde en getrainde nationale procedures. Bovendien zal er een duidelijke politieke wil moeten zijn om het land te vertegenwoordigen op het supranationaal niveau. Een duidelijk mandaat zal dus moeten gegeven worden aan de instantie die België moet vertegenwoordigen als nationaal referentiepunt met betrekking tot CI(I)P.

Voor het geval de Nationale CERT niet kan samenvallen met een militaire capaciteit, zou een optimale samenwerking moeten kunnen gegarandeerd worden (zie ook 3.1.12).

3.2.7. NAAR

EEN CEL RISICOANALYSE EN BESCHERMING KRITISCHE INFRASTUCTUUR (CIP)

In dit werk is een werkwijze omschreven voor de uitvoering van een risicoanalyse. Het belang van de correcte communicatie van informatie naar 122

de betrokken actoren is hierin van cruciaal belang. Vooreerst moet de evaluatie gestoeld zijn op een correcte evaluatie van de geactualiseerde bedreiging op KI. Het OCAD is voor de uitvoering van deze taak de uitgelezen organisatie. We hebben echter kunnen vaststellen dat het OCAD en het gerecht in sommige gevallen beperkt kunnen worden in hun opdracht door de embargoprocedure. Het zou de risico-evaluatie op onze KI ten goede komen, mocht de wetgever hier de correcte aanpassingen voorzien in de wetgeving omtrent de werking van het OCAD. De informatie van de bedreiging moet in een gecentraliseerd orgaan toekomen dat alle informatie omtrent KI en maatregelen coördineert. Het CGCCR lijkt hiervoor organiek het meest geschikt. Hier moeten we dus de nadruk leggen dat een permanente cel voor geactualiseerde risico-evaluatie actief zou moeten zijn binnen het CGCCR. De herziene structuur van de Crisiscel schijnt in die richting te evolueren. We moeten echter een belangrijk element voor het correcte verloop van CIP/CIIP onderstrepen. In onze redenering zijn we tot de vaststelling gekomen dat CIIP niet anders kan beschouwd worden dan als een onderdeel van CIP. Dit was trouwens ook de geest van de EPCIP-groenboek dat later werd uitgedund. Het CGCCR schijnt dit echter nog steeds na te streven door de herziene databank KI m.n. ESSENTIAL te willen hervormen zoals de initiële versie van het groenboek het voorschreef, zonder zich te willen beperken tot transport en energie. We hebben ook moeten vaststellen dat CIIP een zeer specifieke benadering vereist door de belangrijke bijdrage van private partners in ons land. Daartoe zullen het nationaal CERT en het militair CERT specifieke taken hebben die noch door OCAD noch door het CGCCR kunnen vervuld worden (zie hoger). Een ervan is de vroege waarschuwing, zoals die ook binnen de NAVO-structuur ingevuld wordt. Het zal dus belangrijk zijn dat er een coherente taakverdeling afgesproken wordt tussen de CERT’s en het CGCCR die de informatie moet coördineren en uitbaten. Daartoe moet men uiterst omzichtig te werk gaan met het opstellen en het updaten van databanken en daaraan verbonden maatregelen. De databank CIIP die door FEDICT zal opgesteld worden, mag in geen enkel opzicht en op geen enkel ogenblik tegenstrijdige informatie bevatten met de databank ESSENTIAL die ook ICT als domein zal bevatten. Duplicatie van informatie houdt een permanent risico in dat de ene of andere partner in de keten verouderde of incorrecte informatie bezit. De oplossing zal dus moeten gezocht worden in de koppeling van de invoer van gegevens of de taakverdeling. Indien men enkel opteert voor de koppeling van de databanken, kunnen de CERT’s zich ter allen tijde ontfermen over de aanpassing van de gegevens om een correcte risico-evaluatie mogelijk te maken voor het CGCCR. Hierdoor spelen ze een rol die vergelijkbaar is met het OCAD, specifiek voor CIIP. De Crisiscel kan echter ook besluiten dat de competentie van de evaluatie en de nodige maatregelen niet bij haar ligt, wat logischer lijkt gezien de complexiteit van de materie. In dat geval zijn zowel de invoer van informatie als de uitvoering van maatregelen ter bescherming van CIIP uit te besteden aan de CERT’s, in nauwe samenwerking met het CGCCR. Het 123

beperkte tijdsbestek tussen de vaststelling van een ernstig incident en haar ontwrichtende gevolgen, lijken deze werkwijze te bevoordelen. In verband met de overige sectoren van ESSENTIAL, moet men werk maken van de samenwerking van alle betrokken actoren. Daar waar de financiële wereld als eerste de medewerking heeft verleend, moet men vaststellen dat in de door Europa vereiste sectoren van energie en transport een typisch Belgische situatie voor herrie kan zorgen: transport is immers een regionale bevoegdheid. Hierdoor moet de wetgever opnieuw de mogelijkheid verschaffen aan CGCCR om te kunnen beschikken over correcte informatie die snel en adequaat teruggekoppeld kan worden indien nodig. Ook de uitwerking van beschermende maatregelen mag niet door gewestelijke bezwaren in het gedrang komen. Hierdoor stuit men op het probleem van de toegang, de vastlegging van de bevoegdheden en de uitbating van de voornoemde databanken. Welke partners gaan rechtsreeks toegang krijgen? Wie zal wijzigingen mogen aanbrengen die zich opdringen? Wie zal inzage krijgen voor een betere uitbating en inzet van beschermende mogelijkheden? Deze vragen leiden naar de problematiek van de geheimhouding en de certificatie van het personeel dat daadwerkelijke toegang of inzage zal verkrijgen. Het inherente gevaar voor een ruime toegang leidt ons tot een dilemma: hoe meer mensen toegang verkrijgen, hoe meer het systeem kwetsbaar wordt voor misbruik van gegevens. Indien men echter de toegang beperkt tot enkelen, loopt men het gevaar om verouderde of onjuiste informatie te hanteren die zal leiden tot onaangepaste maatregelen.

3.2.8. CIP EN EXPEDITIONAIRE CAPACITEIT Uit het voorgaande is duidelijk dat CIP één van de basistaken zal vormen voor een expeditionaire troepenmacht. De communicatielijnen en meer algemeen de logistiek van de ingezette troepen zijn afhankelijk van de goede organisatie van CIP. Naast het belang voor de inzet van troepen, is CIP natuurlijk even belangrijk voor de lokale bevolking. In gebieden waar zware gevechten plaatsvinden, zal het zwaartepunt vooral liggen in de bevoorrading van troepen. In meer teruggetrokken gebieden, of wanneer de intensieve gevechten geluwd zijn, zal deze echter meer uitgebreid worden naar de opvang van vluchtelingen, logistieke voorzieningen voor opvang en heropbouw van de natie in oorlog. Hier dient men een onderscheid te maken tussen de taken die weggelegd zijn voor de krijgsmacht tegenover de taken van NGO’s. Meer en meer moet men vaststellen dat troepen worden ingezet voor stabilisatieopdrachten. Dit past in het kader van het voornoemde 3D-LOconcept, maar men moet toegeven dat de nadruk in deze operaties gelegd wordt op politieopdracht, herstel van diplomatie en gerechtsapparaat m.a.w. herstel van bestuur en bestrijding van corruptie in een regio die ontwaakt uit een gewapend conflict. Ongetwijfeld zal in een eerste fase, na de intensieve gevechten, steun moeten komen van de expeditionaire troepenmacht. Dit is 124

noodzakelijk voor de beveiliging van organisaties die zullen instaan voor het herstel van voornoemde functies en diensten in het land. Naarmate het beleid herstel vertoont en legitimatie van de bevolking krijgt, verkleint echter de rol van de militaire inzet en vergroot de politionele activiteit. Militaire steun kan zich desgevallend beperken tot het heropleiden van kaders en troepen in het betrokken land of de bewuste regio. Men moet zich echter terdege bewust zijn van het feit dat een te lange aanwezigheid van militaire troepen in een rol die kadert in herstel en heropbouw een negatieve weerklank kan hebben. De lokale bevolking, gesteund door hulpverleningsorganisaties, moet zelf in staat gesteld worden om de samenleving te hervatten en de rechtsstaat te herstellen. De langdurige of permanente aanwezigheid van buitenlandse troepen kan een averechts effect veroorzaken. De noodzakelijke inzet voor het beheer van middelen, het verstrekken van diensten en de beveiliging van heropgebouwde noodzakelijke infrastructuur is in essentie geen militaire opdracht. Inzet van buitenlandse gevechtstroepen zijn hier niet het beste middel: binnenlandse oppositie kan een dergelijke houding van permanente buitenlandse militaire vertegenwoordiging ervaren als een permanente bezetting. Hierdoor zullen de elementen onderhevig aan CIP net het doelwit worden van oppositiegroepen. Het is dus belangrijk dat het beleid gesteund wordt, dat beheer mogelijk wordt in een land dat in de steigers staat. Maar de militaire aanwezigheid moet beperkt zijn in de tijd. Dit is een rekbaar begrip en het is inderdaad eenvoudiger om een in plaats gestelde troepenmacht ter plaatse te houden dan terug te trekken en opnieuw te moeten ingrijpen in een later stadium. In het gestelde scenario is politioneel werk door militairen of militaire aanwezigheid in stabiele regio’s met NGO-activiteit niet gewenst. Men mag niet uit het oog verliezen dat tijdens heropbouw permanente informatie en een diplomatiek corps voorhanden zal zijn. De aanwezigheid van een kleine militaire liaisoncapaciteit kan de informatiestroom actief houden. Men moet kunnen vermijden om de militaire aanwezigheid te laten uitmonden in een bron van ergernis die zich kant tegen NGO’s of private investeerders en hierdoor opnieuw CIP in het gevaar brengt. Dit kan zelfs gevolgen hebben voor buurlanden, bijvoorbeeld door acties van oppositiegroepen op nieuwe oliepijpleidingen.

3.2.9. SUPRANATIONALE DEFENSIE

VERDRAGEN VOOR

CIP

EN BELANG VOOR

De aangegeven trends en de waarnemingen tijdens de aanloop van conflicten in het nabije verleden hebben het belang van ICT-infrastructuur benadrukt. De voorbeelden van de gebeurtenissen in Estland, Georgië en zelfs de aanloop naar de eerste en tweede Golfoorlog, wijzen erop dat de eerste aanvallen gericht zullen zijn op telecommunicatie, relais, netwerken, satellietcommunicatie en energievoorziening om de essentiële elementen voor het welslagen van commando en controle weg te nemen. Bovendien zal men 125

invloed trachten te winnen over de financiële sector van de tegenstrever en de media trachten te beïnvloeden. Cyberaanvallen zullen in dit kader zeker gebruikt worden, niet enkel om één van hiervoor aangehaalde doelen te bereiken, maar meerdere tegelijk. De objectieven van cyberaanval zullen dus gericht zijn naar het verstoren van communicatie en bevoorrading, commando en controle, verstoren van de bewegingsvrijheid van troepen, aanvallen op vijandige KI toelaten (bijvoorbeeld door SCADA), het ontzeggen van diensten tot de bevolking en de politieke besluitvorming bemoeilijken. Vele theorieën benadrukken het asymmetrische aspect van dit type aanvallen, maar in de praktijk stelt men vast dat ook een grote speler als Rusland of China dit middel gebruiken om een kleinere speler zo veel mogelijk te beperken in zijn vrijheid alvorens één schot te lossen. Het voordeel zal dus zeker in handen zijn van diegene die als eerste de vernoemde infrastructuur van de vijand kan beperken enkel en alleen door aanval op informatienetwerken en de infrastructuur die erdoor gestuurd wordt. Het is dus essentieel dat de veerkracht van de Natie gevrijwaard wordt door de bescherming van KI die afhangt van het informatienetwerk. Het belang van CIIP is dus niet enkel te kaderen in een scenario van elementaire dienstverlening, maar zal één van de kerntaken van Defensie worden. De toegenomen globalisatie en de daaruit voortvloeiende afhankelijkheid van netwerken en diensten zal als gevolg hebben dat een adequate verdediging niet meer Nationaal beperkt kan worden, maar grensoverschrijdend aangepakt moet worden. Het is dus duidelijk dat CIIP moet kaderen in supranationale verdragen. We hebben in deze studie kunnen vaststellen dat de benadering van de NAVO verschilt ten opzichte van de EU-benadering. Nochtans baseren beide organisaties zich op nationale capaciteit die al dan niet projecteerbaar is m.a.w. zowel het belang van de nationale capaciteit als de expeditionaire ondersteuning worden benadrukt. De geschiedenis leert ons dat de militaire EU-capaciteit voorlopig beperkt is in een vredesondersteunende rol (politionele opdrachten), terwijl de NAVO ingezet kan worden voor zware militaire activiteit over lange afstand en voor lange duur. Hoewel de zwaartepunten van de functies tot nu toe verschillen, is het belangrijk in te zien dat de beide organisaties elkaar moeten kunnen aanvullen. Duplicatie van capaciteit moet tot elke prijs vermeden worden. De eigenheid van elke organisatie is tegelijk een zwakheid, maar ook haar sterkte: waar capaciteiten en kerntaken verschillen, moet men streven naar aanvulling en ondersteuning. Hiervoor zijn efficiënte uitwisseling van informatie, naast informatieve fora, ook op operationeel niveau noodzakelijk. Dit moet tot stand kunnen komen door het gebruik van gemeenschappelijke standaarden en kwaliteitsvereisten in materieel en gebruik. Uiteindelijk zullen Standard Operating Procedures (SOP) op elkaar moeten afgestemd worden. Dit betekent dat een gemeenschappelijke basis van definities en alarmstadia wordt gehanteerd, weze het voor de dagelijkse werking op het thuisfront of in operatie.

