:quality(85))
In oktober vorig jaar heeft de Federal Acquisition Regulatory (FAR) Council, een interagency-orgaan dat verantwoordelijk is voor het vaststellen van inkoopbeleid binnen de federale overheid, een tweetal nieuwe regels voorgesteld. Indien deze regels worden afgerond en in werking treden, kunnen zij de wijze waarop federale aannemers cyberaanvallen en andere cybersecurity-incidenten melden en behandelen, ingrijpend veranderen.
De eerste voorgestelde regel, Cyber Threat and Incident Reporting and Information Sharing—waarin de bepalingen FAR 52.239-ZZ en FAR 52.239-AA zijn opgenomen—is uitgevaardigd onder FAR Case 2021–017. De tweede regel, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—met inbegrip van FAR 52.239-XX en FAR 52.239-YY—valt onder FAR Case 2021-019.
De publicatie van deze voorstellen op 3 oktober betekende de start van een commentaarperiode van 60 dagen, die zou aflopen op 4 december 2023. Op 1 november verlengde de FAR Council echter de commentaarperiode voor de voorgestelde regels tot 2 februari 2024. Sindsdien zijn er geen officiële updates verschenen van de FAR Council of van andere betrokken agentschappen die samen verantwoordelijk zijn voor het beheer van de Federal Acquisition Regulation met betrekking tot de definitieve afronding van de regels of een effectieve implementatiedatum.
Gezien de reikwijdte van deze regels en de omvang van de verantwoordelijkheden die zij aan federale aannemers zouden opleggen, is het voor bedrijven van belang precies te weten wat FAR Cases 2021-017 en 2021-019 omvatten.
Gezien de reikwijdte van deze regels en de omvang van de verantwoordelijkheden die zij aan federale aannemers zouden opleggen, is het voor bedrijven van belang precies te weten wat FAR Cases 2021-017 en 2021-019 omvatten.
Het Cybersecurity Executive Order van President Biden
In mei 2021 ondertekende President Biden Executive Order 14028, met de titel “Improving the Nation’s Cybersecurity”. Het doel van dit executive order was het versterken van diverse cybersecuritymaatregelen ter bescherming van de federale overheid tegen wat het Witte Huis omschreef als “aanhoudende en steeds geavanceerdere kwaadaardige cybercampagnes”. Deze presidentiële maatregel volgde op twee grootschalige, nagenoeg ongekende cyberaanvallen—de hack van SolarWinds in 2020 en het datalek bij Microsoft Exchange begin 2021. Deze acties van cyberespionage, uitgevoerd door hackersgroepen gelieerd aan grote Amerikaanse tegenstanders, vormden naar verluidt de opmaat naar een nieuw tijdperk van cyberoorlogsvoering. In de nasleep hiervan voelde de Amerikaanse overheid de noodzaak toenemen om een breed, afgestemd plan te ontwikkelen om haar datasystemen te versterken.
Deze presidentiële maatregel volgde op twee grootschalige, nagenoeg ongekende cyberaanvallen—de hack van SolarWinds in 2020 en het datalek bij Microsoft Exchange begin 2021.
De executive order van President Biden verplichtte de federale overheid om “de volledige omvang van haar bevoegdheden en middelen in te zetten om haar computersystemen te beschermen en veilig te stellen, ongeacht of deze cloud-gebaseerd, on-premises of hybride zijn”. De order vroeg specifiek om nieuwe cyberincidentprotocollen tussen de overheid en federale aannemers, modernisering van de cybersecurity-infrastructuur door middel van veilige clouddiensten en zero trust-architectuur, en standaardisering van reacties op cyberdreigingen bij alle federale overheidsinstanties.
De nieuwe regels zoals voorgesteld door de FAR Council in oktober vormen een verdere uitwerking van de implementatie van het executive order van 2021. Door de rapportage-eisen voor federale aannemers na cyberincidenten te versterken en uit te breiden, beoogt de FAR Council de voorwaarden te scheppen voor snellere en proactievere overheidsreacties op cyberaanvallen en andere kwaadaardige bedreigingen voor de nationale veiligheid.
