Vraag 1

Bent u bekend met het bericht «Coronavirus en de uitfasering van Interconnecting Leased Lines (ILL) en (WLR) ISDN 15/20/30/30CPA1»? Wat vindt u daarvan?

Ja, ik ben bekend met dit bericht. De uitfasering van de genoemde diensten en onderliggende technieken is de laatste stap in het uitfaseren van de traditionele technologieplatformen van KPN. KPN is sinds 2017 bezig met het afschakelen van deze technieken.2 Het aantal gebruikers van deze traditionele diensten neemt namelijk al jaren gestaag af door de opkomst van digitale alternatieven zoals Voice over IP, hoogwaardige IP-breedbanddiensten en gebruik van mobiele telefonie. Ook is het onderhouden van verouderde technieken en bijbehorende diensten ingewikkeld, benodigde onderdelen van de apparatuur worden schaarser en maatwerkoplossingen bij de klant om de levensduur te rekken vergroten de kans op storingen. Ik vind het een logische en goede ontwikkeling dat de overstap naar hoogwaardigere technieken gemaakt wordt. Dit is in het belang van zowel de telecomaanbieder als de eindgebruiker. Oude technieken in de lucht houden voor een sterk afgenomen aantal klanten past daar niet bij. Uitfasering van diensten die aan het einde van hun levensduur zijn is onvermijdelijk en kan ook niet tegenhouden worden. Ik vind wel dat uitfasering zorgvuldig moet gebeuren en tijdig en duidelijk moet worden aangekondigd, en dat samen met de klanten die nog gebruik maken van de betreffende dienstverlening gekeken moet worden naar een passend alternatief. Dit vraagt om tijdige actie van zowel de telecomaanbieder als de klant zelf. Zoals in het door de vraagsteller aangehaalde bericht is vermeld, heeft KPN reeds op 20 juli 2018 aangekondigd dat deze dienstverlening wordt uitgefaseerd. Tele2, die voor de dienstverlening het KPN-netwerk gebruikt, heeft evenwel gecommuniceerd niet te gaan stoppen met de IDSN-30-dienstverlening.3 Dit heeft gezorgd voor verwarring bij klanten over het al dan niet moeten migreren naar andere technieken. Dit is onwenselijk en vraagt een passende oplossing. In het antwoord op de vragen 2 t/m 4 ga ik hier nader op in.

Vraag 2

Bent u ervan op de hoogte dat voor de uitfasering van ISDN30 en andere technieken door KPN een deadline wordt gehanteerd van 1 april 2022 en dat Tele2 een deadline hanteert van 1 oktober 2021 in plaats van april 2022? Bent u ervan op de hoogte dat belangenverenigingen Federatie Veilig Nederland (waaronder particuliere alarmcentrales) & WDTM (zorgtechnologie, e-health en zorginnovatie) aangeven dat, mede door de coronapandemie, de Tele2-deadline van 1 oktober 2021 veel te krap is, en dat een aantal leden van deze twee belangenverenigingen aangeeft de migratie naar een nieuwe oplossing voor tienduizenden cliënten niet tijdig te kunnen realiseren? Hoe beoordeelt u het risico dat alarmberichten en de daarachterliggende hulpvraag na 1 oktober wellicht niet meer worden ontvangen door de zorg- en alarmcentrales?

Vraag 3

Deelt u de de mening dat het onwenselijk is dat door een niet betrouwbaar netwerk de dienstverlening van de betreffende zorg- en alarmcentrales, veiligheidsrisico’s ontstaan? Zo nee, waarom niet?

Vraag 4

Bent u bereid te kijken naar een tijdelijke oplossing waarbij de continuïteit van de dienstverlening gewaarborgd blijft, zodat de cliënten en hun naasten zich geen zorgen hoeven te maken over de stabiliteit van hun netwerk en dus hun eigen veiligheid? Welke oplossing zou dat kunnen zijn?

Vraag 5

Kunt u deze vragen zo snel mogelijk beantwoorden, in ieder geval ruim voor 1 oktober 2021?

Ja.

Vraag 1

Bent u bekend met het artikel «DNB: Amerikaanse BigTech vormt gevaar voor Europese financiële stabiliteit»?1

Ja.

Vraag 2

Deelt u de zorgen van De Nederlandsche Bank (DNB) over de groeiende rol van Amerikaanse BigTech-bedrijven als Google, Amazon, Apple en Facebook in de financiële sector?

Techbedrijven zijn meer en meer aanwezig in de financiële sector. Dit heeft positieve gevolgen, zoals meer gebruiksgemak en efficiëntere dienstenverlening voor consumenten, maar leidt ook tot risico’s. DNB identificeert een aantal van deze risico’s in het rapport «Veranderend landschap, veranderend toezicht», waaraan in het artikel wordt gerefereerd.2 Zo zijn er risico’s voor de verdienmodellen van financiële instellingen en ziet DNB een drietal concentratierisico’s op het gebied van dienstverlening, distributie en data.
Ten aanzien van het risico voor de verdienmodellen van financiële instellingen vind ik het in zijn algemeenheid goed dat financiële instellingen worden uitgedaagd door toegenomen concurrentie. Dit houdt instellingen scherp en zorgt voor meer innovatie en efficiëntie in de sector. Tegelijkertijd vind ik het verstandig dat DNB aangeeft dat het aan de hand van de in dit rapport geschetste scenario’s, instellingen stevig zal uitdagen op hun strategie en de houdbaarheid van hun verdienmodel in het licht van de digitalisering van financiële diensten. Daarnaast deel ik de observaties van DNB ten aanzien van de concentratierisico’s. Techbedrijven kunnen in zeer korte tijd een dominante positie verwerven in een bepaalde sector. Hierdoor kunnen er problemen ontstaan, bijvoorbeeld doordat instellingen en gebruikers «locked-in» raken bij het gebruik van producten van één dienstverlener als gevolg van hoge kosten en andere obstakels bij het overstappen naar een concurrent. Dit geldt ook voor de financiële sector. Hierbij spelen ook de zorgen over de marktmacht van bepaalde grote techbedrijven over verschillende sectoren heen, waardoor zij over steeds meer data beschikken en hiermee in andere sectoren hun marktpositie verder kunnen versterken.
De Autoriteit Consument en Markt (ACM) heeft vorig jaar ook onderzoek gedaan naar de invloed van BigTech in het betalingsverkeer. Hier is uw Kamer eind vorig jaar over geïnformeerd.3 De risico’s in het DNB-rapport komen overeen met de risico’s die naar voren kwamen in het onderzoek van de ACM.

Vraag 3

Ziet u ook risico’s in de opkomst van Chinese techbedrijven en een dominante positie van die bedrijven in een nieuwe financiële infrastructuur?

In China hebben grote techbedrijven als Ant Group, WeChat Pay en Tencent een sterke positie in de financiële sector. Zoals door DNB beschreven in het rapport, heeft de sterke binnenlandse positie van deze bedrijven zich echter nog niet vertaald in een grote aanwezigheid in de Europese Unie en Nederland. Voor zover zij hier wel actief zijn, richten deze partijen zich op Chinese toeristen en bieden zij momenteel niet actief diensten aan Europese ingezetenen. Daarnaast lijkt het erop dat de Chinese overheid recentelijk zelf over is gegaan tot het beteugelen van de binnenlandse macht van deze bedrijven, wat kan leiden tot een kleinere invloed van deze techbedrijven in het buitenland.
China voert momenteel een pilot uit met de digitale yuan, of e-cny. Deze pilot is alleen beschikbaar voor binnenlandse gebruikers in bepaalde regio’s in China. Het is niet bekend of de Chinese centrale bank de e-cny ook op grote schaal beschikbaar wilt maken voor buitenlandse gebruikers. In een white paper over de e-cny4 geeft de Chinese centrale bank aan dat de e-cny is ontworpen voor gebruik op de binnenlandse betaalmarkt en dat in de toekomst kan worden bezien hoe de e-cny kan aansluiten bij lopende internationale initiatieven om het internationale betalingsverkeer te verbeteren.
Het is lastig te voorspellen welke bedrijven of valuta in de toekomst een grotere rol zullen krijgen in het internationaal financieel systeem. Momenteel heeft de Amerikaanse dollar een dominante rol in het internationaal financieel systeem. Uit data van het Internationaal Monetair Fonds blijkt dat de yuan 2,45% van de wereldwijde reserve vertegenwoordigt, minder dan de Amerikaanse dollar, euro, pond en yen, en vergelijkbaar met de Canadese dollar.5 Volgens het jaarlijks rapport van de Europese Centrale Bank (ECB) over de internationale rol van de euro6 zijn ca. 50% tot 60% van de buitenlandse reserves, schuld en leningen gedenomineerd in dollar en vindt ruim 40% van de internationale betalingen plaats in dollars. Voor de euro gaat het respectievelijk om 15–25% en 35%. De ECB stelt in het rapport dat het mondiaal gebruik van valuta met name wordt gedreven door economische fundamenten zoals de economische stabiliteit, de omvang van de economie en de liquiditeit van financiële markten, en dat de uitgifte van digitaal centrale bank geld naar verwachting maar een beperkte invloed heeft op de internationale rol van valuta.

Vraag 4

Acht u het waarschijnlijk dat China middels financiële innovatie een dominante positie krijgt in het internationale financiële systeem? Kunt u hierbij ook ingaan op de digitale Yuan?

Zie antwoord vraag 3.

Vraag 5

Deelt u in dit kader de zorgen over mogelijke privacyschending, misbruik van marktmacht en het borgen van een vrij en toegankelijk financieel systeem?

De bescherming van (data)privacy van consumenten is van het grootste belang en in het geval van financiële instellingen onderdeel van een breder begrip van veiligheid en vertrouwen in de financiële sector. Alle bedrijven die in de Europese Unie diensten aanbieden, inclusief Amerikaanse en Chinese partijen, dienen zich daarom te houden aan de geldende regelgeving, waaronder wetgeving ten aanzien van privacy zoals de Algemene Verordening Gegevensbescherming (AVG). Recentelijk zijn er een aantal hoge boetes uitgedeeld aan grote techbedrijven voor het niet naleven van de AVG. De Luxemburgse privacywaakhond heeft bijvoorbeeld onlangs een boete van bijna € 750 miljoen aan Amazon uitgedeeld.7 De Autoriteit Persoonsgegevens heeft daarnaast onlangs het Chinese TikTok beboet voor het overtreden van de AVG.8
Het kabinet deelt de zorgen omtrent de mogelijke concentratie van marktmacht van grote techbedrijven in de financiële sector zoals omschreven in zowel het rapport van DNB, als het rapport van de ACM. Deze zorgen spelen overigens niet alleen in de financiële sector, maar ook in andere sectoren en markten. Sinds 2019 pleit het kabinet daarom voor toevoegingen aan het mededingingsinstrumentarium om met de marktmacht van grote techbedrijven om te kunnen gaan.9 Dit was aanleiding voor het opstellen van een gezamenlijk non-paper met Frankrijk ten aanzien van het aanpakken van te dominante marktposities van digitale platforms.10 De Nederlandse inzet heeft zijn vruchten afgeworpen; op 15 december 2020 heeft de Europese Commissie een voorstel gedaan voor de Digital Markets Act, waar in het antwoord op vraag 7 nader op in wordt gegaan.

Vraag 6

Hoe beoordeelt u de huidige samenwerking tussen financiële toezichthouders, cybersecurity-instellingen, mededingingsautoriteiten en privacywaakhonden? Welke verbeteringen zijn mogelijk en welke wetgeving moet hiervoor aangepast worden?

Het feit dat zowel de ACM, als DNB over dit specifieke onderwerp onderzoeken hebben gepubliceerd laat zien dat dit onderwerp de aandacht heeft van de toezichthouders. De conclusies die zij trekken zijn ook gelijksoortig – beide geven aan noodzaak te zien voor Europese regelgeving, meer samenwerking tussen toezichthouders en zelfs centralisatie van toezichttaken op EU-niveau.
Gezien de grootte van bepaalde techbedrijven en het feit dat zij in de gehele Europese Unie hun diensten aanbieden, vind ik het ook van groot belang dat op Unieniveau wordt gekeken naar de wijze waarop risico’s van techbedrijven voor de financiële sector kunnen worden weggenomen. In dit kader heeft de Europese Commissie een aantal nieuwe wetgevingskaders geïntroduceerd. Allereerst is het Digital Services Act-pakket gepresenteerd.11 Dit pakket bevat meerdere verordeningen om online platformen beter te reguleren. Binnen dit pakket zorgt de Digital Markets Act ervoor dat markten die door grote techbedrijven worden beheerst, competitief en eerlijk blijven. Hierin wordt ook toezicht op deze partijen geregeld, en de samenwerking tussen verschillende EU-lidstaten op dit gebied. Zoals eerder aangegeven in het BNC-fiche over dit pakket, is het kabinet positief over dit pakket.12 Het kabinet blijft zich in de onderhandelingen inzetten voor zo effectief mogelijke regulering. Zo werd recent nog een non-paper samen met Frankrijk en Duitsland gepubliceerd over het bestendigen van de Digital Markets Act.13
Ten aanzien van de financiële sector heeft de Commissie, als onderdeel van het Digital Finance-pakket, onder andere een Verordeningsvoorstel voor digitale operationele weerbaarheid in de financiële sector gepubliceerd (DORA).14 Hierin zijn onder meer regels opgenomen ter beheersing van eventuele financiële stabiliteitsrisico’s die voortkomen uit het uitbesteden van belangrijke ICT-processen aan derde dienstverleners, en is er een «oversight framework» voorgesteld waarbij de Europese Toezichthoudende Autoriteiten een mandaat krijgen om te interacteren met grote kritieke derde dienstverleners, waaronder een aantal techbedrijven. Daarnaast heeft de Commissie in de Retail Payments-strategie aangegeven dat, met het oog op de herziening van de betaaldienstenrichtlijn in 2022, onderzocht wordt of bepaalde niet-gereguleerde (technische) dienstverleners onder toezicht zouden moeten vallen, en of er noodzaak is om nieuwe regelgeving te introduceren om de toegang tot technische betaalinfrastructuren, zoals NFC-chips in telefoons, beter te regelen.15 Hierbij geeft de Commissie ook aan specifiek te gaan kijken naar de samenwerking in het toezicht in het betalingsverkeer. In reactie op het eerdergenoemde ACM-onderzoek heb ik tevens aan uw Kamer aangegeven dat er in de nationale evaluatie van de implementatie van de herziene betaaldienstenrichtlijn (PSD2) ook aandacht zal zijn voor deze aspecten. Tenslotte is er in het voorstel voor een Verordening voor markten in crypto-activa (MiCA) aandacht voor zogenaamde stablecoins, waaronder bijvoorbeeld Diem (waar Facebook bij betrokken is).16 Zoals aangegeven in de BNC-fiches over de eerdergenoemde voorstellen, is het kabinet ook positief over deze beleidsvoornemens.17

Vraag 7

Deelt u de analyse dat er een gezamenlijk beleid moet komen, waarin het toezicht op techbedrijven geregeld is? Welke stappen moeten hiervoor op nationaal en Europees niveau genomen worden?

Zie antwoord vraag 6.

Vraag 8

Staan buitenlandse techbedrijven volgens u onder voldoende financieel toezicht? Bent u het eens dat de Europese bankenautoriteit een centrale rol moet spelen bij het toezicht op partijen die buiten het financieel toezicht staan?

Zoals aangegeven in het antwoord op vraag 6 en 7, wordt er momenteel op EU-niveau gewerkt aan aanpassingen in regelgeving en toezicht. Het kabinet is, zoals beschreven in de bijbehorende BNC-fiches, voorstander van deze beleidsvoornemens, omdat het kabinet het met de Commissie eens is dat er op het gebied van operationele weerbaarheid en het betalingsverkeer een risico is dat er onvoldoende toezicht is op techbedrijven.
Het kabinet is van mening dat, waar dit een toegevoegde waarde heeft en dit effectiever en efficiënter is dan op nationaal niveau, meer financiële toezichttaken op EU-niveau belegd kunnen worden. Het hangt hierbij af van de specifieke onderliggende regelgeving en toezichttaken of dit dan bij de Europese Bankautoriteit zou moeten worden belegd, of bij één van de andere Europese Toezichthoudende Autoriteiten of de ECB.

Vraag 9

Deelt u de opvatting dat technologische innovatie ook kansen biedt voor de financiële sector? Welke nationale en Europese wet- en regelgeving staat hierbij nog in de weg? Kunt u hierbij ook ingaan op privacywetgeving?

Ik ben ook van mening dat technologische innovatie kansen biedt voor de financiële sector. Om deze reden heb ik, samen met de Staatssecretaris van Economische Zaken en Klimaat, in 2020 het FinTech-actieplan opgesteld, met daarin allerlei beleidsmaatregelen om technologische innovatie in de financiële sector op een verantwoorde wijze aan te jagen en de Nederlandse FinTechsector te helpen ontwikkelen.18 Ook de toezichthouders hebben aandacht voor technologische ontwikkeling. Via programma’s als het iForum, de Innovationhub en Maatwerk voor Innovatie werken zij samen met de sector om te kijken waar er, binnen de grenzen van de regelgeving, verder geïnnoveerd kan worden.
Voorafgaand aan het opstellen van het FinTech-actieplan heb ik onderzoek laten doen naar de Nederlandse FinTech-sector. Uit deze FinTech Census19 bleek dat Nederland goed op de kaart staat als FinTechland. Gevraagd naar welke mogelijke belemmeringen FinTechbedrijven zien, wordt met name de AVG genoemd, en in mindere mate wetgeving ten aanzien van tegengaan van witwassen en het financieren van terrorisme en het beleid ten aanzien van beloningen. Hoewel het kabinet begrijpt dat deze regels als belemmerend ervaren kunnen worden als het gaat om innovatie, gaat het hier om onderwerpen die dermate belangrijk zijn voor de maatschappij dat het belang van innovatie hieraan nevengeschikt kan zijn.

Vraag 10

Hoe kijkt u aan tegen de houdbaarheid van het huidige verdienmodel van banken? Deelt u de analyse dat banken drastisch moeten innoveren om te overleven?

Ik vind een weerbaar verdienmodel voor banken van belang. Onder meer omdat dit noodzakelijk is voor de opbouw van buffers, waarmee banken tegen een stoot kunnen in slechtere tijden. Dit komt ook de soliditeit van het financieel stelsel als geheel ten goede. De markt voor bancaire activiteiten wordt echter uitdagender. Nederlandse banken zijn voor een groot deel van hun inkomsten afhankelijk van de rente-inkomsten. DNB geeft in het jaarverslag over 202020 aan dat het voor banken een forse uitdaging is om lagere rente-inkomsten te compenseren.
Onder meer door de lage rente staan de rente-inkomsten van banken onder druk. Banken lenen namelijk zowel geld in als uit: zij streven ernaar om daarbij hun rentemarge, het tariefverschil tussen in- en uitleenrentes, op peil te houden. Door de lage rente is het voor banken lastig om die daling volledig door te rekenen in hun depositotarieven, omdat deze dan negatief zouden worden. Vooral banken die sterk afhankelijk zijn van hun rentemarge zullen dit voelen in hun winsten. Die banken zullen dan mogelijk op zoek gaan naar andere inkomstenbronnen of moeten kosten gaan besparen. Innovatie kan hierbij een belangrijke rol spelen.

Vraag 11

Kunt u een appreciatie geven op het rapport van DNB «Veranderend landschap, veranderend toezicht. Ontwikkelingen in de relatie tussen BigTechs en financiële instellingen»?2 Kunt u daarbij specifiek ingaan op de vier scenario’s die geschetst worden voor de relatie tussen BigTechs en financiële instellingen?

Het rapport van DNB biedt een nuttig denkkader voor de implicaties van de toenemende rol van techbedrijven op de Nederlandse bank- en verzekeringsmarkt en voor het toezicht op de financiële sector. Hoewel in de Europese financiële sector techbedrijven wortel hebben geschoten in met name het cloudgebruik en bij het mobiel betalen, laat het rapport zien dat in andere jurisdicties de reikwijdte van techbedrijven in de financiële sector al groter is.
Het rapport geeft aan de hand van een viertal scenario’s inzicht in de ontwikkelingen die ons mogelijk te wachten staan. Het rapport laat zien dat alle scenario’s kansen en risico’s met zich meebrengen. Mijn inschatting is dat scenario 4 («traditional finance») het meest aansluit bij de huidige situatie. De winstgevendheid van banken en verzekeraars staat onder druk en de innovatie is in Europa nog relatief beperkt, zoals ik hiervoor al constateerde.
De ordening van de financiële sector wordt in sterke mate gestuurd door regulering. Er zijn grote publieke belangen die geborgd moeten worden, zoals financiële stabiliteit, consumentenbescherming en privacy. Het is aan wetgevers en toezichthouders om er ook bij een veranderend landschap voor te zorgen dat deze publieke belangen geborgd blijven. Vanuit publieke belangen geredeneerd, zowel vanuit het perspectief van dienstverlening naar klanten, als voor de financiële stabiliteit, is meer dynamiek wenselijk, mits onder de juiste randvoorwaarden. Techbedrijven kunnen een leidende rol innemen om te zorgen voor die dynamiek (conform scenario 3), maar die kan ook uit de financiële sector zelf komen (conform scenario 1), of een combinatie van beiden (conform scenario 2). Afhankelijk van de keuzes die zowel de financiële sector als techbedrijven op dit vlak maken, zal ik, in samenwerking met de toezichthouders en gesteund door de initiatieven in Europees verband, mij inzetten om potentiële negatieve gevolgen die met de verschillende scenario’s gepaard gaan te mitigeren.

Vraag 1

Kent u het bericht van de NOS van 23 juni jl.?1 Aan welke eisen moeten alle apps van de overheid precies voldoen volgens de toegankelijkheidsverklaring?

Ja, ik ben bekend met het bericht van de NOS van 23 juni jl.
De eisen zijn vastgelegd in de Europese Norm (EN) 301 549. In de laatste versie 3.2.1 van deze norm worden de eisen voor mobiele applicaties («apps») beschreven in hoofdstuk 11 Software.2

Vraag 2

Erkent u het belang van digitale toegankelijkheid voor mensen met een beperking?

Ja, ik vind het belangrijk dat iedereen, dus ook mensen met een beperking, (overheids)websites en (overheids)apps moet kunnen raadplegen die toegankelijk zijn. Dat iedereen moet kunnen meedoen, ook in de digitale samenleving, is een speerpunt geweest van mijn beleid van de afgelopen jaren3. Het verbeteren van de digitale toegankelijkheid is daar een belangrijk onderdeel van.

Vraag 3

Kunt u aangeven hoeveel apps van de overheid toegankelijk zijn, dan wel een toegankelijkheidsverklaring hebben? Welke apps zijn dit?

Op basis van de Europese webtoegankelijkheidsrichtlijn 2016/2102 zijn overheden sinds 23 juni 2021 wettelijk verplicht om voor hun mobiele applicaties (apps):
Op 23 juni waren in totaal 108 toegankelijkheidsverklaringen voor apps gepubliceerd. Elke app heeft een nalevingsstatus.
De aantallen per nalevingsstatus op 24 juni, 9:40 uur:
voldoet volledig
1
voldoet gedeeltelijk
22
eerste maatregelen genomen
27
voldoet niet
58
Bijlage 14 bevat een gedetailleerde beschrijving van de betekenis van de nalevingsstatussen en de gevraagde lijst met apps.

Vraag 4

Wat gaat u doen om de digitale toegankelijkheid te verbeteren?

Medeoverheden en overheidsorganisaties zijn zelf verantwoordelijk voor het toegankelijker maken van hun websites en apps. Daarmee ligt de verantwoordelijkheid waar die hoort: bij de eigenaar. Mijn ministerie biedt, via het expertisecentrum DigiToegankelijk van Logius, hulpmiddelen, advies en ondersteuning.
Met een subsidie aan de VNG is begin dit jaar een bestuurlijk aanjaagteam geformeerd dat het belang van digitale toegankelijkheid onder de aandacht brengt bij gemeentebestuurders en bij marktpartijen (de leveranciers waar gemeenten deze software inkopen). Daarnaast ondersteunt het aanjaagteam de gemeenten ook bij de uitvoering in het toegankelijk maken van websites en apps. Een ander aanjaagteam benadert in opdracht van DigiToegankelijk de overige overheden.
Overheden zijn verplicht om gestandaardiseerde toegankelijkheidsverklaringen te publiceren. Daarmee wordt inzichtelijk hoe ze presteren op het gebied van digitale toegankelijkheid. Bestuursorganen met een toezichthoudend mandaat, waaronder gemeente- en waterschapsraden en provinciale staten, kunnen deze verklaringen gebruiken om invulling te geven aan hun toezichtrol. In het wetsvoorstel digitale overheid wordt het toezicht op de naleving formeel geregeld.

Vraag 5

Kunt u toezeggen dat alle nieuwe overheidsapps voldoen aan de toegankelijkheidseisen zodat overheidsapps beschikbaar en toegankelijk zijn voor iedereen?

Uiteraard ga ik door met het stimuleren dat alle overheden werk blijven maken van de toegankelijkheid van hun websites en apps en dat zij daarover verantwoording blijven afleggen.

Vraag 1

Bent u bekend met het feit dat Russische hackers toegang hadden tot de politiesystemen door een hack?1

Ik heb kennisgenomen van de berichtgeving door de Volkskrant. Het is algemeen bekend dat (buitenlandse) statelijke actoren voortdurend proberen bij (overheids)organisaties binnen te dringen om toegang te krijgen tot organisatiegeheimen of gerubriceerde (staatsgeheime) informatie.
Het is geen geheim dat Nederland en andere Westerse landen in het vizier staan van onder meer Russische en Chinese inlichtingendiensten. Alle betrokken organisaties zijn zich bewust van de digitale dreigingen. Vanwege staatsveiligheid kan ik geen uitspraken doen over de specifieke maatregelen die de onder mij ressorterende diensten treffen.
Voor zover uw vragen zien op concrete incidenten met statelijke actoren zoals die in de berichtgeving van de Volkskrant worden beschreven, kan ik op deze vragen geen antwoord geven.