126

3.2.10. NAAR EEN EUROPESE UITVOERINGSMODALITEITEN

STRATEGIE

CIP

EN

Zowel voor de Europese KI als voor expeditionaire CIP stelt men vaak een gebrek aan coherentie vast op Europees vlak. Het is alsof er middelen op korte termijn worden uitgezocht die eventueel bij andere organisaties kunnen uitgeleend worden (o.m. de NAVO) zonder te beschikken over een eigen visie op lange termijn. Sinds de Berlijn plus akkoorden188, gericht op het beheer van crisisoperaties zonder aandacht voor CIP, is een Europees Veiligheidsbeleid in het leven geroepen door X.SOLANA. Hoewel het document strategische objectieven vermeldt (Addressing the threats, Building security in its neighbourhood, Developing an international order based on effective multilateralism) en de politieke taken van de EU hierop afstemt (be more active in pursuing its strategic objectives, increase its capabilities, pursue coherent policies, work with its partners), is er nog geen eigen visie verwerkt in het domein CIP. Gedurende het Zweeds voorzitterschap van de EU (laatste helft van 2009), vermeldde S.TORGOLDS, Zweeds Minister van Defensie nochtans dat189: “During the last decade, the EU has been affected by numerous major emergencies and disasters. The terrorist attacks in Madrid in 2004 and London in 2005 shook all of Europe. Floods, heat waves, landslides, avalanches and forest fires have increased in number and scale. Climate change may lead to a further increase in extreme weather situations. An EU strategy is needed to increase effectiveness, awareness and resilience both at individual level and in society at large. Moreover, such a strategy can reduce costs, protect the environment and - not least - save lives. “ We merken dus een blijk van erkenning van de nood aan een strategische visie, hoewel deze nog steeds kadert in het uitschrijven van actieplannen van de Commissie o.m. voor CBRN-veiligheid. De bewoordingen van TORGOLDS verwijzen nochtans naar de nood aan een visie op lange termijn met betrekking tot de bescherming van de middelen die de werking van de maatschappij garanderen. Dit is net het onderwerp van CIP. Een strategie is hier inderdaad noodzakelijk, maar dan mag deze zich niet beperken tot een actieplan of een investeringsplan. Europa heeft nood aan visie op lange termijn voor de bescherming van haar eigen grondgebied en voor operaties in expeditionair kader. CIP maakt daar integraal deel van uit. In 188

189

NATO

Handbook,

Public

Diplomacy

Division,

Brussels,

2006,

pp.248-249.

http://www.europa-nu.nl/9353000/1/j9vvh6nf08temv0/viaml5smv8zw?ctx= vhsjhdfktnpb &s0e=vhdubxdwqrzw geraadpleegd op 2 december 2009.

127

deze Strategie moeten de krachtlijnen van de Europese belangen vastgelegd worden op lange termijn: definities moeten duidelijk verankerd worden, ROE moeten vastgelegd, middelen voorzien, structuren en commandolijnen uitgetekend zonder steeds te moeten terugvallen op de hulp van de NAVO of de VS. Europa moet, in goede verstandhouding met haar partners, op eigen benen kunnen/willen staan. Het in voege treden van het verdrag van Lissabon is het uitgelezen ogenblik om het Europees Veiligheidsbeleid van SOLANA te actualiseren onder de vorm van een echte Strategie met antwoord op de vragen: waar willen de Europese partners zich onvoorwaardelijk voor inzetten, met welke middelen op eigen grondgebied en welke commandostructuren in expeditionaire capaciteit. Het belang van de ontwikkeling van een Europees Departement of Homeland Security (EDHS) naar Amerikaans voorbeeld, werd reeds aangehaald in de aanbevelingen van een vorig werk190. In deze structuur past natuurlijk ook de supranationale coördinatie van CIP en meer in het bijzonder de beveiliging van Kritische Energie Infrastructuur. Eerder werd reeds vermeld dat CIP niet enkel nationaal benaderd kan worden. Voorbeelden omtrent cyberdefence hebben dit geïllustreerd. De benadering van de nationale problematiek en de initiatieven op Europees niveau zijn op vele vlakken gelijklopend. Een nieuwe structuur onder de vorm van een “Europees DHS” zou zeker kunnen bijdragen tot de coördinatie van de inspanningen voor het verbeteren van de Europese en bijgevolg ook de nationale veiligheid die een kerntaak moet worden van de Europese Strategie. De structuur van de Europese Commissie die het beste aanleunt bij het United States Departement of Homeland Security (USDHS) kan men vinden in het “Directorate General Justice, Freedom and Security”191 opgericht in oktober 1999. Integratie van de douanediensten op Europees niveau zou de bestaande structuur kunnen verstevigen. Bovendien zou de cel die het programma beheert omtrent “bescherming van Europese kritische infrastructuur” bijgevoegd moeten worden in het organogram. Aanpassingen van bestaande structuren dringen zich op na goedkeuring van het verdrag van Lissabon. Dit is het uitgelezen ogenblik om er werk van te maken en niet te hervallen in gedupliceerde taken en inspanningen over verspreide diensten binnen de EU. Een duidelijke visie hieromtrent is dus van kapitaal belang voor de erkenning van Europa als partner die meer te bieden heeft dan een gemeenschappelijk economisch beleid Met betrekking tot Europese troepen moet men in dit kader klaarheid scheppen in de beperkingen die de facto opduiken door een dubbele rol voor troepen met een mandaat voor NRF en EU BG: zelfde troepen, andere regels en middelen is inefficiënt en bron van ergernis. Een duidelijke omlijning van

190

SMEDTS, B., «Massavernietigingswapens: erfenis van de koude oorlog en bedreiging voor de toekomst? » In Veiligheid en Strategie, Koninklijk Hoger Instituut voor defensie, 2009.

191

Organogram beschikbaar op http://ec.europa.eu/dgs/justice_home/organigramme _en.pdf

128

de verantwoordelijkheden van de EU en de NAVO moet om deze reden ook weerspiegeld worden in een Europese Strategie.

3.2.11. NETWORK ENABLED CAPABILITIES (NEC): BESCHERMING VAN INFORMATIESTROMEN EN INTEROPERABILITEIT (VN, NAVO, EU…) We weten dat de technologische evolutie inzake informatie-uitwisseling bijna dagelijks evolueert. In militaire kringen is dat niet anders. Bijkomende problemen die zich stellen ten opzichte van Internetgebruik zijn traditionele militaire aspecten als veiligheid, cryptografie, behoud van de capaciteit en validatiemechanismen. Deze zaken winnen trouwens meer en meer ook in de burgersector aan belang. Denken we bijvoorbeeld aan de banksector. Met de uitbreiding van de mogelijkheden in NEC, moeten we eerst vermelden dat de uitwisseling tussen NAVO en EU nog beperkingen kent op politiek vlak. Dit blijkt uit gesprekken met militaire vertegenwoordigers, zowel op niveau van inwerkingstelling als van beleid. Het gevolg hiervan is dat dit ook weerslag heeft op capacitaire onderwerpen als NEC. Tot hiertoe hebben we de VN buiten de discussie gelaten, maar we moeten erkennen dat de situatie daar nog merkelijk verder staat van wat men zou willen bereiken op niveau van interoperabiliteit met het oog op het activeren van NEC. Beperken we onze discussie op de uitwisseling NAVO-EU dan kan men zeggen dat ze zich enigszins in hun opdrachten kunnen aanvullen. Daar waar NAVO (NRF) voorbestemd is om het hele spectrum van militaire operaties te kunnen bestrijken (ook die van hoge intensiteit), zouden we in de huidige stand van zaken aan de EU (EUBG) een aanvullende taak kunnen toebedelen, bijvoorbeeld het herstel na de zware militaire interventie m.a.w. vredesondersteuning. Ook in dit kader moet permanente uitwisseling van informatie mogelijk zijn met de troepen van welk oorsprong ook. Daarom zou men voor een optimale samenwerking of aanvulling op het terrein werk moeten maken van NEC. EU-troepen moeten bijvoorbeeld luchtsteun/verkenningsinformatie krijgen van NAVO-vliegtuigen. Dit is een opdracht die tegenwoordig “speechless” kan gebeuren via NEC. Hierdoor bekomt men een beter beeld van de omgeving, de naburige troepen en de lopende operaties. Om deze capaciteit in werking te stellen moet men deze samenwerking vertaald zien in een strategische visie en een uitvoering tot op het terrein. Dit betekent dat men moet kunnen komen tot verzoenbare operationele standaarden. De validatie- en verificatienormen van NAVO en EU zouden in dit domein naar elkaar kunnen groeien. Dit geldt voor de militaire capaciteit, maar ook voor het civiele luik van beide organisaties: beiden hebben een rol te spelen in het burgerlijke aspect van de samenleving. In het kader van NEC is er een grote rol weggelegd voor de private partners. De vereisten van de in plaats gestelde systemen zouden dus ook hier onderworpen moeten worden aan dezelfde normen voor validatie en verificatie, wat in het burgermilieu kan leiden tot een certificatie. Deze geldt dan als erkenning door de organisatie dat 129

de betrokken partner voldoet aan alle gestelde normen en dat de systemen operationeel, compatibel (intern organisatie vb. EU) en “interoperabel” (met andere organisaties vb. NAVO-EU) zijn. Het in voege treden van het verdrag van Lissabon en de uitwerking Permanente Gestructureerde Samenwerking, zijn een uitgelezen kans om nadruk te leggen op de interoperabiliteit in dit zeer specifieke domein dat zowel CIP als CIIP ten goede zal komen in tijden van oorlog, crisis of herstel te velde, maar ook in vredestijd op het thuisfront.

3.2.12. WISSELWERKING EN AFHANKELIJKHEID TUSSEN CASCADEEFFECTEN EN HUN GEVOLGEN

CI(I)P:

Deze studie heeft aangetoond dat een risico nooit afzonderlijk kan beschouwd worden: op één of andere manier moet men rekening kunnen houden met de neveneffecten van een incident. Dit is des te meer het geval voor incidenten die zich afspelen in de informatie-infrastructuur. Cascadeeffecten zijn hier niet de regel, maar kunnen zeker het gevolg zijn wanneer energievoorziening of transport worden getroffen. Een illustratie hiervan is de verzadiging van het elektriciteitsdistributienetwerk van Frankrijk in de herfst 2009: om een blackout te vermijden moest tijdelijk de toevoer van elektriciteit naar bepaalde zones in Bretagne afgesneden worden. Ook in de VS komen regelmatig blackouts voor op het elektrische verdelingsnetwerk. Het is dus zeker aan te raden alvast dit scenario te voorzien in de NIP. Het hiervoor aangehaalde voorbeeld is geen alleenstaand geval: men moet ook rekening houden met andere afhankelijkheden. In die optiek zou het interessant zijn om alle scenario’s die opgenomen zijn in de NIP aan onderzoek te onderwerpen naar afhankelijkheden tussen verschillende sectoren. Een verdere toename van de capaciteit van het informatienetwerk is een mogelijke piste die soelaas kan brengen in het kader van CIIP. Hiertoe wordt het Belgisch Internetknooppunt (BNIX), onder toezicht van BELNET, uitgebreid om de capaciteit van de schakelsystemen aan te passen. Volgens de directeur van BELNET “is de upgrade nodig omdat de bestaande switches bijna op saturatieniveau zitten”192 Het gaat al over de vierde upgrade sinds 1995 en volgens BELNET-directeur P.BRUYERE is elk jaar een verdubbeling van het verkeer vast te stellen, een trend die volgens hem zal

192

130

Elektronische versie van De Tijd van 17 december 2009 http://www.tijd.be/nieuws/ondernemingen_media_telecom/Belgisch_internetknooppunt_g aat_commercieel_.8273751-435.art geraadpleegd op 17 december 2009.

aanhouden. Indien men weet dat BNIX een aansluiting voorziet voor 44 bedrijven waaronder de openbare omroep, telecomoperatoren, internetbedrijven en banken, dan kan men besluiten dat het geen overbodige luxe is om de NIP te toetsen aan de verbinding van verschillende sectoren. Mogelijke cascade-effecten zouden eveneens moeten worden opgenomen met het oog op een gestructureerd plan van aanpak in geval van het wegvallen van de dienstverlening door oorzaken die voordien niet beschouwd werden als mogelijke oorzaak tot kettingreacties. We hebben vastgesteld dat er enerzijds een nationaal interdisciplinair platform bestaat (BelNIS) om de samenwerking inter-FOD en het Ministerie van Landsverdediging te coördineren. Gezien de hiervoor aangehaalde problematiek is deze interdisciplinaire aanpak des te meer aan de orde. Het zou zelfs een stap verder kunnen gaan dan enkel een overlegplatform. Een onafhankelijk federaal agentschap, verantwoordelijk voor CIIP en alle aanverwante incidenten, zou zeker een meerwaarde geven aan deze samenwerking. Taakverdeling naar ieders specificiteit en bevoegdheid zou dan optimaal uitgevoerd kunnen worden zonder gedupliceerde inspanningen (bijvoorbeeld het beheer van databanken, certificatie, opstellen van SOP’s, etc.). Hierdoor zou een proactieve aanpak mogelijk zijn, in samenspraak met de andere actoren van de crisisbeheersing (CGCCR, OCAD, CERT’s), en zouden nationale CERT’s (militair en overheid) zich beter kunnen richten op hun kerntaak (emergency response) zonder overbelasting met taken die andere diensten kunnen verwezenlijken. Bovendien zouden private partners hierdoor beter gecontroleerd kunnen worden in de naleving van hun verplichtingen in de verschillende vakgebieden inzake CIIP. Een nationaal agentschap is bovendien het ideale contactpunt met supranationale organen als de EU of de NAVO: anders dan één nationale speler aan te duiden, die weliswaar uitstekend werk kan leveren in zijn domein, laat deze aanpak toe om interdisciplinair en inter-FOD als volwaardige gesprekspartner met kennis van zake als tussenpersoon te dienen tussen het nationale en het supranationale niveau

