SIP-trunks leveren: wat de Cbw van u vraagt en wat in uw risicoanalyse hoort

Geldt de Cbw voor uw trunks?

Verkoopt u SIP-trunks aan bedrijven, met nummers en een koppeling naar het telefoonnet? Dan levert u in de meeste gevallen een openbare elektronische communicatiedienst. De Telecommunicatiewet noemt een interpersoonlijke communicatiedienst die verbinding maakt met openbare nummers een nummergebaseerde dienst (artikel 1.1). De ACM noemt VoIP als voorbeeld en schrijft dat u geen eigen netwerk nodig heeft.

Voor deze dienst geldt geen ondergrens. Klein of micro betekent belangrijke entiteit (artikel 12 Cbw). Middelgroot of groter betekent essentiële entiteit (artikel 8 Cbw).

Levert u alleen aan andere aanbieders? Dan is de vraag of uw dienst nog "beschikbaar is voor het publiek". De definitie geeft daar geen pasklaar antwoord op. Leg uw redenering vast en lees reseller of wholesale. Een eerste indruk krijgt u met de gratis zelfscan.

Wat de regels van u vragen

Voor telecom werken het Cyberbeveiligingsbesluit (Cbb) en de Regeling cyberbeveiliging EZK de zorgplicht uit. U maakt een overzicht van uw risico's en stelt op basis daarvan beveiligingseisen vast (artikel 7, vierde en vijfde lid, Cbb). De regels noemen geen SIP-trunks, carriers of nummerblokken. Die vertaling maakt u zelf. Voor de aanpak in het algemeen leest u risicoanalyse voor telecom. Hieronder staat wat er bij een trunkdienst bijzonder is.

Vier plekken in de risicoanalyse van een trunkaanbieder (praktische invulling, geen wettelijke indeling)

Plek	Wat kan misgaan	Haakje in de regels
Interconnect met het telefoonnet	Uitval van een carrier of een koppeling, waardoor klanten niet meer kunnen bellen	Artikel 9 Cbb (continuïteit), artikel 10 Cbb (leveranciers)
Peering met andere aanbieders	Ongewenst verkeer via een vertrouwde koppeling, of een probleem bij de ander dat doorwerkt bij u	Artikel 5, vierde lid, onder b, Regeling EZK
Nummerblokken en routering	Fout in een wijziging, waardoor een blok of een alarmroute niet meer werkt	Artikel 11, derde lid, Cbb (wijzigingsbeheer)
Fraude en misbruik	Gestolen trunk-gegevens, ongewenst internationaal verkeer, vervalste nummers	Artikel 8, derde lid, Cbb (monitoring)

Interconnects: uw belangrijkste afhankelijkheid

Een trunkdienst staat of valt met de partij die het verkeer aflevert. Die carrier is een rechtstreekse leverancier. U toetst of die voldoet aan uw beveiligingseisen, en dat doet u periodiek (artikel 10, tweede lid, Cbb). De toelichting noemt certificering en clausules in contracten als voorbeelden. Lees ook NIS2 en ketenbeveiliging.

Stel daarnaast drie vragen over elke interconnect:

• Hoeveel van uw verkeer loopt er over, en wat is de uitwijkroute?
• Is die uitwijkroute echt getest, ook voor inkomend verkeer op uw nummers?
• Hoe en hoe snel hoort u van de carrier dat er iets mis is?

Het herstelplan moet u periodiek testen (artikel 9, vierde lid, Cbb). Een vaste frequentie staat niet in de wet. Spreek er zelf een af en leg die vast.

Peering: vertrouw niet alleen op het IP-adres

U segmenteert uw systemen waar passend van die van derden (artikel 5, vierde lid, onder b, Regeling EZK). De toelichting noemt strikte toegangscontroles, beveiligde kanalen en het beperken van directe verbindingen tot het noodzakelijke. Voor een SIP-peering kan dat zijn: aparte interfaces per partner op de SBC, verkeer alleen van afgesproken adressen, signalering via TLS waar de ander dat ondersteunt, en limieten per koppeling. Dit is een praktische invulling. De techniek vindt u terug in cryptografiebeleid voor SIP en TLS.

Nummerblokken: het risico zit in de wijziging

Uw processen voor onderhoud en beheer gaan ten minste over configuratiebeheer en wijzigingsbeheer (artikel 11, derde lid, Cbb). Bij een trunkdienst raakt dat vooral de routeringstabellen en nummerplannen. Eén fout bij het overzetten van een blok kan veel klanten tegelijk raken.

Controleer na elke grote routeringswijziging of 112 nog werkt. Een incident waarbij het alarmnummer niet beschikbaar is, geldt in elk geval als significant (artikel 8, onder c, Regeling EZK), ook als er maar weinig gebruikers zijn getroffen. Volgens de toelichting gaat het om het deel van de keten dat bij of onder de verantwoordelijkheid van de aanbieder ligt, tot aan de landelijke meldkamer.

Fraude: meer dan een financieel probleem

U monitort relevante gebeurtenissen om incidenten te detecteren (artikel 8, derde lid, Cbb). De wet noemt fraudebewaking niet, maar bij trunks is belgedrag vaak het eerste signaal dat er iets mis is. Denk aan limieten per klant, meldingen bij ongewone bestemmingen en blokkades buiten kantooruren. De aanpak staat in toll fraud voorkomen.

Fraude kan ook meldplichtig zijn. Een incident is onder meer significant als het een ernstige operationele verstoring of financiële verliezen voor uw bedrijf veroorzaakt of kan veroorzaken (artikel 25, tweede lid, Cbw). Daarnaast noemt de toelichting bij de regeling spoofing als voorbeeld van aantasting van de authenticiteit van gegevens. Bij gevolgen voor ten minste 1% van uw gebruikers, met een minimum van 10.000, is dat in elk geval significant (artikel 8, onder b, Regeling EZK).

Praktische tips

• Maak per carrier één regel in uw leverancierslijst: dienst, contactpunt bij storing, uitwijkroute en datum van de laatste toets.
• Noteer per trunkklant hoeveel gebruikers erachter zitten. Dat scheelt rekenwerk bij een storing.
• Geef nummerwijzigingen een tweede paar ogen, ook als het team klein is.
• Bepaal vooraf bij welk fraudebedrag iemand beslist of er een melding nodig is.

Veelgestelde vragen

Hoe tel ik gebruikers achter een trunk?

De toelichting zegt dat werknemers van een zakelijke gebruiker als afzonderlijke gebruikers kunnen tellen. Weet u het exacte aantal niet, dan schat u het op basis van de informatie die u heeft. Het aantal kanalen of nummers kan daarbij helpen, maar leg uw methode vast.

Moet mijn carrier zelf ook onder de Cbw vallen?

Dat is niet de eis. U toetst uw rechtstreekse leveranciers aan uw eigen beveiligingseisen, of zij nu onder de wet vallen of niet.

Waar begin ik?

Zet uw interconnects, peerings en nummerblokken op een rij en doe de zelfscan. In het portaal werkt u de risico's en leveranciers verder uit. U kunt het 30 dagen gratis proberen, zonder betaalgegevens.