Nr. 5 LIJST VAN VRAGEN EN ANTWOORDEN

1

Kunt u concreet aangeven wanneer de EU en NAVO de informatiesystemen op het ministerie komen inspecteren? Kunnen naar aanleiding van deze inspecties de accreditaties van informatiesystemen per direct worden ingetrokken?

Antwoord:

De NAVO-inspectie vindt plaats in de periode van 23 t/m 27 september 2019. De EU-inspectie vindt plaats in de week van 14 tot en met 18 oktober 2019 in Nederland en op 7 november in Brussel. BZ heeft op dit moment een achterstand in (her)accreditaties van informatiesystemen. Er wordt hard gewerkt aan het wegwerken van deze achterstand. Indien bij de inspecties nog grote onvolkomenheden open staan, kunnen de NAVO en de EU een maatregel treffen, waarbij internationale informatie alleen via de geaccrediteerde systemen wordt gedistribueerd.

2

Is Nederland door de EU en NAVO gewaarschuwd voor het feit dat de beveiliging van informatiesystemen bij het ministerie niet op orde is? Zo ja, wanneer?

Antwoord:

In 2016 is door de NAVO een inspectie uitgevoerd. Daaruit zijn geen grote tekortkomingen naar voren gekomen. Het ministerie is in december 2018 geïnformeerd door de Nationale Security Authority dat voor een deel van de informatiesystemen de accreditatie niet actueel is.

3

Per wanneer verwacht u de problemen bij accreditaties van informatiesystemen opgelost te hebben?

Antwoord:

Het ministerie verwacht voordat de komende inspecties plaatsvinden de EU-accreditaties ten behoeve van de EU-informatiesystemen op orde te hebben gebracht.

4

Klopt het dat zodra de problemen bij accreditaties van informatiesystemen niet opgelost zijn voor het eind van 2019, de gehele rijksoverheid de noodzakelijke EU- en NAVO-informatie niet meer kan ontvangen?

Antwoord:

Zie het antwoord op vraag 1.

5

Waarom vindt de implementatie van de interne controle op informatiebeveiliging nog niet plaats, in elk geval niet ten tijde van het onderzoek van de Algemene Rekenkamer?

Antwoord:

Voor de interne controle op informatiebeveiliging is door de Chief Information Security Officer een normenkader opgesteld, gebaseerd op een methode van de Nederlandse Beroepsorganisatie van Accountants (NBA). In 2018 zijn de controllers bij de grote dienstonderdelen en posten verder opgeleid in het uitvoeren van interne controle op informatiebeveiliging. De interne controle vindt momenteel plaats in gezamenlijk overleg tussen directies en posten met hun controllers en de informatiebeveiligingsadviseurs. Op basis van de hiermee opgedane ervaringen wordt eind 2019 een intern controleplan voor 2020 voor heel BZ uitgewerkt.

Voor het toezicht was het nodig om een kader op informatiebeveiliging vast te stellen. Dit toezichtkader is inmiddels door de interne toezichthouder (de Beveiligingsambtenaar) vastgesteld en in 2019 zullen ook specifieke activiteiten worden uitgevoerd, naast activiteiten op het gebied van accreditatie.

6

Wat heeft het ministerie nodig om de achterstand in de (her)accreditatie van systemen te kunnen realiseren?

Antwoord:

Inmiddels is capaciteit toegevoegd om de achterstand in de (her)accreditaties in te lopen. De achterstand wordt in samenspraak met betrokken ministeries en de daaronder ressorterende uitvoeringsorganisaties, waaronder SSC-ICT, aangepakt.

7

Zijn er op dit moment andere landen die geen gerubriceerde EU- en NAVO-informatie (dreigen) te ontvangen?

Antwoord:

Het is het ministerie niet bekend of er landen zijn die geen digitale gerubriceerde EU- en NAVO-informatie (dreigen) te ontvangen.

8

Waarom is er nog geen transitieplan van de BIR:2012 naar de BIR:2017 (Baseline Informatiebeveiliging Rijksdienst)?