3.2.13. DEFINITIES, ROE ENWETGEVING Duidelijke afspraken zijn vereist omtrent de invulling van definities als hostile act en hostile intent in cyberomgeving. Bijgevolg moeten ook de Rules of Engagement (ROE) van de vastgelegde responscapaciteit van de NAVO vooraf bepaald te worden. Bovendien moet een duidelijke wetgeving omtrent cyber defence en cyber warfare tot stand komen. Een agentschap dat hier als platform een gunstige bijdrage zou kunnen leveren in de invulling naar de operationele mogelijkheden is het CCD CoE (Talinn). Naast een internationale benadering zal ook een harmonisatie van de nationale benaderingen noodzakelijk zijn. Zowel op vlak van de NAVO als van de EU zijn afwijkende invullingen vast te stellen. Dit is niet noodzakelijk een slecht teken. Een verschillende benadering kan duiden op een complementariteit van de capaciteiten. Wat de definities en de wetgeving betreft, moeten er echter ondubbelzinnige teksten tot stand kunnen komen die de 131

verantwoordelijkheden en de mogelijkheden van eenieder bepalen. Binnen de EU was het cyber defence concept paper in 2009 in de maak. De praktische invulling van definities als Computer Network Operations moet hierin duidelijk worden en compatibel zijn met de visie en operaties van de NAVO. Hoe rijmt men bovendien cyber defence met cyberwarfare binnen de EU met het NAVO-concept? Hoe brengt men ten slotte operationele militaire netwerken van EUBG in verbinding met het politiek beleid met het oog op snelle besluitvorming op het terrein? De nieuwe functies, door het verdrag van Lissabon in het leven geroepen, zullen ook verantwoordelijkheden met zich meebrengen in de zoektocht naar een oplossing voor vermelde vragen. Dit impliceert dat ook nationale wetgeving aangepast zou moeten worden in sommige gevallen. In België kan bijvoorbeeld de wet op het privéleven onverzoenbaar blijken met de andere nationale benaderingen in de EU. Wat er ook van weze, de harmonisatie die er dient te komen (bijvoorbeeld onder de vorm van een Europese verordening) zal gericht moeten zijn op operationele vereisten. De meerderheid aan cyberaanvallen hebben in vredestijd of periode van crisis, zo blijkt, een crimineel luik193. In vredestijd zijn alle activiteiten vast te leggen in de nationale wetgeving. Definities moeten echter ook compatibel zijn met activiteiten tijdens een (gewapend) conflict. Gezien cyberincidenten vaak de voorbode blijken van nakende conflicten en de korte responstijd na een cyberaanval, moet vandaag bepaald worden wat men beschouwt als een vijandige aanval. Binnen de NAVO werd in het kader van de aanvallen op Estland terecht onderzocht of deze crisis onder te brengen was onder Art.V dan wel Art.IV van het verdrag van Washington. Voor de toekomst ligt vast dat men initieel uitgaat van een benadering die overeenkomt met Art.IV en dat aan iedere reactie politieke consultatie voorafgaat. De hieraan gekoppelde maatregelen moeten de reactie bepalen die vastligt bij bijhorende incidenten. De nationale wetgeving moet dus de definities hanteren die de werking van de EU en de NAVO-operaties ondersteunen. Daartoe moet men de nodige ruimte laten aan nationale CERT’s om (liefst gecoördineerde) actie te ondernemen op nationaal grondgebied ingevolge een crimineel (grensoverschrijdend) incident. Tegelijkertijd moet de wetgever de definities hanteren die ogenblikkelijk toelaten over te stappen van een crimineel naar een ruimer conflictueus kader.

3.2.14. DEFENSIVE/OFFENSIVE CYBER ACIVITIES Uit de benadering van het NAVO-beleid en de nationale concepten die eruit voortvloeien, blijkt dat voorlopig voorrang wordt gegeven aan cyberdefence. Of het nu past in zuiver militaire opdrachten of gemengde 193

HUGHES, R., «NATO and Cyber Defence. Mission accomplished?», in Atlantisch Perspectief, N°1/4, Stichting Atlantische Commissie, 2009, p.7.

132

civiele-militaire operaties, men zal er steeds naar streven om de opdracht tot een goed einde te brengen door bescherming van de eigen (informatie)infrastructuur. In de praktijk spelen de partners van de Alliantie een belangrijke rol, aangezien ze de capaciteit moeten opbouwen door ondersteuning met eigen middelen. Dit impliceert een optimale samenwerking en een bijzonder doorgedreven vorm van interoperabiliteit voor de inzet van middelen en uitwisseling van informatie. Hoewel we moeten vaststellen dat het begrip cyberwarfare slechts in de toekomst wordt beschouwd (met inbegrip van offensieve operaties), is dit voor het ogenblik nog niet het geval. In de VS wordt deze problematiek anders benaderd en worden in samenwerking met het Verenigd Koninkrijk en Australië op regelmatige basis oefeningen georganiseerd. Vanuit de EU zien we andere begrippen op de voorgrond treden. Gesprekken met leden van de EUMS hebben aangetoond dat men begrippen als CNO gebruikt als vervanging van cyberdefence of cyberwarfare. De invulling kan dezelfde zijn: netwerkoperaties zijn niet per definitie defensief. Men kan dus veronderstellen dat de gangbare concepten zowel offensieve als defensieve operaties voorzien. Het grote nadeel is dat men nieuwe terminologie hanteert, wat vooral problemen zou kunnen opleveren voor de interpretaties door mensen op het terrein. Het ware eenvoudiger geweest om de gebruikte terminologie en de gangbare definities af te stemmen op deze die in gebruik zijn in de schoot van de NAVO. Dat zou ook een betere aansluiting geven aan de SOP’s van de twee organisaties. Het is dan ook aan te raden dat het nieuw Strategisch Concept van de NAVO rekening houdt met de aangepaste context waarin operaties zullen plaatsvinden. De uitwisseling van informatie zal hierin steeds meer een cruciale rol spelen. De situatie waarin we ons nu bevinden met ons informatienetwerk is een beetje vergelijkbaar met de eerste uitbating van elektromagnetische informatie door wapensystemen: zonder informatie, geen doeltreffende inzet van wapens of geen accuraat beeld van wat zich op het terrein afspeelt. Het onmiddellijke gevolg is dat de inzet van tegenmaatregelen (ECM) en tegen-tegenmaatregelen (ECCM) ook weerspiegeld zullen worden in het informatienetwerk, zeker in het kader van Network Centric Operations. Het duidelijke verschil met de gewone elektromagnetische informatie is dat er destijds geen enkele impact te verwachten was op de samenleving en haar KI: nu weten we wel beter. Alleen kan men vandaag de impact moeilijk inschatten. SCADA of DDoS kunnen enorme schade aanrichten. Zelfs zonder aanval zien we dat verzadiging van netwerken een dreiging voor een volledig distributienet kan vormen. Het is dus niet zinloos om even na te denken over de mogelijkheden offensieve capaciteiten te laten beperken in een conventie, naar het voorbeeld van conventionele wapenconventies. Uiteraard zal dit door sommige landen op weerstand worden onthaald, maar waarschijnlijk zijn het ook niet diegene die het minst offensieve capaciteit hebben uitgetest. Bij de ontwikkeling van het eerste kernwapen werd reeds veel aandacht geschonken aan de gevolgen van de elektromagnetische puls die alle elektrische/elektronische toestellen zou 133

verstoren of vernietigen. Vandaag zien we nog veel meer destructieve capaciteit opduiken via netwerken die iedereen in principe kan gebruiken. Mits de nodige compromissen te sluiten, moet het mogelijk zijn, en loont het de moeite voor het welzijn van de bevolking om een “cyberconventie” overeen te komen. Deze zou de limieten moeten kunnen vastleggen voor wetmatig gebruik van cybergeweld om in de eerste plaats de burgerbevolking te vrijwaren van de gevolgen die we bij conventionele of niet-conventionele wapens ook vaststellen.

3.2.15. OPERATIONELE SAMENWERKING EN R&D We hebben kunnen vaststellen dat er van synergie tussen de NAVO en de EU weinig of geen sprake is. Zelfs de conceptuele definities verschillen in het domein dat ons aanbelangt. Op nationaal vlak maakt dat de taak niet eenvoudiger. Troepen die op terrein vandaag de NAVO-badge dragen moeten die morgen misschien wisselen voor een pet van de EU of de VN. Operationeel betekent dat een andere conceptuele inzet, andere regels, misschien ook andere collega’s die weinig kunnen bijdragen tot de interoperabiliteit of optimale communicatie- en informatiestroom. De synergie die we nastreven zou ervoor moeten zorgen dat de inspanning van twee organisaties meer bijbrengt dan de mathematische som van de geleverde inspanningen. Hoe kunnen we dit verbeteren? Een deel van het antwoord kan gevonden worden op het moeilijkste terrein dat door de NAVO werd betreden: Afghanistan. Het wekt het gevoel op dat indien het daar kan lukken, het elders ook wel kan. Nochtans blijkt nog heel wat mogelijk om de samenwerking in de praktijk te verbeteren vooraleer ze geoptimaliseerd kan worden. Sommige pijnpunten werden reeds aangehaald (communicatie- en informatiestroom, definities, een afgestemde strategische visie met een synergetisch CIP/CIIP onderdeel). Eerder in dit werk werd vermeld dat een mogelijkheid te vinden was in een verdeling van taken (zware militaire actie voor de NAVO en civiele-militaire samenwerking naar een 3D-LO-concept voor de EU d.m.v. CPCC en EUMS). Of het nu op eigen grondgebied gebeurt, in de nabijheid, of verder, deze taak moet mogelijk zijn voor de EU in coördinatie met de actie en de plannen van de NAVO. Dat betekent ook dat de lidstaten zich op een andere manier zullen moeten engageren: meer geïntegreerd in EU-verband en minder vanuit nationale belangen. Het verdrag van Lissabon zou ook hier een steentje moeten kunnen bijdragen: operaties in een ondersteunende rol, met het oog op herstel van de instellingen van de samenleving, moeten mogelijk zijn in het opdrachtenpakket van de EU. Een belangrijk onderdeel hiervan is de bescherming van KI (zowel voor de lokale bevolking als voor de NAVOtroepen in gevecht) in en buiten de steden. In dit opzicht zou het aangewezen zijn om samen met de NAVO op regelmatige basis oefeningen te organiseren met de verschillende directoraten van de EU, de EUMS en de Europese Commissie, maar ook met private partners. Het belang van deze laatste in de 134

besproken problematiek werd al meermaals aangehaald. Ook zij moeten op de hoogte zijn van ieders rol, beperkingen en gangbare procedures. Bij het welslagen van een dergelijke gecoördineerde opdracht zullen de politie- en informatieopdrachten meer en meer de overhand krijgen over de militaire actie. Ook in dit kader is veel werk weggelegd voor de EU. Zo kan de EU bijdragen om een duidelijk beeld van de dreiging in kaart te brengen en waar nodig maatregelen te nemen voor de bescherming van KI en bevolking. Uiteraard speelt een beveiligd informatienetwerk ook hier een cruciale rol. Hiermee doelt men niet alleen op de communicatie en de standaardisatie van veiligheidsprotocollen maar ook op de inzet van detectieapparatuur op een efficiënte en gecoördineerde wijze. Het is mogelijk dat daartoe uit de ervaring op het terrein blijkt dat nieuwe apparatuur nodig is, of dat bestaande apparatuur aanpassingen vergt. Ook hier is een betere samenwerking mogelijk tussen NAVO en EU. Taakverdeling kan ervoor zorgen dat de bestaande niches die opdrachten toegewezen krijgen die een optimale operationele output verzekeren. Als de expertise intern te vinden is, dan is dat een pluspunt. Men moet er dan wel kunnen op rekenen dat er geen projecten in duplicaat worden opgestart, maar dat er een adequate taakverdeling tussen NAVO en EU-partners tot stand komt (eventueel in samenwerking met geaccrediteerde private partners). Uiteraard moeten hiervoor nationale belangen opnieuw wijken voor het supranationale belang. Indien dit niet wordt gerealiseerd, zal de rol van de EU als globale partner, naast het economisch belang, snel uitgespeeld zijn.

3.2.16. KRITISCHE ENERGIE-INFRASTRUCTUUR Bescherming van kritische energie-infrastructuur is zeker een element dat moet kaderen in een synergetische benadering van de NAVO met de EU. In de schoot van de NAVO hebben we gemerkt dat de nadruk wordt gelegd op het besef van de dreiging op energie-infrastructuur wereldwijd verspreid is. Daarom moeten private en publieke partners in permanent overleg acties kunnen coördineren om hun belangen te vrijwaren. R&D draagt ook hier bij aan de ontwikkeling van een technologie die autonoom vroege detectie en reactie toelaat bij aanval op KEI. Specifieke training in dit verband moet troepen in staat stellen om ook in dit type scenario’s op te treden, weliswaar in samenspraak met private partners en de experten in het domein. Vanuit het standpunt van de EU ziet men echter dat militaire aspecten van KEI niet benadrukt worden, terwijl de NAVO wel degelijk bewust is van de afhankelijkheid van infrastructuur die ver buiten haar grondgebied ligt. De veiligheid van deze behelst dus ook de capaciteit tot (militaire) interventie indien de aanvoer wordt bedreigd door terroristische activiteit of piraterij bijvoorbeeld. Het ware dus nuttig indien de problematiek van KEI en haar bescherming opgenomen zou worden in de herziene versie van het Strategisch Concept van de Alliantie. Een Strategische visie van de EU hieromtrent (o.m. 135

in het kader van militaire operaties in een rol van crisisbeheersing) zou hierbij moeten aansluiten.

3.2.17. COMMUNICATIE EU-NAVO EN RATIONALISATIE NETWERKEN De communicatieproblematiek bracht aan het licht dat er zowel in de schoot van de EU enerzijds als tussen de EU en de NAVO anderzijds problemen opduiken omtrent doorstroming van informatie. Zo bleek destijds dat in de schoot van de EU de communicatie niet steeds doorstroomt tussen de Commissie en het Secretariaat-generaal. De gedeelde verantwoordelijkheden over de verschillende pijlers heen met betrekking to CIP is een bijkomende hindernis die in de weg zou kunnen staan voor vlotte communicatie en dubbel werk zou kunnen genereren. Sinds het in voege treden van het verdrag van Lissabon biedt zich een uitgelezen kans aan om deze situatie rationeel te herzien. We hebben kunnen merken dat de voormalige secretaris-generaal van de NAVO, Jaap De Hoop SCHEFFER, ook niet altijd even opgezet was met de communicatie tussen de EU en de NAVO. Tijdens zijn afscheidsrede drukte hij erop dat politieke leiders te weinig aandacht hebben voor het feit dat deze relatie niet werkt. Dit is een zaak die voor verbetering vatbaar is, zowel intern als extern in beide organisaties. Alvorens over synergie te kunnen spreken dient deze hindernis overwonnen te worden. Op gebied van snelle waarschuwingsnetwerken hebben we kunnen vaststellen dat een waslijst aan nationale en supranationale netwerken hun eigen waarschuwingssysteem hebben en bijgevolg uit zichzelf een onderdeel zijn van KI. Alleen al op Europees niveau stellen we een indrukwekkende lijst vast. Zonder exhaustief te willen zijn, zetten we nog enkele voorbeelden op een rijtje:

136

•

MIC (Civil Protection Monitoring and Information Centre: een waarschuwingssysteem om wederzijdse hulp sneller op gang te brengen tussen lidstaten in geval van ernstige noodgevallen).