Door de rapportage-eisen voor federale aannemers na cyberincidenten te versterken en uit te breiden, beoogt de FAR Council de voorwaarden te scheppen voor snellere en proactievere overheidsreacties op cyberaanvallen en andere kwaadaardige bedreigingen voor de nationale veiligheid.
FAR Case 2021-017: Reikwijdte en cybersecurity-eisen
De eerste voorgestelde regel bestaat uit twee bepalingen: FAR 52.239-ZZ en FAR 52.239-AA. Beide zouden nieuwe verantwoordelijkheden voor federale aannemers introduceren, hetzij als directe reactie op een cyberincident, hetzij als voorzorgsmaatregelen in het geval dat een dergelijk incident zich voordoet.
FAR 52.239-ZZ
FAR 52.239-ZZ is officieel getiteld “Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology”. FAR 52.239-ZZ beoogt de contractuele verplichtingen voor federale aannemers na beveiligingsincidenten te actualiseren en te versterken. Dit gebeurt door nieuwe eisen voor tijdige en volledige respons op beveiligingsincidenten te stellen; door samenwerking met overheidsinstanties die dergelijke incidenten onderzoeken; en door eisen te stellen aan het bijhouden van bestanden, administratie en andere documentatie die kunnen bijdragen aan het incidentresponsproces.
Volgens het voorstel omvat een “beveiligingsincident” meer dan alleen cyberaanvallen of cybersecurity-incidenten. De FAR Council gebruikt de term ook voor algemene overtredingen van wetgeving, beveiligingsbeleid of -procedures, evenals het overdragen van geclassificeerde of controlled unclassified information (CUI) naar informatiesystemen onder de toegestane overheidsbeveiligingsniveaus.
- Tijdlijn voor incidentrapportage
FAR 52.239-ZZ scherpt de rapportagetermijn voor beveiligingsincidenten richting de overheid aan. Volgens de nieuwe regel zijn aannemers verplicht dergelijke incidenten, samen met relevante bijbehorende informatie, via het incidentrapportageportaal van de Cybersecurity and Infrastructure Security Agency (CISA) te melden binnen acht uur na de eerste ontdekking van het incident. Verder moet deze melding elke 72 uur worden bijgewerkt, totdat alle overheidsinstanties hun onderzoeken hebben afgerond.
Het tijdig melden van incidenten stelt overheidsinstanties en hun teams in staat zo effectief en dynamisch mogelijk te reageren. Zoals de voorgestelde regel stelt, helpt snelle rapportage en consistente updates onderzoekers bij het uitvoeren van “snelle data-analyse om onmiddellijke activiteiten en handelingen van kwaadaardige actoren, dreigingen en indicatoren van compromis te identificeren”.
- Verdere handelingen ter ondersteuning van overheidsrespons
Naast het melden van beveiligingsincidenten via het CISA-portaal binnen de gestelde termijn, moeten aannemers ook deelnemen aan andere activiteiten ter facilitering van de overheidsrespons op dreigingen. Ten eerste zijn betrokken partijen verplicht CISA, FBI en/of de contracterende overheidsinstantie volledige toegang te verschaffen tot alle relevante informatie, informatiesystemen en personeelsleden direct na een beveiligingsincident.
Federale aannemers zijn daarnaast verantwoordelijk voor het veiligstellen van alle data die verband houden met het gemelde beveiligingsincident. Dit betekent het bewaren van netwerkverkeersdata, perimeterbeveiligingslogs, telemetrie en andere relevante informatie gedurende 12 maanden in actieve opslag, gevolgd door nog eens zes maanden in actieve of cold storage.
Tot slot verplicht de nieuwe FAR-regel aannemers zich te abonneren op het Automated Indicator Sharing (AIS)-programma van CISA voor de communicatie van cyberdreigingsindicatoren en aanbevolen verdedigingsmaatregelen. (Aannemers dienen zich bij het AIS-platform aan te sluiten, ongeacht of zich een beveiligingsincident heeft voorgedaan.)
