Kamervragen

Alle

21 december 2021 - 2 februari 2022

43 dagen

Het bericht ‘Banken en overheden zetten software af uit angst voor hacks’.
	Queeny Rajkowski (VVD)
	Ferdinand Grapperhaus (CDA)

Bronnen

1. Financieel Dagblad, «Banken en overheden zetten software af uit angst voor hacks» (fd.nl/tech-en-innovatie/1423222/banken-en-overheden-zetten-software-af-uit-angst-voor-hacks-knl1ca56jOoK)

Vraag 1

Bent u bekend met het bericht «Banken en overheden zetten software af uit angst voor hacks»?1

Ja.
Vraag 2

Kunt u een inschatting maken wat tot nu toe de schade is als gevolg van het lek bij Apache log4j? Wat is de schatting voor de komende weken?

Tot nu toe heeft het Nationaal Cybersecurity Centrum (NCSC) geen signalen ontvangen van grootschalige uitval of schade bij rijksoverheidsorganisaties of vitale aanbieders. Het NCSC acht het waarschijnlijk dat incidenten, waaruit schade kan ontstaan, over een langere tijdsperiode kunnen gaan plaatsvinden.
Vraag 3

Hoeveel gevallen zijn er al bekend waarbij criminele hackers Nederlandse organisaties aanvallen als gevolg van het lek bij Apache log4j? Met welk doel worden de betreffende organisaties aangevallen? Om welke organisaties gaat het en wat zijn de gevolgen van deze hacks?

Op dit moment is kleinschalig misbruik van de kwetsbaarheid bij organisaties in Nederland bij het NCSC bekend. Het doel van de aanvallen is veelal financieel gewin. Verwacht wordt dat kwaadwillenden de komende tijd naar kwetsbare systemen blijven zoeken en doelgerichte aanvallen uitvoeren; de Log4J kwetsbaarheid wordt mogelijk een standaardonderdeel van aanvalsmethoden van actoren om toegang te krijgen tot systemen.
De politie heeft tot op heden geen aangiften binnengekregen van aanvallen met betrekking tot deze kwetsbaarheid.
Vraag 4

In hoeverre zijn organisaties en (vitale) bedrijven die mogelijk gebruik maken van Apache log4j van dit lek op de hoogte? Wat is de rol van het Nationaal Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) hierin? Hebben zij een regierol hier? Zo ja, wat hebben zij tot nu toe gedaan om de risico’s van dit grootschalige lek te mitigeren? Hoe is de IT-informatiesessie van 15 december jl. bevallen?

Het NCSC heeft vanaf het bekend worden van deze kwetsbaarheid rijksoverheidsorganisaties, vitale aanbieders en schakelorganisaties zo veel als mogelijk proactief gewaarschuwd. Het algemene beveiligingsadvies inzake deze kwetsbaarheid is zoals gebruikelijk gepubliceerd op de website van het NCSC, zodat ook het brede publiek is geïnformeerd. Daarnaast heeft het NCSC genoemde partijen meerdere doelgroepberichten met aanvullende duiding en handelingsperspectieven verzonden. In deze zin is dus door het NCSC in zo breed mogelijke zin gewaarschuwd voor deze ernstige kwetsbaarheid.
Naast de gebruikelijke communicatiekanalen heeft het NCSC een publiek informatieplatform opgezet om technische informatie over deze kwetsbaarheid te verzamelen en te verspreiden. Dit platform, dat momenteel wereldwijd het meest compleet is, wordt nog steeds door veel partijen uit binnen- en buitenland benut.
Het Digital Trust Center (DTC) zet bij ernstige kwetsbaarheden al haar kanalen in om het niet- vitale bedrijfsleven te informeren en waarschuwen. Ook bij de Log4J kwetsbaarheid was dit het geval.
Als reactie op deze kwetsbaarheid heeft het DTC berichtgeving over Log4J inclusief handelingsperspectief breed gedeeld via de website van het DTC, DTC sociale media kanalen en de DTC community. Ook werd berichtgeving direct gedeeld met DTC samenwerkingsverbanden zodat deze de beschikbare informatie konden verspreiden bij hun achterban (de regio, sector of branche die ze vertegenwoordigen).
Het Cyber Security Incident Response Team voor digitale diensten (CSIRT-DSP) heeft een actieve rol gespeeld door het informeren van digitale dienstverleners binnen hun doelgroep over de Log4J kwetsbaarheid.
Op 15 december hebben NCSC, DTC en CSIRT-DSP gezamenlijk een informatiesessie voor IT-specialisten georganiseerd met als doel meer informatie te delen over de Log4J kwetsbaarheid, te adviseren over mogelijke acties, en vragen over de Log4J kwetsbaarheid direct te beantwoorden. Hier deden ongeveer 4000 deelnemers aan mee.
Vraag 5

In hoeverre zijn organisaties ervan op de hoogte dat er een update van Apache log4j beschikbaar is en dat ze deze update moeten uitvoeren? Hoe vaak is deze update uitgevoerd door organisaties? Welke maatregelen worden getroffen om ook de kleinere bedrijven in te lichten over het doen van deze update?

Zoals in antwoord op vraag 3 aangegeven zijn organisaties vanuit het NCSC en het DTC geïnformeerd over de kwetsbaarheid in Apache Log4J, evenals over de daartoe mogelijke beveiligingsmaatregelen, waaronder het uitvoeren van updates.
De betreffende kwetsbaarheid zit in software die vaak is ingebouwd in andere producten. De aard van de Log4J-kwetsbaarheid maakt het daarmee complex om zicht te krijgen op de mate waarin updates zijn uitgevoerd. Elke organisatie blijft zelf primair verantwoordelijk voor het uitvoeren van updates en maatregelen.
Vele organisaties in Nederland maken gebruik van software waar Log4J in verwerkt zit. Zij kunnen daarom afhankelijk zijn van updates van hun softwareleverancier die op hun beurt de Apache Log4J updates dienen te verwerken in hun software. Daarnaast hebben genoemde organisaties regelmatig een externe IT-dienstverlener die bijvoorbeeld het gebruik van software binnen de organisatie beheert. Dit houdt in dat organisaties niet altijd zelf nodige updates uitvoeren of weten voor welke gebruikte software dat nodig is.
Het NCSC en DTC hebben daarom hun doelgroepen geadviseerd contact op te nemen met hun IT-dienstverlener om te bevestigen dat de juiste updates uitgevoerd worden of andere maatregelen genomen zijn.
Vraag 6

Welke overheidsorganisaties maken gebruik van Apache Log4j? Zijn er al overheidsorganisaties aangevallen door criminele hackers? Welke maatregelen neemt u om de kans zo klein mogelijk te maken dat criminele hackers succesvolle aanvallen op cruciale overheidsorganisaties kunnen uitvoeren en hen digitaal kunnen gijzelen?

Log4J is een softwaremodule die wereldwijd in velerlei software wordt gebruikt, waaronder bij de overheid. Er bestaat geen centraal overzicht van welke softwareproducten Log4J gebruiken binnen de overheid. Iedere overheidsorganisatie is primair verantwoordelijk voor zijn eigen netwerken, systemen en softwareproducten die worden gebruikt. Overheidsorganisaties scannen en inventariseren ook hun maatwerktoepassingen. Er zijn in dit verband wel overheidsbreed kaders afgesproken met eisen waaraan iedere organisatie moet voldoen, waaronder de Baseline Informatiebeveiliging Overheid (BIO). Hierin staat onder andere dat organisaties bij ernstige kwetsbaarheden binnen een week maatregelen moeten treffen. Daarnaast is het verplicht om de informatie-verwerkende omgeving te monitoren om onder meer aanvallen van criminele hackers te detecteren. Hiervoor zijn binnen de overheid Security Operations Centers (SOC’s) en IT- organisaties actief. Zij hebben ook de beschikking over indicatoren die misbruik op basis van de Log4J kwetsbaarheid detecteren.
Na de ontdekking van de Log4J-kwetsbaarheid heeft BZK een crisisteam opgestart en zorg gedragen voor afstemming in het vervolg hierop met de departementen en de koepels/Computer Emergency Response Teams (CERT’s) van de medeoverheden. Het crisisteam heeft er in dat verband op aangedrongen dat de benodigde maatregelen behorende bij deze kwetsbaarheid en het door het NCSC ontwikkelde stappenplan werden opgevolgd en er doorlopend onderzoek plaatsvond op mogelijk misbruik. De komende tijd zullen overheidsorganisaties extra alert blijven op aanwijzingen van mogelijk misbruik.
Op dit moment zijn er geen signalen dat overheidsorganisaties naar aanleiding van de Log4J kwetsbaarheid succesvol zijn aangevallen.
Vraag 7

Bekend is dat meerdere gemeentes hun systemen gedeeltelijk hebben afgesloten? Om hoeveel gemeentes gaat dit? Wat doen deze systemen en hoe lang gaan ze afgesloten blijven? Welke gevolgen heeft het voor de gemeentes als ze hun systemen tijdelijk gedeeltelijk moeten afsluiten?