•

ECURIE (European Community Urgent Radiological Information Exchange: informatienetwerk bij radiologische noodgevallen. (nationaal POC is het Federaal Agentschap voor Nucleaire Controle -FANC).

•

BICHAT (programme for cooperation on preparedness and response to Biological and Chemical Attacks: waarschuwingssysteem voor biologische en chemische dreiging en aanval aangevuld met het mondiaal medisch waarschuwingsnetwerk MedISys).

•

RAPEX (Rapid Exchange of Information of alarmeringssysteem voor consumptiegoederen die niet voedselgebonden zijn. FOD Economie is nationaal POC).

•

RASFF (Rapid Alert System for Food and Feed databank voor voedselgebonden gezondheidsrisico’s. Het Federaal Agentschap voor Voedselveiligheid is nationaal POC).

•

EWRS (Early Warning and Response System voor besmettelijke ziekten. FOD Volksgezondheid is nationaal POC).

•

EUROPHYT (phytosanitaire databank. Het Federaal Agenstchap voor Voedeselveiligheid is nationaal POC).

•

SHIFT (databank voor veterinaire gezondheidscontrole met het oog op import. Het Federaal Agentschap voor Voedeselveiligheid is nationaal POC).

•

ADNS (Animal Disease Notification System. Het Federaal Agenstchap voor Voedeselveiligheid is nationaal POC).

•

ARGUS (General Rapid Alert System: intern netwerk voor verspreiding van informatie binnen de directies en diensten van de Commissie bij het voorkomen van een crisis).

•

EISAS (European Information Sharing and Alert System: netwerk gebaseerd op participatie van publieke en private sector ten voordele van CIIP).

Nationale netwerken werden hier zelfs niet vermeld! Het is duidelijk dat men vooreerst deze overvloed aan informatiekanalen zou moeten rationaliseren, zonder verlies van gecentraliseerde “situation awareness”. Al deze systemen moeten bovendien beveiligd worden. Wil men dat realiseren, zou men zowel dragers, vectoren van informatie, gebruiksprocedures en inhoud moeten reduceren tot een gemeenschappelijke standaard.

3.2.18. HOLISTISCHE BENADING CIP/CIIP Vaak zien we een benadering in het kader van CIP of CIIP die in het beste geval vertrekt van een risicoanalyse. Maatregelen worden bijgevolg ingezet naargelang de scenario’s die de grootste waarschijnlijkheid vertonen om zich binnen afzienbare tijd af te spelen. Een andere benadering is gebaseerd op de identificatie van de gevoelige punten van een systeem. Permanente instrumenten om de weerbaarheid van het geheel te versterken kunnen dan onafhankelijk van het zich aflopende scenario in plaats gesteld worden. Een ideale oplossing zou kunnen bestaan uit de samensmelting van 137

de twee benaderingen: de instrumenten geleverd door de risicoanalyse zullen toelaten om tijdig en specifiek in te grijpen tijdens opduikende crises, terwijl de versterking van de gevoelige punten de algemene weerbaarheid en veerkracht van het systeem zullen onderhouden voor het geval de crisis zich aan het ontwikkelen is vooraleer men specifieke maatregelen heeft kunnen inzetten. Deze studie heeft in vele onderdelen het belang aangetoond van private partners in de besproken problematiek. Eén van de besluiten is dat een optimale samenwerking vereist is met deze actoren. Hiertoe zijn duidelijke afspraken vereist met de publieke sector waarbij de verantwoordelijkheden van iedereen bij wet wordt verankerd. Dit lijkt een moeilijk haalbare kaart, vooral in tijden van economische crisis. Nochtans is het uit de te verwachten tendensen duidelijk dat veiligheid in de toekomst meer en meer betrekking zal hebben op de goede dagelijkse werking van de maatschappij. De conclusie is dus dat ook private partners meer aandacht zullen moeten hebben voor veiligheidsaspecten die vroeger nauwelijks aan bod kwamen. Ook voor Defensie brengt dit bijkomende implicaties mee. Haar rol zal zich niet meer beperken tot zware expeditionaire inzet, maar ook tot daadwerkelijke ondersteuning van veiligheid op het thuisfront. In dat opzicht zal de samenwerking van Defensie met de overheidsdiensten, moeten gecoördineerd worden in samenwerking met voormelde private partners. In expeditionair kader zal zich dat moeten vertalen in het 3D-LO-concept. Op nationaal vlak zullen we de krijtlijnen voor deze samenwerking moeten kunnen terugvinden in het concept met betrekking tot civiele en militaire samenwerking.

3.2.19. RATIONALISATIE STRUCTUUR ORGANISATIE CIP/CIIP Op het ogenblik van redactie is de eerste president van de Europese Raad verkozen. Tot op de dag van vandaag zijn de bevoegdheden met betrekking tot CIP en CIIP nog verspreid over de drie pijlers van de EU. Zo is de bevoegdheid voor het CIP-beleid gelegen binnen de derde pijler (Freedom, Security and Justice). De CIIP-policy en de fondsen voor onderzoek zijn een bevoegdheid van de eerste pijler. Daartussen fungeert de tweede pijler als militaire arm van de EU en deze zou in staat moeten zijn om deze twee opdrachten ook uit te voeren zowel op eigen grondgebied als in expeditionair kader, eventueel in civiele-militaire samenwerking.

Het is logisch dat we, in het kader van de bescherming tegen terrorisme, de inspanningen met betrekking tot CIP terugvinden onder de derde pijler (Freedom, Security and Justice). We mogen echter niet uit het oog verliezen dat het EPCIP- programma in de geest verder reikt dan de domeinen energie en transport. In werkelijkheid staat de deur reeds open voor een integratie van de ICT-capaciteit in het programma. Dit zou betekenen dat ICT en de daaraan gekoppelde CIIP-vakgebieden eveneens onder hetzelfde programma vallen. Dit valt enkel toe te juichen. In de praktijk stelt zich dan de vraag wie de bevoegdheid van de uitvoering op zich gaat nemen. Zoals vermeld is alles met betrekking tot CIIP een bevoegdheid van de eerste pijler. Een rationalisering 138

van de werking binnen het domein CIP/CIIP zou een geïntegreerde en coherente aanpak misschien ten goede komen. Het in voege treden van het verdrag van Lissabon is opnieuw een uitgelezen kans om de verspreiding van de bevoegdheden over de verschillende pijlers te rationaliseren. Eerder in dit werk werd aangehaald dat coherentie van het buitenlands EU-beleid ter zake zich zou kunnen kristalliseren in het European External Action Service (EEAS). Deze dienst ondersteunt de nieuwe functie van Hoge vertegenwoordiger van de EU inzake buitenlands- en veiligheidsbeleid. Men verwacht een volledige operationele samensmelting van de civiele en militaire planning tot één diplomatiek apparaat vanaf 2012. Daar waar de militaire rol van de EU in de tweede pijler te vinden was (voor uitvoering op het terrein), zien we in het geval van CI(I)P gedeelde bevoegdheden over de derde en de eerste pijler. Het zou dus opportuun zijn om alle inspanningen CI(I)P te centraliseren. Binnen voornoemde EEAS zou de coördinatie zowel binnen de grenzen van de EU als daarbuiten (ook in het kader van militaire operaties) op een ideale wijze geïntegreerd kunnen worden. De expertise bestaat, de ambtenaren ook en het wetenschappelijk onderzoek loopt verder. Het komt er enkel op aan een agentschap of een afdeling binnen EEAS te voorzien die alle experten samenbrengt onder één gemeenschappelijke koepel voor één opdracht: coördinatie en rationalisatie van het beleid inzake CIP/CIIP.

3.2.20. NAAR EEN STRATEGIE VAN SAMENWERKING TUSSEN DEFENSIE EN ACTOREN UIT VERSCHILLENDE FOD’S Een economische laagconjunctuur beperkt de beschikbare budgetten voor Defensie. De lopende crisis is bovendien fundamenteel verschillend van de vorige crisissen omwille van de context van algemene globalisering waarin meer en meer aspecten van het dagelijkse leven zich afspelen. Iedere actie kan als het ware een reactie veroorzaken aan de andere kant van de wereld in welk domein ook. En toch moeten we blijven streven naar een “allesomvattende aanpak”, doelend op het feit dat elke mogelijke dreiging aangepakt kan worden met de toegeschreven middelen. Door de vermelde omstandigheden kan de uitvoering van deze opdracht een probleem vormen indien Defensie er alleen zou voor instaan. Dit is niet noodzakelijk het geval, maar men moet tot het besef komen dat interdepartementale samenwerking hiervoor absolute noodzaak is vanaf risicoanalyse tot risicobeheersing. De principes van FREIER kunnen hiervoor ook door ons toegepast worden, ware het in een minder ambitieus kader dan voor het Amerikaanse continent. Vooreerst moet Defensie geïntegreerd worden in een samenwerkingsverband met alle overheidsdepartementen om gezamenlijk strategische schokken te voorzien en te beheersen. Hiervoor is zowel risicoanalyse als voorafgaande bescherming van eigen systemen van belang. Bovendien moet het permanent beheer van onconventionele dreiging geoptimaliseerd kunnen worden. De huidige dreiging is, zoals hoger aangetoond, niet meer onder te brengen in kleine hokjes van zuiver militaire, juridische, civiele of politionele aard. Risico’s die de samenleving bedreigen 139

lopen over een breder spectrum, waaronder bijvoorbeeld terrorisme, extremisme, proliferatie, of economische en politieke instabiliteit. Daarom zijn noodplannen en ook militaire plannen te herbekijken om duidelijk omschreven tactische en strategische objectieven te bereiken, die moeten ontspruiten uit een strategisch concept dat politieke consensus geniet. Het spreekt voor zich dat de politieke besluitvorming hierin een belangrijke rol speelt en dat een duidelijk tijdskader moet omschreven worden waarbinnen men vastgestelde doelen wil bereiken, met omschrijving van de daartoe voorziene middelen. Ideale doelstellingen moeten dus wijken voor haalbare, realistische objectieven. Vandaag is het vaak zo dat investeringen voor één welbepaalde capaciteit een verlies betekenen voor een ander. Zowel binnen Defensie als in de samenwerking met de FOD’s moet de nadruk gelegd worden op het belang van een optimale samenwerking (overeenkomsten in definities, SOP’s en hun oefening). Daarnaast is de uitbating van nichecapaciteit op een gecoördineerde manier essentieel d.w.z. dat specialisatie over de verschillende deelnemende partners verspreid wordt om dusdanig ook de inspanning te verspreiden zonder het vakmanschap te verliezen of de opleiding voor het betrokken personeel te laten verwateren. Verder zou men het scenario “strategische schok” moeten integreren in Defensieplanning en operationele concepten. Daartoe is ook een holistische benadering van dergelijke incidenten aan te moedigen in de ontwikkeling van plannen, strategie en capaciteit. Het is duidelijk dat de eerder voorgestelde risicobenadering in het kader van ontwrichtende trends duidelijk op haar plaats is, zeker voor wat de bescherming van KI betreft. Binnen Defensie en in samenwerking met betrokken FOD’s, is echter nog werk om deze concepten betrouwbaar te maken “tot op de werkvloer”.

140

3.3. Deelbesluit In dit deel hebben we enkele beleidsondersteunende aanbevelingen willen formuleren voor mogelijke pistes om de aanpak van CIP/CIIP te rationaliseren. We hebben kunnen merken dat in de uitvoering hiervan veel zal afhangen van de visie, die men er op lange termijn wil op nastreven. Hiervoor is natuurlijk eerst een lange termijnvisie nodig. Noem het een strategisch plan of een concept, ieder beleidsniveau zal het kader moeten vastleggen waarbinnen het haar beleid tot zijn recht wil laten komen met tastbare resultaten die verder gaan dan vage teksten of verspreide bevoegdheden die niets bijbrengen. De gouverneur van de Centrale Bank van België meldde in november 2009 dat de recessie voorbij was, de crisis echter niet. In deze context zal het niet eenvoudig zijn om prioriteiten te leggen. Nochtans zien we reeds acht jaar budgettaire inspanningen naar Afghanistan vloeien om onze veiligheid te garanderen. Een verlaagde inspanning in de tactische en strategische veiligheidsmaatregelen op eigen grondgebied omwille van budgettaire redenen zou een gevaarlijke keuze zijn. Veiligheid is een essentieel onderdeel van de samenleving of we die nu moeten garanderen op meerdere duizenden kilometers van hier of in hartje Brussel. Het wegvallen van de dienstverlening in welk domein dan ook kan de essentiële fundamenten van onze samenleving in het gedrang brengen. Een onmiddellijke weerslag op ons dagelijks leven is dus niet uitgesloten. We stellen vast dat de bescherming van onze nationale kritische infrastructuur tegen asymmetrische of andere dreiging kadert in een supranationale organisatie die op vele vlakken nog meer nood heeft aan coördinatie en rationalisatie. De ratificatie van het verdrag van Lissabon enerzijds en de nieuwe administratie in de VS anderzijds, scheppen een nieuwe opportuniteit om het werk in de goede richting uit te voeren en zo mogelijk tot een goed einde te brengen.