- Software bill of materials
Buiten de respons- en rapportageverplichtingen introduceert FAR 52.239-ZZ nieuwe eisen voor federale aannemers met betrekking tot het bijhouden van een software bill of materials (SBOM) die all software bevat welke wordt gebruikt voor het uitvoeren van werkzaamheden onder het federale contract. De overheid definieert een SBOM als een “formeel overzicht met details en supply chain-relaties van verschillende componenten die worden gebruikt voor het bouwen van software”. Volgens het Department of Commerce “verbetert SBOM-data zowel het identificeren van kwetsbaarheden als de snelheid van respons” en “is het gebruik ervan voor het identificeren en analyseren van bekende kwetsbaarheden en mogelijke mitigaties cruciaal voor risicobeheer”.
Opvallend is dat aannemers ten alle tijden verantwoordelijk zijn voor het bijhouden van SBOMs, ook wanneer er geen bekend beveiligingsincident is. Zij zijn tevens verplicht hun SBOMs aan te passen wanneer de gebruikte software tijdens de uitvoering van een contract wordt geüpdatet. Een volledig overzicht van alle eisen voor SBOMs en het beheer daarvan is te vinden bij het Department of Commerce’s Minimum Elements for a Software Bill of Materials.
FAR 52.239-AA
De tweede bepaling in Case 2021-017, FAR 52.239-AA, is beduidend beperkter en meer specifiek. Met de titel “Security Incident Reporting Representation” vereist deze regel dat alle aspirant-aannemers die een aanbieding doen aan de federale overheid, verklaren dat zij in het verleden hebben voldaan aan FAR 52.239-ZZ. Dit betekent het aantonen dat alle vereiste rapportages van beveiligingsincidenten onder vroegere en huidige contracten “actueel, juist en volledig” zijn ingediend.
De regel verplicht aanbieders tevens te verklaren dat deze verplichtingen zijn ‘doorgelegd’ in eerdere contracten, wat inhoudt dat alle lagere subaannemers de strekking van de regel in hun subcontracts hebben opgenomen.
FAR Case 2021-019: Reikwijdte en cybersecurity-eisen
De FAR Council heeft de tweede voorgestelde regel, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, uitgevaardigd onder Case 2021-019. Het expliciete doel van deze regel is het standaardiseren van cybersecurity-eisen bij federale agentschappen, met name gericht op ongeclassificeerde federale informatiesystemen (FIS). Case 2021-019 is onderverdeeld in twee bepalingen die grotendeels voor zichzelf spreken. De eerste is FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services”, welke betrekking heeft op FIS die cloud-gebaseerd zijn. De tweede is FAR-52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services”, waarmee alle FIS die geen gebruikmaken van cloudcomputing worden bedoeld.
De federale overheid definieert een federale informatiesysteem als een “informatiesysteem dat wordt gebruikt of beheerd door een agentschap, een aannemer van een agentschap, of een andere organisatie namens een agentschap”.
FAR 52.239-XX
Deze bepaling vereist dat agentschappen het impactniveau van het cloud-gebaseerde informatiesysteem van een aannemer bepalen op basis van de Federal Information Processing Standard Publication 199 (FIPS-199) en het bijbehorende Federal Risk and Authorization Management Program (FedRAMP)-autorisatieniveau. Volgens het voorstel moeten agentschappen het juiste FIPS-199-niveau vaststellen op basis van een “impactanalyse van de informatie die door het systeem wordt verwerkt, opgeslagen of verzonden”. Zodra deze niveaus zijn bepaald, moet de federale aannemer de beveiligings- en privacymaatregelen implementeren en in stand houden die overeenkomen met het eigen FedRAMP-autorisatieniveau.
Naast deze beveiligingsmaatregelen vereist FAR 52.239-XX ook dat aannemers deelnemen aan doorlopende monitoringactiviteiten en monitoringrapportages leveren zoals gespecificeerd in de “FedRAMP Continuous Monitoring Strategy Guide.” Ten slotte moeten aannemers alle contractuele eisen naleven met betrekking tot het leveren en verwijderen van overheidsgegevens en aan overheidsgegevens gerelateerde data.