Antwoord:

De BIR:2017 houdt, evenals de BIR:2012, geen rekening met de door de EU en NAVO gestelde eisen ten aanzien van informatiebeveiliging. Het ministerie integreert de BIR met de vigerende regelgeving van EU en NAVO in de eigen BZ Baseline Informatiebeveiliging. Deze is eind 2018 geactualiseerd en wordt nu ingevoerd.

9

Blijft het ministerie op dit moment al verstoken van informatie vanuit de EU en NAVO vanwege het achterblijvende accreditatie en om welke informatiestroom gaat het?

Antwoord:

Nee.

10

Per wanneer verwacht u alle maatregelen uit de BIR:2012 geïmplementeerd te hebben?

Antwoord:

Zie het antwoord op vragen 8 en 12.

11

Per wanneer verwacht u een transitieplan van de BIR:2012 naar BIR:2017 te hebben?

Antwoord:

Zie het antwoord op vraag 8.

12

Acht u het haalbaar dat in januari 2012 de BIR:2017 volledig geïmplementeerd is?

Antwoord:

Aangenomen wordt dat hier januari 2021 wordt bedoeld. Zie verder het antwoord op vraag 8. Het ministerie verwacht eind 2020 de BZ Baseline Informatiebeveiliging volledig te hebben geïmplementeerd. Daarin zal de BIR zijn geïntegreerd.

13

Waarom zijn er nog geen heldere afspraken gemaakt over taken en verantwoordelijkheden ten aanzien van de verantwoordelijkheid voor het behalen van de informatiebeveiligingsdoelstellingen voor de lange termijn?

Welke maatregelen bent u van plan te nemen om heldere afspraken vast te leggen over taken en verantwoordelijkheden ten aanzien van de verantwoordelijkheid voor het behalen van informatiebeveiligingsdoelstellingen voor de lange termijn?

Antwoord:

In de tweede helft 2019 zal een visie op informatiebeveiliging bij BZ 2019–2022 worden opgesteld. Deze visie wordt richtinggevend voor het bepalen van de informatiebeveiligingsdoelstellingen, inclusief taken en verantwoordelijkheden.

14

Waarom is er nog geen centraal overzicht van incidenten?

Antwoord:

Verwezen kan worden naar pagina 15 van het rapport van de Algemene Rekenkamer bij het jaarverslag 2018, waar is vermeld dat dit overzicht aanwezig is.

15

Waarom ontbreekt het nog aan een procedure rondom de omgang met incidenten en het op efficiënte wijze informeren over kritische incidenten binnen de organisatie?

Antwoord:

Er was reeds een procedure opgesteld ten tijde van het Verantwoordingsonderzoek van de Algemene Rekenkamer. Deze was echter nog niet formeel vastgesteld. Inmiddels is dat gebeurd door de Chief Information Security Officer.

16

Welke departementen en diensten ontvangen civiele EU- en NAVO-informatie via het Ministerie van Buitenlandse Zaken?

Antwoord:

NAVO-informatie wordt (op papier) gedeeld met de Ministeries van Algemene Zaken, Economische Zaken en Klimaat en Infrastructuur en Waterstaat, alsmede met de Algemene Inlichtingen en Veiligheidsdienst en de Nationale Coördinator Terrorismebestrijding en Veiligheid. Hoog gerubriceerde EU-informatie wordt alleen intern binnen het ministerie verspreid. Laag gerubriceerde EU-informatie wordt verspreid via het Berichtenverkeer van het ministerie en het zogeheten Delegates Portal van de EU, waartoe vakdepartementen toegang hebben.

17

Is het herkrijgen van accreditaties voor het verkrijgen van informatie vanuit de EU en NAVO enkel gestoeld op de systemen van Buitenlandse Zaken als coördinerend ministerie of kunnen problemen op andere ministeries er aan bijdragen dat er geen informatie richting Nederland komt vanuit de EU en NAVO?