Vraag 2

Wat vindt u van de uitspraak dat de politiesystemen voor de hack slecht beveiligd waren?

Zie antwoord vraag 1.

Vraag 3

Hoe kan het zijn dat de politiesystemen zo slecht beveiligd waren?

Zie antwoord vraag 1.

Vraag 4

Waarom monitorde de politie niet structureel of de systemen veilig waren?

Zie antwoord vraag 1.

Vraag 5

Onderzoekt de regering structureel of de digitale beveiligingsystemen op orde zijn? Zo nee, waarom niet en bent u hiertoe bereid? Zo ja, zijn er meer overheidssystemen die slecht beveiligd zijn? Zo ja, welke?

Overheidsorganisaties zijn gehouden aan de Baseline Informatiebeveiliging Overheid (BIO). In de BIO worden eisen gesteld aan het beoordelen van de technische naleving van beveiligingsbeleid en -normen. Door middel van kwetsbaarheidsanalyses, pentesten of ethische hackoperaties (Red Teaming) wordt de feitelijke veiligheid van kritische systemen en netwerken regelmatig beproefd.
Daarnaast is door CISO Rijk in samenwerking met een groep experts binnen de rijksoverheid en de departementen een handreiking opgesteld en vastgesteld voor het inrichten van een doorlopende kwetsbaarhedenscan bij rijksoverheidsorganisaties. Dit wordt waar nodig ondersteund met praktische tooling.

Vraag 6

Wat vindt u van de keuze van de politie om de Russen er eerst uit te jagen, gelet op het feit dat we niet weten waar de Russen naar op zoek waren?

Zie antwoord vraag 1.

Vraag 7

Klopt het dat Russische hackers ook toegang hebben proberen te krijgen tot de digitale systemen van het Openbaar Ministerie (OM)? Zo ja, is dit gelukt?

Zie antwoord vraag 1.

Vraag 8

Klopt het dat de politie zelf controle houdt over het oplossen van de hack en dat daarom kostbare tijd verspild is?

Zie antwoord vraag 1.

Vraag 9

Klopt het dat het aandringen van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) tot snelle beveiligingsmaatregelen bij de politie tot frictie leidde?

Er is geen sprake van frictie tussen de politie en veiligheidsdiensten, de samenwerking verloopt goed.
Net als iedere andere organisatie binnen het veiligheidsdomein, neemt ook de politie zowel organisatorische als technische maatregelen om blijvend te anticiperen op de veranderende dreigingen in de buitenwereld. Zoals in de bijlage bij het recent verstuurde Halfjaarbericht Politie staat, investeert de politie in de verbetering van detectie- en incidentenrespons2.
Er wordt onafgebroken geïnvesteerd in het steeds beter en sneller te kunnen omgaan met (pogingen tot) hacks. Zo heeft de implementatie van EDR (Endpoint Detection & Response) het afgelopen jaar een significante bijdrage geleverd aan de digitale veiligheid van de politie.

Vraag 10

Is er vaker frictie tussen de politie en veiligheidsdiensten?

Zie antwoord vraag 9.

Vraag 11

Wat doet u eraan om deze frictie op te lossen, zodat er in de toekomst sneller gehandeld kan worden bij hacks?

Zie antwoord vraag 9.

Vraag 12

Klopt het dat niet alle voorgestelde beveiligingsvoorstellen zijn ingevoerd door de politie?

Zoals u zult begrijpen kan ik om veiligheidsredenen in het openbaar geen antwoord geven op deze vragen.

Vraag 13

Welke beveiligingsmaatregelen zijn nog niet ingevoerd bij de politie?

Zie antwoord vraag 12.

Vraag 14

Wat is het gevolg van het nog niet invoeren van beveiligingsmaatregelen op de digitale weerbaarheid van de politie?

Zie antwoord vraag 12.

Vraag 15

Zijn de belangrijkste data van de politie nu wel veilig? Zo nee, welke data zijn niet veilig en wat doet u eraan om dit zo snel mogelijk op te lossen?

Geen enkele organisatie kan zich voor 100% wapenen tegen hacks of andere ongeoorloofde toegang tot systemen. Door een combinatie van verschillende maatregelen, van geavanceerde beveiligingsoplossingen tot personeel dat getraind is in en bekend is met technieken voor social engineering, wordt het beveiligingsniveau zo hoog mogelijk gehouden. Hierop wordt dan ook voortdurend ingezet door de politie.
De politieorganisatie heeft gezien de aard van de organisatie te maken met zogeheten Advanced Persistent Threats (APT). APT is een verzamelnaam voor dreiging door een groep aanvallers die niet alleen over geavanceerde technische middelen en voldoende geld beschikt, maar ook een sterke motivatie heeft om organisatiegeheimen of gerubriceerde (staatsgeheime) informatie te bemachtigen. Er zijn specifieke kenmerken (de Indicators Of Compromise, IOC) te onderscheiden van een aanval vanuit Advanced Persistent Threats. Deze IOC’s worden voortdurend vertaald naar detectie- en monitoringoplossingen zoals het optimaliseren van een Security Information & Event Management Systeem (SIEM).
Digitale kwetsbaarheid en hackpogingen om misbruik van te maken van die kwetsbaarheid nemen overal toe en de impact van hack- en ransomware aanvallen wordt steeds zichtbaarder. Met het Programma Cyber Security richt de politie zich op het digitaal weerbaarder maken van de politieorganisatie door onder andere extra beveiligingsmaatregelen te implementeren en bewustwording over de digitale dreigingen te vergroten. Daarbij wordt bijvoorbeeld geïnvesteerd in de verbetering van detectie- en incidentrespons.

Vraag 16

Bent u bereid om structureel ethische hackers in te zetten om te zoeken naar gaten in de digitale systemen?

Binnen de politie worden – net als bij vrijwel alle overheidsorganisaties – ethische hackers ingezet. Dit wordt gedaan in de vorm van Red Teaming. Red Teaming zorgt voor een analyse van zwakke plekken en kwetsbaarheden in (hoog-risico) organisaties vanuit het perspectief van de opponent. Het geeft inzicht in de werkwijze van de tegenstander en in het beveiligingsniveau van de organisatie. Met dit inzicht kunnen op strategisch-, tactisch- en operationeel niveau beleidsbeslissingen worden aangescherpt en kan de veiligheid binnen de organisatie verder worden vergroot.

Vraag 1

Bent u bekend met het bericht «ISIDOOR 2021: NCTV en NCSC organiseren grootste cybercrisisoefening ooit»?1

Ja.

Vraag 2

Is ISIDOOR 2021 naar uw mening succesvol verlopen? Kunt u uw mening toelichten?

Ja, ISIDOOR is naar mijn mening succesvol verlopen. Als verantwoordelijk Minister voor deze oefening kijk ik terug op succesvolle oefendagen mede dankzij de inzet van alle deelnemende organisaties. Tijdens ISIDOOR 2021 stond de beoefening van het Nationaal Crisisplan Digitaal centraal en de vele eigen crisisprocedures van de deelnemende organisaties. Het beoefenen van de onderlinge samenhang en samenwerking op basis van deze procedures maakte de oefening waardevol. De preparatie van de oefening heeft daarnaast ook praktische inzichten opgeleverd voor deelnemende organisaties, doordat in deze fase de rol- en taakverdelingen, de crisisstructuren en procedures tegen het licht werden gehouden.
Bij het samenstellen van het scenario, maar ook in de voorbereiding van de deelnemers via masterclasses, is expliciet rekening gehouden met zowel fysieke als digitale effecten. Voor een digitale crisis geldt immers dat die ook fysieke gevolgen kan hebben met een grote maatschappelijke impact. ISIDOOR heeft mede daardoor bijgedragen aan een betere voorbereiding indien zich daadwerkelijk een digitaal incident met ook fysieke gevolgen voordoet.

Vraag 3

Hoe is de selectie van deelnemers van ISIDOOR 2021 tot stand gekomen? Welke criteria zijn hierbij gebruikt? Wat was de verhouding vitaal/niet-vitaal?

Om tot de deelnemerslijst te komen is allereerst door de departementale projectorganisatie, bestaande uit NCSC en NCTV, een uitvraag gedaan via het zogeheten ISAC-netwerk. Daarin zijn publieke en private organisaties in verschillende sectoren vertegenwoordigd. Vervolgens zijn ook verschillende interdepartementale gremia geattendeerd op de oefening. Zodoende is een lijst van vrijwillige aanmeldingen tot stand gekomen op basis waarvan de definitieve lijst is samengesteld. Deelnemende organisaties waren overwegend organisaties binnen de vitale infrastructuur, onderdelen van de rijksoverheid, veiligheidsregio’s en partijen binnen het Landelijk Dekkend Stelsel van Cybersecurity samenwerkingsverbanden. Ook deed een aantal andere samenwerkingsverbanden mee en was het lokale en regionale perspectief in de oefening vertegenwoordigd. De volledigheid van de deelnemerslijst is in interdepartementaal overleg afgestemd. Het belangrijkste criterium voor deelname was de overweging of een organisatie een voorname rol heeft tijdens de aanpak van een nationale crisis, mede gebaseerd op het Nationaal Crisisplan Digitaal en het Nationaal Handboek Crisisbesluitvorming.

Vraag 4

Hoe hebben de deelnemers van ISIDOOR 2021 de oefening ervaren? Komt er een brede evaluatie onder alle deelnemers? Zo ja, op welke termijn en kunt u deze met de Kamer delen? Zo nee, waarom niet?

Uiteraard kan ik niet voor de deelnemende organisaties spreken, echter het overheersende beeld is dat er tevreden wordt teruggekeken op de oefening. Het scenario van deze derde (en grootste) editie van ISIDOOR was realistischer dan ooit omdat veel deelnemende organisaties ook via hun oefenleiding betrokken waren bij het bedenken van het scenario. Zo konden zij het hoofdscenario vertalen naar hun eigen achterban en de voor hen relevante oefendoelen uitwerken in het scenario.
Door het Instituut voor Veiligheids- en Crisismanagement (COT) wordt een overkoepelend evaluatierapport geschreven, dat zich richt op de oefendoelen van ISIDOOR 2021. Evalueren is expliciet onderdeel van het programma van ISIDOOR 2021. Er wordt daarom op zowel operationeel technisch niveau als op bestuurlijk niveau geëvalueerd. De overkoepelende evaluatie van het COT verwacht ik na de zomer met uw Kamer te kunnen delen. Ik roep daarnaast alle betrokken organisaties op om ISIDOOR zelf ook te evalueren, zodat de lessen voor de eigen organisaties gesignaleerd worden. Het is immers ook primair de verantwoordelijkheid van alle deelnemende organisaties zelf om de eigen deelname en processen te evalueren.
Zoals recent gemeld aan uw kamer worden de lessen van ISIDOOR 2021 meegenomen bij de actualisering van het Nationaal Crisisplan Digitaal en de doorontwikkeling van dit plan naar een landelijk crisisplan.2

Vraag 5

Bent u het ermee eens dat structureel oefenen met cybercrises van essentieel belang is voor (vitale) organisaties om hun cyberveiligheid te vergroten en om digitale ontwrichting te voorkomen? Zo ja, hoe staat het met de uitvoering van de motie-Weverling (Kamerstuk 24 095, nr. 496)? Hoe verhoudt ISIDOOR 2021 zich tot een structureel oefenprogramma conform de motie-Weverling? Met welke frequentie gaan dit soort oefeningen in de toekomst plaatsvinden?

Ja, gezamenlijk oefenen is van essentieel belang om goed voorbereid te zijn op een cybercrisis. Dat is door het kabinet ook benadrukt in de kabinetsreactie op het rapport van de Wetenschappelijke Raad voor het Regeringsbeleid (WRR) «Voorbereiden op digitale ontwrichting»3. U noemt in dat kader ook naar de motie-Weverling. Daarover kan ik melden dat ISIDOOR 2021 deel uitmaakt van het oefen- en testprogramma dat is uitgewerkt naar aanleiding van de motie-Weverling en het versterkingsprogramma op de Nederlandse Cybersecurity Agenda (NCSA). Ik verwijs u ten aanzien van de uitwerking en de voorgang van het oefen- en testprogramma naar de beantwoording, in mijn brief van 25 mei 2020, van Kamervragen tijdens het Schriftelijk Overleg Cybersecurity. In de beantwoording ben ik in gegaan op de uitwerking van dit programma via de inzet op de verschillende sporen op oefenen4. Een nadere uitwerking en eerste voortgang is terug te vinden in de NCSA voortgangsrapportage 2020 die als bijlage is meegezonden per brief van 29 juni 20205. Een eerstvolgende voortgang hiervan is opgenomen in de voortgangsbrief van de Nederlandse Cybersecurity Agenda die op 28 juni jl. naar uw Kamer is verzonden6.
Ik zal het volgende kabinet adviseren om op basis van de evaluatie van ISIDOOR te kijken naar een juiste frequentie van deze oefening. ISIDOOR is een zeer complexe oefening waarvoor meerjarig veel capaciteit en voorbereidingstijd nodig is, maar het belang om te oefenen om goed voorbereid te zijn indien er toch iets mis gaat is evident. Ik moedig een volgende editie daarom van harte aan en in de tussentijd zet ik via de eerdergenoemde oefensporen in op oefenen.

Vraag 1

Bent u bekend met het artikel in ScienceGuide «AIVD: hoger onderwijs is zich totaal niet bewust van digitale dreiging»1 over uitspraken van de heer Akerboom tijdens de technische briefing van de AIVD aan de Vaste Commissie voor Binnenlandse Zaken ten aanzien van het gebrek aan bestuurlijke aandacht voor digitale veiligheid bij hogescholen en universiteiten?

Ja

Vraag 2

Hoe kijkt u aan tegen de uitspraak van de heer Akerboom dat kennisinstellingen in het hoger beroepsonderwijs en wetenschappelijk onderwijs niet zijn doordrongen van de dreiging van cyberaanvallen van statelijke actoren? Bent u het eens met de heer Akerboom dat het bewustzijn hierover bij universiteiten en hogescholen nog te laag is? Zo ja, wat gaat u hieraan doen? Zo nee, waarom niet?

Ik ben op het gebied van kennisveiligheid en cyberveiligheid in gesprek met kennisinstellingen, de koepels en ook met het Nationaal Cyber Security Centrum (NCSC). Deze instellingen heb ik ook betrokken bij de laatste Kamerbrief over cyberveiligheid, die ik op 19 mei 20212 naar uw Kamer heb gestuurd.
Mijn indruk is dat de instellingen zich bewust zijn van de dreiging van cyberaanvallen, of deze dreiging nu van statelijke actoren of van hackersgroepen afkomstig is. Ik ben het met de heer Akerboom eens dat de veiligheid van onze instellingen verder moet worden verhoogd. Het is duidelijk dat deze bewustwording nodig is in alle lagen van de organisaties en vertaald dient te worden in maatregelen gericht op het tegengaan van dreigingen. De hoger onderwijsinstellingen zijn hier dan ook actief mee bezig en ik zal de voortgang van de instellingen blijven volgen, zoals ik in de Kamerbrief heb aangekondigd. Daarbij realiseer ik mij dat cyberveiligheid een gezamenlijke verantwoordelijkheid is van zowel de instellingen als de overheid. Belangrijk hierbij is dat de cyberveiligheid van instellingen expliciet wordt meegenomen in de reguliere bestuurlijke gesprekken die mijn ministerie met de instellingen en de koepels voert. Deze periodieke gesprekken over cyberveiligheid bevorderen het internaliseren van cyberveiligheidsmaatregelen in de bedrijfsvoering van de gehele sector.
In die Kamerbrief heb ik ook beschreven welke concrete maatregelen de hoger onderwijs- en kennisinstellingen nemen om hun digitale veiligheid te verhogen. Dit doen zij bijvoorbeeld door monitoringssystemen, maar ook door het vergroten van bewustwording en trainingen. Een knooppunt in de aanpak van cyberdreigingen is het SURF Computer Emergency Response Team (SURFcert), dat 24/7 ondersteuning biedt bij cyberincidenten en in direct contact staat met het NCSC. Daarnaast is er, op initiatief van de hoger onderwijsinstellingen, een Security Operations Center (SURFsoc) gerealiseerd bij SURF. Een belangrijk onderdeel van het SOC is de 24/7 monitoring van netwerken en de signalering van dreigingen bij deelnemende instellingen. De continue monitoring helpt instellingen enorm met het versterken van de informatiebeveiliging, omdat er constant informatie wordt verzameld die bij mogelijke dreigingen snel sector breed wordt gedeeld. De toetreding van instellingen tot de SURFsoc zal nu gefaseerd plaatsvinden, door de technische en contractuele voorbereidingen die per instelling moeten worden getroffen.

Vraag 3

Hoe verhouden de uitspraken van de heer Akerboom zich met uw uitspraken in de kamerbrief2 van 19 mei 2021 waarin u stelt dat «cyberveiligheid bij de hoger onderwijs- en onderzoekinstellingen hoog op de agenda staat»? Baseert u deze veronderstelling enkel op gesprekken met kennis- en onderzoeksinstellingen of heeft u hier zelf ook actief onderzoek naar gedaan? Hoe verklaart u de uitspraak van de heer Akerboom dat er bij hogescholen en universiteiten onvoldoende bestuurlijke aandacht is voor digitale veiligheid?

De directeur-generaal van de AIVD, heeft in de technische briefing over de WIV d.d. 2 juni 2021 gepleit voor een breed cyberoffensief, te beginnen met een betere awareness en actie in eigen huis. Zijn uitspraken in de technische briefing over cyberveiligheid betroffen kennisinstellingen, het bedrijfsleven en de overheid.Zowel bij kennisinstellingen, overheden als bedrijfsleven bestaat aandacht voor (cyber)veiligheid, maar actie en bewustzijn is volgens de directeur-generaal nodig in alle lagen van de betrokken organisaties. Zoals ik ook bij vraag 2 meldde, ben ik het met hem eens dat de digitale veiligheid van de instellingen verder kan worden vergroot. Ik heb daarom de instellingen eerder al opgeroepen om hun veiligheidsbeleid in hun jaarverslagen op te nemen wanneer dit nog niet het geval is, dit onderwerp structureel met hun Raden van Toezicht te bespreken en een meerjarenvisie op dit terrein te presenteren. De genomen maatregelen (zie vraag 2 en de Kamerbrief) laten wat mij betreft zien dat de instellingen de cyberveiligheid serieus nemen. Het bereiken van 100% veiligheid is helaas onmogelijk, er zal altijd een risico op cyber- en kennisveiligheidsincidenten blijven bestaan.

Vraag 4

In hoeverre hebben kennisinstellingen oog voor ogenschijnlijk «onschuldige» incidenten, zoals de cyberaanvallen bij de Universiteit van Amsterdam en de Hogeschool van Amsterdam van afgelopen februari, die mogelijkerwijs grotere gevolgen kunnen hebben? Zoals een opmaat tot cyberaanvallen met meer impact?

Ik denk dat, wanneer het gaat om de preventie van cyberaanvallen, er niet gesproken kan worden over «ogenschijnlijk onschuldige incidenten». Uiteindelijk kan de aangerichte schade wel verschillen, maar de preventiebenadering is dezelfde. De schade van deze «onschuldige» incidenten is juist beperkt gebleven doordat de kennisinstellingen goed samenwerken en kennis over de cyberaanvallen binnen hun netwerk snel met elkaar delen. Dat doen zij zowel bij zwaardere als bij lichtere incidenten, want er wordt door SURF 24/7 gemonitord en ondersteuning geboden. Bij dit incident speelde ook de vroege detectie door het Security Operations Centre (SOC) en ingrijpen door het Computer Emergency Response Team (CERT) een belangrijke rol in het inperken van de impact.

Vraag 5

Erkent u, naast de dreiging van ransomware aanvallen, de dreiging vanuit statelijke actoren als het gaat om spionage, met name gericht op het verkrijgen van hightech kennis en informatie, en sabotage? Zo ja, welke gerichte stappen gaat u nemen naar aanleiding van dit signaal van de AIVD om de bestuurlijke aandacht voor digitale veiligheid te vergroten? Zo nee, waarom niet?

In een eerdere brief4 over kennisveiligheid schreef ik dat het verwerven van (hoogwaardige) kennis voor diverse statelijke actoren tot hun strategische doelstellingen behoort. Ik heb in die brief ook verschillende maatregelen benoemd om de kennisveiligheid in het hoger onderwijs en de (toegepaste) wetenschap beter te borgen, welke momenteel worden uitgevoerd. Zo komt er dit jaar nog een specifieke «leidraad» voor kennisveiligheid beschikbaar, die de rijksoverheid samen met de kennissector ontwikkelt. Ook worden er bestuurlijke afspraken gemaakt met de kennisinstellingen waarin de aandacht ook naar digitale veiligheid zal uitgaan. Bovendien wordt een Expertise- en adviesloket Kennisveiligheid opgezet om kennisinstellingen te ondersteunen bij de afwegingen die zij vanuit hun verantwoordelijkheid maken. In dit kader hebben de Nederlandse universiteiten al een belangrijke stap gezet door op 8 juli het Kader Kennisveiligheid te presenteren. Door dit kader kunnen wetenschappers en universiteiten nog scherper de afweging maken tussen de openheid van wetenschap en het voorkomen van ongewenste kennisoverdracht.
Naast de eerder genoemde maatregelen die instellingen nemen om hun digitale veiligheid te vergroten, heb ik zoals ik ook aangaf in het antwoord op vraag 4 en de Kamerbrief «Cyberveiligheid in het hoger onderwijsveld en onderzoeksveld», de instellingen opgeroepen om hun veiligheidsbeleid in hun jaarverslagen op te nemen, dit onderwerp structureel met hun Raden van Toezicht te bespreken en een meerjarenvisie op dit terrein te presenteren. De rol van bestuurders hierbij is evident, zo ook het belang van een integrale veiligheidsaanpak in het onderwijs-en onderzoeksveld.

Vraag 6

Bent u het ermee eens dat de activiteiten van statelijke actoren een hogere prioriteit moeten krijgen als het gaat om de (digitale) beveiliging van onze kennisinstellingen? Zo ja, hoe gaat u dit concreet oppakken in samenwerking met universiteiten, hogescholen en de AIVD? Zo nee, waarom niet?

De maatregelen die ik heb benoemd bij het antwoord op vraag 5 laten zien dat de rijksoverheid en de kennisinstellingen momenteel al intensief samenwerken om kennisveiligheid in het hoger onderwijs en bij de kennisinstellingen te verhogen. Ik zal uw Kamer in het najaar van 2021 opnieuw informeren over de voortgang die er op het gebied van kennisveiligheid wordt geboekt.

Vraag 1

Bent u bekend met het nieuwsbericht «Tientallen websites overheid voldoen niet aan veiligheidsrichtlijnen» van de NOS?1

Ja

Vraag 2

Wat vindt u van het feit dat tientallen websites van de overheid, waaronder websites van de Belastingdienst, GGD’s, veiligheidsregio's en waterschappen, niet voldoen aan de richtlijnen voor digitale beveiliging?

Voor de beveiliging van websites bij de overheid hanteren overheden bij het Rijk, provincies, waterschappen en gemeenten een basisnormenkader voor informatiebeveiliging. Het basisnormenkader is de Baseline Informatiebeveiliging Overheid (BIO)2, die sinds januari 2019 van kracht is. De BIO stelt (in deel 1) dat voorafgaand aan het gebruik van een informatiesysteem een risicoafweging dient te worden gemaakt die vervolgens richtinggevend is voor het treffen van beveiligingsmaatregelen. Proportionaliteit is daarbij het uitgangspunt. Met andere woorden: gaat het om zeer vertrouwelijke informatie, dan worden andere afwegingen gemaakt dan wanneer het om openbare informatie gaat waarvan de beschikbaarheid belangrijk is.
Het Nationaal Cybersecurity Centrum (NCSC) publiceert regelmatig adviezen in de vorm van richtlijnen. Ik ben hiermee bekend. Specifiek met betrekking tot deze zaak is dat de richtlijn «ICT beveiligingsrichtlijnen voor webapplicaties».3 Voor de overheid kan deze richtlijn worden beschouwd als een nadere detaillering van de BIO voor het onderdeel webapplicaties.
Uiteindelijk is het resultaat dat een samenhangend pakket van maatregelen wordt vastgesteld en toegepast. Welke dat zijn, zal per geval verschillen. Dat is overigens niet vrijblijvend: over de staat van informatieveiligheid leggen de verschillende overheidsorganen verantwoording af aan hun controlerende organen, zoals Gemeenteraad, provinciale staten, etc.
Kortom, het is aan overheidsorganisaties om door het treffen van de verplichte maatregelen uit de BIO en aanvullende maatregelen, voortvloeiend uit een risicoafweging te bepalen hoe Wordpress veilig kan worden ingezet.

Vraag 3

Erkent u dat de overheid tekort heeft geschoten in het treffen van digitale beveiligingsmaatregelen tegen eventuele hackers?

Dat beeld deel ik niet, zie ook het antwoord onder vraag 2.

Vraag 4

Deelt u de mening dat de burgers erop zouden moeten kunnen vertrouwen dat overheden als de Belastingdienst, GGD's, veiligheidsregio's en waterschappen, vertrouwelijk en verantwoord met gevoelige gegevens omspringen? Zo nee, waarom niet?

Ik deel volledig uw mening dat de overheid vertrouwelijk en verantwoord met gevoelige gegevens moet omgaan. Burgers moeten ervan uit kunnen gaan dat de overheid zorgvuldig omgaat met hun gegevens.

Vraag 5

Deelt u de mening dat een overheidsorgaan pas aan (gevoelige) persoonsgegevensverzameling zou mogen doen als het de risico’s voor de beveiliging van de informatie in kaart heeft gebracht en de digitale beveiliging afdoende is? Zo nee, waarom niet?

Ja.

Vraag 6

Bent u bekend met het feit dat het National Cyber Security Centrum (NCSC) als sinds 2014 waarschuwt voor 36 veiligheidsrisico's van Wordpress en dat desondanks 165 openbare overheidswebsites op Wordpress draaien? Wat is met deze waarschuwingen gedaan?

Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is bekend met de meldingen van het NCSC. Bij de overheid worden de meldingen van het NCSC nauwlettend in de gaten gehouden door afzonderlijke overheidsorganisaties. De BIO stelt eisen aan het toepassen van (beveiligings)patches voor ernstige kwetsbaarheden in hard- en software. Overheidsorganisaties zijn zelf verantwoordelijk voor het toepassen van deze eisen. Bovendien zijn kwetsbaarheidswaarschuwingen aan de orde van de dag en worden die voor veel systemen gestuurd. Ik heb niet het beeld dat de hoeveelheid bekende kwetsbaarheden een exacte maatstaf is om de veiligheid van een product te beoordelen. Er spelen ook andere factoren mee zoals de aard, omvang en frequentie van onderzoeken naar een product.

Vraag 7

Bent u bekend met het feit dat ook de website van de Informatiebeveiligingsdienst (IBD), dat gemeenten helpt bij cyberincidenten, draait op Wordpress? Wat vindt u hiervan?

Het is bekend bij het Ministerie van BZK dat de publieke website van de IBD, het Computer Emergency Response Team (CERT) van de Nederlandse gemeenten, draait op Wordpress. Voor de volledigheid meldt de Vereniging van Nederlandse Gemeenten (VNG) het Ministerie van BZK dat de beheeromgeving van deze website niet publiek is. De website van de IBD voldoet aan de eisen die de BIO daaraan stelt. De publieke website van de IBD ontsluit openbare informatie. Voor informatie met een hoger beschermingsniveau gebruikt de IBD andere middelen. Dit doet de IBD op basis van een uitgevoerde risicoanalyse, zoals ook de BIO voorschrijft. Verder voert de IBD periodiek penetratietesten uit op haar systemen, waaronder de website en op basis van de resultaten treft de IBD waar nodig maatregelen. Ik zie daarom geen bezwaar tegen het gebruik van individuele softwarepakketten, zoals Wordpress, als risicoafwegingen zijn gemaakt en maatregelen zijn getroffen.

Vraag 8

Bent u bekend met het feit dat de richtlijnen van het NCSC adviseren om de openbare pagina en de plek waar beheerders in kunnen loggen strikt van elkaar te scheiden? Wat gaat u hiermee doen?

Zie antwoord vraag 2.

Vraag 9

Bent u bereid om zo snel mogelijk de in de media genoemde overheidssites te laten voldoen aan de veiligheidseisen?

Gezien mijn beantwoording onder de gestelde vragen onder 2 t/m 8 is dat niet aan de orde. Het is de verantwoordelijkheid van elke organisatie zelf om de BIO, de verplichte overheidsmaatregelen en op basis van risicoafweging aanvullende maatregelen te implementeren.

Vraag 10

Welke beleidsmatige inspanningen wilt u verder doen om de digitale weerbaarheid van de overheidswebsites te vergroten?

In zijn algemeenheid geldt dat de overheid naast de verplichte maatregelen uit de BIO, diverse open standaarden implementeert zoals informatieveiligheidsstandaarden. De adoptie van deze informatieveiligheidsstandaarden wordt halfjaarlijks gemeten. Halverwege 2020 zijn achterblijvende overheidsorganisaties aangeschreven door het Forum Standaardisatie met adviezen ter verbetering.4 De toepassing van de overige open standaarden van de «pas-toe-of-leg-uit» lijst van het Forum Standaardisatie wordt jaarlijks gemeten. De meest recente versie van deze Monitor Open standaarden 2020 is op 18 maart aangeboden aan uw Kamer.5 Het beeld is dat het gebruik van de verplichte open standaarden verder toeneemt.
De wijze waarop in het algemeen het informatieveiligheidsbeleid bij de overheid gestalte krijgt, heb ik aan uw Kamer gemeld op 18 maart jl.6 in de voortgangsbrief informatieveiligheid bij de overheid.

Vraag 1

Kunt u op korte termijn zorgen voor actuele cijfers over de bereikbaarheid van telefoon en internet op het platteland?1

In mijn brief van 17 mei jl. heb ik uw Kamer geïnformeerd over de voortgang van de beschikbaarheid van vaste digitale connectiviteit waarmee telefonie en internet mogelijk zijn.2 In 2020 kon bijna 99% van de huishoudens in Nederland beschikken over een vaste verbinding van tenminste 100 Mbps en circa de helft over 1 Gbps. Op www.overalsnelinternet.nl/breedbandkaart kan de beschikbaarheid ook worden geraadpleegd per provincie, gemeente of individueel adres.
Met betrekking tot de dekking van de mobiele netwerken wijs ik allereerst op de dekkingskaarten die de mobiele netwerkaanbieders op hun eigen websites hebben staan.3 In aanvulling daarop wordt er momenteel gewerkt aan het creëren van een kaart die weergeeft waar er in Nederland dekking is van tenminste één van de bestaande drie mobiele netwerken. De consultatie van de regelgeving waarmee de mobiele netwerkaanbieders in de toekomst verplicht worden om de informatie te verstrekken die nodig is om deze kaart te maken is op 23 juni jl. gestart en loopt t/m 18 augustus.4 De informatie uit deze kaart geeft tevens indicaties voor waar de mobiele bereikbaarheid van 112 buitenhuis mogelijk ontbreekt.
In aanvulling hierop heeft Agentschap Telecom in 2015 (praktijk)onderzoek gedaan naar de mobiele bereikbaarheid van 112 in het bijzonder. Die kaart kunt u terugvinden in het jaarverslag van Agentschap Telecom.5 Het is aannemelijk dat de mobiele bereikbaarheid van 112 sindsdien verder is verbeterd. Zo zijn er sinds 2015 gemiddeld genomen elk jaar antenne-opstelpunten bij gekomen om de netwerkdekking te verbeteren, zorgen technologische innovaties ervoor dat de netwerkdekking beter wordt, zijn er met de 700 MHz-band aanvullende frequenties bij gekomen die nog verder reiken en minder last hebben van obstakels, en is het bellen naar 112 via WiFi bij sommige aanbieders al mogelijk en binnenkort verplicht.
De bestaande informatie en de kaart waar reeds aan wordt gewerkt geven samen een actueel beeld van de bereikbaarheid van telefoon en internet in heel Nederland, waaronder ook het platteland. Zoals in de beantwoording van de vragen van uw collega van Dijk is toegelicht is het verwachting dat de kaart in het voorjaar van 2022 beschikbaar komt.

Vraag 2

Kunt u aangeven wie er aansprakelijk is wanneer een burger komt te overlijden of ernstig gehandicapt raakt door het niet kunnen bereiken van 112 door een slechte bereikbaarheid van telefoon en internet?

Aansprakelijkheid kan op verschillende manieren worden vastgesteld en is, uiteindelijk, afhankelijk van de omstandigheden van het geval. Daarnaast is aansprakelijkheid in eerste instantie een zaak tussen de betrokken partijen zelf. De betrokken partijen kunnen immers overeenstemming bereiken over wie aansprakelijk is voor de geleden schade, bijvoorbeeld als één van de partijen aansprakelijkheid erkent. Als de betrokken partijen geen overeenstemming bereiken over de (mate van) aansprakelijkheid, kunnen zij de kwestie voorleggen aan de civiele rechter. De civiele rechter zal dan aan de hand van de vorderingen en de inbreng van de betrokken partijen de (mate van) aansprakelijkheid vaststellen. Omdat het in eerste instantie aan betrokken partijen is, en in tweede instantie aan de civiele rechter, is het voor mij niet mogelijk noch wenselijk om deze hypothetische vraag concreet te beantwoorden.

Vraag 3

Kunt u op korte termijn uitleggen wat de overheid doet om ervoor te zorgen dat er 100 procent bereikbaarheid van telefoon en internet is voor iedereen in Nederland?

Zoals in de beantwoording van vraag 1 is toegelicht heb ik uw Kamer bij brief van 17 mei jl. geïnformeerd over de voortgang van de beschikbaarheid van vaste digitale connectiviteit, wat zowel internet als telefonie omvat.
Voor wat betreft de dekking van de mobiele netwerken wijs ik op de beantwoording van de vragen van het lid Van Dijk (2021Z06404). Zoals daar is uitgelegd is 100% bereikbaarheid via mobiele netwerken in de praktijk onmogelijk. Niettemin wordt er voortdurend gestreefd naar het verbeteren van de netwerkdekking. Zo is in de Multibandveiling van vorig jaar een dekkingseis verbonden aan de 700 MHz-vergunningen die de mobiele netwerkdekking verder zal verbeteren.6
Waar het de bereikbaarheid van 112 betreft zijn er bovendien bijzondere maatregelen getroffen. Zo is het mogelijk om 112 via elk mobiel netwerk te bellen. Je bent dus niet afhankelijk van de netwerkdekking van je eigen aanbieder. Dus de bereikbaarheid van 112 is zo goed als de drie mobiele netwerken bij elkaar. Het bereik van die gezamenlijke dekking wordt zichtbaar in de kaart waar aan wordt gewerkt, zoals genoemd in de beantwoording van vraag 1. Die kaart zal indicaties opleveren voor waar mogelijk nog geen buitenhuisdekking voor de bereikbaarheid van 112 bestaat. Hier bovenop is 112 zelfs te bereiken zonder SIM-kaart of mobiel abonnement, maar ook via buitenlandse netwerken, wat de bereikbaarheid in de grensstreken verbetert. Om de bereikbaarheid van 112 nog verder te vergroten heeft de Autoriteit Consument en Markt besloten dat per 1 juli 2021 alle mobiele netwerkaanbieders bellen naar 112 via WiFi-netwerken moeten ondersteunen. Dit verbetert de bereikbaarheid van 112 binnenshuis. Gebruikers moeten dan wel een mobiel toestel gebruiken dat in staat is om gebruik te maken van deze functionaliteit, dat geschikt is voor het netwerk van de aanbieder, en mogelijk wat instellingen in het toestel aanpassen. Dat kan men nakijken op de website van deze aanbieders.7 Tot slot wordt er gewezen op de tips die op de website van de rijksoverheid staan vermeld voor mensen die problemen hebben met de bereikbaarheid van 112.8

Vraag 1

Bent u bekend met recente berichtgeving over (de gevolgen van) het wereldwijde chiptekort, zoals «VDL Nedcar legt autoproductie stil vanwege chiptekort»1 en «Speaker of vaatwasser kopen? Mogelijk langere levertijd door chiptekort»?2

Ja.

Vraag 2

Kunt u kwantificeren wat dit chiptekort betekent voor Nederland? Hoe groot is de economische schade? Welke bedrijven, sectoren en regio’s worden het hardste geraakt? Wat zijn de gevolgen voor zowel de zakelijke als particuliere markt?

Vooralsnog zijn de negatieve gevolgen van het chiptekort in Nederland in hoofdzaak beperkt tot bedrijven in de automotive industrie. Voor zover ons bekend treft dit momenteel met name VDL Nedcar, waar de productie enkele keren heeft stilgelegen vanwege een tekort aan chips.
Voor wat betreft signalen uit andere sectoren heeft Philips recent bij de presentatie van de jaarcijfers gewezen op mogelijke risico’s voor de medische sector. Tevens zijn er signalen dat consumenten van goederen als wasmachines, speakers en gaming consoles vertragingen in productie en levering ervaren door de chiptekorten.
Aan de andere kant zijn er (grote en kleinere) Nederlandse bedrijven in de halfgeleiderindustrie die baat hebben bij de huidige dynamiek en gegroeide vraag op de halfgeleidermarkt. Door de complexiteit en grote mate van mondiale verwevenheid van de toeleveringsketen is een exacte balans van de economische schade en de precieze impact voor Nederland lastig te maken.
Signalen van de mogelijke impact van de tekorten op Nederland worden door het Ministerie van Economische Zaken en Klimaat (EZK) nauwgezet in de gaten gehouden.

Vraag 3

Kunt u aangeven welke typen chips zorgen voor het grootste tekort? Welke leveranciers uit welke landen leveren deze? Kunt u zorgen voor een compleet overzicht?

Een eindproduct, zoals een auto of een laptop, bestaat vaak uit een combinatie van meerdere types chips (in een auto kunnen bijvoorbeeld wel meer dan 1000 chips zitten van allerlei soorten en functionaliteiten). Het is daarom niet zomaar mogelijk voor elk type product een overzicht te geven welke precieze chip door wie wordt gemaakt en hoe dit zich verhoudt tot de (mogelijke) tekorten. Dit vereist een zeer gedetailleerde analyse van vele soorten eindproducten in vele soorten eindmarkten. Tevens is de toeleverketen dusdanig complex dat een verschuiving of het wegvallen van orders voor het ene product op een onverwachte manier kan doorwerken op een groep andere producten. Ook bestaat het productieproces van chips uit veel verschillende stappen (fabricage, testen, assemblage, etc.), elk van deze stappen kan bij een ander bedrijf in een andere regio in de wereld plaatsvinden en op elk van deze stappen kan een mogelijk knelpunt ontstaan. Dit heeft tot resultaat dat een chipproduct tot wel 70 keer een landsgrens over kan gaan voordat het uiteindelijk in het eindproduct beland. Daarnaast is er ook een verantwoordelijkheid voor bedrijven zelf om scherp in beeld te hebben waar mogelijke zwaktes in toeleveringsketens zitten.
Chipproductie concentreert zich bij bedrijven in Azië (Taiwan en Zuid Korea), de Verenigde Staten en Europa. Er bestaan verschillende businessmodellen voor chipproducten, de zogenaamde pure play foundry en bedrijven die als Integrated Device Manufacturers (IDM) opereren. IDM’s ontwerpen hun eigen chipproducten en produceren deze ook deels zelf, maar kunnen ook delen van hun productie hebben ondergebracht bij pure play foundries. Deze pure play foundry’s produceren voor een breed scala aan klanten en ontwerpen dus geen eigen chipproducten. De grote pure play foundry’s die massaproductie leveren voor chips zijn voornamelijk geconcentreerd in Azië. Ook veel bedrijven die diensten aanbieden voor bijvoorbeeld de processtap van het testen in het productieproces zijn geconcentreerd in Azië.

Vraag 4

Wat beschouwt u zelf als de belangrijkste oorzaken waardoor dit chiptekort heeft kunnen ontstaan? In welk specifiek onderdeel in de waardeketen zitten de grootste problemen?

De halfgeleiderwaardeketen heeft een hoge mate van complexiteit en mondiale verwevenheid. Het is daarom lastig om één specifieke oorzaak aan te wijzen. Er zijn verschillende elementen die gezamenlijk van invloed zijn op de huidige dynamiek in deze markt:

Vraag 5

Kunt u schetsen in welk tempo de huidige problemen door chiptekorten worden opgelost? Bent u hierover in overleg met het bedrijfsleven en betrokken sectoren/verenigingen?

Voor Nederland geldt dat er geen grootschalige productiebedrijvigheid is gericht op de toepassing van deze chips(downstream markt, denk hierbij aan Original Equipment Manufacturers (OEMs) in de automotive industrie, of bedrijven in de smartphone-industrie zoals Apple en Samsung). Zoals aangegeven treft het Nederland wel daar waar het toeleveranciers van bijvoorbeeld de automotive industrie betreft, maar is deze vooralsnog beperkt. Het Ministerie van EZK houdt (mogelijke) tekorten goed in de gaten en staat hierover in contact met het bedrijfsleven.
Het opschalen van de huidige productiecapaciteit is het snelst gerealiseerd via bestaande spelers. Het opstarten van nieuwe productiebedrijven of productielocaties is een langdurig proces en vereist in deze industrie zeer omvangrijke investeringen (meerdere miljarden). Toch zien we momenteel dergelijke ontwikkelingen, met het oog op het versneld terugdringen van het chiptekort.
Zo is op 27 januari 2021 een overeenkomst getekend tussen de Taiwanese overheid en vier grote chipfabrikanten (TSMC, UMC, Vanguard en Powerchip) waarin is afgesproken dat de productiecapaciteit zal worden geoptimaliseerd, waar mogelijk zal worden uitgebreid en anders gealloceerd. Op 21 mei 2021 is tevens door TSMC aangekondigd dat ze de output voor de chipindustrie met 60% zullen opschroeven, naar verwachting nog dit jaar.

Vraag 6

Bent u bekend met de oproep voor een «Airbus of chips» die Eurocommissaris Kroes in 2013 deed?3 Hoe is, in Nederland en in Europa, opvolging gegeven aan deze oproep? Kunt u alle beschikbare informatie hieromtrent met de Kamer delen?

Ja. Deze oproep van Eurocommissaris Kroes, destijds verantwoordelijk voor de «Digital Agenda Electronics for Europe», werd gedaan tijdens het IMEC Technology Forum op 24 mei 2012 in Brussel. Zij onderstreepte het belang van de micro- en nano elektronica als belangrijke sleuteltechnologie voor een veelheid van toepassingen. Daarnaast gaf zij aan dat Europa toegang tot deze technologie nodig heeft voor de belangrijke uitdagingen zoals op het gebied van mobiliteit, energievoorziening, gezondheidszorg en klimaatverandering.
Kroes betoogde dat geen Europees land alleen op eigen kracht mondiaal kan concurreren over de gehele waardeketen. Daarom achtte zij het van belang dat de brede expertise binnen Europa zou worden samengebracht om te komen tot een «Airbus of Chips»: een micro elektronica-ecosysteem, naar het voorbeeld van de Europese vliegtuigindustrie. Tot zo’n initiatief is het uiteindelijk niet gekomen. Echter, in 2014 heeft de Europese Commissie wel het staatsteunkader verruimd voor zogenaamde «Important Projects of Common European Interest» (IPCEI). Dit zijn projecten die een belangrijke bijdrage leveren aan de doelstellingen van de Unie, zoals de Europese strategie voor micro- en nano-elektronische onderdelen en systemen. Bij deze projecten kan de staatssteun hoger zijn dan die voor reguliere onderzoeksinspanningen is toegestaan en bijvoorbeeld ook betrekking hebben op de eerste industriële toepassing van een bepaalde technologie.
Een eerste IPCEI voor micro elektronica werd in 2017 opgezet, met onder meer Frankrijk, Duitsland, Italië, het Verenigd Koninkrijk (VK) en Oostenrijk als deelnemende landen. Nederland heeft hieraan niet deelgenomen, vanwege andere prioritering van mogelijke Nederlandse deelnemers. Thans is een tweede IPCEI in ontwikkeling, waarvoor vanuit het Nederlandse bedrijfsleven wel grote interesse bestaat. Ter voorbereiding van mogelijke Nederlandse participatie aan de IPCEI is door RVO een interessepeiling uitgeschreven.4 Deze is gesloten op 21 mei 2021, op dit moment worden ingediende voorstellen inhoudelijk beoordeeld.
In het antwoord op vraag 9 en vraag 10 gaan wij in op de stappen die in Europa worden gezet op het gebied van het Europese ecosysteem van halfgeleiders.

Vraag 7

Hoezeer staat het chiptekort inmiddels voldoende op het netvlies van het kabinet? Is het prioriteit om dit zo spoedig mogelijk met het bedrijfsleven, kennisinstellingen en alle relevante partners op te lossen en de onderliggende problemen, zoals een te grote afhankelijkheid van productie elders in de wereld, aan te pakken? Welke acties heeft het kabinet hiertoe tot dusver ondernomen?

De signalen van de chiptekorten in verschillende sectoren worden nauwlettend gevolgd door het Ministerie van EZK. Op Europees niveau wordt dit in bredere context meegenomen in strategische discussies voor het gehele Europese ecosysteem van halfgeleiders en afhankelijkheden van waardeketens. In het antwoord op vraag 9 en vraag 10 gaan wij verder in op de lopende trajecten om het Europese halfgeleider-ecosysteem te versterken.

Vraag 8

Hoe kijkt u aan tegen de disbalans in de productie van chips, namelijk (afgerond) 8% in Europa, 22% in de Verenigde Staten en 70% in Azië?4

Zoals verder toegelicht onder antwoord vraag 9 en 10 is het van belang dat er een balans bestaat in het totale wereldwijde ecosysteem. In het recent gepubliceerde «Europe’s Digital Decade: digital targets for 2030» is de ambitie gesteld om het Europese aandeel in de waardeketen op te schroeven.

Vraag 9

Deelt u de mening dat het chiptekort behalve een Nederlands ook een Europees probleem is, dat in Europees verband moet worden opgelost? Vindt u net als wij dat hiervoor een sterke, onafhankelijke Europese halfgeleiderindustrie van cruciaal belang is? Waarom wel/niet?

Ja, wij delen uw mening dat het chiptekort niet alleen een Nederlands, maar ook een Europees probleem is dat Europees moet worden opgelost. Ook het Ministerie van EZK ziet een sterke Europese halfgeleiderindustrie als van cruciaal belang. De hoge kapitaal- en R&D-intensiteit van de halfgeleiderindustrie leent zich echter niet voor een ontkoppeling van de waardeketen in verschillende geografische regio’s. Daarnaast is het een dusdanig verweven mondiale waardeketen dat alle regio’s in de wereld voor bepaalde delen van deze waardeketen van elkaar afhankelijk zijn.
Onszelf afsnijden van de mondiale waardeketen is niet in het belang van Europa, omdat daarmee de koploperspositie die Europa op bepaalde onderdelen in de waardeketen heeft niet behouden kan worden. Hiermee zal de Europese sector toegang tot belangrijke groei- en afzetmarkten worden bemoeilijkt waardoor omzet en marktkansen worden misgelopen. Daardoor kunnen de benodigde omvangrijke R&D-investeringen niet meer worden gedaan en zal Europa in deze sector achterop raken. Het is van belang een juiste balans te hebben in wederzijdse afhankelijkheden tussen regio’s in de wereld. Dit is ook in lijn met onze inzet op het gebied van open strategische autonomie. De Europese Unie opereert in een onderling afhankelijke wereld waarin wederzijdse afhankelijkheid stabiliteit biedt.
Op 7 december 2020 heeft Nederland samen met 19 andere lidstaten de «Joint declaration on processors and semiconductor technologies» ondertekend. Hierin wordt de intentie uitgesproken tot het versterken van het Europese halfgeleider-ecosysteem en een opmaat gegeven voor het vormen van een «Important Project of Common European Interest» (IPCEI) en het vormen van een «Industry Alliance» voor deze industrie.
Er zijn verschillende manieren om het gehele Europese halfgeleider-ecosysteem te versterken. Één onderdeel van het palet aan mogelijkheden zijn de belangrijke Europese R&D-programma’s die al lopen en verscheidene trajecten bevatten die van belang zijn voor dit ecosysteem. Het «Key Digital Technologies Partnershop» (KDT) Joint Undertaking ECSEL is hiervan een goed voorbeeld. Dit is een Europees partnerschap van lidstaten, geassocieerde landen, de industrie en de Europese Commissie. ECSEL ondersteunt industriële R&D&I-inspanningen binnen de sector elektronische componenten en systemen (ECS) door middel van gezamenlijke medefinanciering door de Europese Unie en deelnemende landen. Nederland is, met Duitsland en Frankrijk, één van de grotere participanten in ECSEL. Onder het nieuwe Kaderprogramma voor Onderzoek en technologische ontwikkeling, «Horizon Europe», zal dit partnerschap onder de naam KDT worden gecontinueerd. Ook binnen het intergouvernementele EUREKA-programma wordt actieve ondersteuning gegeven aan Europese industriële R&D&I samenwerking. In deze programma’s wordt ook met landen buiten Europa, zoals Canada samengewerkt. Het Europees R&D-vermogen is krachtig en wereldwijd onderscheidend, met name ook voor het ecosysteem van halfgeleiders. Het ondersteunen van fundamenteel onderzoek is echter niet het enige stukje van de puzzel die moet worden gelegd om de gehele waardeketen en Europese positie te waarborgen en versterken.
Nederland is zeer intensief betrokken bij de totstandkoming en verdere invulling van de strategische richting van de IPCEI Micro-elektronica 2 (IPCEI ME2). Nederland wordt hier door de Europese Commissie gezien als een land met een sleutelpositie in de mondiale waardeketen. Belangrijke partnerlanden in IPCEI-context voor de halfgeleiderindustrie zijn Frankrijk en Duitsland. Duitsland heeft in hun Recovery & Resilience Plan (RRP) een bedrag van 1,5 miljard euro gereserveerd en ook Frankrijk heeft in deze ordegrootte een post opgenomen in hun RRP. Nederland kijkt momenteel welke mogelijkheden er zijn ten aanzien van financiering, met inbegrip van het RRP.
De «Industry Alliance» wordt op dit moment gevormd onder aanvoering van Eurocommissaris Breton. Hierin zullen belangrijke producenten en OEMs van de Europese halfgeleiderindustrie zijn vertegenwoordigd. Ook ASML heeft zijn commitment voor de «Industry Alliance» recent uitgesproken, waardoor Nederland met een vooraanstaand bedrijf in de sector is vertegenwoordigd.

Vraag 10

Indien ja, wat is nodig om een dergelijk sterke, onafhankelijke Europese halfgeleiderindustrie tot stand te brengen? Hoe kan en gaat Nederland hieraan bijdragen?

Zie antwoord vraag 9.

Vraag 11

Kunt u uiteenzetten welke bedrijven en instellingen, in welke Europese landen, thans een sterke positie hebben en/of een toekomstige positie kunnen hebben voor het opzetten van een huidige chipgeneratie (elektronica) waardeketen en een toekomstige nieuwe chipgeneratie (fotonica) waardeketen?