De Vereniging Nederlandse Gemeenten (VNG) en de Informatiebeveiligingsdienst (IBD) houden geen overzicht bij van maatregelen van individuele gemeenten. Iedere situatie en iedere afweging is namelijk anders. De afwegingen om systemen gedeeltelijk/tijdelijk uit te zetten zijn door de gemeenten zelf gemaakt. Gemeenten volgen bij deze afweging het handelingskader van de IBD, zoals vermeld op hun website:2
Dat is in sommige gevallen gebeurd en gemeenten zijn hierover transparant geweest via eigen mediakanalen naar inwoners.
Bij de afweging om systemen gedeeltelijk/tijdelijk uit te schakelen wegen aspecten mee zoals de mate waarin de systemen kwetsbaar of kritisch zijn voor de bedrijfsvoering, of direct aan het internet gekoppeld zijn (internet facing), in relatie tot continuïteit van dienstverlening. Tijdens de feestdagen van eind vorige maand is dit ook gebeurd, op momenten waarop de dienstverlening dit toeliet, zodat in deze beperkt bezette periode het aanwezige personeel niet intensief hoefde te monitoren.
Vraag 8

Naast gemeentes hebben ook organisaties in de vitale sectoren zoals banken hun systemen gedeeltelijk afgesloten. Welke gevolgen heeft dit voor de vitale sectoren? In hoeverre wordt er via het NCSC ondersteuning geboden en samengewerkt met vitale sectoren zoals de banken- en telecomsector om de schade van dit lek te beperken?

De gevolgen van het nemen van preventieve maatregelen, zoals het gedeeltelijk afsluiten van systemen is afhankelijk van de sector of organisatie. Het NCSC heeft gelet op de ernst van de kwetsbaarheid geadviseerd waar updaten niet mogelijk is, te overwegen of het mogelijk is het systeem uit te schakelen totdat een patch beschikbaar is. Het (gedeeltelijk) afsluiten van een systeem is een eigen afweging van elke organisatie.
Het NCSC heeft ten behoeve van vitale aanbieders, alsook organisaties die deel uitmaken van de rijksoverheid, de wettelijke taak te informeren en adviseren over digitale dreigingen en incidenten en bijstand te verlenen bij het treffen van maatregelen om de continuïteit van hun diensten te waarborgen of te herstellen.
Vraag 9

Hoe wordt in andere landen omgegaan met dit lek? Werkt u samen met andere landen om oplossingen te vinden voor dit lek? Kunnen lessen getrokken worden uit hoe in het buitenland om wordt gegaan met dit lek?

Het beeld van het NCSC met betrekking tot deze kwetsbaarheid wordt gedeeld met nationale CSIRT’s van EU-lidstaten. Het CSIRT-netwerk, bedoeld in de EU Netwerk en Informatiebeveiligingsrichtlijn (NIB), is ook opgeschaald geweest tot alert cooperation mode op initiatief en advies van het NCSC. Dit houdt in dat er, naast het regulier delen van informatie, regelmatig overleggen tussen de CSIRTs van alle EU-lidstaten plaatsvinden om het beeld over de kwetsbaarheid actiever te kunnen delen.
Het door het NCSC opgezette en gecoördineerde publieke informatieplatform is door vele internationale partijen gebruikt om informatie over deze kwetsbaarheid te delen. Dit zien wij als een zeer geslaagde samenwerking met buitenlandse partners.
Vraag 10

Welke gevolgen heeft dit lek voor het gebruik maken van Apache log4j door de overheid? Zijn er betere alternatieven waar naar gekeken kan worden?

In geval van risico’s vanwege kwetsbaarheden, zoals die betreffende Log4J, is het van belang dat patches worden uitgevoerd of aanpassingen worden gedaan. Alle software kan kwetsbaarheden bevatten, zo ook Apache Log4J. De kwetsbaarheden in Log4J zijn snel opgelost: er is geen reden om op zoek te gaan naar een alternatief en een alternatief is niet per se veiliger. Het vervangen van dit soort software is daarnaast zeer complex en daarmee een niet-realistische oplossing. Wel is er structurele aandacht nodig voor dergelijke problematiek en de Onderzoeksraad voor Veiligheid (OVV) heeft in het rapport «Kwetsbaar door software – Lessen naar aanleiding van beveiligingslekken door software van Citrix» daarvoor diverse adviezen gegeven. Zoals aangegeven in de Kamerbrief van 16 december 2021 zal het kabinet het rapport zorgvuldig bestuderen en binnen de wettelijke reactietermijn van zes maanden schriftelijk richting de OVV reageren. Uw Kamer zal daarover worden geïnformeerd.
Vraag 11

Deelt u de mening dat het NCSC en DTC proactief lijken te communiceren? Op welke verschillende manieren proberen zij organisaties te bereiken en van informatie te voorzien? Wat kan het NCSC en DTC nog beter doen om meer mensen te bereiken, in begrijpelijke taal en welke informatie zou er nog meer gedeeld kunnen worden?

Zoals in het antwoord op vraag 4 en 5 staat vermeld staan het NCSC en het DTC hierover in nauw contact met hun respectievelijke doelgroepen en met elkaar. Eén van de grote uitdagingen bij het stimuleren van organisaties om maatregelen te nemen is het vinden van de juiste balans tussen inhoudelijk technisch advies en praktisch handelingsperspectief.
Het NCSC heeft vanaf het bekend worden van deze kwetsbaarheid rijksoverheidsorganisaties, vitale aanbieders en schakelorganisaties dan ook zo veel als mogelijk proactief gewaarschuwd én beveiligingsadviezen verzonden. Het algemene beveiligingsadvies inzake deze kwetsbaarheid is zoals gebruikelijk gepubliceerd op de website van het NCSC, zodat ook het brede publiek in die zin is geïnformeerd. Daarnaast heeft het NCSC meerdere doelgroepberichten met aanvullende duiding verzonden.
Naast de gebruikelijke communicatiekanalen heeft het NCSC een publiek informatieplatform opgezet om technische informatie over deze kwetsbaarheid te verzamelen en te verspreiden. Dit platform wordt nog steeds door veel partijen uit binnen- en buitenland benut.
Hiermee is door het NCSC dus in zo breed mogelijke zin gewaarschuwd voor deze ernstige kwetsbaarheid.
Ook het DTC streeft ernaar waar mogelijk proactief handelsperspectief te bieden voor haar doelgroep. Deze informatie wordt breed gedeeld via de DTC website, sociale media kanalen en de DTC community. Daarnaast deelt DTC beschikbare informatie ook direct met de DTC samenwerkingsverbanden, die het vervolgens binnen hun regio, sector of branche verder verspreiden. Uitgangspunt is dat het gegeven handelsperspectief voor de kleinere en minder cybervolwassen doelgroep ook te begrijpen is. Het DTC werkt op dit moment, met medewerking van het NCSC, aan een verdiepend informatieproduct voor de doelgroep van het DTC met ditzelfde uitgangspunt.
Bedrijven die geen deel uitmaken van een samenwerkingsverband maar wel de berichtgeving willen ontvangen worden door het DTC proactief uitgenodigd om zich aan te melden bij de DTC-community waar de informatie ook wordt gedeeld.3
Vraag 12

Deelt u de mening dat het afkondigen van een code rood, zoals het Duitse Ministerie van Binnenlandse Zaken heeft gedaan, een interessante manier kan zijn om de urgentie van deze kwetsbaarheid aan te geven, er aandacht voor te vragen en de handelingsbereidheid bij organisaties te vergroten? Zo nee, waarom niet?

In de Nederlandse context worden organisaties ook, maar op een andere manier, geattendeerd op digitale dreigingen.
Naar aanleiding van een geconstateerde dreiging wordt in de eerste plaats door het Nationaal Cyber Security Centrum een beveiligingsadvies verspreid ten behoeve van organisaties in de eigen doelgroep (vitale aanbieders, rijksoverheidsorganisaties) en schakelorganisaties zoals het DTC. Daarnaast wordt ook een algemeen beveiligingsadvies gepubliceerd op de NCSC-website. De beveiligingsadviezen worden ingeschaald op (1) de kans dat een kwetsbaarheid wordt misbruikt en (2) de ernst van de schade die optreedt wanneer een kwetsbaarheid misbruikt wordt. Bij Log4J is een High/High advies gepubliceerd.4
Vraag 13

Het Belgische Ministerie van Defensie lijkt aangevallen te zijn via de log4j-kwetsbaarheid; Deelt u de mening dat deze kerstperiode voor criminelen en statelijke actoren een uitgelezen kans zou kunnen zijn om de rijksoverheid en vitale sectoren aan te vallen? Zo nee, waarom niet? Zo ja, welke voorbereidingen worden getroffen? Staan er extra cyberteams paraat en zijn alle systemen gecheckt? Is het helder wie bij een crisis de leiding neemt en hoe cyberteams van de verschillende veiligheidsdiensten zich tot elkaar verhouden? Zo nee, waarom niet? Zo ja, welke rol speelt het Defensie Cyber Commando?

