:quality(85))
Afgelopen oktober heeft de Federal Acquisition Regulatory (FAR) Council, een interagency-orgaan dat verantwoordelijk is voor het vaststellen van inkoopbeleid binnen de federale overheid, een tweetal nieuwe regels voorgesteld. Indien deze uiteindelijk worden vastgesteld en in werking treden, kunnen deze regels aanzienlijke gevolgen hebben voor de wijze waarop federale opdrachtnemers rapporteren over en reageren op cyberaanvallen en andere cybersecurity-incidenten.
De eerste voorgestelde regel, Cyber Threat and Incident Reporting and Information Sharing—met clausules FAR 52.239-ZZ en FAR 52.239-AA—werd uitgevaardigd onder FAR Case 2021–017. De tweede regel, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems—waaronder FAR 52.239-XX en FAR 52.239-YY vallen—werd uitgevaardigd onder FAR Case 2021-019.
De aankondiging van deze voorstellen op 3 oktober startte een openbare commentaarperiode van 60 dagen, gepland tot 4 december 2023. Op 1 november verlengde de FAR Council deze termijn tot 2 februari 2024. Sindsdien zijn er geen officiële updates gekomen van de FAR Council of van andere betrokken agentschappen die gezamenlijk de Federal Acquisition Regulation (FAR) beheren, noch over de definitieve vaststelling van de regels, noch over een ingangsdatum.
Gezien de reikwijdte van de regels en de omvang van de verantwoordelijkheden die zij federale opdrachtnemers opleggen, is het echter van groot belang dat bedrijven precies weten wat FAR Cases 2021-017 en 2021-019 inhouden.
Gezien de reikwijdte van de regels en de omvang van de verantwoordelijkheden die zij federale opdrachtnemers opleggen, is het echter van groot belang dat bedrijven precies weten wat FAR Cases 2021-017 en 2021-019 inhouden.
President Biden’s Cybersecurity Executive Order
In mei 2021 ondertekende president Biden Executive Order 14028, met als titel “Improving the Nation’s Cybersecurity”. Het uitgesproken doel van dit presidentiële bevel was het versterken van diverse cybersecuritymaatregelen ter bescherming van de federale overheid tegen wat het Witte Huis omschreef als “permanente en steeds geavanceerdere kwaadwillige cybercampagnes”. De presidentiële richtlijn volgde op twee uiterst grote en voorheen ongekende cyberaanvallen: de hack bij SolarWinds in 2020 en het datalek bij Microsoft Exchange begin 2021. Deze cyberespionage-acties, uitgevoerd door hackersgroepen gelieerd aan grote Amerikaanse tegenstanders, markeerden mogelijk het begin van een nieuw tijdperk van cyberoorlogsvoering. Na deze incidenten voelde de Amerikaanse overheid een toenemende urgentie om te starten met het ontwikkelen van een breed, gezamenlijk plan ter versterking van haar datasystemen.
De presidentiële richtlijn volgde op twee uiterst grote en voorheen ongekende cyberaanvallen: de hack bij SolarWinds in 2020 en het datalek bij Microsoft Exchange begin 2021.
Het presidentieel bevel droeg de federale overheid op om “al haar bevoegdheden en middelen in te zetten om haar computersystemen te beschermen en te beveiligen, ongeacht of deze op de cloud, on-premises, of hybride zijn”. Het bevel stelde in het bijzonder nieuwe cyberincidentprotocollen vast tussen overheid en federale opdrachtnemers, het moderniseren van de cybersecurityinfrastructuur via veilige cloudservices en zero trust-architectuur, en het standaardiseren van reacties op cybersecuritydreigingen binnen alle federale agentschappen, naast diverse andere opdrachten.
De nieuwe regels die de FAR Council afgelopen oktober heeft voorgesteld, vormen een voortzetting van de implementatie van het presidentiële bevel uit 2021. Door de rapportageverplichtingen voor federale opdrachtnemers na cyberincidenten te verscherpen en uit te breiden, streeft de FAR Council naar voorwaarden voor meer wendbare, proactieve overheidreacties op cyberaanvallen en andere dreigingen voor de nationale veiligheid.
