Analysera beroende på kryptografiska produkter och tjänster.

Kryptografiska produkter och tjänster utgör grunden för en pålitlig digital ekonomi. Kryptografiska algoritmer utvecklas vanligtvis inom vetenskapen och är oftast offentliga. Produkter och tjänster baserade på kryptografi utvecklas över hela världen, med en hög grad av specialisering. Om den nederländska ekonomin skulle vara beroende av ett enda land eller leverantör för en vital tillämpning av kryptografi, skulle detta utgöra en riskfylld strategisk beroende (RSA). Denna undersökning syftar till att kartlägga beroenden i de olika marknadssegmenten av kryptografi-värdekedjan och bedöma i vilken utsträckning dessa beroenden är strategiskt riskfyllda. I undersökningen identifierar vi tre (marknads)segment:

• Det högvärderade segmentet, där kryptografi används för att skydda högkvalificerad (”statskonfidentiell”) information. Detta avser specifikt produkter och tjänster som får användas för detta ändamål efter utvärdering av AIVD.
• Det ”mellanstora segmentet”, där högvärdig kryptografi används för specifika ändamål, ofta baserat på regelramar. Exempel på tillämpningar är elnätsinfrastruktur, telekommunikationsnätverk, finanssektorn, med mera.
• Det generiska segmentet, där vardagliga produkter och tjänster som använder kryptografi inbegrips och används av företag och konsumenter. Exempel på tillämpningar är Microsoft Teams och WhatsApp.

I undersökningen fokuserar vi främst på . Här är (samhälleliga och ekonomiska) intressen störst och utbudet (eventuellt) mest specialiserat. I denna sektor är regelverken den främsta drivkraften för valet av kryptografiska produkter och tjänster. Certifiering och assurance är avgörande och ger samtidigt en användbar avgränsning av relevanta produkter och tjänster för undersökningen. I Nederländerna arbetar flera universitet med högvärdiga kryptografiska algoritmer. Nederländerna är dessutom en av de få ”crypto producing nations” inom NATO. Inom Europa är Frankrike och Tyskland de största aktörerna när det gäller certifierade produkter. Majoriteten av produkterna med europeisk high assurance-certifiering för vitala sektorer produceras i EU, med cirka 75% i Tyskland och Frankrike. Endast en liten del av dessa produkter (ca 5%) kommer från Sydkorea. I det högre segmentet är Nederländerna begränsat beroende av produkter och tjänster från andra länder. Beroenden bedöms redan i ett tidigt skede av AIVD. För mellansektorn finns beroenden när det gäller högsäkerhetsprodukter, från leverantörer som främst verkar inom EU. Det märks dock att det i vissa produktkategorier (t.ex. databaser och åtkomstkontroll) knappt finns några europeiska certifierade high assurance-produkter på marknaden. Det kan finnas en beroende av framförallt amerikanska producenter. I mellansektorn är beroendena starkt sektorspecifika. Inom dessa sektorer används kryptografi (till skillnad från högvärdiga segmentet) oftast inte som en enskild produkt, utan snarare som en del av en bredare produkt eller som en tjänst. Beroendena befinner sig därför på en högre nivå än kryptografiska produkter. Det märks också att det finns en stark beroende av specialiserad personal. Resultaten antyder att beroendet av personal och kunskap inom sektorn och hos kunderna i mellansektorn är större än beroendet av leverantörer av kryptografi. Slutligen har Nederländerna en utmärkt (akademisk) kunskapsposition inom kryptografi. Eftersom många kryptografiska algoritmer numera är offentliga, leder detta varken till beroenden eller ger direkt fördelar för mellansektorn. När det gäller certifiering och assurance är Nederländernas position även utmärkt, och närheten kan möjligtvis vara av fördel.