Uit eerdere aanvallen in verband met andere kwetsbaarheden is gebleken dat vakantieperiodes of feestdagen vaker worden misbruikt door cybercriminelen. Een lagere bezettingsgraad kan betekenen dat organisaties mogelijk minder alert zijn of dat middelen voor herstel beperkt zijn in vergelijking met andere periodes.
Op 10 december jl. heeft het NCSC het eerste algemene beveiligingsadvies voor deze kwetsbaarheid op haar website gepubliceerd. Het NCSC waarschuwt daarin voor potentieel grote schade en adviseert organisaties daarom zich voor te bereiden op een mogelijke aanval. Daarbij is aangegeven dat het zeer waarschijnlijk is dat in de komende weken digitale (ransomware)aanvallen en datalekken plaatsvinden. Het NCSC heeft op 16 december het Nationaal Respons Netwerk (NRN) geactiveerd om aanvullende incident respons capaciteit gereed te hebben voor het kunnen verlenen van bijstand.
Vanaf het bekend worden van de kwetsbaarheid heeft het NCSC de situatie doorlopend gemonitord, adviezen geactualiseerd en nauw contact onderhouden met Rijksorganisaties, vitale aanbieders en cybersecuritypartners in binnen- en buitenland. Ook het DTC communiceert de meest actuele informatie en handelingsperspectieven naar haar doelgroep.
Daarnaast kan er ook aanleiding bestaan om de nationale crisisstructuur te activeren bij een dreiging van (zeer) grote omvang. Deze nationale opschaling wordt in de praktijk gecoördineerd door het Nationaal Crisis Centrum van de NCTV. Dit is ook zo beschreven in het Nationaal Crisisplan Digitaal (NCP-D).
De wijze waarop cyberteams van de verschillende veiligheidsdiensten zich tot elkaar verhouden en samenwerken staat ook in het NCP-D beschreven. Ditzelfde plan wordt ook gebruikt om met elkaar cybercrisis te oefenen. Ook de rol van het Defensie Cybercommando (DCC) is te vinden in dit plan.
De rol van het DCC was minimaal in deze casus. Zoals ook in de Kamerbrief Tegenmaatregelen ransomware-aanvallen van 6 okt 2021 uiteengezet door de Minister van Buitenlandse Zaken speelt het DCC de rol van het laatste digitale instrument, waarbij in een eerdere fase inzet van andere overheidsinstanties of minder vergaande instrumenten niet afdoende is gebleken.5 Ook kan het DCC op verzoek de desbetreffende teams versterken met kennis en expertise van cyberoperators. Dat laatste is niet nodig gebleken. Wel heeft het Defensie Cyber Security Centrum (DCSC) cyberexperts geleverd uit het NRN aan het NCSC om te ondersteunen bij deze crisis. Aangezien deze casus meer toezag op cybersecurity – wat het vakgebied en de verantwoordelijkheid is van het DCSC binnen Defensie. Hiertoe is in de Log4J casus de nationale crisisstructuur tweemaal bijeengekomen op het niveau van een Interdepartementaal Afstemmingsoverleg (IAO).

20 december 2021 - 31 januari 2022

42 dagen

Het rapport Kwetsbaar door software – Lessen naar aanleiding van beveiligingslekken door software van Citrix
	Barbara Kathmann (PvdA)
	Raymond Knops (CDA), Ferdinand Grapperhaus (CDA), Stef Blok (VVD)

Bronnen

1. Onderzoeksraad voor Veiligheid, 16 december 2021, Fundamenteel ingrij…

Vraag 1

Bent u bekend met het rapport van de Onderzoeksraad voor Veiligheid en het bericht Fundamenteel ingrijpen is nodig voor Nederlandse digitale veiligheid?1

Het kabinet is bekend met het rapport van de Onderzoeksraad voor Veiligheid OVV «Kwetsbaar door software – lessen naar aanleiding van beveiligingslekken door software van Citrix» en het bijbehorende bericht van de OVV. Zoals aangegeven in de Kamerbrief van 16 december 2021 zal het kabinet het rapport zorgvuldig bestuderen en binnen de wettelijke reactietermijn van zes maanden schriftelijk richting de OVV reageren. Uw Kamer zal daarover worden geïnformeerd.2
Vraag 2

Bent u het eens met de stelling dat de veiligheid van software allereerst de verantwoordelijkheid is van de softwarefabrikant en dat deze fabrikanten meer zouden moeten investeren om de veiligheid van software voortdurend te verbeteren? Zo nee, waarom niet? Zo ja, wat gaat u doen om te zorgen dat deze verantwoordelijkheid in de praktijk feitelijk bij softwarefabrikanten komt te liggen?

Zoals aangegeven in de Nederlandse Cybersecurity Agenda en de Roadmap Digitaal Veilige Hard- en Software zijn organisaties in de eerste plaats zelf verantwoordelijk voor cybersecurity. Voor softwarefabrikanten geldt dat zij primair verantwoordelijk zijn voor de digitale veiligheid van de door hen aangeboden producten en diensten. Daarnaast kunnen afnemers van ICT-producten en diensten (consumenten en organisaties) de vraag naar digitaal veilige ICT-producten en diensten stimuleren. Dit stimuleert aanbieders om te investeren in de digitale veiligheid van hun ICT-producten en diensten. De overheid staat voor de publieke belangen, stimuleert marktpartijen om hun eigen verantwoordelijkheid te nemen en is zelf ook een afnemer van ICT-producten en diensten. Zoals de OVV aangeeft zijn alle partijen van elkaar afhankelijk om de digitale veiligheid in de samenleving en economie te borgen. De afgelopen kabinetsperiode is met een samenhangend pakket aan maatregelen in de Roadmap Digitaal Veilige Hard- en Software ingezet op het verhogen van het digitale veiligheidsniveau van ICT-producten en diensten. Over de jaarlijkse voortgang van de Roadmap Digitaal Veilige Hard- en Software bent u geïnformeerd door de Minister van Economische Zaken en Klimaat op 30 november 2021.3 Voorbeelden van maatregelen uit deze roadmap zijn de inzet van EZK voor de begin dit jaar gerealiseerde Europese cybersecurity markttoegangseisen voor draadloos verbonden apparaten onder de Radio Equipement Directive, de ontwikkeling van Europese cybersecurity certificering voor ICT-producten, diensten en processen onder de Cyber Security Act, een non-paper over de in ontwikkeling zijnde Cyber Resilience Act als horizontale Europese regulering voor de cybersecurity van ICT-producten en diensten en de door BZK en EZK ontwikkelde cybersecurity inkoopeisen voor alle overheidsorganisaties. De Roadmap Digitaal Veilige Hard- en Software is onderdeel van de rijksbrede Nederlandse Cybersecurity Agenda. Over de jaarlijkse voortgang van de Nederlandse Cybersecurity Agenda bent u voor het laatst geïnformeerd op 28 juni 2021.4
Daarnaast wordt momenteel gewerkt aan het ontwikkelen van een integrale Nederlandse Cybersecuritystrategie waarin met name ook de ambities uit het coalitieakkoord nader worden uitgewerkt. Deze strategie wordt zodra gereed met uw Kamer gedeeld. De digitale veiligheid van ICT-producten en diensten zal hier integraal onderdeel van zijn. Ook zal uiteraard worden bezien op welke wijze het kabinet de verschillende aanbevelingen van de OVV kan meenemen ten behoeve van de ontwikkeling van deze strategie en het verder versterken van het cybersecuritystelsel in Nederland en Europa.
Vraag 3

Hoe gaat u invulling geven aan het advies om een voortrekkersrol te nemen voor Nederlandse organisaties en consumenten om gezamenlijk veiligheidseisen te formuleren en af te dwingen bij softwarefabrikanten?

Zoals aangegeven bij vraag 1 is het kabinet het OVV-rapport zorgvuldig aan het bestuderen en zal het voor de zomer hierop een kabinetsreactie geven. Het rapport van de OVV laat zien dat cybersecurity een complex vraagstuk is en de aanbevelingen van de OVV in samenhang moeten worden bezien. Er is niet één afzonderlijke maatregel die de digitale veiligheid kan realiseren. Bij de besluitvorming over de opvolging van deze aanbeveling zal het bestaande instrumentarium in volle breedte in ogenschouw moeten worden genomen.
Een voorbeeld hiervan is de Baseline Informatiebeveiliging Overheid (BIO), die van kracht is op de aanschaf van ICT-producten en diensten door de overheid. De BIO schrijft voor dat overheidsorganisaties ook bij inkoop op basis van risicomanagement bepalen aan welke veiligheidseisen bijvoorbeeld ICT-producten en -diensten moeten voldoen. Om hen daarbij te helpen, hebben de Ministeries van BZK en EZK gezamenlijk een inkoophulpmiddel ontwikkeld, de zogenaamde ICO-wizard.5 De overheid is een grote afnemer van ICT-producten en diensten en kan als grote marktpartij de vraag in de markt stimuleren naar digitaal veilige ICT-producten en diensten.
Vraag 4

Wat gaat u ondernemen om bij softwarefabrikanten af te dwingen dat ze meer investeren in structurele en toetsbare oplossingen voor veiligheidsproblemen in software, in plaats van dat softwarefabrikanten de softwaregebruikers overladen met patches en updates?

Europese samenwerking op dit terrein is van groot belang. Een voorbeeld van een van de huidige maatregelen is de inzet op de ontwikkeling van Europese cybersecuritycertificeringschema’s onder de Cyber Security Act. De Cyber Security Act is het Europese raamwerk waarbinnen cybersecuritycertificeringsschema’s worden ontwikkeld voor verschillende categorieën ICT-producten, diensten en processen. Nederland zet hierbij in op de ontwikkeling van een certificeringschema voor softwarebeveiliging. Ook voor deze vraag geldt dat het kabinet de aanbevelingen op dit vlak nog nader zal bestuderen en daarop zal ingaan in de eerdergenoemde kabinetsreactie.
Vraag 5

Hoe gaat u opvolging geven aan het advies om softwarefabrikanten aansprakelijk te stellen voor de gevolgen van softwarekwetsbaarheden?

Zoals aangegeven bij vraag 1 is het kabinet het OVV-rapport zorgvuldig aan het bestuderen. Het wettelijk vastleggen van de verantwoordelijkheid van fabrikanten voor veilige software en hun aansprakelijkheid voor de gevolgen van eventuele kwetsbaarheden zal op Europees niveau geregeld moeten worden. De OVV heeft deze aanbeveling dan ook gericht aan de Europese Commissie. Eventuele inzet in lijn met deze aanbeveling vanuit het kabinet zou dan ook gericht zijn op het beïnvloeden van besluitvorming hierover op Europees niveau.
Vraag 6

Hoe gaat u invulling geven aan de aanbeveling van de Onderzoeksraad voor Veiligheid om op Europees niveau kwaliteitseisen aan software te stellen om softwarefabrikanten te dwingen verantwoordelijkheid te nemen voor de veiligheid van hun product?