Door de rapportageverplichtingen voor federale opdrachtnemers na cyberincidenten te verscherpen en uit te breiden, streeft de FAR Council naar voorwaarden voor meer wendbare, proactieve overheidreacties op cyberaanvallen en andere dreigingen voor de nationale veiligheid.
FAR Case 2021-017: reikwijdte en cybersecurityvereisten
De eerste voorgestelde regel omvat twee clausules: FAR 52.239-ZZ en FAR 52.239-AA. Beide leggen nieuwe verantwoordelijkheden op aan federale opdrachtnemers, hetzij als reactie op een cyberincident dan wel als preventieve maatregel indien zo’n incident zich voordoet.
FAR 52.239-ZZ
De officiële benaming van FAR 52.239-ZZ luidt: “Incident and Threat Reporting and Incident Response Requirements for Products or Services Containing Information and Communications Technology.” FAR 52.239-ZZ beoogt de contractuele verplichtingen van federale opdrachtnemers na beveiligingsincidenten te actualiseren en versterken. Dit gebeurt via nieuwe eisen voor tijdig en volledig reageren op beveiligingsincidenten, samenwerken met overheidsinstanties bij onderzoek naar de incidenten, en het behouden van alle bestands-, registratie- en andere documentatie die het incidentresponsproces ondersteunt.
Volgens het voorstel omvat een “beveiligingsincident” meer dan alleen cyberaanvallen of cybersecurity-incidenten. De FAR Council gebruikt de term ook voor bredere schendingen van de wet, beveiligingsbeleid of -procedures, evenals de overdracht van geclassificeerde of gecontroleerde ongeclassificeerde informatie (CUI) naar een informatiesysteem dat onder het goedgekeurde beveiligingsniveau van de overheid valt.
Termijn voor incidentrapportage
FAR 52.239-ZZ past de termijn aan waarbinnen opdrachtnemers beveiligingsincidenten aan de overheid moeten rapporteren. Volgens de nieuwe regel zijn opdrachtnemers verplicht om dergelijke incidenten, met alle relevante informatie, binnen acht uur na ontdekking via het incidentrapportageportaal van de Cybersecurity and Infrastructure Security Agency (CISA) te melden. Vervolgens moet iedere 72 uur een update worden ingediend, totdat het onderzoek door alle betrokken overheidsinstanties is afgerond.
Het tijdig rapporteren ondersteunt overheidsinstanties en hun teams bij het uitvoeren van de meest effectieve en dynamische respons. Zoals de voorgestelde regel omschrijft, helpen snelle rapportages en continue updates onderzoekers bij "snelle data-analyse voor het direct identificeren van activiteiten en acties van kwaadwillenden, dreigingen en indicators of compromise".
Vervolgmaatregelen ter ondersteuning van overheidsverlening bij incidenten
Naast het rapporteren via het CISA-portaal binnen de gestelde termijn, moeten opdrachtnemers deelnemen aan diverse aanvullende activiteiten voor een effectieve overheidsrespons. Zo zijn zij verplicht om CISA, FBI en/of de contracterende instantie volledig toegang te geven tot alle relevante informatie, informatiesystemen en personeel onmiddellijk na een beveiligingsincident.
Federale opdrachtnemers zijn ook verantwoordelijk voor het bewaren van alle gegevens met betrekking tot het gemelde incident, inclusief netwerkverkeersdata, perimeterbeveiligingslogboeken, telemetrie en andere relevante informatie. Dit dient twaalf maanden actief te worden opgeslagen en voor nog eens zes maanden actief of in cold storage.
Tot slot zou de nieuwe FAR-regel vereisen dat opdrachtnemers zich abonneren op het Automated Indicator Sharing (AIS)-programma van CISA om cyberdreigingsindicatoren en aanbevolen defensiemaatregelen uit te wisselen. (Opdrachtnemers zijn verplicht het AIS-platform te gebruiken, ongeacht of zich daadwerkelijk een beveiligingsincident heeft voorgedaan.)