Antwoord:

Het wel of niet onmiddellijk treffen van eventuele maatregelen is een verantwoordelijkheid van de EU en NAVO, daar kan het ministerie geen uitspraak over doen. Zie verder het antwoord op vraag 6.

18

Wanneer wordt Nederland definitief afgesloten van informatie vanuit de EU en NAVO wanneer de onvolkomenheden niet tijdig worden opgelost?

Antwoord:

Zie het antwoord op vraag 17.

19

Bent u voornemens een procedure op te stellen rond het omgaan met informatiebeveiligingsincidenten? Zo ja, op welke termijn?

Antwoord:

Zie het antwoord op vraag 15.

20

Wanneer verwacht de Minister van Binnenlandse Zaken en Koninkrijksrelaties een volmacht te kunnen geven voor de aan- en verkoop van panden in het buitenland? Wat belet haar om dit op korte termijn te doen?

Antwoord:

De Minister van Binnenlandse Zaken en Koninkrijksrelaties bereidt momenteel een nieuwe volmacht voor. Afstemming tussen de Minister van Binnenlandse Zaken en Koninkrijksrelaties en de Minister van Buitenlandse zaken over de inhoud en strekking van deze volmacht heeft reeds plaatsgevonden. Wellicht ten overvloede kan worden gemeld dat deze volmacht ziet op de bevoegdheid tot verkoop van panden in het buitenland. De Minister van Buitenlandse Zaken is op grond van art. 4.6 van de Comptabiliteitswet 2016 bevoegd tot de aankoop van dergelijke panden.

21

Hoe beoordeelt u het volgende oordeel: «Over hoe de plannen daarna worden geïmplementeerd krijgt de Tweede Kamer echter nauwelijks informatie»?

Antwoord:

De Tweede Kamer is bij de uitvoering van de moties Sjoerdsma en van Ojik uitgebreid geïnformeerd over de plannen van het kabinet om invulling te geven aan deze moties (zie onder andere Kamerstuk 32 734, nr. 23 en Kamerstuk 32 734, nr. 29). Deze voornemens, die voor een deel bestonden uit het terugdraaien van voorgenomen bezuinigingen, zoals het sluiten van enkele consulaten-generaal, zijn vervolgens uitgevoerd. Verantwoording hierover vond plaats via de reguliere begrotingscyclus.

22

Kunt u de verdeling van FTE over de diverse regio’s, waarbij «de ring» als een separate regio wordt gehanteerd, inzichtelijk maken?

Antwoord:

In de Kamerbrief over de uitbreiding en versterking van het Nederlandse postennet (Kamerstuk 32 734, nr. 32) is aangegeven welke posten in de zogenaamde «ring van instabiliteit» worden versterkt. Het betreft hier de posten in de landen in de instabiele regio rond Europa, die binnen het Ministerie van Buitenlandse Zaken vallen onder de regiodirecties Noord-Afrika en Midden-Oosten (DAM), Afrika (DAF) en Europa (DEU). In de DAM-regio worden de posten Algiers, Amman, Bagdad, Beiroet, Erbil (consulaat-generaal), Kaïro, Pristina, Tunis en Tripoli versterkt. In de DAF-regio worden ambassadekantoren geopend in Ndjamena en Ouagadougou. In de DEU-regio worden de posten in Tallinn, Vilnius, Riga, Chisinau, Minsk, Athene en Rome versterkt.

23

Hoe zijn de FTE op de posten in Turkije thematisch en organisatorisch verdeeld?

Antwoord:

De FTE’s op de ambassade in Ankara zijn verdeeld over de politieke afdeling, die zich onder andere bezig houdt met migratie en bestrijding van terrorisme, het economisch netwerk en een aantal vakattachés op de terreinen van onder andere landbouw, politie, en defensie. Voorts is er een consulaire afdeling, die verantwoordelijk is voor het visumproces en het bijstaan van Nederlanders in Turkije.