141

142

Algemeen Besluit

143

Algemeen Besluit Op middellange tot lange termijn tekenen zich nieuwe trends af. Hieruit kunnen we afleiden dat er duidelijk rekening moet gehouden worden met een nieuwe vorm van dreiging. Asymmetrische dreiging kan mogelijk leiden tot “strategische schokken”, gebeurtenissen die een ontwrichtend karakter hebben op de goede werking van de maatschappij. Vanuit deze nieuwe trends zijn de definities benaderd die ons in staat kunnen stellen om tot een degelijke risicoanalyse te komen in deze specifieke context van asymmetrische dreiging. Vanuit een algemene benadering is men tot een methode gekomen die gebruikt kan worden bij besluitvorming ter ondersteuning van het beleid. Uit de aangehaalde voorbeelden hebben we kunnen vaststellen dat talrijke valkuilen in de weg staan om tot een valabele conclusie te komen. Na de omlijning van de toepasbare definities met betrekking tot begrippen als risico, dreiging en impact, is een methodologie voorgesteld die impliceert dat zich zowel op nationaal als op supranationaal niveau aanpassingen opdringen met betrekking tot definities en gebruikte methodes. Vervolgens werd ook specifiek aandacht geschonken aan wat nu precies verstaan wordt onder kritische infrastructuur en de bescherming ervan. We hebben kunnen vaststellen dat ook hier de invulling van eenzelfde begrip duidelijke verschillen vertoont. Dit heeft uiteraard ook gevolgen voor de inventarisatie van kritische infrastructuur en de inzetbaarheid van maatregelen die men wil voorzien voor de bescherming ervan. Het tweede deel van de studie heeft zich meer toegespitst op de invulling die men heeft gegeven aan het begrip kritische infrastructuur en haar bescherming vanuit het standpunt van de EU en de NAVO en dit voor wat CIP maar ook CIIP betreft. Duidelijke verschillen zijn naar voor gekomen, in beide domeinen. Mogelijkheden tot synergie tussen de EU en de NAVO werden daartoe onderzocht: een gebrek blijkt nog te bestaan in de informatiestroom, definities, capaciteiten en doelstellingen tussen de twee organisaties onderling. De onderzochte materie heeft aangetoond dat verschillende aanspreekpunten over de pijlers van de EU bij dezelfde onderwerpen op een of andere manier betrokken waren. Dat heeft de bevraging in het kader van deze studie niet eenvoudiger gemaakt. We hebben in deze context vermeld dat het ook één van de frustraties was van de voormalige secretaris-generaal van de NAVO, Jaap De Hoop SCHEFFER. Zijn opvolger, Anders Fogh RASMUSSEN, wil alvast werk maken om de banden met de EU aan te halen. In het kader van het nieuw strategisch concept van de NAVO, en gezien de nieuwe de trends die opduiken in de vormen van dreiging, zullen bescherming van KI en KII zeker nog op de orde van de dag komen te staan. De veiligheid van de energievoorziening illustreert dit, maar ook hier zien we dat de invulling vanuit de EU duidelijk verschilt van de manier waarop de NAVO deze problematiek benadert. 144

Het derde en laatste deel van dit werk heeft de aandacht willen vestigen op nationale benaderingen enerzijds en aanbevelingen anderzijds. De nationale benadering van CIP/CIIP berust vooreerst op een nationale vertaling van de Europese EPCIP-richtlijn: ieder beleidsniveau zal het kader moeten vastleggen waarbinnen haar beleid tot zijn recht moet komen, met tastbare resultaten die verder gaan dan vage teksten of verspreide bevoegdheden die niets bijbrengen. In de context van de huidige economische crisis zal het niet eenvoudig zijn om prioriteiten te leggen. Nochtans stellen we vast dat reeds acht jaar budgettaire inspanningen worden geleverd om als maar meer middelen naar Afghanistan te laten vloeien om onze veiligheid te garanderen. Een verminderde inspanning in de tactische en strategische veiligheidsmaatregelen op eigen grondgebied omwille van budgettaire redenen zou een gevaarlijke keuze zijn. Het wegvallen van de dienstverlening in welk domein dan ook kan de essentiële fundamenten van onze samenleving in het gedrang brengen. We stellen vast dat de bescherming van onze nationale kritische infrastructuur tegen asymmetrische dreiging kadert in een supranationale organisatie die op vele vlakken nog meer nood heeft aan coördinatie en rationalisatie. De ratificatie van het verdrag van Lissabon enerzijds en de nieuwe administratie in de VS anderzijds, scheppen een nieuwe opportuniteit om het werk in de goede richting uit te voeren en tot een goed einde te brengen. Meer dan andere landen is België economisch afhankelijk van handel, dienstverlening, verwerkingscapaciteit en innovatie. Als gevolg daarvan heeft ons land veel te winnen aan een goede aanpak van de CIP/CIIP-problematiek: o.m. infrastructuur, dienstverlening, R&D zijn belangrijk en moeten permanent, op rationele wijze, vernieuwd en beveiligd worden. Bovendien moeten diensten gegarandeerd worden die het vertrouwen van de bevolking ten aanzien van de Staat bevestigen. Het wegvallen van deze diensten of infrastructuur, zou, naast de fysische ontmanteling van de samenleving, een ernstige psychologische impact hebben op de bevolking. De vertaling van de Europese EPCIP-richtlijn naar de nationale wetgeving is bijgevolg een uitgelezen kans om de verantwoordelijkheden van alle nationale partners, openbare diensten zowel als private ondernemingen, vast te leggen bij wet. Bijzondere aandacht zou moeten gegeven worden aan certificatie van personeel en materieel, zowel voor de bescherming van kritische infrastructuur in België als voor troepen die in expeditonair kader opereren. Militaire operaties in het buitenland zijn evenzeer afhankelijk van kritische infrastructuur, hoewel met andere middelen voor de bescherming wordt gezorgd. Bescherming van deze infrastructuur moet steeds een van de hoofdbekommernissen zijn. Behoud van aanvoer- en communicatielijnen is essentieel voor het welslagen van een opdracht voor expeditionaire troepen. Beleidsondersteunende maatregelen werden in het laatste deel van dit werk toegelicht. Een exhaustieve lijst was niet de hoofdbekommernis in de bespreking van deze maatregelen. Bedoeling was om voor de gebreken die in deze studie naar voren zijn gekomen, een bruikbaar alternatief te formuleren of ten minste een piste te openen naar een meer rationele aanpak. 145

Onontgonnen gebieden werden even aangehaald: een visie op lange termijn op nationaal niveau zou een kader kunnen scheppen voor de ambities die men wil bereiken. Dat geldt ook voor de EU. Zoals de NAVO regelmatig haar strategisch concept aan herziening onderwerpt, zo ook moeten de partners werk maken van een strategische visie die past in een kader van complementaire samenwerking, met duidelijke afspraken met betrekking tot respectievelijke verantwoordelijkheden, zonder duplicatie van taken en in een permanent streven naar optimale interoperabiliteit. De aangeraden rationalisering van communicatiekanalen houdt ook hiermee verband: een herdefinitie van de eigen positie van supranationale instellingen dringt zich op. Op die manier kan duplicatie van inspanningen en verdunning van beschikbare middelen tegengegaan worden. Pooling van capaciteit is één van de mogelijke pistes. Eenmaal de strategische visie van de NAVO beschikbaar zal de studie van de implicaties voor de partners zich opdringen. Wetenschappelijke studies werden in het kader van dit werk niet besproken, hoogstens even aangehaald of vermeld. Talrijke studies zijn lopende, vooral in het domein CIIP. De resultaten hiervan kunnen leiden naar aangepaste wetgeving en in dit kader valt te betreuren dat ook vandaag nog geen noodplan CBRN(E) beschikbaar is om de NIP te ondersteunen in bijzondere omstandigheden. Vermelden we nog dat in het kader van de militair-civiele samenwerking beroep kan gedaan worden op de ervaring van network enabled capabilities in operationele zones: hierdoor kan men enerzijds de communicatie beter beveiligen, maar eveneens de situation awareness bevorderen. Het groeiend belang van private partners verdient daarvoor eveneens meer aandacht. Verder onderzoek in deze domeinen en de toepasbaarheid op het terrein met betrokken partners dringt zich op. De verwachtingen van de klimaatconferentie van Kopenhagen (december 2009) werden niet ingevuld. Uit deel 1 weten we dat migratiestromen, onder meer te wijten aan klimaatverandering, één van de nieuwe vormen van bedreiging zijn die kunnen leiden tot gewapend conflict. Uit het besluitvormingsproces van deze VN-conferentie is duidelijk geworden dat de EU als gesprekspartner niet op gelijk niveau staat met groeipolen als China, India, Zuid-Afrika, Brazilië enerzijds en de Verenigde Staten anderzijds. De EU zal dus ook voor het in deze studie behandelde onderwerp slechts steun kunnen verwachten wanneer voormelde partijen er zelf hun belang in terugvinden. Tot hiertoe speelt de stem van de EU of de VN geen rol in global governance. Daarom is het essentieel dat zowel op politiek als op militair vlak de organisatie van CIP/CIIP in de EU efficiënt wordt aangepakt. De EU moet wat dat betreft zo veel mogelijk op eigen benen kunnen staan. Naast de economische gevolgen, hebben CIP als CIIP ook veiligheidsimplicaties: een asymmetrische vijand zal zich steeds proberen te werpen op de zwakke plekken van zijn tegenstrever. Anders dan voor economische belangen, kan men omwille van het globaliserend veiligheidsprobleem op dit vlak wel inspanningen verwachten van voornoemde partners omdat interconnecties en domino-effecten ook ernstige 146

gevolgen kunnen hebben aan de andere kant van de wereld. Men kan er echter van uitgaan dat de steun die in dit kader toch zou geleverd worden, niet vrijgegeven zal worden zonder een tastbare return on investment. De optimalisatie van de beveiliging van de samenleving blijft dus essentieel.

147

148

Bijlagen

149

Bijlage 1 : Vergelijking nieuwe en oude veiligheidsomgeving Geopolitiek

Voormalige veiligheidsomgeving Bipolair en stug

Nieuwe klemtonen in veiligheid Multipolair (complex)

Voorspelbaar

Onzeker

Communisme

Nationalisme en religieus extremisme

VS als grootste westerse macht Permanente allianties

VS enkel sterkste militaire macht Tijdelijke verdragen

Verlamde VN

Dynamische VN Dreiging gericht tegen de VS

Eén blok (Sovjet-Unie) Dreiging op overleven van VS Duidelijk Afschrikbaar Afkomstig uit Centraal-Europa Hoog risico tot escalatie Gebruik van strategische kernwapens Open

150

Verscheiden Dreiging op belangen van de VS Onduidelijk Niet afschrikbaar Andere regio’s Laag risico tot escalatie Terroristen die kernwapens gebruiken Verscholen

Militaire macht Uitputtingsoorlog

Beslissende aanvallen op sleuteldoelwitten

Oorlogvoering “by proxy”

Onmiddellijke versterking

Hoogtechnologisch

Verscheiden niveaus van technologie

Ontplooid (vooruitgeschoven)

Projectie (strategische afstand)

Frontlijn gelegen

Thuisbasis

Host Nation Support

Vertrouwen in eigen sterkte

Bron: LES ASPIN, « On the Sea Change in the Security Environment. », in The Officer Magazine, February 1993. 151

Bijlage 2 : Europese definities kritische infrastructuur CIP TERMS AND DEFINITIONS This indicative list of definitions could be further built upon depending on the individual sectors for the purpose of identification and protection of Critical Infrastructure (CI). Alert Notification that a potential disaster situation will occur, exists or has occurred. Direction for recipient to stand by for possible escalation or activation of appropriate measures. Critical infrastructure protection (CIP) The ability to prepare for, protect against, mitigate, respond to, and recover from critical infrastructure disruptions or destruction. Critical Information Infrastructure (CII): ICT systems that are critical infrastructures for themselves or that are essential for the operation of critical infrastructures (telecommunications, computers/software, Internet, satellites, etc.). Critical Information Infrastructure Protection (CIIP) The programs and activities of infrastructure owners, operators, manufacturers, users, and regulatory authorities which aim at keeping the performance of critical information infrastructures in case of failures, attacks or accidents above a defined minimum level of services and aim at minimising the recovery time and damage. CIIP should therefore be viewed as a cross-sector phenomenon rather than being limited to specific sectors. CIIP should be closely coordinated with Critical Infrastructure Protection from a holistic perspective. Contingency plan A plan used by a MS and critical infrastructure owner/operator on how to respond to a specific systems failure or disruption of essential service. Contingency plans would typically include the development, coordination, and execution of service- and site-restoration plans; the reconstitution of government operations and services; individual, private-sector, nongovernmental and public-assistance programs to promote restoration; long-term care and treatment of affected persons; additional measures for social, political, environmental, and economic restoration as well as development of initiatives to mitigate the effects of future incidents. 152

Critical Information Specific facts about a critical infrastructure asset, vitally needed to plan and act effectively so as to guarantee failure or cause unacceptable consequences for critical infrastructure installations. Critical Infrastructure (CI) Critical infrastructure include those physical resources, services, and information technology facilities, networks and infrastructure assets which, if disrupted or destroyed, would have a serious impact on the health, safety, security or economic well-being of Citizens or the effective functioning of governments. There are three types of infrastructure assets: − Public, private and governmental infrastructure assets and interdependent cyber & physical networks. − Procedures and where relevant individuals that exert control over critical infrastructure functions. − Objects having cultural or political significance as well as “soft targets” which include mass events (i.e. sports, leisure and cultural). Essential service Often applied to utilities (water, gas, electricity, etc.) it may also include standby power systems, environmental control systems or communication networks that if interrupted puts at risk public safety and confidence, threatens economic security, or impedes the continuity of a MS government and its services. European critical infrastructure (ECI) European critical infrastructure include those physical resources, services, and information technology facilities, networks and infrastructure assets, which, if disrupted or destroyed would have a serious impact on the health, safety, security, economic or social well-being of two or more MS. The definition of what constitutes an EU critical infrastructure is determined by its cross border effect which ascertains whether an incident could have a serious impact beyond two or more MS national territories. This is defined as the loss of a critical infrastructure element and is rated by the: − extent of the geographic area which could be affected by the loss or unavailability of a critical infrastructure element beyond three or more Member State’s national territories; − effect of time (i.e. the fact that a for example a radiological cloud might, with time, cross a border); − level of interdependency (i.e. electricity network failure in one MS effecting another); Impact Impacts are the total sum of the different effects of an incident. This needs to take into account at least the following qualitative and quantitative effects: 153

− Scope - The loss of a critical infrastructure element is rated by the extent of the geographic area which could be affected by its loss or unavailability international, national, regional or local. − Severity - The degree of the loss can be assessed as None, Minimal, Moderate or Major. Among the criteria which can be used to assess impact are: – Public (number of population affected, loss of life, medical illness, serious injury, evacuation); – Economic (GDP effect, significance of economic loss and/or degradation of products or services, interruption of transport or energy services, water or food shortages); – Environment (effect on the public and surrounding location); – Interdependency (between other critical infrastructure elements). – Political effects (confidence in the ability of government); – Psychological effects (may escalate otherwise minor events). both during and after the incident and at different spatial levels (e.g. local, regional, national and international) − Effects of time - This criteria ascertains at what point the loss of an element could have a serious impact (i.e. immediate, 24-48 hours, one week, other). Interdependency Identified connections or lack thereof between and within infrastructure sectors with essential systems and assets. Occurrence The term “occurrence” in the CIP context is defined as an event (either human caused or by natural phenomena) that requires a serious emergency response to protect life or property or puts at risk public safety and confidence, seriously disrupts the economy, or impedes the continuity of a MS government and its services. Occurrences include negligence, accidents, deliberate acts of terrorism, computer hacking, criminal activity and malicious damage, major disasters, urban fires, floods, hazardous materials spills, nuclear accidents, aircraft accidents, earthquakes, storms, public health and medical emergencies and other occurrences requiring a major emergency response. Operator Security Plan The Operator Security Plan (OSP) identifies all of the operator’s critical infrastructure assets and establishes relevant security solutions for their protection. The OSP describes the methods and procedures which are to be followed by the owner/operator.