Het Ministerie van EZK heeft goed in beeld waar de krachten van Nederland liggen en hoe deze complementair zouden kunnen zijn aan de krachten in andere Europese landen. Zoals eerder aangegeven zijn Frankrijk en Duitsland hierin belangrijke partners. Daarnaast heeft EZK veelvuldig en nauw contact met het bedrijfsleven Nederland, evenals Europa, heeft krachtige ecosystemen die zich concentreren rondom grotere bedrijven en kennisinstellingen zoals ASML en ASMI, maar waar ook veel belangrijke toeleveranciers een rol in spelen. Dit brede ecosysteem-is waar Nederland zich voor inzet.
Nederland heeft zelf belangrijke clusters rondom Eindhoven (met name rondom de machinebouw), maar bijvoorbeeld ook een sterk cluster rondom Nijmegen. Ook is het cluster rondom Leuven met bijvoorbeeld onderzoeksinstelling Imec van groot belang voor het Nederlandse ecosysteem.
Andere sterke Europese halfgeleiderclusters bevinden zich in Duitsland rondom Saksen, waar bedrijven zitten als Global Foundries, Infineon en Bosch. Deze bedrijven zijn deels Integrated Device Manufacturers en leveren daarmee ook deels productie van chips. Het ecosysteem hier levert aan klanten in verschillende eindmarkten, van de automotive industrie tot de mobiele markt, connectiviteit en servers, medische en industriële toepassingen.
In Frankrijk bevindt een sterke concentratie zich rondom Grenoble, met bedrijven als ST Microelectronics (Frans/Italiaans), Exyte en Soi Tech (productie van speciale wafers). Ook deze bedrijven leveren aan eindmarkten als telecom, automotive, communicatie en servers, mobiele markt, farmacie en biotechnologie. Daarnaast kent Frankrijk een aantal grote OEM’s die van belang zijn voor de halfgeleider industrie, zoals Thales, Airbus, Continental en PSA (Peugeot, Opel, Citroën).

Vraag 12

Welke rol en mogelijkheden in productieprocessen en productontwerp voorziet u voor SMART Photonics, waarin het kabinet 20 miljoen euro heeft geïnvesteerd en dat onderdeel is van een Nederlands consortium?

SMART Photonics is een belangrijke speler in het verder uitbouwen van een krachtig ecosysteem en de Nederlandse positie in de geïntegreerde fotonica. Op dit moment is het de enige foundry in Europa voor de productie van fotonische chips op basis van indiumfosfide. Hiermee kunnen hoogwaardige chips worden gebouwd die gecombineerde functionaliteit kunnen bieden van bijvoorbeeld lasers met microelectronica-onderdelen. Dit soort functionaliteit kan bijvoorbeeld niet worden gerealiseerd op wafers gemaakt van silicium.
Op het moment komen de meeste klanten van dit bedrijf uit Nederland, maar het bedrijf trekt ook klanten uit Japan, de VS en China. Er worden momenteel ongeveer 500 wafers per jaar geproduceerd. Wanneer dit kan worden opgeschaald zal het naar verwachting internationaal een belangrijke strategische positie in het Europese ecosysteem innemen. Mogelijkheden tot opschalen (in zowel de huidige 3-inch-productie als het werken met grotere wafers) is een belangrijke overweging geweest voor de investering.
De Nederlandse geïntegreerde fotonica-industrie is de afgelopen jaren gegroeid en omvat momenteel zo’n 25 bedrijven met ruim 3.000 werknemers. Nederland heeft een positie in bijna de gehele waardeketen: van R&D tot ontwerp en software design, tot fabricage, packaging en testen. Het mondiale marktpotentieel van fotonica is groot. Een logische eindmarkt voor fotonische producten is die van dataverwerking en telecom – met fotonische oplossingen kan datacommunicatie sneller, met grotere hoeveelheden en minder stroomverbruik worden gerealiseerd. Een andere opkomende eindmarkt is die voor verschillende types sensoren die weer toepassingen hebben in bijvoorbeeld de automotive industrie, luchtvaart en gezondheidszorg.

Vraag 13

Op welke manier is Nederland thans betrokken bij de (oprichting van) een Europese alliantie om chiptekorten tegen te gaan?5

Zie antwoord op vraag 9 en 10. Er is momenteel een Europese alliantie in oprichting. Deze zal zich buigen over de algehele strategie voor de Europese halfgeleiderindustrie, en richt zich daarmee niet enkel op de chiptekorten. Het huidige chiptekort en hoe dit op de lange termijn aan te pakken zal echter zeker onderdeel zijn van de gesprekken.

Vraag 14

Zijn er op dit moment serieuze gesprekken gaande met betrekking tot samenwerking van buitenlandse partijen die een volwassen ervaring hebben in de internationale chipproductieketens?

Ja, hier lopen gesprekken met diverse buitenlandse partijen. Dit is ook voor de NFIA en haar regionale partners in het Invest in Holland-netwerk een belangrijk aandachtsgebied. Omwille van de vertrouwelijke aard van deze gesprekken kunnen wij niet nader ingaan op de inhoud hiervan.

Vraag 15

Deelt u de mening dat het huidige chiptekort een exemplarisch gevolg is van het weggaan/wegblijven van maakindustrie uit Nederland en Europa? Indien ja, hoe komt dat volgens u? Indien niet, waarom niet?

Nee, deze mening delen wij niet. De wijze waarop de productie van microchips zich in verschillende regio’s van de wereld heeft geconcentreerd, is het gevolg van procesoptimalisatie en bijbehorende schaalvergroting in de mondiale waardeketen. Zuid-Korea en Taiwan hebben hier een specialisatie in opgebouwd in de grootschalige productie van chips. Nederland heeft in andere onderdelen van de waardeketen specialisaties en sterke posities opgebouwd. De Nederlandse positie in de halfgeleidermachinebouw is daarvan een goed voorbeeld, maar bijvoorbeeld ook de positie in geïntegreerde fotonica is sterk. wij zijn positief over de positie van de Nederlandse maakindustrie. In de Kamerbrief over de kabinetsvisie op de maakindustrie van oktober 2020 (Kamerstuk 29 826, nr. 124) hebben wij een beeld geschetst van die positie, maar ook van de uitdagingen waar we in de komende jaren voor staan.

Vraag 16

Bent u bereid om de brief «Visie op de toekomst van de industrie in Nederland» van 30 oktober 2020 (Kamerstuk nr. 29 826, nr. 124), waarin het belang van maakindustrie voor Nederland wordt onderkend, nog dit jaar samen met het bedrijfsleven te vertalen naar een actieplan met concrete acties hoe enerzijds maakindustrie voor Nederland te behouden en anderzijds maakindustrie naar Nederland terug te halen («reshoring»)?

Dit kabinet hecht groot belang aan een sterke maakindustrie in Nederland. Wij zijn voornemens om hier, in navolging op de genoemde industriebrief, nog dit jaar een actieplan aan te koppelen. Over de wijze van invulling van het actieplan en het precieze moment van publicatie zal echter een volgend kabinet moeten beslissen. Daarbij de aantekening dat de potentie tot reshoring voor de Nederlandse maakindustrie niet moet worden overschat. Recente studies van de SER (SER advies 21/01 2021 Reshoring) en onderzoek van Berenschot in opdracht van Innovation Quarter (Berenschot, «Reshoring: kansen en bedreigingen voor Zuid-Holland» (februari 2021)) geven dit ook aan. Over de kansen en uitdagingen van reshoring zal uw Kamer voor de zomer nader geïnformeerd worden in reactie op de motie Amhaouch-Wiersma over de kansen en uitdagingen voor Nederland op het gebied van reshoring Kamerstuk 35 570 XIII, nr. 30).

Vraag 1

Bent u bekend met het artikel «Nederland verliest controle op beveiliging van het internet?»1

Ja.

Vraag 2

Hoe beoordeelt u het advies van de Cyber Security Raad dat het kabinet dringend moet ingrijpen om te voorkomen dat onze economie te afhankelijk wordt van buitenlandse technologie? Kunt u uw analyse toelichten?

Op 14 mei jl. heeft de Cyber Security Raad (CSR) het advies «Nederlandse Digitale Autonomie en Cybersecurity» uitgebracht. Het vraagstuk van digitale autonomie en het verhogen van onze digitale weerbaarheid heeft de nadrukkelijke aandacht van het kabinet. Digitale autonomie is echter geen vanzelfsprekendheid.
Nederland is verweven met de mondiale economie die bestaat uit een veelheid aan onderlinge, wederzijdse afhankelijkheden. Dat betekent dat leveranciers van over de hele wereld als onderdeel van complexe waardeketens producten en diensten leveren in het digitale domein. Deze verwevenheid biedt in algemene zin zeer grote economische voordelen, is in een open en gespecialiseerde economie onvermijdelijk en kan bijdragen aan een weerbare internationale economische positie van Nederland. Door deze verwevenheid kunnen er in het digitale domein echter ook ongewenste afhankelijkheidsrelaties met partijen van buiten EU ontstaan. Dit kan onze publieke belangen, waaronder onze (nationale) digitale veiligheid, in het geding brengen. De CSR wijst er in zijn advies op dat ongewenste (digitale) afhankelijkheden een bedreiging kunnen vormen die geadresseerd moeten worden. Tegelijkertijd onderschrijft de CSR dat naast de dreiging die uitgaat van deze afhankelijkheidsrelaties, globalisering enorme voordelen voor Nederland heeft gebracht. Balkanisering (versplintering) van technologie en protectionisme kan wereldwijde handel belemmeren en daarmee ook welvaart en banen kosten in Nederland, aldus de CSR.
Bij het adresseren van ongewenste afhankelijkheidsrelaties moeten protectionisme en fragmentatie dan ook zo veel mogelijk worden vermeden. In dat licht ziet het kabinet digitale autonomie niet als doel op zich maar als middel. Dit moet, in samenspraak met onze Europese partners, zorgvuldig en proportioneel worden bezien zodat Nederland het vermogen heeft om voldoende voor de eigen publieke belangen, waaronder onze (nationale) digitale veiligheid, op te komen en deze belangen zeker te stellen.
Het is nodig voor onze digitale autonomie dat we open, eerlijke en duurzame internationale relaties aangaan, waarbij onze normen en waarden zijn beschermd. De voordelen van internationale handel en investeringen, toegang tot wereldwijde waardeketens en internationale concurrentie moeten zoveel mogelijk behouden blijven.
Tegelijkertijd is het zaak dat we actief blijven investeren in de weerbaarheid van onze digitale infrastructuur. Waar nodig en wenselijk moeten we maatregelen nemen om ongewenste strategische afhankelijkheden weg te nemen of te voorkomen. Om tot effectieve en proportionele maatregelen te komen dient een zorgvuldige analyse van en afweging tussen de risico’s en de verwachte (veiligheids)baten en de verwachte kosten van de mogelijke maatregelen.
Er lopen al acties die concreet bijdragen aan onze digitale autonomie. Zo wordt binnen het nieuwe samenwerkingsplatform voor kennis en innovatie cybersecurity (dcypher) gewerkt aan een routekaart voor cryptocommunicatie. Het kabinet werkt daarnaast voortdurend aan de versterking van de digitale weerbaarheid via het beleid dat is uiteengezet in de Nederlandse Cybersecurity Agenda (NCSA). Bij de beoordeling van risico’s ten aanzien van spionage, beïnvloeding of sabotage door statelijke actoren of andere partijen bij digitale producten hanteert het kabinet de overwegingen die zijn vermeld in de brief aan de Tweede Kamer over C2000.2 Meer specifiek voor de telecommunicatiesector heeft het kabinet op 1 juli 2019 aanvullende beschermingsmaatregelen aangekondigd op basis van een risicoanalyse die is uitgevoerd door de Taskforce Economische Veiligheid3. Dit heeft er onder andere toe geleid dat mobiele netwerk operators in kritieke onderdelen alleen gebruik mogen maken van vertrouwde leveranciers.
Daarnaast overweegt Nederland deelname aan een Important Project of Common European Interest voor Cloudinfrastructuur en services (IPCEI CIS), een concreet Europees project wat als doel heeft om nieuwe generatie cloud-oplossingen in Europa te ontwikkelen en de waardeketen in Europa te versterken. Ook kijkt Nederland naar deelname aan een Important Project of Common European Interest voor de semiconductorsector (IPCEI Micro-elektronica 2, IPCEI ME2). De resultaten om onder het Nederlandse bedrijfsleven en kennisinstellingen de belangstelling te identificeren volgen in de zomer.
Het is essentieel dat we nu en in de toekomst blijven inzetten op digitale autonomie en cybersecurity.

Vraag 3

Hoe beoordeelt u de onderliggende waarschuwing van de Cyber Security Raad dat Nederland haar greep op de beveiliging van het internet anders dreigt kwijt te krijgen? Kunt u uw analyse toelichten?

Zie antwoord vraag 2.

Vraag 4

Wat is de status van de uitvoering van de motie van de leden Buitenweg en Yesilgöz-Zegerius over inzicht verkrijgen in de afhankelijkheid van digitale processen en diensten bij vitale processen? In hoeverre zijn processen van onze vitale infrastructuur ondergebracht en afhankelijk van buitenlandse aanbieders? In hoeveel van deze gevallen is het beheer van deze digitale processen uitbesteed aan buitenlandse aanbieders? Hoeveel van deze aanbieders zijn gevestigd in staten die een offensief cyberprogramma kennen?2

Met de brief «Beleidsreactie op het Dreigingsbeeld Statelijke Actoren (DBSA) en voortgang aanpak statelijke dreigingen» gaf het kabinet invulling aan de motie Buitenweg/Yesilgöz-Zegerius over het inzichtelijk maken van cyberafhankelijkheden in vitale processen.5 Hierin wordt de opzet van een structurele aanpak voor de telecomsector benoemd. Ook staat hierin aangegeven dat in de komende periode in kaart wordt gebracht wat er nodig is qua mensen, middelen en expertise om deze aanpak te verbreden naar andere vitale processen.
Er wordt niet integraal bijgehouden in hoeverre de dienstverlening binnen vitale processen plaatsvindt door of afhankelijk is van buitenlandse aanbieders, en daarmee ook niet in hoeveel gevallen het beheer van digitale processen wordt uitbesteed aan buitenlandse aanbieders. Dit is, gezien het grote aantal leveranciers van producten en diensten van vitale processen, ook niet realistisch. Uitgangspunt is een risicogestuurde aanpak, zodat dreigingen en kwetsbaarheden gericht kunnen worden geadresseerd. Zo zijn binnen de aanpak tegengaan statelijke dreigingen verschillende instrumenten ontwikkeld en maatregelen genomen om nationale veiligheidsrisico’s te adresseren, zoals de voorbereiding van wetgeving ten behoeve van het stelsel van investeringstoetsing en de herziening en beschikbaarstelling van het instrumentarium voor inkoop en aanbesteding.6

Vraag 5

Bent u het met de mening eens dat het uit nationale veiligheidsoverwegingen, onwenselijk is om digitale technologieën die wij gebruiken voor vitale processen zoals energievoorziening en betalingsverkeer af te nemen van staten met een offensief cyberprogramma? Zo ja, waar liggen volgens u mogelijkheden om meer grip te krijgen op de digitale processen van onze vitale infrastructuur? Zo nee, waarom niet?

Zoals in het Dreigingsbeeld Statelijke Actoren (DBSA) beschreven is een toenemende afhankelijkheid van buitenlandse technologie een gegeven, aangezien geen land beschikt over alle kennis en productiemiddelen om technologisch onafhankelijk te opereren.7
Tegelijkertijd bestaan er risico’s op digitale spionage en -sabotage, die kunnen leiden tot verstoring van de continuïteit van de vitale infrastructuur en aantasting van de integriteit of exclusiviteit van gevoelige kennis en informatie. Een aanvullend risico kan ontstaan als er betrokkenheid is van leveranciers die afkomstig zijn, of onder controle staan van bedrijven, uit een land met wetgeving die commerciële partijen dwingt tot samenwerking met de overheid van dat land. De risico’s voor de nationale veiligheid worden verder vergroot als het land in laatstbedoelde zin een offensief inlichtingenprogramma voert dat gericht is op Nederlandse belangen. Van belang is het juist ook met betrekking tot deze risico’s telkens te bepalen of en welke beheersmaatregelen mogelijk, wenselijk, en realiseerbaar zijn om voldoende bescherming hiertegen te bieden.
Versterking van de weerbaarheid van netwerk- en informatiesystemen is dan ook van groot belang. Het kabinet werkt hieraan via de aanpak statelijke dreigingen, de versterkte aanpak vitaal en de aanpak zoals beschreven in de Nederlandse Cybersecurity Agenda (NCSA). Het in kaart brengen van de te beschermen belangen en de daarop betrekking hebbende dreigingen, alsmede het nemen van maatregelen om die belangen te beschermen, staan daarbij steeds centraal. De combinatie van technologische ontwikkelingen en geopolitieke veranderingen vraagt erom met een andere blik te kijken naar welke belangen we willen beschermen. Hiervoor wordt nauw samengewerkt met onder meer bedrijven en kennisinstellingen. Met een geactualiseerd instrumentarium worden deze veranderende omstandigheden integraal meegewogen in het beoordelen van risico’s en bij het naar aanleiding daarvan waar nodig nemen van weerbaarheidsverhogende maatregelen. Hierbij wordt digitale en fysieke weerbaarheid in zijn geheel bezien. Ketenafhankelijkheden worden daarbij beter in kaart gebracht, omdat vitale processen onderling sterk verweven zijn en sterk afhankelijk zijn van toeleveranciers.

Vraag 6

Hoeveel geld ontvangt Nederland jaarlijks uit het EU Resilience and Recovery Fund om te investeren in digitale innovaties? Hoe groot is dit bedrag ten opzichte van andere lidstaten? Op basis van welke voorwaarden wordt dit geld verdeeld onder lidstaten?

Nederland ontvangt naar verwachting € 5,96 mld. aan middelen uit de Recovery and Resilience Facility. Om aanspraak te maken op de RRF-middelen moet Nederland een Recovery and Resilience plan (RRP) indienen met ambitieuze hervormingen en investeringen die invulling geven aan de landspecifieke aanbevelingen die de Europese Commissie voor Nederland heeft geïdentificeerd. Deze middelen moeten ingezet worden voor het bevorderen van economisch herstel en het aanjagen van de groene en digitale transitie. Minstens 20% van de middelen moeten ten goede komen aan de digitale transitie. Hiernaast moet minstens 37% bijdragen aan de groene transitie. De middelen worden in tranches uitgekeerd op basis van het behalen van vooraf geformuleerde mijlpalen en doelen die voor 31 augustus 2026 moeten zijn afgerond. Dezelfde voorwaarden zijn van toepassing op andere lidstaten. Het staat lidstaten verder vrij om binnen de criteria uit de RRF-verordening meer focus te leggen op de digitale transitie in hun eigen RRP’s.
De allocaties uit de RRF worden op twee momenten vastgesteld. De allocatie voor 2021–2022 is gebaseerd op werkloosheidscijfers (2015–2019), de omvang van de bevolking (2019) en het bbp per capita (2019). Voor de allocatie in 2023 geldt een aangepaste verdeelsleutel waarbij de factor werkloosheid wordt vervangen door (in gelijke delen) het bbp-verlies in 2020 en het cumulatieve bbp-verlies over de periode 2020–21 op basis van de cijfers die eind juni 2022 beschikbaar zijn. Op de website van de Europese Commissie vindt u de allocatie van de RRF-middelen per lidstaat8. Lidstaten worden geacht een RRP in te dienen voor 100% van de verwachte allocatie. Naar aanleiding van de definitieve vaststelling kunnen lidstaten hun RRP’s wijzigen voor zover de definitieve allocatie is gewijzigd.

Vraag 7

Bent u het met de mening eens dat het voor Nederland, zowel uit veiligheids- als innovatieoogpunt van groot belang is dat wordt geïnvesteerd in Nederlandse technologie? Zo ja, hoe beoordeelt u het bedrag dat Nederland jaarlijks ontvangt uit het EU Resilience and Recovery Fund? Zo nee, waarom niet?

Ja, vanuit zowel veiligheids- als innovatieoogpunt is het van groot belang dat wij blijven investeren in technologische ontwikkeling. Het bedrag dat Nederland zal ontvangen vanuit de Resilience and Recovery Facility is een welkome aanvulling. De RRF-middelen betreft echter een incidentele impuls en is daarmee van beperkte meerwaarde voor de uitdagingen waar Nederland voor staat. Het is voor onze brede welvaart van groot belang dat wij ook structureel blijven investeren in het versterken van onze lange termijn verdienvermogen.

Vraag 8

Kunt u deze vragen binnen de gestelde termijn beantwoorden?

Ja.

Vraag 1

Bent u bekend met het artikel «Miljoenen liters diesel liggen bij de «groene» datacenters van Microsoft en Google in Hollands Kroon»?1

Ja.

Vraag 2

Klopt het dat er miljoenen liters diesel in Hollands Kroon zijn opgeslagen en dat dit mogelijk nog met miljoenen liters gaat toenemen?

Een mogelijke aanvraag voor het opslaan van meer diesel zal door het bevoegd gezag beoordeeld moeten worden. Het bevoegd gezag is aan zet om te toetsen aan wet- en regelgeving en hier eisen aan te stellen in de vergunning. Ik ben geen bevoegd gezag voor de vergunningverlening, en ken dus ook de inhoudelijke specificaties van dergelijke gevallen niet. Op 21 mei jl. heeft het college van de gemeente Hollands Kroon schriftelijke vragen van de Raad beantwoord die ingaan op deze berichtgeving en de dieselopslag. Ik verwijs u graag door naar deze antwoorden (zie afschrift in bijlage 1)2.

Vraag 3

Wie is verantwoordelijk voor de besluitvorming over het neerzetten van deze tientallen dieselaggregaten?

Het bevoegd gezag gaat over besluitvorming ten aanzien van een aanvraag. Hierbij toetst het bevoegd gezag aan wet- en regelgeving en neemt het een besluit over het wel of niet verlenen van een vergunning. Het college van gedeputeerde staten van de provincie Noord-Holland (GS) stelt zich op het standpunt dat zij bevoegd gezag is. De provincie Noord-Holland en de gemeente Hollands Kroon zijn hierover in overleg.

Vraag 4

Vindt u het ook opmerkelijk dat het college Hollands Kroon opnieuw besluitvorming neemt waartoe zij niet bevoegd is?

De aanwijzing van het bevoegd gezag is geregeld in het Besluit omgevingsrecht. Het is niet aan mij te beoordelen of besluitvorming door het college van burgemeester en wethouders van Hollands Kroon terecht is of niet. Het heeft altijd de voorkeur dat overheden in goed onderling overleg tot een gezamenlijk inzicht komen, bij een conflict is het uiteindelijk aan de rechter om er een oordeel over te vellen.

Vraag 5

Vindt u het ook onwenselijk dat de dieselaggregaten van deze datacenters eens per maand staan te ronken, waardoor stinkende dieselrook de lucht ingaat?

Bij het verstrekken van een vergunning zal in alle gevallen moeten worden voldaan aan relevante wet- en regelgeving. Het Ministerie van Infrastructuur en Waterstaat is stelselverantwoordelijke voor de milieuwetgeving, waaronder geur. Het is aan het bevoegd gezag om een integrale afweging te maken ten aanzien van de te vergunnen activiteit en om de vergunning al dan niet te verlenen. Bij deze afweging is geur één van de onderdelen die wordt meegenomen. De te ondernemen activiteiten moeten vervolgens passen binnen de verleende vergunning.

Vraag 6

Vindt u ook dat Google en Microsoft maatregelen dienen te nemen om deze vieze dieselrook voor omwonenden te verminderen?

Zie het antwoord bij vraag 5.

Vraag 7

Vindt u ook dat de claim van Google en Microsoft dat zij klimaatpositief wensen te worden niet strookt met het feit dat Google en Microsoft nu tussen grootvervuilers staan en bovendien een enorme CO2-uitstoot hebben?

De mogelijk bestaande wens van bedrijven om als klimaatpositief gezien te willen worden is een bedrijfsmatige afweging. Het is niet aan mij om hierover te oordelen.

Vraag 8

Hoe kan het zo zijn dat de brandweer nauwelijks informatie heeft over de machines en de opslagtanks? Vindt u het ook niet zorgwekkend dat de brandweer nauwelijks informatie over deze dieselaggregaten heeft en bovendien de Veiligheidsregio Noord-Holland Noord weinig risico’s ziet, terwijl diesel een zeer gevaarlijke stof met ontploffingsgevaar is?

Ik kan niet beoordelen over welke informatie de brandweer beschikt of zou moeten beschikken. Het is aan de veiligheidsregio om dat te beoordelen, die bovendien deskundig is op dit gebied. In beginsel moet de activiteit passen binnen de verleende vergunning. Bij het verlenen van een vergunning wordt een integrale afweging gemaakt waarin (externe) veiligheid wordt meegenomen.
Ik verwijs u door naar de eerder genoemde antwoorden op raadsvragen van het college van Hollands Kroon (zie mijn antwoord bij vraag 2). Deze stellen o.a. dat de brandweer en de veiligheidsregio goed op de hoogte zijn van de situatie, dat de berichtgeving onjuiste informatie bevatte en dat er geen onverantwoorde risico’s zijn. Daarbij is ook een factsheet bijgevoegd van de Veiligheidsregio Noord-Holland Noord die hier aanvullend op ingaat (zie afschrift in bijlage 2)3.

Vraag 9

In hoeverre is deze opslag van diesel een gevaar voor de bewoners van Wieringenmeer?

De specifieke afweging omtrent externe veiligheid in dit geval is mij niet bekend. Bij het verlenen van een dergelijke vergunning wordt door het bevoegd gezag hiervoor een afweging gemaakt waarin (externe) veiligheid wordt meegenomen. In algemene zin moeten activiteiten zoals de opslag van diesel passen binnen de verleende vergunningen en de relevante wet- en regelgeving. Zie verder ook het antwoord onder vraag 8.

Vraag 10

Vindt u met de enorme stroombehoeften, chemicaliën in het water en het enorme ruimtebeslag op het landschap het überhaupt wenselijk dat dit soort datacenters zich vestigen in Nederland?

In de Nationale Omgevingsvisie (NOVI) is opgenomen dat in beginsel decentrale overheden keuzes maken over de vestiging van bedrijven, waaronder datacenters. Het Rijk wil, gezien de impact op o.a. ruimte en energie, samen met decentrale overheden mede zorgdragen voor zorgvuldige vestigingslocaties van datacenters. De NOVI bevat daarvoor een aantal voorkeursrichtingen en zet daarbij in op selectieve groei aan de randen van Nederland. Onder coördinatie van de Minister van Binnenlandse Zaken en Koninkrijksrelaties worden daarover afspraken gemaakt met decentrale overheden in landsdelige bestuurlijke overleggen. De voortgangsbrief over de NOVI van begin juni 2021 gaat hier verder op in (Kamerstuk 34 682, nr. 83).