Zoals aangegeven in de beantwoording op vraag 5 is deze aanbeveling van de OVV gericht aan de Europese Commissie. Vanwege het grensoverschrijdende karakter van de markt voor ICT-producten en – diensten ligt het in algemene zin voor de hand om dergelijke eisen op te leggen in internationaal en Europees verband. Gedurende de afgelopen periode heeft Nederland zich op basis van de Roadmap Digitaal Veilige Hard- en Software sterk gemaakt voor Europese maatregelen zoals cybersecurity certificering van ICT-producten, diensten en processen onder de Cyber Security Act en wettelijke cybersecurityeisen voor Europese markttoegang voor verbonden apparaten onder de Radio Equipment Directive.
Ook gaat Nederland actief het gesprek aan met de Europese Commissie over de ontwikkeling van horizontale regulering voor de cybersecurity van ICT-producten en diensten via de Cyber Resilience Act. Hiervoor is een non-paper opgesteld en aangeboden aan Uw Kamer op 14 december 2021.6

14 december 2021 - 10 februari 2022

58 dagen

Digitale veiligheid
	Renske Leijten
	Ferdinand Grapperhaus (CDA), Raymond Knops (CDA), Kajsa Ollongren (minister defensie) (D66)

Bronnen

1. Follow the Money, 11 december 2021, «Wetenschappers waarschuwen voor …
2. NOS, 11 december 2021, «Cyberwaakhond waarschuwt voor gevaarlijk bev…

Vraag 1

Kunt u een stand van zaken geven over de ontwikkeling van een Europese digitale identiteit en de Nederlandse inzet daaromtrent?1

De Europese Commissie heeft op 3 juni 2021 een wetsvoorstel ingediend voor een «raamwerk voor een Europese Digitale Identiteit», dat de huidige eIDAS-verordening herziet. De Commissie deed ook een aanbeveling voor een met de lidstaten te ontwikkelen «Toolbox».2
De Minister van Buitenlandse Zaken informeerde Uw Kamer op 9 juli 2021 over de positie van het kabinet in dit dossier in het BNC-fiche.3 De kern van dit fiche is dat het voorstel van de Commissie inhoudelijk aansluit op het Nederlandse beleid voor elektronische identificatie en uitwisseling van gegevens. Het Nederlandse beleid heeft tot doel dat alle ingezetenen en bedrijven in Nederland en in andere Europese landen op een veilige, betrouwbare, toegankelijke en gebruiksvriendelijke manier digitaal transacties kunnen verrichten in het publieke en in het private domein. Een verdere toelichting op het Europese digitale identiteit raamwerk is eerder gegeven in de Kamerbrief voortgangsrapportage domein toegang.4
Vraag 2

Kunt u een stand van zaken geven over de ontwikkeling van Nederlandse digitale identiteiten, zoals de eID?

Op 12 oktober 2021 is uw Kamer uitgebreid geïnformeerd over de voortgang op het domein digitale toegang.5 In deze brief wordt uitgebreid ingegaan op het gehele domein van de digitale toegang waar zowel de doorontwikkeling van DigiD, het publieke inlogmiddel voor burgers, als eHerkenning, het private stelsel van inlogmiddelen voor bedrijven) onder valt. Het domein Toegang heeft in de kern twee doelen. Allereerst (persoonlijke) toegang verlenen tot een goede, efficiënte digitale dienstverlening voor burgers en bedrijven. En ten tweede de betrouwbaarheid van de private en publieke inlogmiddelen garanderen, zodat persoonsgegevens zo goed mogelijk beschermd zijn.
In de genoemde brief over het domein toegang zijn eveneens de ontwikkelingen op het domein digitale identiteit meegenomen. Voor een visie op dit domein verwijs ik naar de visiebrief digitale identiteit die in februari 2021 naar uw Kamer is gestuurd.6 Hierin wordt uitgebreid ingegaan op de taken en verantwoordelijkheden die de overheid invult met betrekking tot de digitale identiteit en de digitale infrastructuur.
Vraag 3

Kunt u helder uiteenzetten in welke mate en hoe de data die gekoppeld is aan een eID decentraal wordt opgeslagen en in welke mate en hoe dit centraal wordt opgeslagen? Zo nee, waarom niet?

Bij de inrichting van het eID-stelsel worden om in te loggen bij overheden geen andere attributen (persoonsgegevens) verwerkt dan het burgerservicenummer; dat wil zeggen niet op andere plekken dan waar dit nu reeds plaatsvindt. Bij de implementatie van eID is overigens een centrale, maar ook een decentrale opzet, of een combinatie van beide mogelijk. In alle situaties is de kern dat er een adequate privacybescherming wordt gerealiseerd. Daarbij dienen alle beginselen uit de AVG worden meegenomen.
Vraag 4

Begrijpt u de kritiek van experts, die aangeven dat hoewel mensen eigenaar lijken te zijn van hun eigen data, maar dat dit principe ondermijnd wordt door verdienmodellen van verschillende deelnemers en aanbieders van digitale identiteiten? Zo nee, waarom niet? Zo ja, wat zijn de waarborgen waardoor deze prikkels worden weggenomen?

Ik deel de achterliggende zorg. Ik ben het met de experts eens dat persoonsgegevens van burgers geen handelswaar zijn en dat verdienmodellen van aanbieders daarop ook niet gebaseerd mogen zijn. Ik ben van mening dat daarvoor ook afdoende waarborgen getroffen zijn en worden. Zowel in de revisie van de bestaande eIDAS verordening tot vorming van een Europees digitale identiteit raamwerk, als in de voorstellen voor de Wet Digitale Overheid, is opgenomen dat gebruiks- en gebruikersgegevens en eventuele andere categorieën persoonsgegevens niet gebruikt mogen worden voor andere doeleinden dan de veilige uitgifte van inlogmiddelen en het inloggen met deze middelen.7 De data van mensen dienen dus niet het verdienmodel van een aanbieder van een digitaal identiteitsmiddel, omdat dit onder de voorgestelde wetgeving niet wordt toegestaan.
Vraag 5

Waarom is er bij de ontwikkeling van de eID/SSI (Self-Sovereign Identity) gekozen voor blockchaintechnologie? Begrijpt u de kritiek van wetenschappers dat dit kwetsbaar en kostbaar is, onder andere omdat data, ook als deze niet juist is, niet verwijderd kan worden? Kunt u uw antwoord toelichten?

Het artikel waaraan u refereert beschrijft één experiment en geen breed maatschappelijk geïmplementeerde toepassing. De genoemde pilot wordt momenteel niet aan burgers aangeboden. Het Nederlandse eID voor burgers is DigiD. Hierbij wordt de door u genoemde technologie niet gebruikt.
De mate waarin distributed ledger technologie (blockchain) in de toekomstige Europese en Nederlandse digitale identiteit infrastructuur gebruikt wordt staat nog niet vast. Ik kijk hier zeer kritisch naar, niet alleen vanuit het oogpunt van privacy, maar ook vanuit duurzaamheid. Het maatschappelijke doel staat in het Nederlandse beleid voorop, niet de ondersteunende technologie. De overheid blijft graag in open dialoog en onderzoekt diverse technologische initiatieven die kunnen bijdragen aan een betrouwbare digitale identiteit infrastructuur, zeker waar het gaat om het borgen van de autonomie en privacy van Nederlandse burgers. Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties tracht hierbij zo min mogelijk voorbarige conclusies te trekken, maar probeert te leren door te experimenteren.
Vraag 6

Kunt u ingaan op de zorgen over hoe de gekozen techniek mensen ernstig kan benadelen, omdat zij aan een systeem vastzitten en daar alleen afstand van kunnen nemen met grote persoonlijke consequenties? Hoe denkt u dit te voorkomen?

Ik ben bekend met deze technologie en de kritiek hierop. We onderzoeken, bijvoorbeeld in het kader van het European Blockchain Partnership, diverse mogelijkheden om distributed ledgers (blockchains) te gebruiken zonder daarop persoonsgegevens op te slaan. Dit heeft mijn voorkeur. Zoals in het antwoord op de vorige vraag is aangegeven, staat de mate waarin distributed ledger technologie (blockchain) in de toekomstige Europese en Nederlandse digitale identiteit infrastructuur gebruikt wordt, nog niet vast. Het maatschappelijke doel staat in het Nederlandse beleid voorop, niet de ondersteunende technologie.
Vraag 7

Hoeveel lobbycontacten zijn er geweest tussen de overheid en het platform ID2020? Kunt u een overzicht verstrekken?

In het opstellen van de Nederlandse lijn in het werken aan het Europese digitale identiteit raamwerk zijn geen contacten geweest met medewerkers van het platform ID2020.
Vraag 8

Kunt u ingaan op de zorgen van wetenschappers dat de coronapandemie door bedrijven en politici wordt gebruikt of misbruikt om een digitale identiteitskaart(ID) in te voeren? Kunt u uw antwoord toelichten?

De Nederlandse digitale identiteitskaart bestaat op dit moment niet. De wet op de identificatieplicht laat dit niet toe. Voor een visie op dit domein verwijs ik naar de visiebrief digitale identiteit die in februari 2021 naar uw Kamer is gestuurd.8
Vraag 9

In hoeverre vindt u het ethisch verantwoord dat bedrijven of beleidsmakers een gezondheidscrisis gebruiken om een digitale identiteit aan te prijzen, waardoor zij meer winst kunnen maken of meer invloed kunnen vergaren door dataverzameling?

