Methode: hoe incidenten worden beoordeeld
Werkwijze
- Verzamelen. Een verzamelprogramma (
sbcti) leest nieuwsfeeds en zoekopdrachten: landelijke en regionale media, het NCSC en Google News-zoekopdrachten op onder meer drones, sabotage, verkenning en cyberaanvallen. Berichten met de juiste trefwoorden komen in een wachtrij. Er wordt niets automatisch gepubliceerd. - Selecteren. Ik kies zelf welke berichten op de kaart komen. Alleen wat ik relevant vind voor de weerbaarheid van vitale infrastructuur wordt toegevoegd.
- Uitlezen. Een taalmodel (Claude) leest het gekozen bericht en haalt er alleen feiten uit die er letterlijk staan: wat, waar, wanneer, welke sector, en of er bijvoorbeeld aanhoudingen waren of een dienst uitviel. Het schrijft ook een korte samenvatting in eigen woorden en zegt of het bericht over een incident gaat dat al op de kaart staat.
- Beoordelen. De letters en cijfers hieronder rekent het programma uit met vaste regels. Het taalmodel geeft geen oordeel over hoe ernstig of betrouwbaar iets is.
Elk incident krijgt een vast kenmerk, bijvoorbeeld SB-2026-000012.
Soorten incidenten
Elk incident heeft precies één soort:
| Soort | Betekenis |
|---|---|
| Drone | Drones of onbekende luchtvaartuigen bij een locatie. |
| Verkenning | Verdachte personen of voertuigen die een locatie observeren, fotograferen of in kaart brengen; spionage ter plaatse. |
| Sabotage | Opzettelijke beschadiging of verstoring van fysieke infrastructuur: kabels, spoor, installaties, brandstichting. |
| Indringing | Onbevoegd betreden van of inbreken op een terrein of in een gebouw. |
| Cyberaanval | Digitale inbraak, ransomware, wiper of manipulatie van industriële systemen. |
| DDoS | Overbelastingsaanval. |
| Datalek | Gestolen of uitgelekte gegevens. |
| Dreiging | Bommelding, dreigbrief of aangekondigde aanval. |
| Maritiem | Verdachte schepen bij kabels, pijpleidingen, windparken of havens. |
| Beïnvloeding | Desinformatie- of beïnvloedingscampagne. |
| Overig | Past nergens anders bij. |
Daarnaast heeft elk incident een of meer sectoren (energie, water, telecom, transport, overheid, defensie, nucleair, zorg, financieel, digitaal, chemie) en een domein: fysiek, cyber, of hybride als beide samenkomen.
Betrouwbaarheid
Elk incident krijgt een code volgens het Admiralty-systeem dat inlichtingendiensten gebruiken, bijvoorbeeld B2: de letter zegt hoe betrouwbaar de beste bron is, het cijfer hoe goed het incident bevestigd is.
Betrouwbaarheid van de bron
| Letter | Betekenis | Voorbeelden |
|---|---|---|
| A | volledig betrouwbaar | officiële bronnen: politie, NCSC, NCTV, Defensie, Rijksoverheid |
| B | meestal betrouwbaar | landelijke en regionale media met een correctiebeleid: NOS, ANP, AD, PZC, Omroep Zeeland en andere regionale omroepen |
| C | redelijk betrouwbaar | o.a. DutchNews, NL Times, vakmedia |
| D | meestal niet betrouwbaar | bronnen met onduidelijke herkomst |
| E | onbetrouwbaar | |
| F | niet te beoordelen | sites die niet op de lijst staan |
Een artikel krijgt de letter van de site waar het verschijnt, ook als het via een zoekopdracht is gevonden. Bekende desinformatiesites worden niet gebruikt.
Geloofwaardigheid van het incident
| Cijfer | Betekenis | Regel |
|---|---|---|
| 1 | bevestigd | een officiële bron en nog een onafhankelijke bron, of drie onafhankelijke bronnen waarvan één A of B |
| 2 | waarschijnlijk waar | twee onafhankelijke bronnen, of één nieuws- of officiële bron met A of B |
| 3 | mogelijk waar | één bron met C |
| 4 | twijfelachtig | alleen D- of E-bronnen, of één bron waarover het taalmodel onzeker was |
| 5 | onwaarschijnlijk | bronnen spreken elkaar tegen |
| 6 | niet te beoordelen | alleen bronnen die niet te beoordelen zijn |
Bronnen tellen per organisatie: twee artikelen van dezelfde site zijn samen één bron. Hetzelfde ANP-bericht op meerdere sites telt nu nog als meerdere bronnen.
Impact
De impact (laag, midden, hoog) zegt hoe zwaar een incident weegt voor vitale infrastructuur. Ook die volgt vaste regels:
- Basis: midden voor sabotage, indringing, cyberaanval, DDoS en maritiem; laag voor de andere soorten.
- Naar hoog als een bron meldt dat een dienst of proces daadwerkelijk is uitgevallen (verstoring), dat er schade is, of dat er slachtoffers zijn.
- Naar minstens midden bij een kritiek object (kerncentrale, defensieterrein, hoofdnet energie, grote haven of luchthaven, waterkering), een aanhouding, militaire inzet, gesloten luchtruim, toeschrijving aan een statelijke actor door een overheidsinstantie, of een herhaling: een eerder incident binnen 5 km in de 90 dagen ervoor.
- Een politieonderzoek of een claim door een groep wordt getoond, maar verhoogt de impact niet.
Signalen tellen alleen als een bron ze uitdrukkelijk noemt. Wie de daders zijn of wat hun motief is, speelt geen rol, tenzij een overheidsinstantie dat zelf meldt.
Locatie
| Precisie | Betekenis |
|---|---|
| object of terrein | het genoemde object, zoals een kerncentrale of vliegbasis |
| adres of straat | een adres uit de bron, opgezocht in de PDOK Locatieserver |
| plaats | alleen de plaats is bekend; de pin staat in het midden |
| gemeente | alleen de gemeente is bekend |
| land | alleen het land is bekend; het incident staat niet op de kaart |
Plaatsen in Nederland worden opgezocht in de PDOK Locatieserver, objecten en plaatsen elders in OpenStreetMap. Voor bekende vaste objecten die daar niet te vinden zijn, gebruikt het programma de coördinaten die het taalmodel geeft, maar alleen als die binnen 15 km van de genoemde plaats liggen. Een pin met een stippelrand staat bij benadering.
Samenhang
- Zelfde incident: meerdere berichten over hetzelfde incident worden samengevoegd tot één incident met alle bronnen. Zo kan de geloofwaardigheid stijgen.
- Gerelateerd: incidenten die samenhangen, zoals dezelfde soort op dezelfde plek eerder of een golf van vergelijkbare incidenten.
- Eerder op deze plek: een eerder incident binnen 5 km in de 90 dagen ervoor.
Gerelateerd betekent dat incidenten op elkaar lijken, niet dat dezelfde daders erachter zitten.
Data
Alle incidenten staan als JSON in /data/incidenten.json, met tijden in Nederlandse tijd en UTC.
Beperkingen
- De kaart is een selectie: wat ik lees en belangrijk vind. Meer pinnen op een plek betekent niet per se meer incidenten, maar kan ook meer media-aandacht zijn.
- Automatisch uitlezen kan de plaats, de datum of de soort verkeerd hebben. De bron is altijd leidend; meld fouten gerust.
- Namen van privépersonen, verdachten of slachtoffers worden niet vermeld.