Prevention The range of deliberate, critical tasks and activities necessary to build, sustain, and improve the operational capability to prevent, protect against, respond to, and recover from an incident. Prevention involves efforts to identify threats, determine vulnerabilities and identify required resources. Prevention involves 154

actions to protect lives and property. It involves applying intelligence and other information to a range of activities that may include such countermeasures as deterrence operations; heightened inspections; improved surveillance and security operations; investigations to determine the full nature and source of the threat; public health and agricultural surveillance and testing processes; immunizations, isolation, or quarantine; and as appropriate specific law enforcement operations aimed at deterring, pre-empting, interdicting, or disrupting illegal activity, and apprehending potential perpetrators and bringing them to justice. Prevention involves the stopping of an incident before it happens with effective processes, guidelines, standards and certification. Seamless interactive systems, and comprehensive threat- and vulnerability analysis. Prevention is a continuous process of ongoing actions to reduce exposure to, probability of, or potential loss from hazards. Response Activities that address the short-term direct effects of an incident. Response includes immediate actions to save lives, protect property, and meet basic human needs. As indicated by the situation, response activities include applying intelligence and other information to lessen the effects or consequences of an incident; increased security operations; continuing investigations into nature and source of the threat; ongoing public health and agricultural surveillance and testing processes; immunizations, isolation, or quarantine; and specific law enforcement operations aimed at pre-empting, interdicting, or disrupting illegal activity, and apprehending actual perpetrators and bringing them to justice. Risk The possibility of loss, damage or injury. The level of risk is a condition of two factors: (1) the value placed on the asset by its owner/operator and the impact of loss or change to the asset, and (2) the likelihood that a specific vulnerability will be exploited by a particular threat. Threat Any indication, circumstance, or event with the potential to disrupt or destroy critical infrastructure, or any element thereof. An all-hazards approach to threat includes accidents, natural hazards as well as deliberate attacks. It can also be defined as the intention and capability of an adversary to undertake actions that would be detrimental to critical assets. Vulnerability A characteristic of an element of the critical infrastructure's design, implementation, or operation that renders it susceptible to destruction or incapacitation by a threat. Bron: Groenboek betreffende een Europees programma voor de bescherming van kritieke infrastructuur, Commissie van de Europese Gemeenschappen, Brussel, 2005, bijlage 1.

155

Bijlage 3 : Lijst mogelijke risico’s NATUURLIJKE RISICO’S Hemel Meteoriet; elektromagnetisch onweer; astronomische bezienswaardigheid (verduistering, komeet, poollicht,…). Weer Opwarming van het klimaat; afkoeling van het klimaat; hittegolf; koudegolf; verregaande vorst; droogte; sneeuw met verlamming verkeer; hardnekkige mist; zure regen; stortvloed; overvloedige neerslag; wervelwind; onweer; storm; cycloon; bliksem; gat in de ozonlaag; ozonpiek. Hydrologie Bekkenoverstroming; verandering van de nulhoogte van het zeeniveau; radioactieve warmwaterbron; smelten van gletsjers, ijsbergen; vloedgolf. Land Aardbeving; bodemverschuiving; modderstroom; radioactiviteit (radon); erosie; lawine; verzakking; mijninstorting of natuurlijke instorting; subsidentie (verzakking van de aardkorst); vulkaanuitbarsting. Biologie Bosbrand; planteninvasie; woestijnvorming; diereninvasie; gekke dieren, ontsnapte dieren

ECONOMISCHE RISICO’S Staat Financiële crisis; bankroet van de staat; wereld - en beurscrash; monetaire crisis; corruptie; zwartwerk; fiscale fraude; witwassen van geld; pensioenen; probleem bij de BNB (verlies infrastructuur, piraterij,…); probleem bij de beurs van Brussel; armoede; verarming; probleem in bepaalde sectoren. Ondernemingen Economische malaise; massale herstructureringen; massale faillissementen; faillissement belangrijke bank; faillissement belangrijk telecommunicatiebedrijf; staking met effect op de voedselvoorziening; staking met blokkering van de economie; problemen in verband met het concurrentievermogen; problemen met intellectueel eigendom; gezondheidsproblemen met gevolgen voor de economie; verlamming na een 156

vitaal probleem (punt of infrastructuur); besluitvormingscentrum in het buitenland.

monopolie

na

fusies,

Handel (illegale en clandestiene handel) Diamanten; aardolie; sigaretten; alcohol; valsmunterij; kredietkaarten; namaak; BTW-carrousel. Tekort (doen) Ontstaan van een tekort; voedsel; ingevoerde producten; uitgevoerde producten. Grondstoffen Ruwe aardolie; energetische materialen; koolwaterstoffen; elektriciteit; in gebreke blijven van een leverancier; arbeidskrachten; geld (bankautomaat, fondsenvervoer).

POLITIEKE RISICO’S Extremisme Religieus integrisme ; sektes ; etnisch ; Links-Rechts; economisch (andersglobalisering,…); milieu; gedrag (taart gooien, hooliganisme,…); anarchie; separatisme. Misdadige acties Collectieve moorddadige aanslag; individuele moorddadige aanslag; bomaanslag of brandstichting; bezetting van gebouwen; bedreiging of verstoring van gebeurtenissen; gebruik van biologische wapens/agentia; gebruik van chemische wapens/agentia; gebruik van radioactieve wapens/agentia; gebruik van wapens/van nucleaire agentia; kaping van voorwerpen voor terroristische doeleinden; sabotage; verdachte poederenveloppe; bompakketten; verontreiniging van de waterbedeling; diefstal van nucleair materiaal; spionage; complot tegen de koning, zijn familie; aanval tegen vitale infrastructuren en punten; financiering van terroristische groeperingen; kamikaze-actie; organisatie terroristische activiteiten vanaf het Belgische grondgebied. Staatsbetrekkingen Invasie; conventioneel conflict; massavernietigingswapens; instabiliteit in een geostrategische zone; conflict met deelname van de NAVO; asymmetrisch conflict; achteruitgang van de Europese Unie; politieke verandering; staatsgreep; burgeroorlog; gebruik van geweld; beroep op dodelijke strijdkracht. Diplomatie Niet-naleving van de overeenkomst van Wenen; verkeer, diplomatieke va-etvient; diplomatieke koffer (inhoud, integriteit, diefstal,…); verstoring protocollaire gebeurtenissen; diplomatiek incident; aanval op ambassade of 157

internationale instelling; aanval op VIP; moord op VIP; persona non grata B die door de EU, NAVO wordt uitgenodigd,…; Europese top tijdens ernstige internationale gebeurtenissen (bv. oorlogsverklaring); voortijdig stopgezette top wegens een terroristische aanval; internationale actualiteit met gevolg voor België; buitenlandse slachtoffers op Belgisch grondgebied.

MAATSCHAPPELIJKE RISICO’S Eisen Betogingen en tegenbetogingen; zitstaking/blokkering; verdeling van vlugschriften; bezetting; stoet voertuigen; stakingspiketten; staking van de cipiers; stakingen; gevangenisoproer; betoging die in oproer ontaardt; gijzeling/zinloze langdurige bezetting; ontvoering; afpersing. Vervoer Vliegtuigongeval met de passagiers of met inwoners; scheepsongeval met de passagiers; spoorwegongeval met de passagiers of met inwoners; wegongeval met de passagiers; verstoring van het verkeer buiten een eisenactie; verkeersopstopping; niet-industrieel speciaal vervoer (geneeskundig, gevangenen, kunstvoorwerpen…); verdwijningen; ongecontroleerde migraties; massale illegale immigratie; massale repatriëring van buitenlanders; opvang van de families van slachtoffers; toestroom van vluchtelingen; verplaatsing van een paniekerende menigte; crisis die een evacuatie vereist. Afwijkend gedrag Golf van agressies, gangs; rondreizende criminele groeperingen; carjacking, homejacking; golf van diefstallen; golf van zedenfeiten; golf van moorden; golf van zwendel; golf van zelfmoorden; geweld binnen de familie; mensenhandel en mensensmokkel; (over)bewapening van personen; privémilitie; golf van plunderingen; golf van ontsnappingen; misdaad tegen de mens(elijk)heid; groot banditisme; internationale criminaliteit, hit & run. Samenscholingen zonder eisen Nieuwsgierigheid, rondneuzen; vermakelijke gebeurtenissen; sportgebeurtenissen; religieuze gebeurtenissen; informatieve gebeurtenissen; commerciële gebeurtenissen; politieke gebeurtenissen; protocollaire gebeurtenissen; overbevolking in flatgebouwen; getto's. Leefmilieu Milieuverontreiniging; brand; vlammenzee; herhuisvesting op grote schaal; sociale destructurering, marginalisatie; verdwijning/gebrek aan infrastructuren in minder bevolkte zones; verslechtering levens- en milieukwaliteit; werkgelegenheid, beroepsactiviteiten; verdwijning van het historisch en cultureel erfgoed; ongevallen in grotten of in een mijn; risico van besmette personen die niet tot ontsmetting overgaan. 158

Berichtgeving Non-incident beschouwd als een incident door het publiek; hypermediatisering; slechte informatie; menselijke fout; individualistische eerder dan gemeenschappelijke visie; internationale overeenkomsten; weinig innovatie.

INDUSTRIEEL-TECHNISCHE RISICO’S Industrieel Probleem in een kerninstallatie; probleem in een Seveso 1-installatie; probleem in een Seveso 2-installatie; probleem in een niet-Seveso-installatie; kleine ondernemingen (bv. drogist); industriële milieuverontreiniging; alarmsirenes; explosie met giftige dampen; explosie met niet-giftige dampen; explosie zonder dampen; bouwmateriaal; ongeval buiten onderneming die haar toch beïnvloedt; fabrieksgeheim; domino-effect; installaties die na gebruik verlaten werden. Goederenvervoer Gevaarlijke opslag in niet met het oog hierop voorziene zone (parkeerterrein, haven, bergplaats,…); verzadiging van het verkeersnetwerk; probleem in het zenuwknooppunt van het netwerk (sluis, station,…); lek in kanaal; plotselinge onderbreking in een leiding (elektriciteit,….); wegvervoer van gevaarlijk materiaal; spoorwegvervoer van gevaarlijk materiaal; scheepsvervoer van gevaarlijk materiaal; luchtvervoer van gevaarlijk materiaal; militair vervoer met gevaarlijke technologie. Genetische engineering Klonering; GGO; verspreiding van agenten; verlies aan biodiversiteit; verschijning van nieuwe resistentie. ICT Neervallen satelliet; cyberaanval via het netwerk (virussen, hacker,…); cyberaanval tegen het netwerk; daad van interne sabotage; faillissement van een belangrijke ICT-operator; belemmering van de telecommunicatie door externe oorzaak; fysieke aanval op de telecommunicatie-infrastructuur; defect aan de informaticasystemen; probleem bij vitale databanken; defect van informatiesystemen; defect van communicatiesystemen; overdreven automatisering; elektronica in het materiaal.

GEZONDHEIDSRISICO’S Voedselketen Kraanwater; fysische verontreiniging (bv. met stukken glas); chemische verontreiniging (bv. met dioxine); bacteriologische besmetting; virusbesmetting; toxicologische besmetting; besmetting met parasieten. 159

Veeteelt Lijst A van OIE (Internationale Organisatie voor Besmettelijke Dierziekten): Mond- en klauwzeer; Vesiculaire varkensziekte; Pest van de kleine herkauwers; Besmettelijke nodulaire dermatose; Blauwe tongziekte (catarrale schapenkoorts); Paardenpest; Klassieke varkenspest; pseudovogelpest (Ziekte van Newcastle); Vesiculaire stomatitis; Runderpest; Besmettelijke bovine pleuropneumonie; Riftdalkoorts; Schapen- en geitenpokken; Afrikaanse varkenspest; Hoogpathogene vogelpest of aviaire influenza. Lijst B van OIE: Ziektes gemeenschappelijk aan verschillende soorten; Ziektes bij runderen (bv. BSE); Ziektes bij schapen en geiten (schapen, geiten); Ziektes bij paardachtigen (paarden); Ziektes bij varkens (varkens, everzwijnen); Ziektes bij vogels Ziektes bij haasachtigen (konijnen, hazen); Ziektes bij honingbijen; Ziektes bij vissen; Ziektes bij weekdieren; Ziektes bij schaaldieren; Andere ziektes. Volksgezondheid Groot aantal gelijktijdig verbrande personen; massale vergiftiging; massale noodzaak aan tegengiffen/vaccins; problemen van gezondheid en hygiëne (riolen, vuilnisbakken,…); massale dehydratie; heropduiken van ziekte; endemie; epidemie; pandemie; niet-naleving van afzondering; posttraumatische neuroses; genetische wijziging; ziektes die volgens KB 1971 moeten aangegeven worden; cholera; gele koorts; pest; pokken; hemorragische koorts; tyfus; Q-koorts; poliomyelitis; paludisme; malaria; moeraskoorts; tuberculose; buiktyfus en paratyfus; salmonellose; shigellose; botulisme ; difterie; roodvonk; scarlatine; lepra; kwade droes; miltvuur; tularemie; knaagdierenpest; tetanus; meningococcemie; leptospirose; puerperale streptococcie; pemphigus van het pasgeboren kind; erisipelas neonatorum; virushepatitis; virushersenontsteking; hondsdolheid; rickettsiose; ornithose; psittacose; trachoom; distomatosie; ankylostomiasis; amoebiasie; toxoplasmose; epidemie van onzekere diagnoses; andere ernstig besmettelijke; besmettelijke ziektes of epidemieën; ontstaan van nieuwe ziektes; seksueel overdraagbare ziektes; iatrogene ziekte (bv. besmet bloed); niet gecontroleerde ernstige ziekte; niet-aangifte van ziektes; zelfmedicatie; opslag en beheer van geneesmiddelen; drugs. Diversen Bompakketten; bacteriële weerstand; voedseltekort; globale hongersnood; industrialisatie/amateurisme; verhouding mens-gezelschapsdieren.