Vraag 11

Bent u daarom ook van mening dat er scherpere vestigingseisen, op het gebied van duurzaamheid, waterverbruik, beperking overlast, inpassing in het landschap en veiligheid moet worden gesteld aan deze techgiganten bij het bouwen van datacenters? Welke maatregelen gaat u daartoe nemen?

Er gelden voor de vestiging van datacenters diverse wettelijke milieuvereisten, onder andere op het gebied van waterverbruik, geur, luchtkwaliteit en externe veiligheid. Ook bestaat er op dit terrein beleid en regelgeving van decentrale overheden. Daarnaast is het, in lijn met de afspraken uit de NOVI, in beginsel aan het bevoegd gezag om een afweging te maken ten aanzien van de vestigingseisen. Verder verwijs ik hierbij naar de eerder genoemde afspraken voor zorgvuldige vestiging van datacenters die onder de NOVI worden gemaakt met decentrale overheden.

Vraag 1

Kent u het artikel «Belgische overheden getroffen door grote cyberaanval»?1

Ja.

Vraag 2

Hoe vaak is de Nederlandse overheid doelwit geweest van een cyberaanval, zoals een DDOS aanval?

Er is geen volledig beeld van het aantal aanvallen waarvan de Nederlandse overheid doelwit is geweest. In algemene zin is bekend dat Nederlandse instellingen, waaronder overheden, te kampen hebben met digitale aanvallen. Het jaarlijks gepubliceerde Cybersecuritybeeld Nederland (CSBN) geeft inzicht in de digitale dreiging in Nederland, waaronder tegen de overheid, en de belangen die daardoor kunnen worden aangetast.2
De meest gestructureerde statistieken die beschikbaar zijn over DDoS-aanvallen zijn afkomstig van de Nationale Beheersorganisatie voor Internet Providers (NBIP). NBIP rapporteert jaarlijks over de DDoS-aanvallen die gemeten zijn door de Nationale DDoS Wasstraat (NaWas).3 Ik verwijs u voor meer informatie hierover door naar de beantwoording van eerdere Kamervragen over DDoS gericht aan de Staatssecretaris van EZK.4

Vraag 3

Is Nederland voldoende weerbaar tegen cyberaanvallen, waaronder DDOS-aanvallen? Zo ja, waaruit blijkt dat? Zo nee, hoe verbeteren we de Nederlandse weerbaarheid tegen cyberaanvallen?

Het CSBN 2020 laat zien dat de weerbaarheid tegen digitale dreigingen nog niet overal op orde is.5 Cyberincidenten hebben de potentie om grote schade aan te richten en in uiterste gevallen maatschappelijke ontwrichting te veroorzaken.
De afgelopen jaren is daarom ingezet op het versterken van cybersecurity. De kabinetsbrede aanpak van cybersecurity is vastgelegd in de Nationale Cybersecurity Agenda (NCSA).6 De uitvoering daarvan wordt ondersteund met investeringen door het kabinet die oplopen tot 95 miljoen euro structureel. Om in te kunnen spelen op technologische en maatschappelijke ontwikkelingen, en actuele dreigingen en risico’s zijn de maatregelen uit de NCSA in de loop van de tijd verder uitgewerkt en versterkt. Dit is sinds de verschijning van de NCSA meerdere keren gebeurd.7, 8, 9, 10 De zeven ambities uit de NCSA blijven hierbij het uitgangspunt en over de voortgang op deze ambities wordt jaarlijks gerapporteerd aan uw Kamer. De NCSA is opgesteld onder leiding van en uitgevoerd onder coördinatie van het Ministerie van Justitie en Veiligheid en met de vakdepartementen vanuit hun eigen specifieke beleidsverantwoordelijkheden. De Minister van Justitie en Veiligheid is de coördinerend bewindspersoon op het gebied van cybersecurity.
Over het niveau van de digitale weerbaarheid in Nederland en de maatregelen die in dat kader zijn genomen, verwijs ik graag naar het CSBN 2021 en de begeleidende beleidsbrief die de Minister van Justitie en Veiligheid op korte termijn aan uw Kamer zal aanbieden.
Specifiek voor de overheid geldt de Baseline Informatiebeveiliging Overheid
(BIO) sinds eind 2018 als basisnormenkader voor informatiebeveiliging waaraan alle overheden zich moeten houden.11 Door implementatie van de BIO hebben overheidsorganisaties de basisbeveiliging op orde. Dit levert een bijdrage aan de weerbaarheid tegen cyberaanvallen, bijvoorbeeld door het verplicht minimaal jaarlijks testen op feitelijke veiligheid. Een voorbeeld hiervan is het uitvoeren van penetratietesten. Een penetratietest is een beveiligingscontrole die gericht is op een deel van het systeem. Bij een penetratietest wordt gekeken of het mogelijk is om kwetsbaarheden en risico's ook daadwerkelijk te gebruiken om de beveiliging op deze systemen te omzeilen, in te breken of te doorbreken.

Vraag 4

Is de Nederlandse overheid proactief op zoek naar kwetsbaarheden in de beveiliging? Zo nee, waarom niet?

Alle overheden hanteren de overheidsbrede BIO als basis voor de inrichting van hun digitale veiligheid. De baseline is erop gericht om de weerbaarheid van overheidsorganisaties ten aanzien van cyberdreigingen en incidenten te vergroten. Het proactief monitoren op kwetsbaarheden en waar nodig verhelpen van deze kwetsbaarheden is een van de relevante maatregelen daarbij. Zoals ik op 18 maart jl. aan uw Kamer heb gemeld in mijn voortgangsbrief over informatieveiligheid bij de overheid12, testen steeds meer overheden hun feitelijke veiligheid op verschillende manieren. Het overheidsbrede ondersteuningsprogramma BIO van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK), dat overheden sinds 2019 helpt met de implementatie van de BIO, besteedt ook aandacht aan het belang van testen. Eveneens vinden er bij de overheid ook verschillende cyberoefeningen plaats, die kwetsbaarheden in de beveiliging kunnen aantonen. De Nederlandse overheid is dus inderdaad proactief op zoek naar kwetsbaarheden in de beveiliging.
Specifiek voor het Rijk is geïnventariseerd bij de departementen op welke wijze het geautomatiseerd zoeken naar kwetsbaarheden gestalte krijgt. Uit deze inventarisatie blijkt dat dit breed wordt toegepast. In het kader van kennisdeling heeft het Ministerie van BZK in samenwerking met een groep experts binnen de rijksoverheid en de departementen een handreiking opgesteld en vastgesteld voor het inrichten van een doorlopende kwetsbaarhedenscan bij rijksoverheidsorganisaties. Daarnaast worden er door departementen diverse middelen ingezet om proactief naar kwetsbaarheden te zoeken, waaronder penetratietesten en red teaming oefeningen, en voert de Auditdienst Rijk in opdracht van de departementen en het Ministerie van BZK onderzoeken uit naar de feitelijke veiligheid van systemen en netwerken.
Een belangrijk uitgangspunt is dat iedere private en publieke organisatie primair zelf verantwoordelijk is voor zijn eigen digitale beveiliging.
De computercrisisteams (CSIRTS)13 van de overheden spelen een belangrijke rol om overheidsorganisaties te ondersteunen bij het voorkomen en verhelpen van digitale incidenten. Wel geldt voor organisaties die deel uitmaken van de rijksoverheid (en vitale aanbieders) dat het Nationaal Cybersecurity Centrum (NCSC) krachtens de Wet beveiliging netwerk- en informatiesystemen (Wbni) tot taak heeft om hen bijstand te verlenen om hun digitale weerbaarheid te waarborgen en te versterken. Daarnaast deelt het NCSC in algemene zin informatie over kwetsbaarheden en daarbij behorende beveiligingsadviezen op zijn website.

Vraag 5

Is er een noodprotocol om de overheid te laten functioneren als de overheid te maken krijgt met een cyberaanval? Zo nee, vindt u het zinvol om een noodprotocol te ontwikkelen? Wilt u uw antwoord motiveren?

Alle overheden kennen herstel- en continuïteitsplannen voor wanneer er sprake is van digitale verstoring. Ook worden er diverse maatregelen getroffen om de continuïteit van de digitale overheid te kunnen waarborgen. Zo verplicht de BIO dat overheidsorganisaties hun informatiebeveiligingscontinuïteit plannen, implementeren, verifiëren, beoordelen en evalueren.14 Voor bedrijfskritische onderdelen in de bedrijfsvoering geldt de eis van herstel binnen een week. Op die manier voorzien overheden in de continuïteit van processen en systemen van de digitale overheid.
Voor situaties waarvan sprake is van maatschappelijke ontwrichting kan in het uiterste geval de nationale crisisstructuur in werking treden. Deze is door het kabinet vastgelegd in het Instellingsbesluit Ministeriële Commissie Crisisbeheersing en het Nationaal Handboek Crisisbesluitvorming. Het Nationaal Crisisplan Digitaal (NCP-Digitaal) is een specifieke uitwerking voor de aanpak van een crisis veroorzaakt in het digitale domein.15
Ten slotte wordt er ook geoefend bij de overheid. Omdat de ketenafhankelijkheid een gegeven is op de digitale snelweg, wordt er jaarlijks sinds 2019 geoefend met gesimuleerde hackaanvallen op processen en systemen van de overheid. Deze jaarlijkse Overheidsbrede Cyberoefening16 wordt georganiseerd door het Ministerie van BZK. Met alle overheden wordt het oefenscenario zo realistisch mogelijk uitgewerkt waarbij een digitale verstoring merkbaar zichtbaar is bij meerdere overheidslagen. Juist door ketens heen, interbestuurlijk en met een brede doelgroep (van IT-professional tot aan de bestuurder van een overheidsorganisatie).

Vraag 6

Heeft u contact gehad met uw Belgische ambtgenoot over de DDOS-aanval? Zo ja, wat is er besproken en wat heeft het gesprek opgeleverd?

Internationaal wordt op continue basis met partners op operationeel niveau zoveel als mogelijk informatie over dreigingen en incidenten uitgewisseld. Het NCSC heeft op dinsdag 4 mei en donderdag 6 mei jl. contact opgenomen met het Belgische Collectief Computer Security Incident Response Team (CSIRT), CERT-BE, voor het opvragen van technische details van de DDoS-aanval.
In EU-verband en bilateraal werkt Nederland overigens ook goed samen met België aan de versterking van cyberweerbaarheid. De Nederlandse ambassade in België heeft op dinsdag 4 mei jl. contact gehad met de Belgische federale overheid over de DDoS-aanval en de maatschappelijke impact hiervan. De ontvangen informatie is direct gedeeld met het Ministerie van Buitenlandse Zaken en de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV).

Vraag 7

Welke lessen zijn er te leren aan de hand van de cyberaanvallen in België?

Digitale incidenten zijn niet gebonden aan landsgrenzen. Incidenten of dreiging daarvan in andere landen kunnen ook op organisaties in Nederland effect hebben. Internationale samenwerking is daarom van groot belang. Door snelle informatie-uitwisseling wordt bijvoorbeeld het NCSC in de gelegenheid gesteld organisaties binnen de doelgroep tijdig te waarschuwen en te informeren.
In Nederland wordt snelle informatie-uitwisseling over DDoS-aanvallen ook bevorderd door de Anti-DDoS-Coalitie.17 Dit is een samenwerkingsverband van publieke, private en wetenschappelijke partijen waarbinnen informatie en kennis over DDoS-aanvallen gedeeld kan worden om de weerbaarheid tegen aanvallen te verhogen.
In algemene zin tonen de cyberaanvallen in België wederom het belang van het op orde hebben van de digitale weerbaarheid aan.

Vraag 1

Hoe beoordeelt de Minister de conclusie van de Inspectie Leefomgeving en Transport (ILT) dat er een verhoogd – maar moeilijk te kwantificeren – risico aanwezig is op een cyberincident met mogelijke gevolgen voor de kwaliteit en/of de continuïteit van drinkwater?

Ik ga uit van het oordeel dat de ILT in het inspectierapport over de cyberweerbaarheid bij Waternet heeft gegeven. Er wordt op het gebied van cybersecurity niet voldaan aan de Wet beveiliging netwerk- en informatiesystemen (Wbni) en de Drinkwaterwet. Waternet staat daarom onder verscherpt toezicht. Het is de eerste keer in Nederland dat een drinkwaterbedrijf door de ILT onder verscherpt toezicht wordt geplaatst omdat de grip op de cyberweerbaarheid niet op orde is. Voor Waternet is het nu de opgave om er met prioriteit voor te zorgen dat de cyberverdediging weer op orde is. Hiertoe heeft Waternet op 29 april jl. een verbeterplan bij de ILT ingediend. Het is nu aan de ILT om in het kader van het verscherpt toezicht de uitvoering van het verbeterplan actief te bewaken.

Vraag 2

Taxeert de Minister dat dit risico aanvaardbaar is, hangende het verscherpte toezicht? En zo nee, wat gaat de Minister doen om de risico’s beter in beeld te krijgen en te beheersen?

Op dit moment doen zich voor zover mij bekend geen acute risico’s voor bij Waternet ten aanzien van de veiligstelling van de openbare drinkwatervoorziening die aanleiding zouden kunnen zijn tot verdere interventies. De ILT heeft tot op heden geen incidentmeldingen ingevolge de Wbni of Drinkwaterwet met betrekking tot de levering en kwaliteit van drinkwater ontvangen die kunnen worden gerelateerd aan het geconstateerde verhoogde risico voor cyberincidenten. In mijn Kamerbrief van 4 november 20201 heb ik toegelicht dat de eindverantwoordelijkheid voor cybersecurity bij Waternet (drinkwaterrelevante deel) primair bij het bestuur van de gemeente Amsterdam ligt. De ILT constateert dat het risicomanagement bij Waternet onvoldoende op orde is. Het is daarom in de eerste plaats aan het Stichtingsbestuur van Waternet en de gemeente Amsterdam om invulling te geven aan de bestuurlijke taxatie van de risicoacceptatie van de digitale beveiliging in relatie tot de bedrijfscontinuïteit. Dit overeenkomstig de bepalingen omtrent de risicogebaseerde aanpak in de bijlage bij artikel 3a, eerste lid, van het Besluit beveiliging netwerk- en informatiesystemen (Bbni).2
Waternet heeft op basis van de gesignaleerde tekortkomingen in het ILT-rapport een verbeterplan ingediend. De ILT zal beoordelen of de onderbouwing van de risicoacceptatie en daarbij gehanteerde systematiek (en prioriteit van te nemen risicobeheersingsmaatregelen) van Waternet voldoende is. Vervolgens moet Waternet de noodzakelijke risicobeheersingsmaatregelen treffen om de cybersecurity in voldoende mate op orde te krijgen. Daar kan ik nu niet op vooruit lopen.

Vraag 3

Wat is de Minister voornemens te doen om het tempo te verhogen van het implementeren van de door de ILT voorgestelde oplossingen?

In het verbeterplan dat door Waternet aan de ILT is aangeboden is voor alle in het ILT-rapport vermelde tekortkomingen aangegeven hoe en wanneer deze zijn opgelost, inclusief de stappen op weg daarnaartoe. Het is aan de ILT om te beoordelen of de planning en uitvoering van de voorgestelde maatregelen voldoet en de voortgang daarvan gedurende het verscherpte toezicht te bewaken.

Vraag 4

Wordt er in het verscherpte toezicht ook nader gekeken naar de organisatiestructuur en de besturing van de organisatie, en de bijdrage die dat volgens het ILT-onderzoek levert aan de tekortkomingen in de cybersecurity? Zo ja, op welke manier? Zo nee, waarom niet?

Ja. Het oplossen van de tekortkomingen in de besturing, zoals in het onderzoek aangegeven, maakt onderdeel uit van het verbeterplan van Waternet. Waternet pakt zaken op die op korte termijn verbeterd kunnen worden en evalueert de zaken waarvoor een meer structurele verandering noodzakelijk is die meer voorbereiding vraagt. Gedurende het onderzoek heeft Waternet al stappen gezet die bijdragen aan de verbetering van de cybersecurity, bijvoorbeeld door de aanstelling van een CIO (Chief Information Officer). Bij het verscherpt toezicht onderhoudt de ILT intensief contact met Waternet over de voortgang van de verbeteringen.

Vraag 5

Zijn er naast het verscherpte toezicht nog andere stappen die door u of de ILT worden gezet om te zorgen dat de cybersecurity bij Waternet structureel verbetert? Welke stappen worden er door de organisatie van Waternet zelf precies gezet en dragen die naar uw mening voldoende bij aan het voorkomen van cyberincidenten?

De ILT beoordeelt eerst het verbeterplan dat door Waternet is opgesteld. Waternet is nu aan zet om de gesignaleerde tekortkomingen te verbeteren. De ILT monitort de voortgang daarvan.
Voor wat betreft de andere stappen heb ik u in mijn brief van 2 april 20213 toegezegd om u ten behoeve van de commissievergadering Water en Wadden van 10 juni as. schriftelijk te informeren over de vervolgacties in het kader van het versterken van cybersecurity in watersector. De instrumenten die in het kader van dit programma worden ontwikkeld, zijn ook bedoeld voor de structurele verbetering van de cyberweerbaarheid van Waternet. Hierbij gaat het onder andere om de Ministeriële Regeling beveiliging netwerk- en informatiesystemen die voor alle AED’s van IenW per 1 juli as. in werking treedt en om de ontwikkeling van een brede cyberstandaard/handreiking voor de procesautomatisering als aanvulling op deze regeling en de Baseline Informatiebeveiliging Overheid (BIO). Daarnaast wordt specifiek voor de drinkwatersector een haalbaarheidsstudie gestart naar de samenwerkingsopties voor een security operations centre (SOC) en is een serious game op het gebied van cybersecurity, crisismanagement en operationele technologie ontwikkeld. Verder wordt een Red Team Blue Team training voor professionals in de watersector aangeboden, waaraan ook Waternet deelneemt.

Vraag 6

Kunt u deze vragen elk afzonderlijk beantwoorden?

Ja.

Vraag 1

Kunt u zich herinneren dat het CDA in de afgelopen jaren herhaaldelijk aandacht heeft gevraagd voor plaatsen in Nederland waar de mobiele bereikbaarheid onvoldoende was en alarmnummer 112 slecht bereikbaar, zoals Olland in Brabant1 Termunten/Termunterzijl in Groningen2 en Vilsteren/Hoge Hexel in Overijssel3?

Ja.

Vraag 2

Bent u bekend met de berichtgeving over de problemen rond de mobiele bereikbaarheid van alarmnummer 112 in delen van Gelderland4 en de schriftelijke vragen die de Provinciale Statenfractie van CDA Gelderland hierover onlangs heeft gesteld?5

Ja.

Vraag 3

Deelt u de mening dat het van levensbelang is dat de mobiele bereikbaarheid in het algemeen en die van alarmnummer 112 in het bijzonder overal in Nederland optimaal is?

Ja. Zoals in de Nota Mobiele Communicatie is beschreven is mobiele communicatie in het algemeen een onmisbare grondstof voor de Nederlandse economie en voor mensen in toenemende mate essentieel voor sociale verbinding en economische kansen.6 De bereikbaarheid van het alarmnummer 112 is daarenboven nog eens van levensbelang. Daarom zijn er voor de bereikbaarheid van 112 extra maatregelen getroffen. Zo kan 112 worden gebeld zonder SIM-kaart of abonnement en kun je naar 112 bellen over elk mobiel netwerk. Je bent voor de bereikbaarheid van 112 dus niet afhankelijk van de netwerkdekking van je eigen aanbieder. Daardoor is de mobiele bereikbaarheid van 112 beter dan de dekking van de drie afzonderlijke mobiele netwerken. Bovendien kun je 112 ook bellen via buitenlandse netwerken, waardoor de dekking in de grensstreken ook optimaal is. Tot slot zijn aanbieders verplicht om per 1 juli ook het bellen van 112 via WiFi-netwerken mogelijk te maken. Daardoor verbetert de bereikbaarheid van 112 binnenshuis.
In de Nota Mobiele Communicatie is ook toegelicht dat er echter (natuurkundige) beperkingen zijn waardoor 100% dekking in de praktijk onmogelijk is. Juist omdat de bereikbaarheid van het alarmnummer 112 van levensbelang is heeft de Minister van Justitie en Veiligheid daarom diverse tips op de website van de rijksoverheid gepubliceerd voor mensen die ondanks alle maatregelen die hiervoor zijn beschreven toch nog problemen ervaren met de bereikbaarheid van 112 via een mobiel netwerk.7

Vraag 4

Kunt u voor ons visualiseren hoe het thans gesteld is met de mobiele bereikbaarheid van alarmnummer 112 in Nederland? Kunnen wij een dekkingskaart ontvangen met «vlekken» waaruit kan worden afgeleid in welke gebieden de mobiele bereikbaarheid slecht/onvoldoende is en dus actie is gewenst?

Mobiele netwerkdekking is afhankelijk van natuurkundige wetten. De dekking is mede daarom niet constant en kan van moment tot moment veranderen. Bijvoorbeeld door seizoensinvloeden, zoals bladeren aan de bomen in de zomer, of weersomstandigheden. Ook de apparatuur die iemand gebruikt bepaalt de mate van dekking die zij of hij ervaart. Een dekkingskaart kan daarom enkel inzichtelijk maken hoe waarschijnlijk het is dat er ergens dekking wordt ervaren. Bovendien is het praktisch onmogelijk om met zekerheid te voorspellen of er ook binnenshuis dekking wordt ervaren. De isolatie van een huis of pand en de gebruikte bouwmaterialen zijn ook allemaal van invloed op de mate van dekking.
In 2015 heeft Agentschap Telecom onderzoek gedaan om te bepalen op welke plekken de waarschijnlijkheid waarmee 112 kan worden bereikt kleiner is dan 99%. Die kaart kunt u terugvinden in het jaarverslag van Agentschap Telecom.8 Op basis van dit complexe en omvangrijke onderzoek9 heeft toenmalig de Minister van Economische Zaken geconcludeerd dat de dekking ten behoeve van mobiele bereikbaarheid van 112 in Nederland op orde is.10 Het is aannemelijk dat de mobiele bereikbaarheid van 112 sindsdien verder is verbeterd. Zo zijn er sinds 2015 gemiddeld genomen elk jaar antenne-opstelpunten bij gekomen om de netwerkdekking te verbeteren, zorgen technologische innovaties ervoor dat de netwerkdekking beter wordt, zijn er met de 700 MHz-band aanvullende frequenties bij gekomen die nog verder reiken en minder last hebben van obstakels, en is het bellen naar 112 via WiFi bij sommige aanbieders al mogelijk.
Er wordt momenteel gewerkt aan het creëren van een kaart die de gezamenlijke buitenhuisdekking van de mobiele netwerken inzichtelijk maakt. De kaart biedt inzicht in de gezamenlijke dekking van de drie mobiele netwerken. Die dekking is een sterke indicatie voor de dekking van 112. De verwachting is dat deze kaart begin 2022 beschikbaar is. Op dat moment zal ik uw Kamer informeren over eventuele mogelijkheden voor het verbeteren van de mobiele dekking.

Vraag 5

Wat zijn de oorzaken van de slechte mobiele bereikbaarheid van 112 in bepaalde delen van Nederland? Betreft het onvoldoende netwerkdekking door onvoldoende masten of spelen ook andere oorzaken als isolatie en weeromstandigheden een rol? In welke mate zorgen juridische procedures tegen het afgeven van een (omgevings)vergunning voor het plaatsen van nieuwe masten voor vertraging?

De dekking van alle drie de mobiele netwerken in Nederland behoort stuk voor stuk tot de absolute wereldtop. Dit blijkt elk jaar weer uit onafhankelijke metingen.11 Voor zover de mobiele bereikbaarheid van 112 in Nederland nog tekort schiet kan dat tal van oorzaken hebben. Zoals in de vraag reeds wordt benoemd spelen de isolatie van woningen of (bedrijfs)panden, weersomstandigheden, maar ook weerstand van burgers tegen de plaatsing van mobiele antennes inderdaad allemaal een rol. Maar ook het toestel dat iemand gebruikt12, de wijze waarop die apparatuur wordt gebruikt13, en seizoeninvloeden zoals wel/geen bladeren aan de bomen kunnen ook allemaal een rol spelen. Waarom er op specifieke locaties (soms) geen of verminderde mobiele bereikbaarheid van 112 is, is dus afhankelijk van de concrete casus en vergt telkens een grondige analyse van alle omstandigheden en mogelijke oorzaken. Dit is ook waarom de kaart uit het antwoord op vraag 4 melding slechts indicaties kan bieden voor de dekking van 112, en geen definitief uitsluitsel.

Vraag 6

Acht u het mogelijk dat met de dekkingsverplichting van 98 procent voor telecomproviders, voortkomend uit de veiling van de 700Mhz-band in 2020, alsnog 100 procent mobiele dekking van alarmnummer 112 kan worden gerealiseerd? Indien niet, hoe kan dan de veiligheid van inwoners in plaatsen met onvoldoende mobiele dekking worden gegarandeerd?

Het doel van de mobiele dekkingsverplichting is om ervoor te zorgen dat de mobiele netwerkdekking van de verschillende vergunninghouders zo veel als mogelijk beschikbaar is en een bepaalde minimumkwaliteit biedt. De verplichting is dan ook niet primair gericht op het verbeteren van de mobiele bereikbaarheid van 112. Niettemin is het waarschijnlijk dat naleving van de verplichting gaat leiden tot een verbetering van de mobiele bereikbaarheid van 112. Zoals in de beantwoording van de vragen 3 en 5 is uitgelegd is 100% mobiele bereikbaarheid van 112 in de praktijk echter onmogelijk. Het aanvullend behouden of nemen van een abonnement met een vaste lijn is daarom altijd verstandig om de bereikbaarheid thuis te vergroten.