Software bill of materials
Buiten de respons- en rapportageverplichtingen introduceert FAR 52.239-ZZ de verplichting voor federale opdrachtnemers om een software bill of materials (SBOM) bij te houden met elk stuk software dat wordt gebruikt voor werkzaamheden uit hoofde van het federale contract. De overheid definieert een SBOM als een “formeel register met details en supply chain-relaties van de diverse componenten die worden gebruikt bij het bouwen van de software.” Volgens het ministerie van Handel “verbetert SBOM-data zowel de identificatie van kwetsbaarheden als de snelheid van respons”, en “het gebruik ervan voor het signaleren en analyseren van bekende kwetsbaarheden en potentiële mitigaties is cruciaal voor risicobeheer.”
Opmerkelijk is dat opdrachtnemers altijd verantwoordelijk zijn voor het bijhouden van SBOM’s, ook wanneer er géén bekend beveiligingsincident is. SBOM’s moeten worden aangepast zodra de gebruikte software tijdens het contract wordt geüpdatet. Een volledig overzicht van deze eisen vindt u in het rapport Minimum Elements for a Software Bill of Materials van het Amerikaanse ministerie van Handel.
FAR 52.239-AA
De tweede clausule in Case 2021-017, FAR 52.239-AA, is aanzienlijk specifieker. Onder de titel “Security Incident Reporting Representation” verplicht deze alle aanbieders die een bod uitbrengen bij de federale overheid om te waarborgen dat zij historisch aan FAR 52.239-ZZ hebben voldaan. Dit omvat het aantonen dat alle benodigde incidentrapportages in het verleden en lopende contracten “actueel, accuraat en volledig” zijn ingediend.
De regel verplicht aanbieders er ook toe te verklaren dat zij deze verplichting contractueel hebben doorgelegd aan hun lagere onderaannemers, die op hun beurt de kern van de regel in hun subcontracts hebben opgenomen.
FAR Case 2021-019: reikwijdte en cybersecurityvereisten
De FAR Council heeft de tweede voorgestelde regel, Standardizing Cybersecurity Requirements for Unclassified Federal Information Systems, gepubliceerd onder Case 2021-019. Het doel van deze regel is het standaardiseren van cybersecurityvereisten tussen federale agentschappen, met specifieke aandacht voor ongeclassificeerde federale informatiesystemen (FIS). Case 2021-019 is opgedeeld in twee clausules die grotendeels voor zich spreken. De eerste is FAR 52.239-XX, “Federal Information Systems Using Cloud Computing Services”, gericht op FIS die op cloud computing zijn gebaseerd. De tweede is FAR-52.239-YY, “Federal Information Systems Using Non-Cloud Computing Services”, voor FIS die geen gebruik maken van cloud computing.
De federale overheid definieert een “federale informatiesysteem” als een “informatiesysteem in gebruik of beheerd door een agentschap, opdrachtnemer van een agentschap, of door een andere organisatie namens een agentschap.”
FAR 52.239-XX
Deze clausule vereist dat agentschappen het impactniveau van het cloudgebaseerde FIS van een opdrachtnemer bepalen aan de hand van de Federal Information Processing Standard Publication 199 (FIPS-199) en het corresponderende Federal Risk and Authorization Management Program (FedRAMP)-autorisatieniveau. Volgens het voorstel moet dit niveau worden vastgesteld op basis van “impactanalyse van de informatie die door het systeem wordt verwerkt, opgeslagen of verzonden.” Na de bepaling moet de federale opdrachtnemer de beveiligings- en privacymaatregelen implementeren en onderhouden die bij het FedRAMP-niveau horen.
Bovendien vereist FAR 52.239-XX dat opdrachtnemers blijven deelnemen aan monitoringactiviteiten en monitoringrapportages indienen, zoals gespecificeerd in de “FedRAMP Continuous Monitoring Strategy Guide.” Ten slotte moeten opdrachtnemers voldoen aan de contractuele vereisten met betrekking tot het leveren en verwijderen van overheidsgegevens en gegevens die aan de overheid zijn gerelateerd.