Er is door de overheid geen gezondheidscrisis gebruikt om meer winst te maken of invloed te vergaren door datavergaring. De verdere doorontwikkeling van onze digitale identiteit infrastructuur zal altijd een maatschappelijk vraagstuk zijn dat weloverwogen stappen vergt. In de visiebrief digitale identiteit (feb 2021) heb ik nadrukkelijk stil gestaan bij de diverse publieke waarden die hierbij meespelen.9 Denk hierbij aan publieke waarden als de cyberveiligheid van ons land, de autonomie van de burger, de privacy van de burger, economische kansen en vermindering van administratieve lasten voor de burger. De kern is dat ik wil bouwen aan vertrouwen in de digitale wereld door een betrouwbare digitale identiteit infrastructuur in te richten. Winst van private partijen zal hierbij geen doel zijn. Invloed vergaren door middel van dataverzameling bij het gebruik van digitale identiteitsmiddelen is voor zowel overheden als private partijen volgens de voorgestelde wetgeving niet toegestaan. Zie het antwoord op vraag 4.
Vraag 10

Op welke manier zijn de ethische aspecten meegewogen in het beleid rond de Europese en Nederlandse digitale identiteit? Kunt u uw antwoord toelichten?

De verdere doorontwikkeling van onze digitale identiteit infrastructuur zal altijd een maatschappelijk vraagstuk zijn dat weloverwogen en ethisch verantwoorde stappen vergt. In de visiebrief digitale identiteit (feb 2021) is nadrukkelijk stil gestaan bij de diverse publieke waarden die hierbij meespelen. Denk hierbij aan publieke waarden als de cyberveiligheid van ons land, de autonomie van de burger, de privacy van de burger, economische kansen en vermindering van administratieve lasten voor de burger. Ook worden in deze brief enkele uitgangspunten voor de toekomstige digitale identiteit infrastructuur aangegeven.10 Om een gedragen en betrouwbare inrichting van de Nederlandse en Europese digitale identiteit infrastructuur te bewerkstelligen zal ik hierover in de toekomst met uw Kamer en met diverse maatschappelijke experts, waaronder ethici, in gesprek gaan.
Vraag 11

Kunt u reflecteren op de wenselijkheid van de invloed van onder andere Microsoft, maar ook andere multinationals of big techbedrijven, in de oproep aan overheden tot het ontwikkelen van een zogenoemde coronapas? Zo nee, waarom niet?

De inrichting van het «raamwerk voor een Europese Digitale Identiteit», dat de huidige eIDAS-verordening herziet, wordt onafhankelijk van het eerder ontwikkelde EU digitale Corona Certificaat ontwikkeld. Voor de ontwikkeling van de onder vraag 1 genoemde toolbox zal ook de kennis en ervaring vanuit het bedrijfsleven betrokken worden. Dit doen we op een open wijze met een gelijk speelveld voor de betrokken partijen.
Vraag 12

In hoeverre vindt u het afhankelijk worden van een digitale identiteit wenselijk als er tegelijkertijd nog altijd grote beveiligingsrisico’s zijn voor mensen als het gaat om het gijzelen van data en persoonsgegevens?2

Op het terrein van informatieveiligheid binnen en buiten de overheid is veel werk te doen. Het kabinet zet zich permanent in voor het vergroten van de digitale veiligheid in de samenleving; ik verwijs naar de Kamerbrief met de Beleidsreactie Cybersecuritybeeld Nederland 2021 (CSBN2021) en de voortgangsrapportage Nederlandse Cybersecurity Agenda (NCSA).12 De digitale dreiging is immers groeiende en alle overheden en organisaties wereldwijd kampen met dit vraagstuk. Het is een brede maatschappelijke opgave voor publieke en private partijen. Digitale veiligheid is dan ook een essentiële randvoorwaarde voor het slagen van de digitale transitie. Daarom dient deze veiligheid in de basis geborgd te worden zodat dit geen beletsel vormt voor de toekomstbestendigheid van de Europese en Nederlandse digitale identiteit infrastructuur.
Vraag 13

Kunt u aangeven wat u onderneemt om deze kwetsbaarheid, en het oplossen van die kwetsbaarheden, zo veel mogelijk onder de aandacht te brengen van (overheids)instellingen en bedrijven?

Vanuit de driehoek BZK, JenV en EZK wordt nauw samengewerkt om de digitale weerbaarheid in de publieke en private sectoren in Nederland te verhogen. Een goed voorbeeld hiervan is de recente aanpak van Apache Log4j kwetsbaarheid waarbij binnen de rijksoverheid, onder operationele coördinatie door het NCSC, organisaties vanuit de eigen rollen en taken nauw hebben samengewerkt. Een speciaal georganiseerd online-webinar, georganiseerd door het Digital Trust Center (DTC), NCSC en CSIRT-DSP, werd door 4000 IT- en cyberspecialisten bezocht waardoor kennis snel gedeeld kon worden met partijen die aan de knoppen zitten. Uw Kamer is hier op 17 december jl. over geïnformeerd.13
Vraag 14

Kunt u aangeven hoe bedrijven en (overheids)instellingen en getroffen burgers worden ondersteund bij eventuele schade van dit veiligheidslek?

Leveranciers van software zijn allereerst verantwoordelijk om bij kwetsbaarheden actie te nemen en zo te zorgen dat hun producten veilig zijn. Door de stichting Apache zijn in deze casus ook updates beschikbaar gesteld om de kwetsbaarheden te dichten.14 Bedrijven en organisaties in Nederland zijn primair zelf verantwoordelijk voor de beveiliging van hun IT en dienen de patch, waar dat kan, dan ook zo snel mogelijk uit te voeren.
Het NCSC heeft daarnaast krachtens de Wet beveiliging netwerk- en informatiesystemen (Wbni) tot taak om vitale aanbieders en Rijksoverheidsorganisaties in het geval van dreigingen of incidenten met betrekking tot hun netwerk- en informatiesystemen, zowel desgevraagd als proactief, te informeren, adviseren en overige bijstand te verlenen. Digitale dienstverleners (clouddiensten, online marktplaatsen, zoekmachines) die onder de Wbni vallen kunnen desgewenst bijstand verkrijgen van het nationale Cyber Security Incident Response Team voor digitale dienstverleners (CSIRT-DSP).15 Het DTC ondersteunt het MKB hierin met algemene en specifieke dreigingsinformatie, advies, handelingsperspectieven en tools. Ook stimuleert het sectorale en regionale samenwerkingsverbanden van bedrijven die tot doel hebben de cyberweerbaarheid van hun deelnemers te verhogen.
Het is aan alle partijen om zich goed voor te bereiden op eventuele compromittering van hun netwerk- en informatiesystemen, zoals dat ook bij inbraak en diefstal het geval is in de analoge situaties. Wanneer onverhoopt burgers slachtoffer worden van een dergelijk incident, dan zal per geval bekeken moeten worden of er partijen aansprakelijk gesteld kunnen worden. Wanneer burgers of instellingen als gevolg van een dergelijk incident te maken krijgen met cybercrime, dan kunnen zij hiervan aangifte doen bij de politie.
Vraag 15

Vindt u het wenselijk dat zoveel bedrijven en instellingen afhankelijk zijn van het veiligheidsbeleid van één bedrijf? Zo nee, wat is hiervoor volgens u een oplossing?

Als een (digitale) toepassing door heel veel bedrijven en instellingen wordt gebruikt dan zal de economische of maatschappelijke schade bij incidenten veelal groter zijn dan wanneer er weinig gebruikers zijn. Organisaties zijn zelf primair verantwoordelijk voor hun eigen digitale weerbaarheid en het bepalen van welke producten of diensten ze daartoe afnemen. Voor verschillende organisaties geldt wel dat ze wel onder meer op grond van de Wbni een zorgplicht hebben en dus passende en evenredige beveiligingsmaatregelen moeten treffen. Ook vindt er toezicht op de naleving hiervan plaats.16
Daarnaast is het kabinet in dit verband positief over het commissievoorstel voor de herziening van de NIB-richtlijn. Dat voorstel bevat onder andere bepalingen over het inrichten van een proces voor gecoördineerde risicoanalyses voor kritieke ICT-systemen, -producten of diensten. Ook regelt het voorstel dat de entiteiten die zullen vallen onder de herziene NIB-richtlijn adequate beveiligingsmaatregelen moeten treffen, waarbij ook rekening moet worden gehouden met de beveiliging van hun toeleveringsketens. Zie ook het antwoord op vraag 16.
Vraag 16

Kunt u aangeven of er een melding moet worden gedaan van digitale aanvallen en beveiligingslekken waardoor er preventief kan worden opgetreden om verdere onveiligheden op te lossen? Kunt u uw antwoord toelichten?