Vraag 7

Bent u bereid om het bovenstaande met branchevereniging Monet (waarin telecomproviders verenigd zijn), Agentschap Telecom, gemeenten in de Vereniging van Nederlandse Gemeenten (VNG) en provincies in het Interprovinciaal Overleg (IPO) te bespreken en te verkennen met welke aanvullende acties de mobiele bereikbaarheid van alarmnummer 112 kan worden verbeterd en onveilige situaties voorkomen?

Ik ben doorlopend in gesprek met partijen zoals de branchevereniging Monet, gemeenten, de VNG, en het Agentschap Telecom over tal van onderwerpen. Het verbeteren van de mobiele netwerkdekking is daar ook een onderdeel van. Indirect draagt het verbeteren van de mobiele netwerkdekking ook bij aan de bereikbaarheid van 112 omdat daarvoor de gecombineerde dekking van de drie mobiele netwerken van belang is. Voor de mobiele bereikbaarheid van het alarmnummer 112 is de mogelijkheid om daar naar te bellen via WiFi een belangrijke ontwikkeling. Het lijkt er namelijk op dat vooral de ervaren dekking binnenshuis beter kan. De ACM heeft daarvoor een beleidsregel over opgesteld. Op grond daarvan zijn de drie mobiele netwerkaanbieder verplicht om er per 1 juli 2021 voor te zorgen dat mensen 112 kunnen bellen via een WiFi-netwerk. Men moet dan wel een (relatief moderne) smartphone hebben die bellen over WiFi ondersteunt, geschikt is voor het netwerk van de aanbieder, en mogelijk wat in de instellingen van hun toestel aanpassen. Dat kan men nakijken op de website van deze aanbieders.14 Hierdoor wordt de mobiele bereikbaarheid van 112 binnenshuis naar verwachting aanzienlijk verbeterd.

Vraag 8

Kunt u bij het Agentschap Telecom en/of de VNG nagaan in hoeverre gemeentes bekend zijn met en gebruik maken van de «Handreiking mobiele bereikbaarheid gemeenten», waarmee lokaal de mobiele bereikbaarheid kan worden verbeterd? Wat is hiervan uw eigen indruk?

Agentschap Telecom heeft gemeld dat zij de handreiking al geregeld aan gemeenten heeft verstrekt. Tegelijkertijd heb ik van de VNG en Monet begrepen dat de bekendheid van de handreiking onder gemeenten beter kan. Zij helpen daarbij door gemeenten er op te wijzen.
De handreiking is een nuttig instrument dat gemeentes kan helpen om vat te krijgen op het uiterst complexe en veelzijdige vraagstuk dat mobiele bereikbaarheid inhoudt. In hoeverre gemeentes hier daadwerkelijk gebruik van maken kan ik niet met zekerheid stellen.

Vraag 9

Kunt u deze vragen in ieder geval voor het eerstvolgende commissiedebat Telecommunicatie op 20 mei 2021 beantwoorden?

De beantwoording van deze vragen is bij mededeling van 10 mei uitgesteld.15
Op 1 juni 2021 heeft de vragensteller samen met het lid Rajkowski (VVD) een motie ingediend in vervolg op deze vragen.16 Die motie is inmiddels met algemene stemmen aangenomen. In de motie wordt de regering opgeroepen om «voor 1 januari 2022 met voorstellen te komen om de «witte gebieden» in Nederland te ontsluiten, zodat voldaan kan worden aan de ondergrens van mobiele bereikbaarheid, namelijk 112 te kunnen bellen». Teneinde uitvoering te geven aan deze motie zal allereerst de mobiele dekkingskaart uit de beantwoording van vraag 4 worden opgesteld. Die kaart zal objectieve indicaties geven van plekken waar de dekking van 112 buitenhuis mogelijk nog tekort schiet. Wat de motie «witte gebieden» noemt. Op grond van die informatie zal ik uw Kamer informeren over eventuele mogelijkheden voor het verbeteren van de mobiele dekking.

Vraag 1

Bent u bekend met het artikel «Oproep na kaashack: bestempel voedselvoorziening als vitale infrastructuur»?1

Ja.

Vraag 2

Wat zijn de voor- en nadelen van de voedselvoorziening als vitale infrastructuur te benoemen?

Bij het identificeren van vitale infrastructuur gaat het niet om een afweging waarbij voor- en nadelen leidend zijn. Dit gebeurt aan de hand van vooraf vastgestelde criteria (zie hiervoor het antwoord op vraag 4) op basis waarvan processen al dan niet als vitaal worden aangemerkt middels een vitaliteitsbeoordeling. Uitgangspunt is hierbij dat uitval of verstoring van het proces tot ernstige maatschappelijke ontwrichting kan leiden. Binnen een als vitaal aangemerkt proces kunnen aanbieders die een belangrijke rol vervullen als vitale aanbieders worden aangemerkt. Rechten en plichten voor deze vitale aanbieders volgen bijvoorbeeld uit de Wet beveiliging netwerk- en informatiesystemen (Wbni) of uit sectorale wetgeving.

Vraag 3

Wat voor hulp biedt het Nationaal Cyber Security Centrum (NCSC) aan bedrijven die als vitale infrastructuur worden gezien?

Het Nationaal Cyber Security Centrum (NCSC) heeft krachtens de Wbni primair tot taak om vitale aanbieders en andere aanbieders die deel uitmaken van de rijksoverheid te informeren en adviseren over dreigingen en incidenten met betrekking tot hun netwerk- en informatiesystemen, waar nodig op andere wijze bijstand te verlenen bij het treffen van maatregelen om de continuïteit van hun diensten te waarborgen of te herstellen, en ten behoeve daarvan analyses en technisch onderzoek te verrichten.
Het NCSC werkt hiertoe voortdurend aan de eigen informatiepositie. Dit gebeurt onder meer door het bevorderen van meldingen van organisaties uit bovengenoemde doelgroep van het NCSC (Rijk en vitaal) en het aangaan van samenwerkingsrelaties met andere organisaties.

Vraag 4

Wat zijn de criteria om een bedrijf te kenmerken als vitale infrastructuur?

De Nederlandse vitale infrastructuur wordt gevormd door processen die zo vitaal zijn voor het functioneren van onze samenleving, dat verstoring ervan grote gevolgen voor onze samenleving heeft.2 De verantwoordelijke vakdepartementen beoordelen of en welke processen vitaal zijn. Dit gebeurt in elk geval om de 4 jaar, maar ook wanneer maatschappelijke ontwikkelingen, zoals veranderende dreigingen of risico´s, daar aanleiding toe geven. Bij deze vitaliteitsbeoordelingen worden vooraf centraal opgestelde impactcriteria gehanteerd. Op hoofdlijnen is bepalend dat uitval of verstoring van het proces tot ernstige maatschappelijke ontwrichting kan leiden. Meer concreet wordt getoetst op basis van criteria als grootschalige economische schade, fysieke gevolgen en cascade effecten. Deze criteria zijn ontwikkeld aan de hand van Europese richtlijnen en een nationale beoordelingssystematiek.

Vraag 5

Wat vindt u van de oproep om de voedselvoorziening toe te voegen aan de lijst met bedrijven die worden gezien als vitale infrastructuur?

Ik begrijp die oproep, want voedselvoorziening is vanzelfsprekend heel belangrijk voor onze samenleving. Een objectieve vitaliteitsbeoordeling bepaalt, zoals hierboven vermeld, of een proces wordt aangemerkt als vitaal proces en daarmee deel uitmaakt van de vitale infrastructuur. Elke vier jaar wordt de vitaliteitbeoordeling van processen in elk geval opnieuw doorlopen, zodat nieuwe ontwikkelingen in sectoren of in dreigingen kunnen worden meegenomen. Een dergelijke vitaliteitsbeoordeling van de voedselvoorziening vindt in het kader hiervan later dit jaar plaats door het verantwoordelijke Ministerie (Landbouw, Natuur en Voedselkwaliteit). Hierbij moet wel opgemerkt worden dat hoewel voedselvoorziening heel belangrijk is, een proces pas vitaal is als de uitval van een individuele aanbieder leidt tot grootschalige gevolgen.

Vraag 6

Deelt u de verwachting van IT-beveiligingsexperts, dat hackaanvallen op de voedselvoorziening vaker voor zullen komen? Zo nee, waarom niet?

In het Cybersecuritybeeld Nederland (CSBN 2020)3 wordt geconstateerd dat de digitale dreiging inmiddels een permanent karakter heeft gekregen. Afpersing via ransomware, waar volgens het artikel van de NOS in dit geval sprake van is, is bijvoorbeeld nog altijd een aantrekkelijk verdienmodel voor criminele actoren, en kan leiden tot financiële maar ook maatschappelijke schade. Daarbij richten ze zich op organisaties waarvan zij verwachten dat die de mogelijkheid hebben om grotere geldbedragen te betalen of waarvoor bedrijfscontinuïteit en een belangrijke rol speelt. In de voedselvoorziening kan dit het geval zijn.
Op dit moment is mij geen beeld van de digitale veiligheid van specifiek de voedselvoorziening bekend. In algemene zin constateert het CSBN 2020 wel dat de weerbaarheid tegen digitale dreigingen nog niet overal op orde is. Bij veruit de meeste digitale aanvallen wordt nog steeds gebruik gemaakt van eenvoudige methoden. Het nemen van basismaatregelen kan helpen om barrières op te werpen of schade te beperken.

Vraag 7

Kunt u reflecteren op het bericht dat ethische hackers aangeven dat de digitale veiligheid van de voedselvoorziening niet op orde is?

Zie antwoord vraag 6.

Vraag 8

Wat vindt u van de uitspraak dat de pakkans bij hacken laag is? Wat is de reden van de lage pakkans?

Uit voorlopige cijfers blijkt dat het aantal geregistreerde gevallen van computervredebreuk stijgt4. Al eerder heb ik uw Kamer geïnformeerd over de uitdagingen bij opsporing in het digitale domein5. Het internet is inherent grensoverschrijdend en biedt veel schaalvoordelen. Daders kunnen gemakkelijk in verschillende landen veel slachtoffers maken. Verder zijn online de mogelijkheden tot anonimisering groot, wat het moeilijker maakt de identiteit van verdachten te achterhalen. Het Team High Tech Crime van de Politie en het Landelijk Parket signaleren een toename in de (technische) complexiteit van opsporingsonderzoeken. Dit beïnvloedt de duur en benodigde capaciteit voor opsporingsonderzoeken.
Aangezien het opsporen en vervolgen van cybercrimedelicten complex is zetten de politie en het OM in op een bredere bestrijding. Hieronder vallen ook alternatieve interventies, gericht op preventie en verstoring.

Vraag 9

Moet de overheid meer doen om de pakkans bij hacken te vergroten? Zo ja, wat voor maatregelen heeft u in gedachten? Zo nee, waarom niet?

De afgelopen jaren is er geïnvesteerd in de aanpak van cybercrime bij politie en OM. Zo is de politie met 145 fte uitgebreid, waarmee o.a. de regionale cybercrimeteams zijn versterkt. Vanwege de complexiteit van de opsporing vraagt cybercrime een bredere bestrijding. Daarnaast blijft het van belang dat burgers en organisaties voldoende weerbaar zijn tegen cybercrime.
Er worden ook internationaal maatregelen genomen. Nederland neemt actief deel aan de Europese gesprekken over de E-Evidence-verordening en de gesprekken over een tweede protocol bij het Cybercrimeverdrag, ter bevordering van de grensoverschrijdende opsporing, zowel binnen als buiten de EU. Het is belangrijk om te blijven inzetten op de aanpak van cybercrime, zodat het internet geen vrijplaats wordt voor criminelen.

Vraag 1

Kent u het bericht «ICT-adviseur corporaties had financiële banden met ICT-leveranciers waarover het adviseert»?1

Ja.

Vraag 2

Hoe kijkt u aan tegen de wisselwerking tussen advies- en implementatierollen voor ICT binnen de corporatiesector?

Voor de ICT sector geldt – net als voor andere sectoren – dat een wisselwerking tussen advies- en implementatierollen een ongewenste (schijn van) belangenverstrengeling kan opleveren. Een ICT-aanbieder moet hierover, op zijn minst, transparant zijn. Dit geldt wanneer hij in opdracht werkt voor de corporatiesector, net zo goed als bij welke andere sector dan ook.
Uit het krantenartikel blijkt dat er hier mogelijk sprake is geweest van vermenging van rollen bij een ICT-aanbieder die door woningcorporaties werd ingehuurd. Mogelijke vermenging van rollen is primair de verantwoordelijkheid van de ondernemer, en niet in die van de afnemer. De ondernemer is immers op de hoogte van de mogelijke vermenging van rollen, de afnemer is dat in de regel niet. Wel is het aan woningcorporaties om goed beleid te voeren voor inhuur en aanbesteding, en hierbij kritisch te zijn. Zo kan de corporatiesector bijvoorbeeld van de ondernemer in de (pre)contractuele fase eisen om eventuele mogelijke vermengingen van rollen te melden. Corporaties moeten conform de «Governancecode woningcorporaties» ook alert zijn en vragen stellen bij de inhuur van diensten van een derde partij. Verder hanteren veel corporaties het «Model algemene inkoopvoorwaarden levering diensten en werken» van Aedes. In dit model is een bepaling opgenomen waarin wordt uitgesloten dat een in te huren partij betrokken is bij afspraken met andere ondernemingen waardoor ongewenste prijsvorming kan ontstaan, afstemming van offerten of verdeling van werkzaamheden. Daarnaast heeft Aedes verschillende tools beschikbaar voor de corporaties om professioneel opdrachtgeverschap in inkoop te ondersteunen en vorm te geven.

Vraag 3

Hoe zorgt u ervoor dat advies- en implementatierollen voor bijvoorbeeld ICT, (financieel) management en accountancy binnen de corporatiesector niet door elkaar heen lopen?

De ICT-sector, (financieel) management en accountancy-sector hebben tot taak om ongewenste samenloop van belangen in die sectoren te voorkomen of op zijn minst daar transparant over te zijn richting hun afnemers. NL Digital heeft, als branchevertegenwoordiger van de ICT-sector, een Gedragscode opgesteld voor haar leden. In deze code is onder meer aangegeven het belang te erkennen van integer en transparant handelen voor het vertrouwen in de ICT-branche. Ook is bepaald dat de ondernemer die lid is van NL Digital op integere wijze omgaat met zijn zakenpartners en steeds zorgvuldig de belangen van eenieder afweegt.
Daarnaast besteedt de Autoriteit woningcorporaties (Aw) risicogericht aandacht aan het onderwerp aanbesteding, in het toezicht op de governance van corporaties, en aan de integriteit van beleid en beheer van corporaties. Verder is de Aw bezig vorm te geven aan een nieuwe versie van het hoofdstuk governance van het beoordelingskader voor woningcorporaties, waarbij het onderwerp aanbesteding een expliciet onderdeel wordt van het onderwerp integriteit. Ik ondersteun de inzet van de Aw hierop.

Vraag 4

Hoe kijkt u aan tegen Europese aanbestedingsregels voor corporaties? Bent u bereid om corporaties toch deze regels te laten volgen om dit soort belangenverstrengeling tegen te gaan?

In mijn antwoorden op het Verslag Schriftelijk Overleg over de brief van 8 december 2017 houdende informatie over het besluit van de Europese Commissie om een inbreukprocedure tegen Nederland te starten (Kamerstuk 29 453, nr. 468) heb ik uiteengezet waarom woningcorporaties niet kwalificeren als een aanbestedende dienst in de zin van de Europese aanbestedingsregelgeving. Kortgezegd komt het erop neer dat woningcorporaties kunnen kwalificeren als een instelling die werkt in het algemeen belang maar waar geen sprake is van «toezicht op het beheer», een voorwaarde om als publiekrechtelijke instelling te kwalificeren en daarmee als aanbestedende dienst. Om van «toezicht op het beheer» te spreken moet er sprake zijn van een overheid die actief toezicht uitoefent op het beheer van de instelling. Dit toezicht moet verder gaan dan louter controle achteraf en een dusdanig karakter hebben dat de overheid de mogelijkheid heeft de beslissingen van de betrokken instelling inzake overheidsopdrachten te beïnvloeden. Dat was in het Nederlandse stelsel in 2018 niet het geval en is dat nu nog steeds niet.
Het toepassen van de Europese aanbestedingsregels op woningcorporaties voorkomt de (schijn van) belangenverstrengeling niet zoals aan de orde is in het artikel waar deze vragen op zien. Bepalingen in de Aanbestedingswet 2012 zien op belangenconflicten aan de zijde van de aanbestedende dienst of over de consequenties van een belangenconflict aan de zijde van de ondernemer voor de aanbestedende dienst. Met toepassing van deze regelgeving kan niet meer worden bereikt dan nu met interne regelgeving al kan. Zoals in mijn antwoord op vraag 2 is aangegeven kunnen corporaties dat ook nu al in hun eigen inkooptraject als voorwaarde stellen.

Vraag 5

Hoe gaat u ervoor zorgen dat er meer initiatieven uit de corporatiesector zelf komen, om dit soort belangenverstrengeling tegen te gaan?

Het is niet aan de corporatiesector om op dit vlak verdere initiatieven te ontplooien, bovenop de in antwoord op vraag 2 genoemde governance-code, inkoopvoorwaarden en de beschikbaarheid van verschillende tools. Zoals hierboven omschreven ligt er primair een rol voor ondernemers, in dit geval de ICT-sector. Verder dienen corporaties bij inhuur alert te zijn.

Vraag 6

Welke rol ziet u voor de ACM (Autoriteit Consument & Markt) om dit soort belangenverstrengelingen tegen te gaan?

Het is van belang dat de afnemer op de hoogte is van de mogelijke verschillende rollen die een ondernemer vervult. Het niet-melden van een dergelijke mogelijke belangenverstrengeling is een privaatrechtelijke aangelegenheid waar het publiekrechtelijke toezicht van de ACM niet op past. Het is aan private partijen zelf om hier op een zorgvuldige manier mee om te gaan. Om deze reden hebben Aedes en NL Digital hier ook richtlijnen voor op gesteld. Als een ondernemer zich niet houdt aan de inkoopprocedure van de woningcorporaties, en daarmee een belangenverstrengeling die gemeld had moeten worden bewust verzwijgt, is het aan partijen, al dan niet met tussenkomst van de rechter, om daar een oplossing voor te vinden.

Vraag 7

Deelt u de mening dat de corporatiesector dezelfde strenge normen moet hanteren die ook al gelden voor andere sectoren, zoals voor advies- en implementatierollen binnen de bankensector? Zo nee, waarom niet?

In het aangehaalde artikel gaat het om een mogelijke belangenverstrengeling aan de kant van een ingehuurde derde, niet in het kader van de primaire dienstverlening door de woningcorporaties zelf. De normen die voor de financiële sector gelden om belangenverstrengeling tegen te gaan, zien op belangenverstrengeling in de primaire dienstverlening door de sector zelf.2 Het zou ongewenst zijn om de corporatiesector op te leggen dat zij toezien op integriteitsrisico’s bij in te huren partijen en daarmee verantwoordelijk worden voor interne aangelegenheden bij alle ondernemers van wiens diensten zij afnemer zijn. Dit ligt niet in de lijn van hun primaire taak en corporaties zijn hiervoor niet toegerust.
De accountant en de Aw houden toezicht op het risicomanagement van corporaties. Voor corporaties met meer dan 5000 woningen vloeit dit voort uit de OOB-status. Deze corporaties zijn wettelijk verplicht de interne beheersing te versterken en de accountant inzicht te geven in de beheersing van risico’s waaronder integriteitsrisico’s.

Vraag 8

Hoe kijkt u aan tegen een governance code voor corporaties? Bent u bereid om corporaties een governance code te laten ontwikkelen om dit soort belangenverstrengeling tegen te gaan?

De sector kent een governancecode, zoals in antwoord op vraag 2 ook vermeld. Deze «Governancecode woningcorporaties» is in 2020 vernieuwd. Corporaties dienen volgens deze code zorg te dragen voor een visie op opdrachtgeverschap en het beleid van aanbestedingen. In principe 5.3 van de governancecode is opgenomen dat het bestuur een aanbestedingsbeleid dient op te stellen. Dit beleid onderschrijft de beginselen van gelijke behandeling, objectiviteit, transparantie en proportionaliteit

Vraag 9

Deelt u de mening dat de corporatiesector een statement moet maken om afstand te nemen van de huidige wisselwerking tussen advies- en implementatierollen voor ICT?

Zie mijn antwoord op vraag 5.

Vraag 1

Kent u de berichten «Dijkverhoging dreigt door datacenters: kosten voor burger» en «Zeewolde wil onrust over datacenter te lijf met digitale informatieavond»?1 2

Ja.

Vraag 2

Klopt het dat de dijken in de kop van Noord-Holland door de komst van het datacenter opgehoogd moeten worden? Zo ja, wat is de reden hiervoor?

Nee. De Wieringermeerdijk hoeft niet versterkt te worden omdat deze aan de wettelijke norm voldoet. Dit blijkt uit de wettelijke beoordeling die het waterschap heeft uitgevoerd.3
De komst van het datacenter zorgt voor toename van de economische waarde achter de dijk (bepaalt mede de hoogte van de norm) maar blijft binnen de verwachte economische groei tot 2050, waar rekening mee is gehouden bij het bepalen van de norm voor de Wieringermeerdijk.
Ten algemene geldt dat als een dijk niet aan de norm voldoet deze versterkt zal worden, zoals in de Waterwet vastgelegd. Het waterschap is verantwoordelijk voor de realisatie van een versterking. De kosten voor het versterken worden door het Rijk en de waterschappen gezamenlijk betaald.

Vraag 3

Hoeveel kost dit en wie is hiervoor verantwoordelijk?

Zie antwoord vraag 2.

Vraag 4

Acht u het bij dergelijk grote projecten, zoals de bouw van een datacenter, wenselijk dat burgerinspraak vorm krijgt voordat de vergunningverlening plaatsvindt? Zo ja, hoe wilt u dit vormgeven? Zo niet, waarom niet?

Ja, dit acht ik wenselijk en dit is al het geval. Inspraak door burgers en andere belanghebbenden is mogelijk op zowel het ontwerpbestemmingsplan, waarmee een gemeente in een gebied ruimte reserveert voor een datacenter, als op de milieueffectrapportage die daarmee gepaard kan gaan. Ook bij het opstellen van datacenterstrategieën door de regio’s, zoals in de Haarlemmermeer, is inspraak in het verleden mogelijk geweest.4

Vraag 5

Hoeveel datacenters hebben we in Nederland en hoeveel worden er verwacht?

In uitvoering van de motie Beckerman en Mulder (Kamerstuk 32 813, nr. 590) is op 24 maart 2021 een Kamerbrief verstuurd door de Minister van Economische Zaken en Klimaat (Kamerstuk 32 813, nr. 675) waarin in de bijlage een overzicht wordt gegeven van het aantal datacenters in Nederland. In de bijlage wordt tevens ingegaan op de verwachte groei van datacenters. Hieronder volgen de hoofdlijnen uit deze bijlage:
Volgens de Dutch Datacenter Association waren er in 2020 189 commerciële grote multi-tenant datacenters in Nederland. Verder zijn er volgens die vereniging 5.772 organisaties die een eigen datacenter hebben. In Nederland zijn er momenteel twee locaties met hyperscale datacenters (Eemshaven en Middenmeer), en is er sprake van de mogelijke vestiging van een derde in de regio Zeewolde. Een sluitend inzicht in datacenters die in ontwikkeling zijn is landelijk niet voorhanden; deze gegevens zijn ook vaak bedrijfsvertrouwelijk.

Vraag 6

Wat zijn volgens u de belangrijkste redenen dat grote datatechbedrijven zich zo graag in Nederlands vestigen?

Per bedrijf kan het verschillen welke factoren zij meenemen in de keuze van vestigingslocatie en hoe zwaar zij deze factoren ten opzichte van elkaar wegen. Dit is meestal zeer bedrijfsspecifiek. Op basis van gesprekken met bedrijven en signalen uit de praktijk komt wel naar voren dat bedrijven Nederland als een aantrekkelijke locatie zien voor datacenter activiteiten. Factoren die hierbij een rol spelen zijn het beschikken over een betrouwbare overheid, goede digitale connectiviteit, een hoogopgeleide beroepsbevolking en betrouwbare elektriciteitsvoorzieningen. Voor colocatie datacenters, datacenters waarvan de ruimte wordt gedeeld tussen meerdere partijen (multi-tenant), heeft Nederland in het bijzonder een zeer gunstig vestigingsklimaat vanwege de hyperconnectiviteitsclusters rond Amsterdam; de Amsterdam Internet Exchange (AMS-IX). Voor hyperscale datacenters, grootschalige datacenters die worden beheerd door één partij (single-tenant), is deze hyperconnectiviteit minder relevant. Dit komt omdat hyperscale datacenters voor hun diensten geen gebruik maken van hyperconnectiviteit.

Vraag 7

Wordt er vanuit de Nederlandse overheid gestimuleerd dat grote datatechbedrijven zich hier vestigen?

Grootschalige datacenters worden ook wel hyperscale datacenters genoemd. Het actief aantrekken van hyperscale datacenters wordt op dit moment niet door het Rijk gestimuleerd. Dit geldt ook voor andere soorten datacenters. Als een partij zich meldt bij de Netherlands Foreign Investment Agency (NFIA), de uitvoeringsorganisatie van het Ministerie van EZK die op landelijk niveau verantwoordelijk is voor het aantrekken van buitenlandse bedrijven, wordt deze doorverwezen naar regionale overheden. In beginsel zijn gemeenten en provincies aan zet om deze afweging te maken. Daarbij gelden de kaders zoals die zijn vastgesteld in de Nationale Omgevingsvisie (NOVI).

Vraag 8

Wie is nu het bevoegd gezag voor het verlenen van de omgevingsvergunning bij datacenters, aangezien de Minister van Infrastructuur en Waterstaat (IenW) ervan uitgaat dat dit de provincie Noord-Holland is3, terwijl de vergunningen door de gemeente Hollands Kroon verleend worden en de provincie Noord-Holland stelt dat deze niet geldig zijn omdat de provincie bevoegd gezag is?4 Wat gaat u doen aan deze bestuurlijke onduidelijkheid en chaos?