FAR 52.239-YY
De eisen uit deze clausule voor niet-cloudgebaseerde federale informatiesystemen zijn iets complexer. Net als bij FAR 52.239-XX wordt van agentschappen verwacht dat zij het relevante FIPS-199-impactniveau bepalen en dit in het contract opnemen. Daarbovenop moeten agentschappen en hun contractmanagers diverse specifieke beveiligingsvraagstukken adresseren, waaronder multifactor-authenticatie, beheeraccounts, toestemmingsbanners en beheersing van Internet of Things-devices. Contractmanagers dienen een passend pakket beveiligings- en privacymaatregelen te kiezen aan de hand van special publications van het National Institute of Standards and Technology, waaronder NIST SP 800-53, NIST SP 800–213, NIST SP 800–161 en NIST SP 800–82.
Buiten deze nieuwe eisen voor overeenkomsten waarbij FIS geen gebruik maken van cloud computing, legt deze clausule federale opdrachtnemers twee belangrijke nieuwe verplichtingen op. Ten eerste moeten zij CISA en andere door de contractmanager opgegeven overheidsinstanties “tijdig en volledig toegang” verlenen tot de voor de overheid relevante gegevens en personeel ten behoeve van audits, onderzoeken en inspecties, indien deze van belang zijn voor de beveiliging. Daarnaast moeten FIS die zijn ingeschaald op een medium of hoog FIPS-199-impactniveau jaarlijks twee assessments uitvoeren: een interne beoordeling met focus op “kwetsbaarheden, risico’s en indicators of compromise”, en een onafhankelijke beoordeling van de beveiliging van het informatiesysteem. Opdrachtnemers zijn verplicht de resultaten van beide assessments, met inbegrip van eventuele mitigerende maatregelen, aan hun contractmanager te leveren.
Schadeloosstellingsverplichtingen
Beide clausules—FAR 52.239-XX en FAR 52.239-YY—bevatten een bepaling die federale opdrachtnemers verplicht om de overheid te vrijwaren van aansprakelijkheid voortvloeiend uit hun prestaties onder het contract. Volgens de voorgestelde regels ontstaat deze aansprakelijkheid met name in twee scenario’s: doordat de opdrachtnemer informatie of materiaal toevoegt aan overheidsdata, of door ongeautoriseerde openbaarmaking van gevoelige gegevens of materiaal door de opdrachtnemer. Verder dienen opdrachtnemers nadrukkelijk afstand te doen van “enig en elk verweer dat voor hun voordeel kan worden ingeroepen, met inbegrip van (maar niet beperkt tot) de ‘Government Contractors Defense’.” Deze verplichte afstand van verweren legt een aanzienlijke aansprakelijkheid bij opdrachtnemers wanneer zich een cyberaanval, datalek of ander beveiligingsincident voordoet.
Voorbereiding op de nieuwe cybersecurityvereisten
Het lijkt er niet op dat de nieuwe cybersecurityregels op zeer korte termijn ingaan. Na afloop van de openbare commentaarperiode—die is verlengd tot 2 februari—moeten de agentschappen die deel uitmaken van de FAR Council, evenals de verantwoordelijke beheerders van het FAR, alle reacties analyseren en beoordelen. Pas na deze fase zal worden besloten of er een definitieve regel wordt gepubliceerd. Indien vastgesteld, geldt voor deze definitieve regel een overgangsperiode van minstens 60 dagen voordat deze daadwerkelijk van kracht wordt. (Afhankelijk van het belang van de regel kan deze termijn oplopen tot 120 dagen of langer.)
Gezien de omvang en fasering van het wettelijke proces hebben federale opdrachtnemers nu enige tijd om FAR Cases 2021-017 en 2021-019 te evalueren en zich voor te bereiden op het brede scala aan nieuwe verplichtingen die deze mogelijk met zich meebrengen. Voor bedrijven die onder deze voorgenomen regelgeving vallen is het echter zaak om de kans op invoering buitengewoon serieus te nemen. Gezien de recente piek aan verwoestende cyberaanvallen en het presidentiële bevel uit 2021, bestaat er weinig twijfel dat deze nieuwe cybersecurityverplichtingen—of sterk gelijkende richtlijnen—binnen afzienbare tijd in regelgeving zullen worden vastgelegd.
Gezien de omvang en fasering van het wettelijke proces hebben federale opdrachtnemers nu enige tijd om FAR Case 2021-017 en FAR Case 2021-019 te evalueren en zich voor te bereiden op het brede scala aan nieuwe verplichtingen die deze mogelijk met zich meebrengen.