Het doel van het kabinetsbeleid ten aanzien van digitale aanvallen en beveiligingslekken is om slachtoffers en schade te voorkomen, het aanvalsproces te verstoren en daders op te sporen. Voor verschillende organisaties geldt er onder meer krachtens de Wbni reeds een meldplicht van incidenten met aanzienlijke gevolgen voor de dienstverlening. Op dit moment wordt er in de EU onderhandeld over de herziening van de NIB-richtlijn, die in Nederland is geïmplementeerd via de Wbni. Met de herziening van de NIB-richtlijn zal het aantal sectoren en organisaties die onder de herziene richtlijn komen te vallen en dus onder meer moeten voldoen aan een meldplicht van incidenten met aanzienlijke gevolgen voor de dienstverlening behoorlijk worden uitgebreid. Tevens stimuleert het NCSC het inrichten van een beleid voor Coordinated Vulnerability Disclosure (CVD), waarbij gebruikers melding kunnen maken van kwetsbaarheden bij de eigenaars of producenten van software en systemen. Het NCSC kan bemiddelen indien een leverancier of eigenaar niet of niet goed reageert op een dergelijke melding.
Daarnaast staan het NCSC, het CSIRT voor digitale diensten en het DTC met elkaar in contact om zo veel als mogelijk te adviseren over welke beveiligingsmaatregelen organisaties kunnen nemen en zij waarschuwen bij geconstateerde kwetsbaarheden hun onderscheidenlijke doelgroepen om onder meer het bewustzijn te vergroten. Ook bieden ze hulpmiddelen voor het treffen van maatregelen aan ter verhoging van de cyberweerbaarheid.

14 december 2021 - 4 februari 2022

52 dagen

Het bericht ‘Technologieleverancier van Defensie en politie gehackt, losgeld geëist voor vertrouwelijke informatie’.
	Queeny Rajkowski (VVD)
	Ferdinand Grapperhaus (CDA)

Bronnen

1. https://www.volkskrant.nl/nieuws-achtergrond/technologieleverancier-v…

Vraag 1

Bent u bekend met het bericht «Technologieleverancier van Defensie en politie gehackt, losgeld geëist voor vertrouwelijke informatie»1?

Ja. Dit voorval is zeer onwenselijk. Onderdeel van ons beleid is beter te gaan monitoren hoe toeleveranciers van de overheid omgaan met onze data. Het gaat daarbij om een samenhang van de te treffen beveiligingsmaatregelen (in zowel de contracten van de overheid als van de ICT-leverancier) als om het inregelen van toezicht. Ook het beleid van ICT-leveranciers ten aanzien van ransomware moet hierin worden meegenomen.
Vraag 2

Aan welke overheidsorganisaties levert Abiom communicatietechnologie?

Voor zover bekend nemen onder andere de Nationale Politie, de Dienst Justitiële Inrichtingen, Rijkswaterstaat, het Centraal Bureau Rijvaardigheidsbewijzen, Luchtverkeersleiding Nederland en het Ministerie van Defensie diensten en producten af van Abiom. Abiom levert in dat verband aan verschillende overheidsorganisaties onder andere C2000 portofoons en communicatietechnologie. Op dit moment is er geen uitputtende lijst bekend van het gebruik van ICT-producten zoals dat van Abiom binnen de overheid.
Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties werkt aan de wettelijke verankering van en toezicht op informatieveiligheid voor het gehele openbaar bestuur, waaronder de Baseline Informatiebeveiliging Overheid (BIO) in een volgende tranche van de Wet Digitale Overheid (WDO). Overwogen wordt om in nadere regelgeving op te nemen dat bij iedere bestuurslaag voldoende snel kan worden achterhaald welke organisaties gebruik maken van welke leveranciers en/of software. Met deze informatiepositie kan de overheid haar respons op toekomstige digitale aanvallen beter invulling geven.
Vraag 3

Gelden er bepaalde (veiligheids)eisen voor kritieke toeleveranciers zoals Abiom die technologie leveren aan overheidsorganisaties? Zo ja, welke en in welke mate wordt hierop gescreend bij aanbestedingsprocessen? Zo nee, waarom niet?

(Veiligheids)eisen zijn van toepassing op alle leveranciers. Zoals bijvoorbeeld in antwoord op eerdere Kamervragen over het bericht «Litouwen adviseert consument geen Xiaomi-telefoons meer te kopen» is aangegeven, is voor de aanschaf van ICT-producten en diensten, door de overheid de Baseline Informatiebeveiliging Overheid (BIO) van kracht.2, 3 De uitgangspunten van de BIO zijn onder andere risicomanagement en de eigen verantwoordelijkheid van overheidsorganisaties. Dat betekent dat organisaties zelf risicoafwegingen uitvoeren voordat ICT-producten en diensten van een leverancier worden afgenomen. Op grond van die risicoafwegingen bepalen zij dan de toepassing binnen hun eigen bedrijfsprocessen. De inkopende overheidsorganisatie bepaalt ook aan welke eisen een leverancier moet voldoen om voor verlening van een opdracht in aanmerking te komen. Deze overheidsorganisaties zullen ook tijdens de looptijd van het contract moeten toezien op het naleven van die eisen door de leverancier.
Om de inkopende overheidsorganisatie te helpen bij het bepalen aan welke inkoopeisen op het gebied van informatieveiligheid moet worden voldaan in het geval van ICT-producten en -diensten heeft het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties samen met het Ministerie van Economische Zaken en Klimaat een inkooptool ontwikkeld, de zogenaamde ICO-wizard, Inkoopeisen Cybersecurity Overheid.4
Tevens geldt in algemene zin dat bij de inkoop en aanbesteding van producten en diensten binnen de rijksoverheid (eventuele) risico’s voor de nationale veiligheid worden meegewogen. Hierbij wordt in het bijzonder gelet op mogelijke risico’s ten aanzien van de continuïteit van vitale processen, de integriteit en exclusiviteit van kennis en informatie en de ongewenste opbouw van strategische afhankelijkheden. Bij elke casus wordt bezien hoe risico’s beheersbaar kunnen worden gemaakt. Het uitgangspunt is dat maatregelen die hiertoe genomen worden proportioneel zijn. Dit vergt een gedetailleerde analyse van de te beschermen belangen, de dreiging en de (huidige) weerbaarheid.5 Uiteindelijk is het aan de opdrachtgever om deze risicoafweging te maken en mitigerende maatregelen te implementeren en te monitoren. De term «kritieke toeleveranciers» heeft geen specifieke status binnen de overheid.
In algemene zin biedt het wettelijk kader de mogelijkheid om bij inkoop en aanbestedingen specifieke (veiligheids)eisen als voorwaarden te stellen aan de (mogelijke) opdrachtnemer. Hier kan op worden gecontroleerd tijdens het aanbestedingsproces en gedurende de looptijd van het contract. Ook hier geldt dat de betreffende overheidsorganisatie hier zelf verantwoordelijk voor is.
Politie:
Bij alle Europese aanbestedingen betreffende door de Politie te verlenen opdrachten zijn eisen en contractuele bepalingen opgenomen die zich richten op geheimhouding en de verwerking van persoonsgegevens. Met de toeleveranciers van de politie worden – indien nodig – verwerkersovereenkomsten gesloten. In deze overeenkomsten staan de eisen met betrekking tot de omgang met informatie opgenomen waaraan een toeleverancier moet voldoen om leverancier van de politie te kunnen zijn. Deze eisen neemt de politie al mee bij de (voor-)selectiekeuzen voor leveranciers. Daarnaast worden, wanneer relevant, bij aanbestedingen eisen opgenomen die betrekking hebben op het beschermen van (digitale) politiegegevens, het vernietigen na gebruik en de plicht tot het melden van datalekken. Recentelijk is door de Korpsleiding van de politie besloten tot het intensiveren van het toezicht tijdens de uitvoeringsfase van een contract waarbij substantiële veiligheidsrisico’s zijn voorzien.
Defensie:
Voor Defensie geldt dat de Algemene Beveiligingseisen Defensieopdrachten (ABDO) van toepassing is op gerubriceerde opdrachten die Defensie bij de industrie belegt. De ABDO voorziet in diverse maatregelen om gerubriceerde informatie te beveiligen tegen een dreiging van bijvoorbeeld statelijke actoren. Welke (beveiligings-)eisen van toepassing zijn wordt per opdracht bepaald. ABDO is ook van toepassing op subcontractors en heeft daarmee impact op de beveiliging van de hele keten waar een gerubriceerde opdracht wordt belegd. De MIVD houdt toezicht op het naleven van de ABDO. Er worden in het openbaar geen uitspraken gedaan over welke bedrijven dit betreft.
Vraag 4

Deelt u de mening dat het goed is om de minimale veiligheidseisen voor IT-leveranciers te herzien en wellicht te verhogen om de kans op hacks met grootschalige impact zo klein mogelijk te maken? Zo ja, welke veiligheidseisen heeft u voor ogen en vanaf wanneer? Zo nee, waarom niet?

De minimale beveiligingseisen waar IT-leveranciers van overheden zich aan moeten houden liggen vast in de BIO. De uitdaging ligt in het toepassen van de BIO bij bijvoorbeeld inkooptrajecten. Die eisen zullen specifiek ingevuld moeten worden voor de verschillende in gebruik te nemen ICT-producten en -diensten. De inkooptool, de eerdergenoemde ICO-wizard, die ontwikkeld is voor tien inkoopsegmenten, ondersteunt de inkopende overheidsorganisaties bij het bepalen en/of uitwerken van deze beveiligingseisen. Dat ontheft de inkopende organisatie niet van de verantwoordelijkheid om zelf op basis van risicomanagement te bepalen welke eisen in relatie tot de inkoop van ICT-producten of -diensten moeten komen te gelden.
Daarnaast wijs ik er graag op dat er op dit moment binnen de EU wordt onderhandeld over de herziening van de Netwerk- en Informatiebeveiligingsrichtlijn (NIB2-richtlijn). Deze richtlijn regelt onder meer dat entiteiten in 16 sectoren, waaronder de overheid, maatregelen moeten nemen om risico’s voor hun netwerk- en informatiesystemen die zij gebruiken bij het leveren van hun diensten te beheersen. Onderdeel van deze zorgplicht is dat zij rekening moeten houden met risico’s die voortkomen uit de relatie met hun leveranciers en dienstverleners. Op de naleving van de bepalingen uit de richtlijn moet worden toegezien door de lidstaten via hun nationale toezichthouders.
Vraag 5

Aan welke eisen moeten IT-leveranciers aan de overheid voldoen na een veiligheidsincident zoals een hack? Welk controle of testen worden er uitgevoerd?