Mijn uitspraak in het Noordhollands Dagblad ging specifiek over eerdere berichtgeving in het Noordhollands Dagblad7 over het grote drinkwaterverbruik van datacenters. Om helderheid over deze zaak te krijgen heb ik navraag gedaan bij zowel de provincie Noord-Holland als het drinkwaterbedrijf PWN, en hierover bericht in antwoord op eerdere Kamervragen van het lid van Dijk (PvdA, met kenmerk IENW/BSK-2021/91034).
De berichtgeving op RTL Nieuws ging over de omgevingsvergunning. Deze is in eerste instantie afgegeven door de gemeente Hollands Kroon die zichzelf als bevoegd gezag zag. Dit werd vanwege de grootte van een noodstroominstallatie betwist door de provincie Noord-Holland. Het betreft hier een technische-juridische kwestie. Recent is gebleken dat de gemeente op basis van advies van de landsadvocaat Pels Rijcken, het aangepaste standpunt van Infomil en de praktijk in andere provincies en bij de Omgevingsdienst Noordzeekanaalgebied tot een ander inzicht is gekomen over de bevoegdheid tot het verstekken van een vergunning.8

Vraag 9

Klopt het dat watergebruik en lozing geen criteria zijn in de beoordeling van een omgevingsvergunning voor een datacenter? Zo ja, vindt u dit wenselijk? En welke wet- en regelgeving is van toepassing op het waterverbruik en lozingen van datacenters en wie controleert dit?

Het watergebruik en lozing van een datacenter worden in het traject van planvorming tot realisatie op verschillende momenten beoordeeld.
Als een gemeente de realisatie van een datacenter mogelijk wil maken zal het een bestemmingsplan moeten opstellen of wijzigen. Afhankelijk van de grootte van het datacenter en de activiteiten die gepaard zullen gaan met de aanleg, is een mer dan vereist. In een mer moet onder andere aandacht worden besteed aan waterverbruik en lozing en kunnen verschillende opties worden vergeleken, zodat een goede keuze gemaakt kan worden.
Als oppervlaktewater wordt gebruikt moet bij het waterschap of Rijkswaterstaat een vergunning in het kader van de Waterwet worden aangevraagd. Als grondwater wordt gebruikt moet een vergunning in het kader van de Waterwet worden aangevraagd bij het waterschap of provincie. Voor kleinere onttrekkingen kan soms volstaan worden met een melding. Indien gebruik van drinkwater wordt voorzien, zal het waterbedrijf moeten oordelen of de gevraagde aansluiting qua capaciteit past. Hierbij wordt opgemerkt dat het waterbedrijf vanuit de Drinkwaterwet een verantwoordelijkheid heeft die primair gericht is op de levering van drinkwater aan consumenten (dus niet op levering van koelwater aan bedrijven). Een waterbedrijf kan hierbij de gevraagde aansluiting of levering weigeren op basis van zijn algemene voorwaarden.
Voor wat betreft de regelgeving voor lozingen wordt verwezen naar het antwoord op vragen 10, 11 en 12.

Vraag 10

Welke chemicaliën worden gebruikt in het (koel)water van datacenters, hoeveel chemicaliën en voor welke redenen?

Als datacenters afvalwater willen lozen, vragen ze een vergunning aan of doen een melding bij het bevoegd gezag. Voor lozen op oppervlaktewater is dit het waterschap of Rijkswaterstaat. Voor lozen op een riool is dit de Omgevingsdienst namens de gemeente of Provincie. Er is geen landelijk centraal overzicht van alle chemicaliën die worden gebruikt, de hoeveelheden en redenen. In zijn algemeenheid geldt dat het bevoegd gezag alleen een vergunning afgeeft als de waterkwaliteit van het ontvangende water niet verslechtert. Dus mogelijke negatieve effecten van een lozing worden onderzocht en meegenomen in de vergunningaanvraag.
Specifiek over de vraag over welke chemicaliën in koelwater zitten, heb ik eerder navraag gedaan bij het Hoogheemraadschap Hollands Noorderkwartier (HHNK). Dit naar aanleiding van eerdergenoemde Kamervragen van het lid van Dijk (met kenmerk IENW/BSK-2021/91034). HHNK is bevoegd gezag voor de lozing van water voor de twee actieve datacenters in de Wieringermeer: Bij één datacenter wordt niets toegevoegd aan het drinkwater dat voor koeling wordt gebruikt. Bij het andere datacenter wordt zout toegevoegd om het water te ontharden.
Het gebruik van additieven in koelwater voor datacenters verschilt per situatie. Het is afhankelijk van het soort koeling en de bron van water. In oppervlaktewater zitten over het algemeen meer voedingsstoffen voor micro-organismen, die in een koelinstallatie voor aangroei en verstopping kunnen zorgen. Wanneer drinkwater wordt gebruikt is dat veel minder het geval en kan zonder additieven worden gekoeld.

Vraag 11

Klopt het dat het afvalwater met chemicaliën geloosd mag worden in het oppervlaktewater?

Zie antwoord vraag 10.

Vraag 12

Zijn de mogelijke negatieve effecten van de geloosde chemicaliën op het watersysteem onderzocht? Zo ja, wat waren de uitkomsten? Zo nee, waarom niet?

Zie antwoord vraag 10.

Vraag 13

Wat zijn de toegestane lozingsconcentraten en in welke regelgeving zijn deze vastgelegd?

Ik neem aan dat hiermee concentraties van stoffen in afvalwater bedoeld worden. Het bevoegd gezag beoordeelt de lozing op basis van de te verwachte effecten in het ontvangende water. Dit geldt zowel voor de te lozen stoffen als het effect van de warmtelozingen. Er mag geen achteruitgang zijn in waterkwaliteit of de functie van het oppervlaktewater. Hierbij speelt een aantal zaken een rol zoals de grootte en duur van de lozing, de concentraties van stoffen, de temperatuur van het te lozen water. Daarnaast zijn ook eigenschappen van het water waarin geloosd wordt belangrijk, zoals achtergrondconcentraties, aanwezige natuurwaarden, grootte en doorstroming. Om al deze aspecten integraal mee te kunnen nemen in een beoordeling, is de emissie-immissie toets ontwikkeld.9 De warmtevracht wordt beoordeeld met de beoordelingssystematiek warmtelozingen.10 Deze zijn beide opgenomen in de beoordeling-systematiek voor koelwaterlozingen welke te vinden is op de Helpdesk Water.11
De regelgeving voor lozingen is vastgelegd in het Activiteitenbesluit milieubeheer voor lozingen binnen een inrichting, en het «Besluit lozen buiten inrichtingen».

Vraag 14

Wie controleert of datacenters zich houden aan de toegestane lozingsconcentraten?

Voor lozen op oppervlaktewater is dit het waterschap of Rijkswaterstaat. Voor lozen op een riool is dit de Omgevingsdienst namens de gemeente of Provincie.

Vraag 15

Zijn de lozingsconcentraten anders voor warme dagen wanneer de kwaliteit van het oppervlaktewater al vaak in een kritieke toestand verkeerd en wordt hiermee rekening gehouden in de vergunning? Zo nee, waarom niet? Zo ja, wat zijn de toegestane lozingsconcentraten voor warme dagen?

De invloed van lozingen op de waterkwaliteit in het ontvangende water zal inderdaad afhangen van het weer en de mate van doorstroming in oppervlaktewater. Hier wordt bij de beoordeling van de emissie ten behoeve van vergunningverlening rekening mee gehouden. De meest beperkende situatie is daarbij bepalend voor de emissiegrenswaarden.

Vraag 16

Wordt in de vergunning rekening gehouden waar het water wordt gedumpt en of dat waterlichaam gebruikt wordt voor irrigatie van gewassen? Zo nee, waarom niet? Zo ja, wat zijn de toegestane lozingsconcentraten?

Ja, zie vraag 13.

Vraag 17

Klopt het dat er een enorme variatie in koelwaterverbruik is bij datacenters? Zo ja, waarom is er geen maximum gesteld aan het gebruik van koelwater in wet- en regelgeving?

Ja het klopt dat er variatie is in het koelwaterverbruik. Het verbruik van koelwater is sterk afhankelijk van het soort koelsysteem dat wordt gebruikt en het proces wat gekoeld wordt. Het is aan het bevoegd gezag om een afweging te maken of er gebruik wordt gemaakt van de Best Beschikbare Technieken (BBT). Zaken die hier een rol spelen zijn onder andere energieverbruik, waterverbruik, techniekkeuze en koelmedium. Europees zijn voor bedrijven die vallen onder de Richtlijn industriële emissies (2010/75/EU) afspraken gemaakt in de BREF koelsystemen. BREF staat hierbij voor «referentiedocument betreffende de beste beschikbare technieken voor industriële koelsystemen». Dit document is beschikbaar als onderdeel van de eerder genoemde beoordeling-systematiek voor koelwaterlozingen genoemd bij het antwoord op vraag 13. Er wordt dus geen maximum gesteld aan het gebruik van koelwater, maar er wordt een integrale beoordeling gemaakt van de milieuprestaties van een koelsysteem binnen een productieproces.

Vraag 18

Hoeveel koelwater gebruikten de datacenters in Noord-Holland in 2020? Hoeveel zou een groot datacenter, zoals gebouwd wordt in Zeewolde gebruiken in 2020?

Er is geen informatie beschikbaar over gebruik van koelwater voor specifieke datacenters in Noord-Holland. Wel heb ik, in antwoord op eerdere Kamervragen van het lid van Dijk (PvdA, met kenmerk IENW/BSK-2021/91034), laten weten dat uit gegevens van het waterbedrijf PWN blijkt dat 0,6% (650,000 m3 in 2020) van het door hen geleverde drinkwater wordt gebruikt als koeling door verschillende bedrijven (waaronder datacenters).
De gemeente Zeewolde heeft op haar website informatie gepubliceerd over het waterverbruik van het geplande datacenter.12
Het datacenter koelt voornamelijk met lucht. Alleen als het warm is of de lucht erg droog wordt er oppervlaktewater gebruikt. De gemeente geeft aan dat de maximale capaciteit nodig is als de temperatuur boven 26ºC komt en de luchtvochtigheid onder de 60% ligt. Dit zal naar verwachting 4 tot 5 dagen per jaar het geval zijn. Het datacenter neemt op die dagen maximaal 270 m3/uur in, waarvan 216 m3/uur weer wordt geloosd. Het netto-verbruik tijdens die piekmomenten is dus 54 m3/uur.

Vraag 19

Klopt het dat datacenters juist op warme dagen, wanneer de temperatuur boven de 25 graden Celsius komt, drinkwater gebruiken om te koelen? Klopt het dat in droge zomermaanden het verbruik van drinkwater door datacenters twee en een half keer zo groot is als het gemiddelde gebruik van een datacenter?

Ja. De koelbehoefte is het grootst op warme dagen. De verhouding tussen piek en gemiddeld verbruik zal afhankelijk zijn van de gekozen koeltechniek en het weer. Het waterbedrijf PWN heeft aangegeven dat zij bij datacenters een vrij constante afname zien met een verhoging in de zomermaanden. Bij één datacenter zien zij een piek in de zomermaanden die twee keer zo groot is als het gemiddeld maandverbruik.

Vraag 20

Vindt u het wenselijk dat datacenters drinkwater gebruiken om te koelen? Zo ja, vindt u het wenselijk dat datacenters meer drinkwater gebruiken in droge tijden, gezien de droogte problematiek van de afgelopen drie jaar?

Nee. Ik vind het over het algemeen niet wenselijk dat datacenters drinkwater geleverd door een waterbedrijf gebruiken om te koelen. Zeker niet gezien de droogte in de afgelopen jaren.
De afweging of een datacenter aangesloten moet worden op het drinkwaternet ligt uiteindelijk bij het waterbedrijf. Hierbij wordt opgemerkt dat het waterbedrijf vanuit de Drinkwaterwet een verantwoordelijkheid heeft die primair gericht is op de levering van drinkwater aan consumenten (dus niet op levering van koelwater aan bedrijven). Een waterbedrijf kan hierbij de gevraagde aansluiting of levering weigeren op basis van zijn algemene voorwaarden.

Vraag 21

Zijn er mogelijkheden om datacenters af te koppelen van drinkwater, indien nodig, terwijl het datacenter doordraait?

Ja, er zijn mogelijkheden om datacenters af te koppelen. Als in droge tijden water moet worden verdeeld wordt de zogenaamde «verdringingsreeks» toegepast. Dit is wettelijk verankerd in de Waterwet. De verdringingsreeks heeft vier categorieën van heel belangrijk naar minder urgent. Voorbeelden in afnemende volgorde van belang: zorgen dat dijken stabiel blijven (categorie 1), drinkwater/en elektriciteitsvoorziening (categorie 2), hoogwaardig proceswater (categorie 3), en als laatste grootschalige irrigatie/koeling (categorie 4). Koelwater wordt dus als eerste afgekoppeld. PWN geeft aan dat de bedrijven die drinkwater voor koeling gebruiken op de hoogte zijn van mogelijk afkoppelen tijdens droogte.
De brancheorganisatie Dutch Data Center Association geeft aan goed op de hoogte te zijn van de verdringingsreeks. Ze heeft hier ook over gepubliceerd op haar website.13 Moderne datacenters gebruiken vaak een combinatie van vrije koeling (alleen met lucht) en adiabatische koeling (lucht en water). Andere moderne datacenters kiezen voor een combinatie van WKO (warmte/koude opslag) en vrije koeling, waardoor er geen of amper water wordt verbruikt voor de koeling. Alle professionele datacenters kunnen, in het geval dat er geen water beschikbaar is, operationeel blijven en met lucht koelen, ook als het warmer dan 20 graden is. Dit kost dan wel meer stroom, maar daar wordt in het ontwerp rekening mee gehouden.
Sommige datacenters hebben ook een eigen waterbuffer. Dit geldt voor zowel het datacenter van Microsoft in de Wieringermeer als bij het beoogde datacenter in Zeewolde.

Vraag 22

Bent u bereid om te onderzoeken welk ander water, zoals industriewater of grijs water, gebruikt kan worden om datacenters te koelen? Zo nee, waarom niet? Zo ja, per wanneer?

Hoewel ik niet voornemens ben om specifiek voor datacenters onderzoek te laten uitvoeren, lopen er verschillende beleidstrajecten, die ervoor kunnen zorgen dat (toekomstige) datacenters ander water gaan gebruiken.
Zoals bij de vorige vraag aangegeven, zijn waterbedrijven beleid aan het ontwikkelen om te zorgen dat er geen drinkwater meer wordt afgenomen als dat voor het gebruik niet nodig is. Dit betekent dat waterbedrijven een aansluiting kunnen weigeren. Daarnaast is de branche ervan op de hoogte dat koelwater bij waterschaarste als eerste wordt afgekoppeld. De initiatiefnemer zal dus afhankelijk van de lokale situatie op zoek moeten gaan naar een alternatief en/of back-up. Dit kan industriewater, grijswater, of vaak nog beter hemelwater zijn.
De keuze voor de bron van water moet meegenomen worden in de locatiekeuze van een datacenter. Omdat hierbij ook andere zaken een rol spelen (ruimte, beschikbaarheid van energie, internetkabels) is dit een lokale afweging. Verschillende regionale overheden hebben of ontwikkelen beleid dat meer duidelijkheid moet verschaffen over de vestigingsvoorwaarden voor datacenters. Voorbeelden zijn de Metropoolregio Amsterdam, de provincie Noord-Holland, en de gemeente Haarlemmermeer.14 15 16
Met het Deltaprogramma Zoetwater investeer ik samen met de regio’s veel extra geld in uitvoeringsmaatregelen om ons land weerbaarder te maken tegen watertekorten door zuiniger te zijn met water, water beter vast te houden en slimmer te verdelen. Hierbij kijken we ook naar mogelijkheden voor hergebruik van grijswater. Dit water kan voor verschillende toepassingen worden gebruikt – waaronder datacenters.

Vraag 23

Bent u bereid om te onderzoeken of het mogelijk is voor datacenters om op het riool te lozen? Zo nee, waarom niet? Zo ja, per wanneer?

Nee. De keuze tussen lozing op riool of oppervlaktewater hangt af van de verontreinigingsvracht, het volume aan afvalwater, en het soort stoffen. In de datacenters van de Wieringermeer is het afvalwater vooral zouter. Zout wordt niet verwijderd in een rioolwaterzuivering, dus voor de waterkwaliteit heeft dit geen effect. In de Wieringermeer wordt geloosd op een vaart die uitkomt op een gemaal dat loost op de Waddenzee. Er is in dat specifieke geval geen nadelig effect door het relatief zoute lozingswater. Voor het beoogde datacenter in Zeewolde, wordt een zuiveringsinstallatie voorzien in het ontwerp. Dit zorgt ervoor dat de zuivering is afgestemd op de kwaliteit van het koelwater en eisen die vanuit het ontvangende water worden gesteld. Daarnaast voorkomt dit een extra belasting van de communale zuivering.

Vraag 24

Bent u het eens dat er voorwaarden aan de komst van datacenters moeten worden gesteld, zoals een circulair koelsysteem? Zo nee, waarom niet?

In de huidige situatie worden er voor verschillende activiteiten die gepaard gaan met datacenters in vergunningverlening voorwaarden gesteld. Het gaat dan om zowel waterverbruik (zie het antwoord op vraag 9), als koelwaterlozingen (zie het antwoord op vraag 17).
Ik ben het eens dat aanvullende sturing en voorwaarden nodig zijn in die regio’s waar in de toekomst veel nieuwe datacenters zijn te verwachten. Zoals in het antwoord op vraag 22 beschreven zijn de Metropoolregio Amsterdam, de provincie Noord-Holland en de gemeente Haarlemmermeer hier al mee bezig.17 18 19 In dit regionale beleid worden vestigingsvoorwaarden bepaald voor datacenters rond onder meer water, ruimte en hergebruik van restwarmte.
Met het begrip «circulair koelsysteem» neem ik aan dat gedoeld wordt op hergebruik van restwarmte. Dit is één van de aspecten waar in regionaal beleid voorwaarden voor kunnen worden gesteld. Dit zal vooral kansen bieden in gebieden waar de warmte gebruikt kan worden, bijvoorbeeld in stedelijk gebied. Dit wordt al op verschillende locaties in Nederland toegepast, bijvoorbeeld in Hengelo, Heerlen en Eindhoven.20

Vraag 25

Bent u bereid tot ontwikkeling van landelijke wetgeving met betrekking tot het gebruik van drinkwater voor koeling en het lozen van koelwater van datacenters? Zo nee, waarom niet?

Voor wat betreft het gebruik van drinkwater verwijs ik naar de antwoorden op vragen 20 en 21. Daarnaast gaat Het Rijk samen met de partners (provincies, waterschappen, drinkwaterbedrijven en industrie via VEMW) een verkenning uitvoeren naar het juiste water voor het juiste gebruik. Dit is een actie die zal worden opgenomen in de nieuwe Beleidsnota drinkwater, die ik binnenkort naar de Kamer stuur. Dit is niet specifiek voor datacenters. De Drinkwaterwet geeft aan waterbedrijven de mogelijkheid om een gevraagde aansluiting of levering te weigeren, op basis van zijn algemene voorwaarden. Dit betekent dus dat er geen aanvullende wetgeving nodig is om aansluiting bedoeld voor koeling te weigeren.
Voor wat betreft de lozing van koelwater, is er een robuust stelsel zoals beschreven in de antwoorden op vragen 10 tot en met 17. Ik acht aanvullende wetgeving specifiek voor de datacenters momenteel niet nodig.

Vraag 1

Bent u bekend met het artikel «Huawei had toegang tot gegevens miljoenen Telfort-klanten»?1

Ja, ik ben met het artikel bekend.

Vraag 2

Wat is uw reactie op deze berichtgeving, die erop wijst dat Huawei toegang had tot de klant- en facturatiegegevens van miljoenen Telfort abonnees?

Aanleiding van het artikel is een intern audit-rapport van KPN uit 2011 waarin KPN een reguliere audit doet naar de beveiliging van een destijds nieuw systeem van Telfort, toen onderdeel van KPN, waarop klant- en facturatiegegevens (zoals persoons- en verkeersgegevens) werden bewaard. KPN heeft ons gemeld dat het Amerikaanse bedrijf HP hoofdaannemer was voor de realisatie van het systeem en diverse onderaannemers gebruikte, waaronder Huawei, voor de bouw en het beheer. Uit dat rapport zou blijken dat beveiligingsmaatregelen niet op orde waren, zoals logging en monitoring van wie toegang heeft tot het systeem en wie wat met de gegevens doet. Uit het rapport kwam een groot aantal verbeterpunten waarvan de meeste waren gericht aan HP als hoofdaannemer. Volgens KPN zijn alle verbetermaatregelen in de jaren erna opgevolgd. Huawei had als leverancier toegang tot het systeem voor reguliere beheer- en onderhoudsactiviteiten. Ons is niet bekend of via deze beheertoegang klantgegevens zijn ontvreemd. Navraag bij KPN leert dat dit KPN niet is gebleken. Het systeem is in het voorjaar van 2018 vervangen.

Vraag 3

Klopt het dat uit het aangehaalde KPN-rapport blijkt dat Huawei geregeld bestanden uit de klantomgeving van Telfort haalde? Zo ja, wat is uw reactie op de verklaring van hetzelfde bedrijf dat er geen enkele aanleiding is om te veronderstellen dat er gegevens van Telfort-klanten waren ontvreemd, door wie dan ook? Bent u bereid om hier bij KPN opheldering over te vragen?

Zie antwoord vraag 2.

Vraag 4

Kunt u helder uiteenzetten tot welke specifieke datavariabelen Huawei precies toegang had?

Zie antwoord vraag 2.

Vraag 5

Is het denkbaar dat de Chinese autoriteiten op deze manier, via Huawei, de Oeigoerse diaspora of andere specifieke groepen in beeld konden brengen of konden volgen?

Het is ons niet bekend of, voor zover sprake is geweest van ontvreemding van klantgegevens, Chinese autoriteiten op deze manier Oeigoerse diaspora of andere groepen in beeld konden brengen of konden volgen. In algemene zin is bekend dat statelijke actoren zich richten op het vergaren van (onder meer) persoonsgegevens voor het monitoren en profileren van doelwitten. Daarbij is bekend dat de inlichtingen- en beïnvloedingsactiviteiten van China zich mede op zijn diaspora richten. Ongewenste buitenlandse beïnvloeding en inmenging hebben de aandacht van het kabinet en de inlichtingen- en veiligheidsdiensten in het bijzonder. Op het moment dat concrete activiteiten in dat verband worden waargenomen, wordt bezien of passende maatregelen nodig en mogelijk zijn.

Vraag 6

Welke acties zijn ondernomen in 2019 toen medewerkers van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en specialisten van KPN een verborgen toegangspad naar klantgegevens ontdekten waar alleen Huawei bij kon?

Het kabinet doet in het openbaar geen uitspraken over het kennisniveau of de activiteiten van de Nederlandse inlichtingen- en veiligheidsdiensten.
In het algemeen kan gesteld worden dat de Telecommunicatiewet sinds 2012 een zorgplicht kent die ertoe strekt dat aanbieders van openbare telecommunicatienetwerken en -diensten passende technische en organisatorische maatregelen dienen te nemen om de risico’s voor de veiligheid en de integriteit van hun netwerken en diensten te beheersen. In het kader van die zorgplicht past het niet dat er toegangspaden tot een netwerk en diensten bestaan die niet zijn geautoriseerd of gecontroleerd door de desbetreffende aanbieder van openbare telecommunicatienetwerken en -diensten. Het ongeautoriseerd aanbrengen van geheime toegangspaden kan daarnaast een verdenking opleveren van een misdrijf als bedoeld in de artikelen 350c Sr en/of 138ab Sr.

Vraag 7

Is het bestaan van dat toegangspad destijds gemeld bij de Autoriteit Persoonsgegevens? Zo nee, waarom niet?

Zie antwoord vraag 6.

Vraag 8

Is destijds bij Huawei om opheldering gevraagd over het ontdekte toegangspad? Zo ja, door wie, en wat was de reactie? Zo nee, waarom niet? Op welke wijze is het toegangspad gesloten? In hoeverre is het aanbrengen van geheime toegangspaden in strijd met de wet?

Zie antwoord vraag 6.

Vraag 9

Klopt het dat het bewuste klantsysteem momenteel niet meer in gebruik is? Tot wanneer was het systeem wel in gebruik?

Het klopt dat dit bewuste klantsysteem, uit het audit rapport van 2011, momenteel niet meer in gebruik is. Het betreft hier een oud klantsysteem van Telfort. Het systeem was in gebruik tot voorjaar 2018.

Vraag 10

Kunt u uitsluiten dat Huawei op dit moment dergelijke toegang heeft tot klantgegevens van Nederlandse burgers? Hoe wordt voorkomen dat dit weer kan gebeuren? In hoeverre is de logging van toegang tot klantgegevens van telecombedrijven nu verplicht?

Wij kunnen aan de hand van een intern KPN-rapport uit 2011 geen conclusies verbinden over hoe Huawei in het algemeen producten aanlevert. Het kabinet neemt actief maatregelen om de weerbaarheid van telecommunicatienetwerken te verhogen en misbruik via leveranciers van producten en diensten tegen te gaan. In 2019 heeft de Taskforce Economisch Veiligheid (TFEV), met medewerking van de drie mobiele netwerk operators (KPN, T-Mobile en VodafoneZiggo) een risicoanalyse naar de kwetsbaarheid van de netwerken voor dergelijk misbruik uitgevoerd. Uw Kamer is op 1 juli 2019 geïnformeerd over de uitkomsten hiervan. Op basis van deze analyse heeft het kabinet besloten tot het nemen van de volgende drie maatregelen:
Voor de eerste twee genoemde maatregelen is een grondslag gecreëerd in het Besluit veiligheid en integriteit telecommunicatie, met daarin nadere regels met betrekking tot de in het antwoord op vraag 6–8 genoemde zorgplicht voor telecomaanbieders krachtens de Telecommunicatiewet. De derde maatregel is essentieel om de telecomnetwerken ook in de toekomst veilig te houden.
De standaarden op het gebied van veiligheid die in de praktijk in het kader van deze zorgplicht worden gehanteerd door telecomaanbieders, en worden getoetst door de toezichthouder (Agentschap Telecom), zijn er mede op gericht te voorkomen dat onbevoegden in systemen kunnen komen. Specifieke eisen aan toegang tot systemen, zoals autorisatie, monitoring en logging, ongeacht de leverancier, zijn daar onderdeel van.