STRUCTURELE RISICO’S Overdracht Geheim en censuur (medisch, defensie, vervaardiging,….); slechte mededeling naar de bevolking toe; slechte communicatie tussen 160

studiegebieden; probleem van coördinatie bij de sprekers; lessen uit een gebeurtenis of uit een oefening; coördinatie tussen de administraties; internationale coördinatie. Definitie Vage bevoegdheden; slecht of te snel bedachte administratieve herstructurering; aarzeling om van de ene fase naar de andere over te gaan; taalkundige, lexicografische en semantische moeilijkheden; vordering; gebrek aan waardering bij het beleid voor de oefeningen. Planning Geen rekening houden met de risico's in de beslissingen wanneer men van de urgentie weggaat; gebrek aan samenhang; slechte scharnierwerking voor, tijdens en na de gebeurtenis; gebrek aan samenhang tussen de plannen; overvloed aan plannen en procedures; probleem bij het bijwerken van de gegevens; gebrek aan middelen, onverenigbaarheid; gebrek aan scholing; gebrek aan globale visie en om afstand te nemen.

161

Bijlage 4 : Voorstel van sectoren op te nemen in de lijst kritische infrastructuur

162

Bijlage 5: EuropeseMediteraan netwerk in het kader van EUR-OPA. CRSTRA - Scientific and Technical Research Centre on Arid Regions (Biskra, Algeria) ECTR - European Interrregional Educational Centre for Training Rescuers (Yerevan, Armenia) ECMHT - European Centre on Training and Information of Local and Regional Authorities and Population in the Field of Natural and Technological Disasters (Baku, Azerbaijan) ISPU - Higher Institute of Emergency Planning (Florival, Belgique) ECRP - European Centre for Risk Prevention (Sofia, Bulgaria) NTC - National Training Centre (Sofia, Bulgaria) BE-SAFE-NET - European Centre for Disaster awareness with the use of the Internet (Nicosia, Cyprus) EMSC - European Mediterranean Seismological Centre (Bruyères-leChâtel, France) CerCo - Specialised European Centre on Coastal Risks (Biarritz, France) CERG - European Centre for Seismic and Geomorphological Hazards (Strasbourg, France) GHHD - European Centre on Geodynamical Risks of High Dams (Tbilisi, Georgia) ECFF - European Centre on Forest Fires (Athens, Greece) ECPFE - European Centre on Prevention and Forecasting of Earthquakes (Athènes, Greece) CUEBC - European University for the Cultural Heritage (Ravello, Italy) ECGS - European Centre for Geodynamics and Seismology (Walferdange, Luxemburg) ECILS - European Centre on the Vulnerability of Industrial and Lifeline Systems (Skopje, Former Yugoslav Republic of Macedonia) ICoD - Euro-Mediterranean Centre on Insular Coastal Dynamics (Valletta, Malta) ECMNR - European Centre for Mitigation of Natural Risks (Kishinev, Moldova) 163

CEPRIS - Euro-Mediterranean Centre for Evaluation and Prevention of Seismic Risk (Rabat, Morocco) CERU - European Centre on Urban Risk (Lisbon, Portugal) ECBR - European Centre for Rehabilitation of Buildings (Bucharest, Romania) ECNTRM - European Centre of New Technologies for the Management of Natural and Technological Major Hazards (Moscow, Russian Federation) CEMEC - European Centre for Disaster Medicine (San Marino) CEISE - Centro Europeo de Investigación Social de Situaciones de Emergencia (Madrid, Spain) AFEM - European Natural Disasters Training Centre (Ankara, Turkey) TESEC - European Centre of Technological Safety (Kiev, Ukraine) GFMC - The Global Fire Monitoring Center, Freiburg, Germany

164

Bijlage 6: CI²RCO actieplan voor CIIP R&D agenda (2007).

Bron: Critical Information Infrastructure. The CI²RCO project: Towards a European Research Agenda. The CI²RCO consortium, 2007, p.14. 165

Bijlage 7: conclusies “ARECI” studie-zwakheden. De vet gedrukte zwakheden werden in het onderzoek ervaren als de meest verontrustende Environment vulnerability: accessible, exposed to elements, dependence to other infrastructures, contaminate-able. Subject to surveillance, continuously being altered, identifiable, remotely managed, non-compliance with established protocols and procedures. Power vulnerability: uncontrolled fuel combustion, fuel contamination, fuel dependency, battery combustion, battery limitations, battery duration. Maintenance dependency, require manual operation, power limitations, frequency limitations. Susceptibility to spikes, physical destruction. Hardware vulnerability: chemical (corrosive gas, humidity, temperature, contamination), electric (conductive microfibre particles-carbon bombs), radiological contamination, physical (shock, vibration, strains, torque), electromagnetic energy (EMI, EMC, ESD, RF, EMP, HEMP, IR). Environment (temperature, humidity, dust, sunlight, flooding), life cycle (sparing, equipment replacement, ability to repair, aging), logical (design error, access to, self test, self shut off). Software vulnerability: ability to control (render a system in an undesirable state, e.g. confused, busy), accessibility during development (including unsegregated networks), accessible distribution channels (interception), accessibility of rootkit to control kernel/core, developer loyalties, errors in coding logic, complexity of programs, discoverability of intelligence (reverse engineer, exploitable code disclosure), mutability of deployed code (patches), incompatibility (with hardware, with other software). Network vulnerability: capacity limits, points or modes of failure, points of concentration (congestion), complexity, dependence on synchronization, interconnection (interoperability, interdependence, conflict), uniqueness of mated pairs, need for upgrades and new technology, automated control (via software), accessibility (air, space, or metallic or fibre), border crossing exposures. Payload vulnerability: unpredictable variation, extremes in load, corruption, interception, emulation, encapsulation of malicious content, authentication (mis-authentication), insufficient inventory of critical components, encryption (prevents observability). 166

Human vulnerability: physical (limitations, fatigue), cognitive (distractibility, forgetfulness, ability to deceive, confusion), ethical (divided loyalties, greed, malicious intent), user environment (user interface, job function, corporate culture), human-user environment interaction. Policy vulnerability: lack of ASPR (agreements, standards, policies, regulations), conflicting ASPR, outdated ASPR, unimplemented ASPR (complete or partial), interpretation of ASPR (mis- or multi-), inability to implement ASPR, enforcement limitations, boundary limitations, pace of development, information leakage from ASPR processes, inflexible regulation, excessive regulation, predictable behaviour due to ASPR, ASPR dependence on misinformed guidance, ASPR ability to stress vulnerabilities, ASPR ability to infuse vulnerabilities, inappropriate interest influence in ASPR.

Bron: Availability and Robustness of Electronic Communications Infrastructures Study: “The ARECI study” (Final Report). PSC-Europe/RD/024, March 2007. Final report p.42 en Annexes, pp.11-14. 167

Bijlage 8: EU Actieplan i2010 (periode 2009-2010).

168

169

Bron: Preparing Europe’s digital future. i2010 Mid-Term Review. European Commission, April 2008, pp.73-75. 170

Bijlage 9: EU-studies met betrekking tot CIIP_2009. • Promoting a secure Information Society: http://ec.europa.eu/information_society/policy/nis/index_en.htm • The main elements of the Secure Information Society strategy were endorsed by the European Council in a Resolution http://eur-lex.europa.eu/JOHtml.do?uri=OJ:C:2007:068:SOM:EN:HTML • European Programme for Critical Infrastructure Protection: http://europa.eu/scadplus/leg/en/lvb/l33260.htm • Directive on the identification and designation of European Critical Infrastructure and the assessment of the need to improve their protection: http://register.consilium.europa.eu/pdf/en/08/st09/st09403.en08.pdf • ARECI Study: http://ec.europa.eu/information_society/policy/nis/strategy/activities/ciip/areci _study/index_en.htm • EISAS–European Information Sharing and Alert System: http://www.enisa.europa.eu/doc/pdf/studies/EISAS_finalreport.pdf • Critical information Infrastructure Protection (CIIP): http://ec.europa.eu/information_society/policy/nis/strategy/activities/ciip/inde x_en.htm • The International CIIP Handbook 2008/2009: www.crn.ethz.ch/publications/crn_team/detail.cfm?id=90663 • SCADA Security Good Practices for the Drinking Water Sector: www.samentegencybercrime.nl/Nieuws_over_cybercrime/Good_practices_dri nkwater?p=content • CORDIS FP7 publications and reports: http://cordis.europa.eu/fp7/ict/security/reports_en.html

171

Bijlage 10: EU-MS organogram. PSC EUMC

croniem EUMC

DGEUMS

Verklaring European Union Military Committee

Director-General and Chief of Staff of the EUMS DDG/COS Deputy Director-General and Chief of Staff of the EUMS POL/PLS Policy and Plans Division INT Intelligence Division OPS/EXE Operations and Exercises Division LOG/RES Logistics and Resources Division CIS Communications and Information Systems Division CIV/MIL Civilian/Military Cell

CPCC

Rapportering naar Secretary-General High Representative , Political and Security Committee, EU Bodies EUMC

Bron: 2005/395/CFSP amending Decision 2001/80/CFSP 172

DGEUMS

DDG/COS DDG/COS DDG/COS DDG/COS DDG/COS

DDG/COS

Bijlage 11: NAVO Civil Emergency Planning en cyber defence. Emergency Planning en cyber defence. NAC

MC

NATO C3 BOARD NATO C3 Representatives

NATO C3 Subordinate structure

NATO C3 Agency

CDMA

SCEPC

PBOS

PBIST

CAPC

FAPC

IPC

JMC

CCPC

CPC

NCSA

NCIRC

EADRCC

EADRU

Acroniem Verklaring NAC MC SCEPC PBOS PBIST CAPC FAPC IPC

North Atlantic Council Military Committee Senior Civil Emergency Planning Committee Planning Board for Ocean Shipping Planning Board for Inland Surface Transport Civil Aviation Planning Committee Food and Agricultural Planning Committee Industrial Planning Committee

Rapportering naar NAC NAC SCEPC SCEPC SCEPC SCEPC SCEPC 173

JMC CCPC CPC EADRCC EADRU NATO C3 CDMA NCSA

NCIRC

174

Joint Medical Committee Civil Communications Planning Committee Civil Protection Committee Euro-Atlantic Disaster Response Coordination Centre Euro-Atlantic Disaster Response Unit NATO Consultation Command &Control Cyber Defence Management Authority NATO Communications and Information System Services Agency

NATO Computer Incident Response Capability

SCEPC SCEPC SCEPC SCEPC EADRCC MC (+IMS) NATO C3 Board NATO C3 Board of SACEUR voor ontplooide eenheden. Technical Centre (Mons) naar ACO Coordination Centre (Evere) naar Executive Management

Bijlage 12: NC30 substructure

175

176

Bibliografie

177

Officiële documenten Accord EUR-OPA risques majeurs. Analyse comparative de la Gestion Interministérielle des Risques Majeurs : Belgique, France, Russie, Bulgarie. Council of Europe, AP/CAT (2005) 30, Strasbourg, 21 juin 2005. Algemene beleidsnota van de minister van Binnenlandse zaken, Belgische Kamer van volksvertegenwoordigers, DOC 51 1371/021, 24 november 2004. Algemene beleidsnota van de minister van Binnenlandse zaken, Belgische Kamer van volksvertegenwoordigers, DOC 52 0995/010, 11 april 2008. Allied Joint Doctrine AJP-01(C). NATO, March 2007. Annual Report to Congress on the Safety and Security of Russian Nuclear Facilities and Military Forces. National Intelligence Council, April 2006. Availability and Robustness of Electronic Communications Infrastructures Study: “The ARECI study” (Final Report). PSC-Europe/RD/024, March 2007. Critical Information Infrastructure. The CI²RCO project: Towards a European Research Agenda. The CI²RCO consortium, 2007. Cyber Storm II. National Cyber Security Exercise: Final Report. Australian Government, Attorney-Generals Department, Security and Critical Infrastructure Division, August 2008. Development, Concepts and Doctrine Centre (DCDC) Global Strategic Trends Programme 2007-2036, UK MOD, January 2007. Draft CCPC Compendium from 7 November 2005. Groenboek van de Europese Commissie, COM(2005), Commissie van de Europese Gemeenschappen, Brussel, 2005. Energy security: Co-operating to Enhance the Protection of Critical Energy Infrastructures (157 CDS 08 E rev 1), NATO Parliamentary Assembly, 2008 Annual Session. Federal Risk Inventory, Survey and Knowledge building (FRISK), Rapport Final, Université de Liège, Novembre 2004. 178

Final Report on 9/11 Commission Recommendations, Public Discourse Project, December 5, 2005. Gemeenschappelijk toezicht van het vast comité P en het vast comité I met betrekking tot het Coördinatieorgaan voor dreigingsanalyse. Rapport 2008/1. Handreiking Risicoanalyse, Nationaal Adviescentrum Vitale Infrastructuur, Juni 2008. IAEA Illicit Trafficking Data Base, Fact Sheet. Vienna, August 2006. The Joint Air Power Competence Centre (JAPCC) Roadmap for Air C4ISR in NATO, version 1.0, Nov 2007. Kamer van Volksvertegenwoordigers: Schriftelijke vragen en antwoorden. Kamer, 2e zitting van de 52e zittingsperiode, 30 Juni 2008. KB van 28 Nov 2006 tot uitvoering van de wet van 10 juli 2006 betreffende de analyse van de dreiging. Verschenen in het staatsblad op 1 december 2006. National Defense Strategy of the United States of America, Department of Defense, March 2005. NATO and Cyber Defence (027 DSCFC 09 E), NATO Parliamentary Assembly, 2009 Spring Session. NATO Handbook, Public Diplomacy Division, Brussels, 2006. Preparing Europe’s digital future. i2010 Mid-Term Review. European Commission, April 2008. The European Network and Information Security Market. Scenario, Trends and Challenges. Final study report for the European Commission, DG Information Society and Media. IDC EMEA, April 2009. Resilient e-Communications Networks. Stock Taking of Member States’ Policies and Regulations related to Resilience of public eCommunications Networks. ENISA, September 2008. Richtlijn 2008/114/EG van de Raad van 8 december 2008 inzake de identificatie en Europese kritieke infrastructuur, de aanmerking van infrastructuren als Europese kritieke infrastructuren en de beoordeling van de noodzaak de bescherming van dergelijke infrastructuren te verbeteren. SecurIST ICT Security & Dependability Research beyond 2010: Final strategy. Deliverable 3.3 of the 6th framework programme. Project 004547, January 2007.