De BIO schrijft voor dat er na een incident een analyse moet worden gemaakt ter voorkoming van vergelijkbare incidenten in de toekomst. Dit voorschrift geldt voor zowel de proceseigenaar als voor de leverancier. Dergelijke analyses moeten worden gedeeld met relevante partners om herhaling van en toekomstige incidenten te voorkomen. De exacte invulling hiervan is afhankelijk van de aard en het belang van het betreffende ICT-proces en zal voor elke organisatie per geval verschillen. Los hiervan moeten (overheids)organisaties inbreuken in verband met persoonsgegevens bij de Autoriteit Persoonsgegevens melden, indien die inbreuk een risico vormt voor de rechten en vrijheden van personen.
Vraag 6

Klopt het dat de ransomwaregroep LockBit vertrouwelijke documenten online heeft gezet? Zo ja, om wat voor documenten en gegevens gaat het en komen hierdoor processen van de overheid in gevaar en/of lopen burgers gevaar om eventueel slachtoffer te worden van misbruik met hun gegevens?

Nee, burgers en processen van de overheid lopen, voor zover bekend, geen gevaar om door dit lek slachtoffer te worden van misbruik met hun gegevens. In tegenstelling tot de genoemde berichtgeving heeft Abiom geen kopieën van paspoorten van de politieambtenaren, verdachten, verbalisanten en/of benadeelden ontvangen vanuit de politie. De informatie die door de ransomwaregroep LockBit is gepubliceerd betreft – in het geval van de politie – kentekens van voertuigen en een zeer beperkt aantal zakelijke e-mailadressen van medewerkers. Deze informatie heeft Abiom tot zijn beschikking vanwege uitlevering van randapparatuur zoals bijvoorbeeld op maat gemaakte oortjes voor communicatievoorzieningen. Deze informatie stond op facturen van Abiom aan de politie. De vrijgekomen informatie heeft naar verwachting een beperkte impact op het operationele proces. Op basis van de nu beschikbare informatie kunnen politiemedewerkers en andere hulpverleners nog steeds veilig gebruik maken van C2000. Ook de informatie ten behoeve van het primaire proces bij meldkamers en politiediensten is nog steeds beschikbaar en ongewijzigd.
Naar huidig inzicht heeft de vrijgekomen informatie een beperkte impact gehad bij Defensie. Uit onderzoek is gebleken dat van enkele Defensiemedewerkers contactgegevens zijn gelekt en een beperkte hoeveelheid ongerubriceerde informatie. Deze informatie had geen betrekking op operationele eenheden. Ook zijn er geen missies in gevaar gekomen.
Vraag 7

Wat is het bedrag dat LockBit vraagt voor het niet publiceren van deze documenten? Klopt het dat Abiom niet is ingegaan op de eis van de hackers?

Zoals aangegeven in een statement van Abiom over het incident is er in overleg met de politie door Abiom besloten om niet in contact te treden met de actor die verantwoordelijk is voor de ransomware-aanval.6 In verband met het lopende politieonderzoek kan er op dit moment niet nader in worden gegaan op de casus.
Vraag 8

Is bekend waarom een ransomware-aanval bij Abiom is gedaan, wat de werkwijze van de criminelen is en wie hier eventueel achter zit? Zo nee, wordt daar nog onderzoek naar gedaan?

Op basis van de beschikbare informatie wordt ervan uitgegaan dat LockBit informatie heeft gestolen met het doel om losgeld te verkrijgen voor het niet publiceren van vertrouwelijke informatie. Vanwege het lopende politieonderzoek kan geen nadere informatie worden gegeven over de casus.
Vraag 9

Wordt er vanuit de overheid toezicht gehouden op gevoelige data van kritieke toeleveranciers van de overheid die online komen te staan? Zo ja, wie verzorgt dit toezicht en wat voor data is tot nu gevonden dat kan worden herleid tot de hack bij Abiom? Zo nee, waarom gebeurt dit niet?

Nee, zoals genoemd in vraag 3, heeft de term «kritieke toeleveranciers» geen specifieke status van de overheid. Hierop wordt als zodanig vanuit de overheid dus ook geen toezicht gehouden. Wel kan een incident aanleiding vormen voor andere toepasselijke toezichthoudende partijen om een onderzoek in te stellen. Wanneer bijvoorbeeld persoonsgegevens online komen te staan (een zogenaamde datalek) als gevolg van een incident is het aan de Autoriteit Persoonsgegevens om te overwegen of nader onderzoek ingesteld moet worden.
Daarnaast eist de BIO in het algemeen dat overheidsorganisaties beveiligingseisen opnemen in hun contracten met leveranciers en dat ze jaarlijks de prestatie van leveranciers op het gebied van informatiebeveiliging beoordelen op basis van vooraf vastgestelde prestatie-indicatoren. Deze behoren onderdeel te zijn van het contract met de leveranciers. Met een toekomstige wettelijke verankering van de BIO worden deze bepalingen van de BIO ook wettelijk verplicht.
Vraag 10

Deelt u de mening dat het goed om is Abiom te vragen om informatie over de hack te delen met bijvoorbeeld het Nationaal Cyber Security Centre en/of Digital Trust Centre? Zo ja, is dit gevraagd en wat gaat er met deze informatie gebeuren? Zo nee, waarom niet?

Het Nationaal Cyber Security Centrum (NCSC) van mijn ministerie heeft krachtens de Wbni primair tot taak om vitale aanbieders en andere aanbieders die deel uitmaken van de rijksoverheid te informeren en adviseren over dreigingen en incidenten met betrekking tot hun netwerk- en informatiesystemen. Dit betekent onder andere dat het NCSC zich daartoe een zo goed mogelijk beeld vormt van dergelijke dreigingen of incidenten en van de in die gevallen mogelijke mitigerende maatregelen. Het NCSC kan hiervoor informatie opvragen bij betrokken partijen, zoals de leverancier van kwetsbare softwareproducten. DTC heeft vooruitlopend op het wetsvoorstel Bevordering digitale weerbaarheid bedrijven (Wbdwb) de bevoegdheid het als niet-vitaal aangemerkte bedrijfsleven te informeren over serieuze dreigingen indien deze bekend zijn bij het DTC. Daarnaast neemt het DTC in voorkomende gevallen contact op met bedrijven waarbij er sprake is geweest van een serieus incident en DTC hier weet van heeft. In sommige gevallen deelt het DTC de verkregen informatie in meer algemene vorm zodat andere bedrijven hiervan kunnen leren en hun eigen cyberweerbaarheid kunnen vergroten. Het delen van informatie door bedrijven met het DTC over incidenten gebeurt op basis van vrijwilligheid. Het DTC heeft contact gezocht met Abiom om navraag te doen en is nog in afwachting van een reactie. Daarnaast hebben de getroffen overheidsorganisaties contact met Abiom gehad inzake aangifte, onderzoek en herstel, buitgemaakte gegevens, acties van Abiom en acties van de politie zelf.
Vraag 11

Deelt u de mening dat dit soort voorvallen zeer schadelijk kunnen zijn voor het functioneren van kritieke processen van de overheid zoals het functioneren van onze hulpdiensten? Zo ja, welke lessen worden uit deze hack getrokken en welke maatregelen kunnen worden genomen om kritieke toeleveranciers van de overheid (nog) weerbaarder te maken tegen ondermijnende digitale aanvallen zoals ransomware-aanvallen?

Als een incident leidt tot de verstoring van een vitaal proces is er een risico op maatschappelijke ontwrichting. Zoals ik in het antwoord op vraag 5 heb vermeld, schrijft de BIO voor dat organisaties incidenten evalueren. Welke lessen er exact worden getrokken zal per organisatie verschillen, omdat iedere organisatie verschilt en ook omdat de verlening van diensten en producten van Abiom op verschillende manieren is ingezet binnen de betrokken overheidsorganisaties. Die organisaties zullen daarbij zelf steeds een afweging moeten maken hoe risico’s gemitigeerd kunnen worden en welke eventuele restrisico’s blijven bestaan.

9 december 2021 - 16 februari 2022

69 dagen

De rode loper voor datacenter Zeewolde
	Gijs van Dijk (PvdA), Henk Nijboer (PvdA), Joris Thijssen (PvdA), Suzanne Kröger (GL)
	Stef Blok (VVD), Kajsa Ollongren (minister defensie) (D66)

Bronnen

1. De Telegraaf, 24 november 2021 (https://www.telegraaf.nl/financieel/5…
2. NRC Handelsblad, 3 december 2021 (https://www.nrc.nl/nieuws/2021/12/0…
3. Nota beleidsbrief datacenters, 11 januari 2021

Vraag 1

Bent u bekend met de artikelen «Rode loper voor datacenter Facebook, Zeewolde wuift groene bezwaren weg»1 en «Het Rijk regelde onder druk van Facebook voorrang op het stroomnet»?2

Ja, daar ben ik mee bekend.
Vraag 2

Klopt het dat uw ministerie, net zoals bij het datacenter in de Wieringermeer, een actieve rol heeft gespeeld bij het binnenhalen van het datacenter van Facebook? Hoe zag die actieve rol eruit?