Vraag 11

Deelt u de mening van hoogleraar Bas Jacobs, tevens lid van de Cyber Security Raad, dat het interne KPN-rapport ook iets zegt over de wijze waarop Huawei in het algemeen haar producten aanlevert, dat het bedrijf zichzelf een plek diep in de geleverde systemen verschaft? Zo ja, is het dan verantwoord om Huawei een rol te laten spelen in het aanleggen van 5G-netwerken? Zo nee, waarom niet?

Zie antwoord vraag 10.

Vraag 12

Was u al op de hoogte van dit rapport, of is deze informatie nieuw voor u? In hoeverre waren de bevindingen van het rapport al meegenomen in het structurele proces ten aanzien van de risicobeoordeling van kwetsbaarheden van de netwerken van telecomaanbieders?

Wij waren niet op de hoogte van dit rapport. Van belang is om te realiseren dat het hier gaat om een bedrijfsintern rapport uit 2011. Het feit dat KPN dit type audits liet uitvoeren geeft inzage in de wijze waarop KPN invulling geeft aan de toetsing van haar eigen systemen. In de eerder benoemde risicoanalyse van de TFEV is het risico op ongeautoriseerde toegang tot systemen en data en hoe misbruik daarvan te voorkomen meegenomen.

Vraag 13

Deelt u de mening dat dit interne KPN-rapport laat zien dat het onverstandig is om gebruik te maken van andere dan volledig betrouwbare leveranciers in het telecomnetwerk, niet alleen in de kritieke delen van het netwerk, maar ook in het radio- en antennenetwerk? Zo nee, waarom niet?

Op basis van de eerdergenoemde risicoanalyse van de TFEV is besloten om mobiele netwerk operators bij beschikking te verplichten om in kritieke onderdelen van hun netwerken enkel gebruik te maken van vertrouwde leveranciers. Het kabinet doet geen openbare uitspraken welke onderdelen als kritiek zijn aangemerkt. Er is op dit moment geen noodzaak om eenzelfde verplichting op te leggen voor het gehele netwerk. Eén van de maatregelen die het kabinet heeft genomen naar aanleiding van de eerder genoemde risicoanalyse van de TFEV in 2019 is het inrichten van een structureel proces, waarin nieuwe informatie over dreiging en technologie wordt beoordeeld door overheid en de telecomsector samen. Als daar aanleiding toe is, kunnen er op basis van dit structurele proces aanvullende veiligheidsmaatregelen genomen worden.

Vraag 1

Bent u bekend met het bericht «Hoe het CBS en T-Mobile de privacy schonden»?1

Ja.

Vraag 2

Wat is uw eerste reactie op deze berichtgeving?

Het Agentschap Telecom en de Autoriteit Persoonsgegevens doen op dit moment als toezichthouders samen onderzoek naar aanleiding van het NRC-artikel. In dit onderzoek wordt bekeken wat er precies gebeurd is en of daarbij privacyregels zijn geschonden. De resultaten van dit onderzoek zullen moeten worden afgewacht alvorens hierop een reactie kan worden gegeven.

Vraag 3

Vanaf welk moment bent u op de hoogte van deze kwestie? Welke acties hebt u tot dusver ondernomen?

Als Minister van Economische Zaken en Klimaat ben ik politiek verantwoordelijk voor de wetgeving omtrent het CBS en het budget. Het CBS is een zelfstandig bestuursorgaan en derhalve niet hiërarchisch ondergeschikt aan de Minister. Dit brengt met zich mee dat ik geen aanwijzingen aan het CBS kan geven op dossierniveau en dat ik ook niet van alle individuele contracten die het CBS sluit op de hoogte word gesteld. Hierdoor ligt het dus niet voor de hand dat ik van tevoren op de hoogte word gesteld van een dergelijke samenwerking tussen T-Mobile en het CBS. Naar aanleiding van het NRC-artikel ben ik geïnformeerd over deze kwestie. Het publicatiebeleid en de methoden waarmee de statistieken gemaakt worden, vallen onder de eigen verantwoordelijkheid van de DG CBS. Directe politieke invloed op de onderzoeksmethoden en de wijze van publicatie van de resultaten van statistieken zou de geloofwaardigheid en de betrouwbaarheid van de onderzoeken ter discussie kunnen stellen.

Vraag 4

Klopt het dat het verkrijgen van toegang tot de data van telecomproviders hoog op de agenda van staat van de Europese statistiekbureaus en het Nederlandse Centraal Bureau voor de Statistiek (CBS), zoals naar voren komt uit de correspondentie bij vernoemd nieuwsbericht?

Dat is juist. Het gebruik van mobiele data voor statistiek komt in diverse Europese landen voor. Zo heeft de Europese Commissie op 8 april 2020 een aanbeveling uitgebracht over het gebruik van o.a. geanonimiseerde mobiliteitsgegevens bij de bestrijding van Covid-192. Ook voor andere statistieken gebruiken diverse landen telecomdata. Zo gebruikt Destatis (het Duitse federale statistiekbureau) mobiele telefoniedata voor informatie over mobiliteit3 en voor bevolkingsstatistieken4, en gebruikt het Belgische statistiekbureau dergelijke data voor woon-werkverkeer5.

Vraag 5

Welke afspraken hebben het CBS en T-Mobile gemaakt over het uitwisselen van datasets? Kunt u de Kamer, desnoods vertrouwelijk, inzage geven in de documenten waarin deze afspraken en bijbehorende voorwaarden zijn vastgelegd?

De overeenkomst tussen het CBS en T-Mobile waarin de voorwaarden voor samenwerking zijn opgenomen, is openbaar gemaakt6.

Vraag 6

Van hoeveel mobiele klanten van T-Mobile, en eventuele andere telecomproviders, zijn gegevens uitgewisseld? Is het juist dat deze klanten hiervan niet op de hoogte zijn? In hoeverre is dit toegestaan?

Volgens het CBS heeft het geen toegang gehad tot individuele klantgegevens van personen. Het CBS en T-Mobile hebben aangegeven dat het CBS inzicht heeft gehad in gegevens die niet herleidbaar zijn tot klanten en dat de gegevens waar het om gaat geen exacte plaatsbepaling aangeven. Dit neemt niet weg dat er toch vragen zijn gerezen over het verstrekken van gegevens van T-Mobile aan het CBS. Daarom is er een onderzoek ingesteld door het Agentschap Telecom daarin bijgestaan door de Autoriteit Persoonsgegevens.

Vraag 7

Kunt u uitleggen waarom voor een dergelijke uitwisseling van gegevens in het kader van een «pilot-project», zoals een woordvoerder van het CBS omschrijft, geen toestemming nodig zou zijn, terwijl voor een vergelijkbaar initiatief in het kader van coronabestrijding parlementaire goedkeuring gevraagd zou worden?

De Telecommunicatiewet maakt het de aanbieders van telecommunicatiediensten mogelijk om zonder toestemming van de gebruikers locatiegegevens te verwerken onder de voorwaarde dat deze gegevens zijn geanonimiseerd. Na de anonimisering mogen de gegevens, als de aanbieders van telecommunicatiediensten dat zouden willen, ook met derden worden gedeeld. Het CBS geeft aan dat het in de pilot ging om vrijwillig door de aanbieder ter beschikking gestelde geanonimiseerde gegevens. Voor wat betreft het gebruik van telecommunicatiedata voor de bestrijding van Covid-19 hebben diverse aanbieders verklaard hieraan alleen te willen meewerken als zij daartoe wettelijk verplicht worden. In de Tijdelijke wet informatieverstrekking RIVM in verband met de bestrijding van Covid-19 is een dergelijke verplichting voor aanbieders opgenomen. Daarnaast zijn in het wetsvoorstel regels opgenomen over de wijze waarop de telecommunicatie-aanbieders de gegevens aan het CBS moeten leveren.

Vraag 8

Kunt u aangeven of er sprake is van een uitwisseling van geanonimiseerde, niet tot individuele personen herleidbare gegevens en/of gepseudonomiseerde data dan wel van data van niet-anonieme bellers?

Zie antwoord op vraag 6. Het is aan de toezichthouders het Agentschap Telecom en de Autoriteit Persoonsgegevens om dit te beoordelen.

Vraag 9

Kunt u duiden hoezeer de ontwikkeling van een algoritme ten behoeve van het leveren van mobiliteitsinformatie aan overheden, bekostigd met overheidsgeld en in gebruik door commerciële partijen, en het verrijken van databestanden ten behoeve van het in kaart brengen van financiële relaties binnen huishoudens binnen de nieuwe beleidsregels voor het CBS vallen?

Voor deze pilot uit 2017 waren de nieuwe beleidsregels (Beleidsregel taakuitoefening CBS) van 1 juli 2020 niet van toepassing, bovendien betrof de pilot ook geen aanvullende statistische dienst waar de beleidsregels betrekking op hebben. Over het algemeen geldt dat het antwoord op de vraag of de Beleidsregel op een bepaalde activiteit van toepassing is, afhankelijk is van het soort activiteit. Op aanvullende statistische diensten is de Beleidsregel taakuitoefening CBS van toepassing, op activiteiten die worden bekostigd uit de algemene (lumpsum)bijdrage van de Minister van Economische Zaken en Klimaat niet.

Vraag 10

Bent u bereid de Autoriteit Persoonsgegevens om een oordeel te vragen over deze activiteiten en de werkwijze van het CBS?

De Autoriteit Persoonsgegevens en het Agentschap Telecom doen reeds onderzoek naar de pilot van het CBS met T-Mobile.

Vraag 11

Hoe zijn de verschillende onderdelen van de motie-Van den Berg/Wiersma over het tegengaan van oneerlijke concurrentie door het CBS uitgevoerd?2

Graag verwijs ik u hiervoor naar de Kamerbrief die ik 1 juli 2020 heb verstuurd naar de Tweede Kamer over de Consultatieverslagen Beleidsregel taakuitoefening CBS en Regeling werkzaamheden derden CBS en moties Van den Berg en Wiersma8. Hierin informeer ik over het uitvoeren van de motie Van den Berg/Wiersma door het CBS. In het kort komt het erop neer dat het CBS het gevraagde onafhankelijke toezicht op naleving van de beleidsregels in de motie heeft uitgevoerd door het aanstellen van een Competitive Neutrality Officer. Deze functionaris weegt de belangen van marktpartijen mee, heeft kennis van mededingingsvraagstukken en adviseert op onafhankelijke wijze over de toepassing van de Beleidsregel taakuitoefening CBS en de Regeling werkzaamheden derden CBS. Deze functionaris moet minimaal een keer per jaar schriftelijk verslag uitbrengen aan de directeur-generaal van het CBS. Ik heb in de Kamerbrief toegezegd om de Kamer over dit verslag jaarlijks te rapporten. Dit zal ik aankomende zomer doen. Daarnaast heeft de directeur-generaal van het CBS een onafhankelijke klachtencommissie ingesteld met als voorzitter Michaël van Straalen waar marktpartijen klachten kunnen indienen over gedragingen van het CBS met betrekking tot de toepassing van de Beleidsregel taakuitoefening CBS of de Regeling werkzaamheden derden CBS. Ook is in de Raad van Advies van het CBS Henk Don benoemd als extra lid met een achtergrond in mededingingsvraagstukken. De Raad van Advies kijkt met de blik van een externe toezichthouder naar het CBS.

Vraag 12

Is uw indruk dat sinds de inwerkingtreding van de nieuwe beleidsregels het gedrag van het CBS op de markt voor statistiekonderzoek ten goede is veranderd? Waar blijkt dit uit?

De interne werkprocessen bij het CBS en de externe communicatie zijn in 2020 in lijn gebracht met de Beleidsregel taakuitoefening CBS en de Regeling werkzaamheden derden CBS. Zo registreert het CBS alle verzoeken voor aanvullende statistische diensten centraal en is er een stroomschema en afwegingskader opgesteld ter ondersteuning bij het maken van afwegingen om een verzoek wel of niet te honoreren. Mijn vorige antwoord op vraag 11 beschrijft hoe het verdere toezicht is geregeld. Aankomende zomer zal ik de Kamer informeren over het verslag van de Competitive Neutrality Officer over de uitvoering van de Regeling werkzaamheden derden CBS en de Beleidsregel taakuitoefening CBS. Conform de toezegging aan uw Kamer zullen de regelingen twee jaar na inwerkingtreding worden geëvalueerd (in 2022).

Vraag 13

Hebt u sinds de inwerkingtreding van de nieuwe beleidsregels nog klachten van commerciële statistiekbureaus of andere partijen ontvangen over oneerlijke concurrentie door het CBS? Zo ja, wat hebt u met deze klachten gedaan?

Er zijn tot heden geen formele klachten ingediend bij de ingestelde klachtencommissie van het CBS. Wel loopt er momenteel een rechtszaak over de Beleidsregel taakuitoefening CBS en de Regeling werkzaamheden derden CBS. Deze rechtszaak is aangespannen door een brancheorganisatie voor marktonderzoek. Deze organisatie vordert onder meer een verklaring voor recht dat de Regeling werkzaamheden derden CBS onverbindend is, omdat volgens deze regeling onder het begrip derden enkel private partijen moeten worden verstaan.

Vraag 14

Wanneer is het onderzoek door het Agentschap Telecom naar mogelijke privacyschendingen afgerond? Zal dit met de Kamer worden gedeeld?

Het formele onderzoek naar mogelijke overtredingen van de wet- en regelgeving bij het verstrekken van (toegang tot) telecommunicatiegegevens van T-Mobile aan het CBS is begin maart door het Agentschap Telecom gestart. De Autoriteit Persoonsgegevens draagt aan het onderzoek bij, met expertise op het gebied van persoonsgegevens. Een einddatum is nog niet bekend, die hangt mede af van de feiten die uit dit onderzoek naar voren komen. De uitkomst van het onderzoek zal met de Kamer gedeeld worden.

Vraag 15

Bent u bereid om hangende het onderzoek door de Autoriteit Persoonsgegevens het CBS te verzoeken alle voornoemde en verwante activiteiten te staken, totdat er duidelijkheid is over de privacy, gevolgde procedures en werkwijze, aard van uitgewisselde data en toegang van CBS-medewerkers tot die data?

Het CBS heeft aangegeven dat het op dit moment geen activiteiten onderneemt waarbij mobiele telefoniedata worden gebruikt om statistieken te produceren.

Vraag 16

Deelt u de mening van het CBS dat «de data zo privacygevoelig zijn dat als er één partij vertrouwd kan worden om dit te analyseren dat het CBS is»?

Ik heb vooralsnog geen reden om daar aan te twijfelen. Van belang in dit verband is dat jaarlijks audits door externe auditors worden uitgevoerd, waaronder op het gebied van privacy. Het CBS heeft onlangs opnieuw het privacy certificaat «Privacy Audit Proof», dat gebaseerd is op het Privacy Control Framework, ontvangen9. Dit neemt niet weg dat ik niet vooruit wil lopen op de resultaten van het onderzoek van het Agentschap Telecom en de Autoriteit Persoonsgegevens.

Vraag 1

Bent u bekend met het bericht «Hoe het CBS en T-Mobile de privacy schonden»?1

Ja.

Vraag 2

Bent u bekend met de nog niet beantwoorde Kamervragen over het niet naleven van de wet en het grootschalig en onrechtmatig verzamelen van persoonsgegevens door overheidsinstanties zoals de Belastingdienst, het Centraal Orgaan opvang asielzoekers (COA), de politie, Defensie, inlichtingendiensten en het Uitvoeringsinstituut Werknemersverzekeringen (UWV?2

Deze vragen zijn bekend en inmiddels beantwoord door de Minister voor Rechtsbescherming, mede namens de Minister van Justitie en Veiligheid, de Minister van Defensie en de Minister van Sociale Zaken en Werkgelegenheid.

Vraag 3

Wist u van het grote datacontract tussen het Centraal Bureau voor de Statistiek (CBS) en T-Mobile uit 2017? Zo ja, sinds wanneer wist u dit en waarom is de Kamer niet geïnformeerd? Zo nee, hoe is het mogelijk dat u hier niets van afwist?

Voor de volledigheid, het ging om een pilot waarvan de resultaten door het CBS bekend zijn gemaakt op hun website3. Als Minister van Economische Zaken en Klimaat ben ik politiek verantwoordelijk voor de wetgeving omtrent het CBS en het budget. Het CBS is een zelfstandig bestuursorgaan en derhalve niet hiërarchisch ondergeschikt aan de Minister. Dit brengt met zich mee dat ik geen aanwijzingen aan het CBS kan geven op dossierniveau en dat ik ook niet van alle individuele contracten die het CBS sluit op de hoogte word gesteld. Hierdoor ligt het dus niet voor de hand dat ik van tevoren op de hoogte word gesteld van een dergelijke samenwerking tussen T-Mobile en het CBS. Het publicatiebeleid en de methoden waarmee de statistieken gemaakt worden, vallen onder de eigen verantwoordelijkheid van de DG CBS. Directe politieke invloed op de onderzoeksmethoden en de wijze van publicatie van de resultaten van statistieken zou de geloofwaardigheid en de betrouwbaarheid van de onderzoeken ter discussie kunnen stellen.

Vraag 4

Wist u dat het CBS op grote schaal werkte met direct en indirect herleidbare locatiegegevens van miljoenen burgers? Wat heeft u gedaan met signalen en zorgen dat het verzamelen van data via T-Mobile strijdig was met privacywetgeving? Wanneer zijn de eerste stappen ondernomen?

Het CBS heeft naar eigen zeggen geen toegang gehad tot individuele klantgegevens van personen. De onderzoeksgegevens zouden, aldus het CBS, niet direct of indirect herleidbaar zijn naar personen en het betroffen evenmin direct of indirect herleidbare locatiegegevens van personen. In het artikel van NRC wordt gesteld dat de CBS-medewerkers mogelijk toegang hebben gehad tot verkeersgegevens van klanten van T-Mobile. Het Agentschap Telecom heeft besloten naar aanleiding hiervan een onderzoek in te stellen, bijgestaan door de Autoriteit Persoonsgegevens. Over het onderzoek kunnen op dit moment geen uitlatingen worden gedaan. Het is aan het oordeel van de toezichthouders het Agentschap Telecom en de Autoriteit Persoonsgegevens of deze pilot voldeed aan de wettelijke privacy-eisen.

Vraag 5

Wat vindt u van de opportunistische handelwijze van T-Mobile, inclusief het verzwijgen van activiteiten en het openlijk bepleiten van terughoudendheid met commercieel datagebruik?

Met deze vraag doelt de heer Verhoeven vermoedelijk op de door hem vermeende tegenstelling in de houding van T-Mobile over de CBS-pilot en de kritische houding van T-Mobile over de Tijdelijke wet informatieverstrekking RIVM. Ik vind het echter niet aan mij om hier namens de regering een uitspraak over te doen.

Vraag 6

Wat is de stand van zaken van de Tijdelijke wet informatieverstrekking RIVM in verband met COVID-19 (Kamerstuk 35 479)? Klopt het dat het kabinet deze wet heeft stilgelegd dan wel ingetrokken na brede kritiek binnen en buiten de Kamer over de negatieve gevolgen voor de privacy van miljoenen mensen?

De behandeling van het wetsvoorstel ligt momenteel stil omdat de Tweede Kamer het wetsvoorstel controversieel heeft verklaard (zie Besluitenlijst extra-procedurevergadering commissie EZK groslijst controversieel verklaren) op 26 januari 2021.

Vraag 7

Deelt u de zorgen van de voorzitter van de Autoriteit Persoonsgegevens (AP) dat met zulke zeer grote datasets het risico bestaat dat met het combineren van de locatiegegevens achterhaald kan worden wie bij welke locatiegegevens hoort en het risico bestaat dat we een surveillancemaatschappij optuigen?

Ik deel de constatering van de voorzitter van de Autoriteit Persoonsgegevens dat het gebruik van grote datasets risico’s met zich meebrengt en dat het van evident belang is nut, noodzaak en risico’s van gebruik te wegen en risico’s met adequate maatregelen te adresseren.

Vraag 8

Welke andere CBS-proefprojecten met grootschalige dataverzameling lopen er?

Zoals aangegeven bij het antwoord op vraag 3 ben ik niet op de hoogte van alle individuele contracten die het CBS sluit, waaronder alle proefprojecten met grootschalige dataverzameling. Op de website van het CBS zijn het meerjarenprogramma en jaarplan van het CBS te vinden. Zoals aangegeven bij het antwoord op vraag 3 ben ik niet op de hoogte van alle individuele contracten die het CBS sluit, waaronder alle proefprojecten met grootschalige dataverzameling. Op de website van het CBS zijn het meerjarenprogramma en jaarplan van het CBS te vinden4, en een overzicht van de omschrijvingen van de onderzoeken die het CBS verricht5, en een overzicht van de omschrijvingen van de onderzoeken die het CBS verricht.

Vraag 9

Zijn alle CBS-proefprojecten met grote dataverzamelingen inmiddels geheel stopgezet?

Zoals aangegeven bij het antwoord op vraag 8 ben ik niet op de hoogte van alle individuele contracten die het CBS sluit, waaronder alle proefprojecten met grootschalige dataverzameling.

Vraag 10

Welke persoonsgegevens verzamelt, koppelt of verwerkt het CBS momenteel allemaal?

Het CBS koppelt en verwerkt persoonsgegevens uit alle beschikbare overheidsregistraties. Het gaat onder meer om informatie van de Belastingdienst, het UWV en de BRP (bevolkingsadministratie). Dit gebeurt allemaal conform de CBS-wet en met inachtneming van de AVG en andere wettelijke voorschriften. Voor zover noodzakelijk vraagt het CBS daarnaast gegevens direct uit bij bedrijven en burgers via enquêtes. Een overzicht van bronnen en gegevens is te vinden in de algemene bronnencatalogus6.

Vraag 11

Welke overige informatie verzamelt het CBS momenteel allemaal?

Op de website van het CBS zijn de bronnen waarmee het CBS informatie verzamelt, weergegegeven. De website van het CBS biedt beschrijvingen van de onderzoeken die het CBS verricht en de statistische methoden die het CBS daarbij gebruikt7.

Vraag 12

Is het CBS wel de «veilige haven» voor data die het zegt te zijn? Voldoet het CBS aan alle eisen van de Algemene verordening gegevensbescherming (AVG)?

Daar ga ik in beginsel vanuit. De CBS-wet bevat waarborgen voor de gegevensbescherming en het CBS voldoet naar eigen zeggen ook aan de AVG. Bovendien worden jaarlijks audits door externe auditors uitgevoerd naar de taakuitoefening door het CBS, waaronder op het gebied van privacy. HetCBS heeft onlangs opnieuw het privacy certificaat «Privacy Audit Proof», dat gebaseerd is op het Privacy Control Framework, ontvangen8.Dit neemt niet weg dat er vragen zijn gerezen over het verstrekken van telecommunicatiegegevens van T-Mobile aan het CBS. Daarom is er een onderzoek ingesteld door het Agentschap Telecom daarin bijgestaan door de Autoriteit Persoonsgegevens.

Vraag 13

Hoe beoordeelt u het verzwijgen van het datacontract door CBS en T-Mobile tegenover het Agentschap Telecom?

Het CBS heeft aangegeven dat het proactief met het Agentschap Telecom in contact is getreden. Op 21 mei 2019 is volgens het CBS met het Agentschap Telecom gesproken over de pilot. Daarnaast heeft het CBS aangegeven de Autoriteit Persoonsgegevens medio 2020 te hebben geïnformeerd over de pilot.

Vraag 14

Hoe beoordeelt u het gegeven dat met overheidsgeld een lucratief algoritme zou worden ontwikkeld dat ook een private contractpartner kon gaan gebruiken?

Het CBS ontwikkelt, in sommige gevallen samen met private partners, algoritmen die het nodig heeft voor de uitoefening van zijn wettelijke taak en stelt deze vervolgens publiekelijk beschikbaar, zoals het CBS dat altijd doet met alle producten die het ontwikkelt. Het staat alle partijen, dus ook private partijen, vrij gebruik te maken van deze producten.

Vraag 15

Welke stappen onderneemt u tegen de oneerlijke concurrentie met het publiek gefinancierde CBS dat ten koste gaat van bedrijven als Mezuro?

Overheidspartijen kunnen voor statistische informatie die ze nodig hebben bij de uitvoering van hun publieke taak bij het CBS terecht. Aangezien het CBS en marktpartijen elkaar steeds vaker tegenkomen op de markt voor statistische diensten, zijn sinds 1 juli 2020 de Beleidsregel taakuitoefening CBS en de Regeling werkzaamheden derden CBS in werking getreden. Deze regels beogen meer duidelijkheid te scheppen over de rolverdeling tussen private statistische dienstverleners en het CBS, alsmede een relatieverbetering tussen het CBS en een aantal marktpartijen en brancheverenigingen te faciliteren, zodat meer kansen voor productieve samenwerking benut worden. Het CBS richt zich daarvoor zichtbaarder op zijn kerntaken en heeft bij het leveren van aanvullende diensten of het uitvoeren van innovatieve projecten permanent aandacht voor de belangen van marktpartijen. Deze regelingen zullen twee jaar na inwerkingtreding (in 2022) worden geëvalueerd.

Vraag 16

Kunt u de vragen beantwoorden voor dinsdag 16 maart 2021?

Het is niet gelukt om de beantwoording voor 16 maart naar de Tweede Kamer te versturen.