Het consulaat-generaal in Istanboel heeft grote consulaire en economische afdelingen (inclusief Innovatie). Verder zijn daar medewerkers die zich bezig houden met pers, cultuur en mensenrechten, alsmede attachés van de Algemene Inlichtingen en Veiligheidsdienst, de Koninklijke Marechaussee en de Immigratie- en Naturalisatiedienst.

24

Kunt u toelichten waarom het percentage medewerkers van posten in de «ring» van 15% in 2014 tot maar 16% in 2018 is gestegen, terwijl deze regio wel een prioriteitsregio betrof en het totaal aantal FTE in deze periode harder gestegen is?

Antwoord:

Zoals blijkt uit figuur 4 in het rapport van de Algemene Rekenkamer is als gevolg van de bezuinigingen de bezetting in alle regio’s afgenomen, met uitzondering van de regio Sub-Sahara Afrika en Noord-Afrika en Midden-Oosten. Dit leidt slechts tot een kleine procentuele toename van het aantal medewerkers, omdat Nederland niet in alle landen van deze regio vertegenwoordigd is, en omdat deze posten met uitzondering van Marokko en Egypte doorgaans relatief bescheiden van omvang zijn. Met de intensiveringsmiddelen voor het postennet worden ambassadekantoren geopend in Niamey, Ouagadougou en Ndjamena, en wordt een aantal posten in de ring van instabiliteit verder versterkt. Het aandeel medewerkers dat in deze regio werkzaam is, zal hierdoor verder toenemen.

25

Bent u bereid te heroverwegen om betaalde economische dienstverlening te leveren aan bedrijven door het internationale postennet?

Antwoord:

Het aanbieden van betaalde economische dienstverlening aan bedrijven wordt niet overwogen. De overheid biedt gratis eerstelijns/generieke economische dienstverlening aan om de toegankelijkheid van deze dienstverlening zo groot mogelijk te houden. Voor bepaalde diensten worden wel (gedeeltelijk) kosten in rekening gebracht, zoals de handelsreizen en de marktscans. Het vragen van vergoedingen voor een uitgebreider dienstenpakket zou in de ogen van de Nederlandse overheid oneerlijke concurrentie met de markt opleveren. Voor tweede- en derdelijns dienstverlening wordt doorverwezen naar partijen in de markt.

Eerdere proeven hebben uitgewezen dat betaalde dienstverlening niet voldoende opbrengsten genereert om additionele economische dienstverlening in het buitenland mee te kunnen financieren.

26

Wordt de € 1,1 miljoen niet uitgegeven middelen voor het 24/7 Loket Buitenland van de beschikbare € 1,5 miljoen uit 2018, in 2019 extra besteed aan de intensivering van het 24/7 Loket Buitenland?

Antwoord:

De in 2018 niet uitgegeven € 1,1 miljoen zal in 2019 niet extra worden besteed aan het loket buitenland. De uitgaven voor het 24/7 Loket Buitenland komen later op gang. Dit komt met name omdat uitgaven voor infrastructuur, waaronder IT applicaties, verbindingen en redactie- en regiecapaciteit mede afhankelijk zijn van de uitkomsten van een analyse van de huidige klantvraag en het huidige dienstverleningsaanbod bij alle twaalf partnerorganisaties, alsmede een impactanalyse van wat er nodig is voor opname in het Loket Buitenland. Naar verwachting zijn deze analyses in het 3e kwartaal van 2019 gereed. In de meerjarige begroting zal op de hieruit voortvloeiende uitgaven dynamiek worden geanticipeerd.

27

Wanneer zijn de nieuwe resultaatindicatoren bekend?

Antwoord:

Op dit moment wordt gewerkt aan resultaatsindicatoren om niet alleen kwantitatief, maar ook kwalitatief aan te kunnen geven of de intensiveringen van het postennet hebben bijgedragen aan de beoogde doelen. Hiertoe wordt posten die extra FTE’s hebben gekregen gevraagd aan te geven welke extra resultaten konden worden geboekt. Uw Kamer zal hierover bij het jaarverslag 2019 worden geïnformeerd.