FAR 52.239-YY
De eisen voor federale informatiesystemen die niet cloud-gebaseerd zijn, zijn enigszins complexer. Net als bij FAR 52.239-XX zijn agentschappen verantwoordelijk voor het bepalen van het juiste impactniveau aan de hand van FIPS-199, dat vervolgens in het contract wordt vastgelegd. Naast het bepalen van deze niveaus moeten agentschappen en hun contractmanagers ook verschillende additionele beveiligingsaspecten aanpakken, waaronder multifactor-authenticatie, administratieve accounts, toestemmingsbanners en beveiliging van Internet of Things-apparaten. Contractmanagers zijn ten slotte verplicht een passend geheel aan beveiligings- en privacymaatregelen te selecteren op basis van diverse special publications uitgegeven door het National Institute of Standards and Technology, waaronder NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 en NIST SP 800–82.
Naast de nieuwe beveiligingseisen die agentschappen verplicht moeten opnemen in contracten voor FIS die geen gebruikmaken van cloudcomputing, legt deze bepaling ook twee belangrijke nieuwe verantwoordelijkheden op aan federale aannemers. Ten eerste moeten zij CISA en andere door de contractmanager aangewezen overheidsinstanties “tijdige en volledige toegang” verlenen tot overheidsgegevens en gerelateerde informatie en personeel bij audits, onderzoeken en inspecties wanneer dergelijke maatregelen essentieel zijn voor gegevensbeveiliging. Ten tweede moet voor elk FIS met een moderate of hoge FIPS-199-impactscore tweemaal per jaar een assessment plaatsvinden. Het eerste assessment betreft een interne beoordeling gericht op “kwetsbaarheden, risico’s en indicatoren van compromis”, terwijl het tweede assessment een onafhankelijke beoordeling is van de beveiliging van het informatiesysteem. Aannemers zijn verplicht de resultaten van deze assessments, inclusief aanbevolen mitigerende maatregelen, in te dienen bij hun contractmanagers.
Indemnificatieverplichtingen
Beide bepalingen—FAR 52.239-XX en FAR 52.239-YY—bevatten een vereiste dat federale aannemers de overheid vrijwaren van aansprakelijkheid voortvloeiend uit de uitvoering van het contract. Het voorstel geeft aan dat dergelijke aansprakelijkheden vooral kunnen voortvloeien uit twee scenario’s: hetzij door het aanbrengen van informatie of materiaal door de aannemer in overheidsdata, hetzij door ongeoorloofde openbaarmaking van gevoelige informatie of materiaal door de aannemer. Essentieel is dat de aannemer alle mogelijke verdedigingsmiddelen afstaat, waaronder (maar niet beperkt tot) de zogenaamde ‘Government Contractors Defense’. Deze verplichte afstand vergroot de aansprakelijkheid van aannemers in het geval van een cyberaanval, datalek of ander beveiligingsincident.
Voorbereiden op de nieuwe cybersecurity-eisen
Het lijkt er niet op dat de inwerkingtredingsdatum van deze twee cybersecurityregels op korte termijn zal plaatsvinden. Na de publieke commentaarperiode—die is verlengd tot 2 februari—moeten de bij de FAR Council aangesloten agentschappen en overige verantwoordelijke partijen alle reacties evalueren en analyseren. Pas na deze analyse wordt beslist of er een definitieve regel wordt gepubliceerd. Indien er een definitieve regel wordt vastgesteld, zal dit een periode inluiden van minimaal 60 dagen voordat de regelgeving van kracht wordt. (Afhankelijk van het belang van de regel kan deze termijn ook oplopen tot 120 dagen of langer.)
Gezien de lengte en het aantal stappen binnen het regelgevingsproces, hebben federale aannemers nog enige ruimte om FAR Cases 2021-017 en 2021-019 en de reeks nieuwe verplichtingen die zij theoretisch kunnen opleggen, grondig te bestuderen. Bedrijven die door deze voorgestelde regels worden geraakt, dienen de mogelijke implementatie echter zeer serieus te nemen. Gelet op de recente toename van vernietigende cyberaanvallen en het executive order van President Biden uit 2021, is er alle reden om aan te nemen dat deze nieuwe cyberbeveiligingsvereisten—of sterk daarop lijkende voorschriften—op korte termijn wettelijke verplichtingen zullen worden.
Gezien de lengte en het aantal stappen binnen het regelgevingsproces, hebben federale aannemers nog enige ruimte om FAR Case 2021-017 en FAR Case 2021-019 en de reeks nieuwe verplichtingen die zij theoretisch kunnen opleggen, grondig te bestuderen.