179

US Air Force Instruction 10-245 (AFI 10-245 PACAF) van 3 April 2006, certified current 17 November 2008, aanhangsel 9. US Nuclear Weapons Policy. Council of Foreign Relations, Independent Task Force Report N°62, New-York, April 2009. UNDRO (United Nations Disaster Relief Organization), Natural Disasters and Vulnerability Analysis. Report of Expert Group Meeting, UNDRO, Geneva, 9-12 July 1979. UNISDR (United Nations International Strategy for Disaster Reduction), Terminology on Disaster Risk Reduction, Geneva, 2009. US-CCU Checklist voor cybersecurity, US cyberconsequences unit, vertaald door het Nationaal Adviescentrum Vitale Infrastructuur, Juni 2008. Wet van 10 juli 2006 betreffende de analyse van de dreiging. Verschenen in het staatsblad op 20 juli 2006. The North Atlantic Treaty, NATO Public Diplomacy Division, Brussels

180

Boeken BENNETT, B., Understanding, Assessing, and Responding to Terrorism. Protecting Critical Infrastructure and Personnel. John Wiley & Sons, 2007. BRUNNER, E., SUTER, M. International CIIP Handbook 2008/2009. Center for Security Studies, ETH Zurich, 2008. CALLENBACH, C.P, et al., Rapport « Militaire inzetmogelijkheid in Afrika », Instituut Clingendael, Den Haag, Maart 2008. DE BACKER, P., VLEUGELS, N., Noodplanning in België, een kritische evaluatie. Koninklijke Militaire School, 2008. DE KIMPE, J., Bescherming van vitale infrastructuur. Welke rol voor Defensie? Kabinet Defensie, 2007. GRABO, C., Anticipating Surprise: Analysis of strategic warning. University Press of America, Maryland, 2004. GRAHAM, B., et al., World At Risk. The report of the commission on the prevention of weapons of mass destruction, proliferation and terrorism; Vintage Books, December 2008. HABEGGER, B., International Handbook On Risk Analysis and Management. Professional experiences. Center for Security Studies, ETH Zurich, 2008. HEUER, R.J., Psychology of Intelligence Analysis. CIA’s Center for the Study of Intelligence, 1999. KENT, S., Estimates and Influence. Steury, 1968. KORHOUNEN, O., International Adminsitration of Crisis Areas: Nine National Approaches, KDG Kotiranta Research & Publications, Helsinki 2006. LEDGARD, J., The preparatory manual of explosives. A comprehensive laboratory manual. Paranoidpublications group, 2002. LEWIS, T., Critical Infrastructure Protection in Homeland Security: defending a networked nation. Wiley-Interscience, 2006. 181

LIANG, Q., XIANGSUI, W, Unrestricted warfare. China’s master plan to destroy America. Pan American Publishing Company, Panama, 2002summary publication. Originally published in 1999 by China’s People Liberation Army, Beijing, 1999. PERROW, C., The next catastrophe: Reducing our vulnerabilities to Natural, Industrial and Terrorist Disasters. Princeton University Press, March 2007. SMITH, K., Environmental Hazards, Assessing risk and reducing disaster. Routledge, London 1996. SOKOLSKI, H., Pakistan’s nuclear future: worries beyond war. DOD, Strategic Studies Institute, January 2008. TALEB, N.N, The Black Swan; The impact of the highly improbable. New York Random House, 2007. TSELENTIS, G., et al., Towards The Future Internet. A European Research Perspective. IOS Press, 2009. VON CLAUSEWITZ, C, De la guerre. Traduction intégrale par Denise Laville. Paris, Les éditions de minuit, 1955.

182

Artikels uit tijdschriften en pers ANSOFF, I.H., « Managing strategic surprise by response to weak signals », in California Management Review, Vol.18, N°2, 1975, pp.21-33. BHALLA, R., et al., « Turkey and Russia on the Rise », in Stratfor Geopolitical Intelligence Report, March 17, 2009. CLARKE, L., « Thinking about Wordst-Case Thinking », in Social Inquiry, Vol.78, N°2, May 2008. COBURN, A.W., et al. « Vulnerability and Risk assessment », in Disaster Management Training Program, UNDP, 1991. COKER, C., « Globalisation and Insecurity in the Twenty-First Century: NATO and the management of Risk », in Adeplhi Paper 345, International Institute for Strategic Studies, 2002. DONDOSSOLA, G., et al., « Effects of intentional threats to power substation control systems », in Int.J.Critical Infrastructures, Vol 4, Nos.1/2, 2008. ESTERLE, A., RANCK, H., SCHMITT, B., « Information security. A new challenge for the EU », in Chaillot Paper N°76, Institute for Security Studies, March 2005. FREIER, N., « Towards a risk management defense strategy. », in PKSOI Papers, August 2009. FREIER, N., « Known unknowns: unconventional “strategic shocks” in defense strategy development. », in PKSOI Papers, November 2008. FREIER, N., « Strategic competition and resistance in the 21st Century: Irregular, Catastrophic, Traditional, and Hybrid Challenges in Context. », in Information Security, United States Army War College, May 2007. GODDEN, F., « België timmert hard aan zijn informatiebeveiliging. », in Information Security, Media Planet, Maart 2009. GYA, G., JACQUEMET, O., « ESDP and EU-mission update. », in ISIS European Security Review, ISIS, N°39, July 2008. HUGHES, R., «NATO and Cyber Defence. Mission accomplished?», in Atlantisch Perspectief, N°1, Stichting Atlantische Commissie, 2009. 183

HUGHES, R., «NATO and Global Cyber Defence.», in The Bucharest Conference Papers, The German Marshall Fund of the United States, Washington D.C., 2008. KAPLAN, S., GARRICK, B., «On the Quantitative Definition of Risk», in Risk Analysis, Vol.1, N° 1, pp.11-27, 1981. KEIN, T., et al., «Final report on the 9/11 Commission Recommendations», in 9/11 Public Discourse Project, December 5, 2005. KRISTENSEN, H., NORRIS, R., OELRICH, I., «From Counterforce to Minimal Deterrence: a new nuclear policy on the path toward eliminating nuclear weapons», in Disarmament Diplomacy, N° 90, Spring 2009. KWA, C.G., « Role of Intelligence in International Crisis Management », Nanyang Technological University, December 2008. LES ASPIN, « On the Sea Change in the Security Environment. », in The Officer Magazine, February 1993. McGILL, W., AYYUB, B., KAMINSKIY, M., «Risk Analysis for Critical Asset Protection», in Risk Analysis, Vol. 27, N° 5, 2007. ORTWINN, R., «Three decades of risk research », in Journal of Risk Research, Vol.1, N° 1, pp.49-71, 1998. PEDUZZI, P., «Global Risk And Vulnerability Index Trends per Year. ». GRAVITY, Phase II: Development analysis and results. United Nations Development Programme, February 2002. ROSATO, V., ISSACHAROFF, L., TIRITICCO, F., MELONI, S., DE PORCELLINIS, S., SETOLA, R., «Modelling interdependent infrastructures using interacting dynamic models.» Int.J.Critical Infrastructures, Vol 4, Nos.1/2, pp.63-79, 2008. ROSOFF, H., von WINTERFELDT, D., «A Risk and Economic Analysis of Dirty Bomb Attacks on the Port of Los Angeles and Long Beach.», in Risk Analysis, Vol.27, N° 3, pp.533-546, 2007. SMEDTS, B., «Massavernietigingswapens: erfenis van de koude oorlog en bedreiging voor de toekomst? » In Veiligheid en Strategie, Koninklijk Hoger Instituut voor defensie, 2009. STEPANOVA, E., «Terrorism in Asymmetrical Conflict, Ideological and Structural Aspects. » SIPRI Research Report N° 23, Oxford University Press, 2008.

184

STIRLING, A., «Risk, uncertainty and precaution: some instrumental implications from the social sciences. », in Negociating environmental change, Edgar-Elgar Publishing Ltd, 2003. TANGREDI, S., «All Possible Wars? Towards a Consensus View of the Future Security Environment, 2001-2025. », in McNair Security Paper 63, November 2000. Japan’s Doomsday Cult Sought Ebola for Weapon, Reuters World Service, 24 March 1996. Center for Nonproliferation Studies: Chronology of Aum Shinrikyo’s CBW Activities, Monterey Institute of International Studies, p.1. WORWUTH, C., « The Next Catastrophe: Ready or Not? », in The Washington Quarterly, Vol.32, N° 1, pp.93-106. ZIMMERMAN, R., « Decision making and the Vulnerability of Interdependent Critical Infrastructure », CREATE Report 04-005, Homeland Security Center, October 10, 2004. ZOTTI, M., « Strategic trends and implications », Information paper SVG/MCCDC, Strategic Vision Group, 12 February 2008.

185

Jaarboeken Stockholm International Peace Research Institute, SIPRI Yearbook 2007, Summary. Armaments, Disarmament and International Security, Oxford, Oxford University Press, 2007. Algemene Directie Crisiscentrum, Activiteitenrapport 2003. Federale Overheidsdienst Binnenlandse Zaken, 10 juli 2004.

186

Internet sites http://www.crn.ethz.ch/ http://www.irriis.eu/ http://www.nato.int http://ec.europa.eu http://sarma.org/ http://www.defenselink.mil/ http://cns.miis.edu/reports/ http://www.crismart.org/Startpage____115.aspx http://www.StrategicStudiesInstitute.army.mil http://www.e-publishing.af.mil/shared/media/epubs/AFI10-245_PACAF.pdf http://www.cert.org/ http://www.apcert.org/ http://www.egc-group.org/ http://www.enisa.europa.eu/

187

Toespraken en conferenties. ASHEIM, G., B., « Behavioral game theory », Lectures in game theory, Oslo University, Spring 2009. DESCROCHES, A., « Justification des échelles d’évaluation et de criticité pour l’analyse préliminaire des risques », Présentation congres AFGRIS, Paris, Octobre 2004. GOURE, D., « Hunting for Black Swans: Military Power in a Time of Strategic Uncertainty », Lexington Institute, 2008 Air Force Strategy Conference, June 9, 2008. LARACY, J., «Applying STAMP to Critical Infrastructure Protection», 2007 IEEE Conference on Technologies for Homeland Security, Woburn, May 1617, 2007. MAHNKEN, T., « Vision of Transformation 2025 - Shocks and Trends », Forces Transformation Chairs Meeting, February 12-13, 2007. International association for the Study of Insurance Economics, « The Role of Risk Management and Insurance in the Leisure Industry », Seminar of the Geneva association, Madrid, 16-17 November 2006. Working paper N°322, February 2007. BYRES, E., LOWE, J., «The myths and Facts behind Cyber Security Risks for Industrial Control Systems», VDE Congress, Berlin, October 2004. Zentrum für Transformation der Bundeswehr, Historische trendanalyse. Workshop report, Munich 2004. General Secretariat of the Council of the EU and the EU Institute for Security Studies, « Cyber Security: What Role for CFSP? », Seminar held in Brussels on 4 February 2009. Institute Report IESUE/SEM(09)04, 10 March 2009.

188

Interviews en briefings MERTENS, P., Briefing Algemene Directie Crisiscentrum, FOD Binnenlandse Zaken van 06 februari 2008. Beschikbaar op www.piba.be/viewDownload.aspx?Docid=223 geraadpleegd op 25 februari 2009. Onderhoud met Mr. J.C. PLUIMACKERS (OCAD-Hoofd Dept Experten), op 30 juni 2008. Onderhoud met Bde Gen J. COELMONT (EGMONT), op 04 december 2008. Onderhoud met Mevr. C. FLAMENT en Mr.P. WYNANT (CGCCR), op 24 april 2009. Onderhoud met Mr. Y. VANDERMEER (FCCU), op 23 juni 2009. Onderhoud met Mr. J. SCHROOYEN, Ir (NATO C3 Representative), op 09 juli 2009. Onderhoud met Mr. A. SERVIDA (European Commission; Internet, Network and Information Security-Deputy head of unit), op 17 juli 2009. Onderhoud met Mr. A. GLORIOSO (European Commission; Internet, Network and Information Security-Policy Officer), op 17 juli 2009. Onderhoud met Wng Cdr C. STACE (EU Military Staff; CIS Directorate; Policy and Requirements), op 29 juli 2009. Onderhoud met Mevr. M. DUCOBU, Premier Conseiller (BIPT), op 04 en 11 augustus 2009.

189

190

191

192

193

Bescherming van de nationale kritische infrastructuur tegen een dreiging tot asymmetrische proliferatie.

Commandant van het Vliegwezen Bart Smedts is onderzoeker proliferatie binnen het Koninklijk Hoger Instituut voor Defensie [email protected]

Risicoanalyse en bescherming van kritische infrastructuur zijn belangrijke thema's in een door asymmetrische proliferatie gewijzigde strategische context. Vertrekkend vanuit de gangbare definities met betrekking tot risicoanalyse wordt de basis gelegd tot een coherente methodologie voor de bescherming van kritische infrastructuur. Vanuit het NAVOkader wordt een vergelijking gemaakt met de EU-aanpak inzake beleid voor de bescherming van kritische infrastructuur en kritische informatie-infrastructuur. Eventuele synergie kan immers leiden tot verbeteringen door samenwerking en interoperabiliteit tussen de EU en de NAVO. Beiden steunen op nationale capaciteiten. Bijgevolg wordt ook het beleid op nationaal vlak onderzocht. Ten slotte worden aanbevelingen geformuleerd om een geïntegreerde aanpak tussen de nationale instellingen en het supranationaal kader te realiseren om een allesomvattende benadering van zowel risicoanalyse als ook de bescherming van kritische infrastructuur te benaderen.

194