De Netherlands Foreign Investment Agency (NFIA), een uitvoeringsorganisatie van EZK, is verantwoordelijk voor het aantrekken van buitenlandse bedrijven naar Nederland. De NFIA heeft Meta niet actief aangetrokken naar Nederland. In maart 2019 is NFIA door Meta zelf benaderd voor een verkenning van een geschikte datacenter locatie in Nederland. Uit de verkenning van NFIA onder de regionale acquisitiepartners volgde in eerste instantie dat er geen locatie was die voldeed aan de door het bedrijf genoemde criteria. Later in het proces (eind 2019) heeft Meta zelf de gemeente Zeewolde benaderd. Na de locatiekeuze voor Zeewolde werd de NFIA vanaf begin 2020 op verzoek van Meta en de decentrale overheden weer bij het project betrokken om vanuit haar rol als eerste aanspreekpunt bij de rijksoverheid voor buitenlandse bedrijven het contact te leggen met de juiste partijen binnen de rijksoverheid voor specifieke vragen, bijvoorbeeld met het Ministerie van EZK over de elektriciteitsaansluiting. Verder is gedurende het traject de NFIA op de hoogte gehouden van de voortgang van het proces door Meta en regionale partijen.
Vraag 3

Klopt het dat het Ministerie van Algemene Zaken heeft aangespoord tot snelheid in het proces? Welke rol heeft het Ministerie van Algemene Zaken gehad rondom het datacenter van Facebook in Zeewolde?3

In het belang van de Nederlandse economie en de werkgelegenheid heeft het Ministerie van Algemene Zaken een rol in het aantrekken van buitenlandse investeringen en werkgelegenheid. Het Ministerie van Algemene Zaken onderneemt in dat licht geregeld internationale reizen onder meer gericht op het bevorderen van handel en investeringen en heeft daarnaast geregeld contact met bedrijven, zo ook met Meta.
In het geval van Meta is er contact geweest tussen het Ministerie van Algemene Zaken en het Ministerie van Economische Zaken en Klimaat waarin gewezen is op het belang van snelheid in het proces en is geïnformeerd naar de voortgang. Dit contact was erop gericht om informatie te krijgen of de door Meta gewenste wijze van aansluiting op het hoogspanningsnet zou passen binnen de kaders van de Elektriciteitswet, dit was immers van belang voor netbeheerders en Meta voor het verdere proces.
Vraag 4

Kunt u toelichten wat uw voorganger precies heeft gedaan aangaande het leveren van de genoemde voorrang op het hoogspanningsnet? Welke bevoegdheden heeft u om voorrang te geven aan bedrijven op het hoogspanningsnet?

Er is geen sprake van «voorrang» voor aansluiting van Meta op het hoogspanningsnet. Dit is een misvatting, zoals ook aangegeven door de Minister van Economische Zaken en Klimaat in het Vragenuur van 7 december 2021.
Op het moment dat Meta zich bij mijn ministerie meldde, had Meta reeds een aansluitverzoek bij TenneT4 ingediend. Haar recht op aansluiting en positie in een eventuele wachtrij van beoogd aangeslotenen, lag toen reeds vast. Overigens was er op deze plek geen sprake van een wachtrij van aangeslotenen, en is Meta de enige partij die om aansluiting heeft verzocht. Zoals blijkt uit de openbaar gemaakte stukken (zie nummer 9, notitie «Aansluitproblematiek datacentrum «Tulip», van 13 mei 2020), waren de discussies tussen TenneT en Meta over de wijze van aansluiting van het datacenter vastgelopen. Het ging dus niet om de vraag of Meta recht had op een aansluiting of de prioritering daarvan. Het wettelijk kader bepaalt namelijk dat elke partij in Nederland recht heeft op een aansluiting op het elektriciteitsnet.
TenneT had in reactie op het aansluitverzoek van Meta voorgesteld om aan te sluiten op een bestaand onderstation op 5 kilometer afstand van het beoogde datacenter. Meta stelde voor om aansluiting plaats te laten vinden op een door haar nieuw te bouwen transformatorstation, nabij het beoogde datacenter, en op een plek waar een bestaande hoogspanningsverbinding al loopt. Dit is een ongebruikelijke manier van aansluiting. Meta en TenneT werden het op dit punt niet eens. Elk van de partijen vroeg aan het ministerie of een dergelijke manier van netuitbreiding en aansluiting paste binnen het wettelijke kader in de Elektriciteitswet 1998. Het ministerie heeft hier onderzoek naar gedaan en geconcludeerd dat het wettelijk kader zich niet verzet tegen een dergelijke wijze van aansluiting. Hiervoor is ook advies ingewonnen bij de Landsadvocaat. Ook is gevraagd aan provincie en gemeente om nogmaals per brief hun standpunt over vestiging aan de Minister te bevestigen. Tenslotte heeft mijn voorganger een brief aan TenneT (en Liander) gestuurd ter bevestiging dat deze aanpak juridisch toegestaan is en het verzoek om aan TenneT (en Liander) om de samenwerking aan te gaan met het bedrijf en om zich in te spannen de bouw van het onderstation en de aansluiting van het bedrijf te realiseren.
Naast het juridische aspect, is van het begin af aan aandacht geweest voor de kostenverdeling van een dergelijke aanpak. Zoals eveneens uit de openbaar gemaakte stukken blijkt, is vanaf het begin de voorwaarde gesteld dat Meta «de kosten voor de aansluiting en het nieuwe onderstation» voor haar rekening zou nemen. Voor de helderheid: het nieuwe onderstation wordt na haar constructie om niet overgedragen aan TenneT en onderdeel van het hoogspanningsnet van TenneT. Normaliter worden de kosten van een onderstation dat onderdeel is van het hoogspanningsnet gesocialiseerd via de transporttarieven van alle gebruikers, maar in dit geval betaalt alleen Meta. Dit staat vervolgens niet in de weg aan aansluiting van andere partijen op het desbetreffende onderstation in de toekomst.
Vraag 5

Bent u van mening dat een nieuw datacenter van Facebook van enorm strategisch belang is voor de Nederlandse economie?

Rond Amsterdam zitten veel co-locatie (of multi-tenant) datacenters met zeer snelle onderlinge verbindingen. Dit zorgt voor zogeheten hyperconnectiviteit tussen deze datacenters. Op dit moment hebben maar vijf steden in Europa5, waaronder Amsterdam, de unieke vestigingsvoorwaarden voor (hyperconnectiviteit)datacenters. Dit is dus bijzonder en speelt een belangrijke faciliterende rol voor de Nederlandse maar ook de Europese digitale economie. Deze hyperconnectiviteit rond Amsterdam draagt bij aan een zeer gunstig vestigingsklimaat voor co-locatie datacenters en bepaalde dienstverlening waarvoor hyperconnectiviteit een vereiste is en vertegenwoordigt in die zin strategische waarde.
Hyperscale datacenters, zoals het voorgestelde datacenter van Meta, zijn voor de kwaliteit van hun dienstverlening niet genoodzaakt om zich te vestigen in een regio met hyperconnectiviteit, internationale ontsluiting vindt plaats via eigen connecties met hyperconnectiviteitsclusters. Dit betekent dat de locatie waar het hyperscale datacenter is gevestigd vanuit het perspectief van de gebruiker weinig uitmaakt. Omdat hyperscale datacenters niet bijdragen aan deze hyperconnectiviteit en primair worden gebruikt voor het opslaan van data of het verlenen van specifieke dienstverlening voor de internationale markt, kan worden gesteld dat de (in)directe regionale en nationale meerwaarde voor de Nederlandse digitalisering en digitale infrastructuur lager is dan bij co-locatie datacenters.
Dit heeft tot gevolg dat hyperscale datacenters weinig tot niet bijdragen aan het in stand houden van of uitbreiden van de in Nederland bestaande hyperconnectiviteitsclusters, een belangrijk onderdeel van de kwaliteit van de Nederlandse digitale infrastructuur. Ook faciliteren co-locatie datacenters meer dan hyperscale datacenters regionale partijen in hun digitaliseringsbehoefte, omdat hyperscale datacenters primair worden gebruikt voor het opslaan van data of het verlenen van dienstverlening voor de internationale markt. Dit betekent dat de vestiging van hyperscale datacenters, zoals het voorgestelde datacenter van Meta, een relatief beperkte invloed heeft op de internationale concurrentiekracht van Nederland en de digitale infrastructuur.
Vraag 6

Welke consequenties heeft deze voorrang op het hoogspanningsnet mogelijk voor andere bedrijven of nieuwe woningen? Welke nieuwe woningen, scholen of bedrijven zijn hierdoor niet of pas veel later aangesloten op het hoogspanningsnet?

Ik verwijs u naar het antwoord op vraag 4.
Vraag 7

Op welke manieren heeft u Meta/Facebook nog meer gefaciliteerd? Kunt u daarbij inzage geven in uw contacten en die van uw ministerie met Meta/Facebook, lobbyorganisaties of organisaties die namens Meta/Facebook hebben gehandeld? Kunt u ook alle in- en uitgaande correspondentie met Meta/Facebook, lobbyorganisaties of organisaties die namens Meta/Facebook hebben gehandeld vanuit de Ministeries van Economische Zaken en Klimaat, Binnenlandse Zaken en Koninkrijksrelaties en Algemene Zaken naar de Kamer sturen?

Zie het antwoord onder vraag 3 hierboven, en de antwoorden op vraag 10 en 11 van het lid Leijten (Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 1726). Er is op verschillende momenten en verschillende niveaus contact geweest tussen de ministeries, decentrale overheden en Meta/Facebook. Wij hebben de belangrijkste momenten in deze antwoorden opgesomd. Verder verwijs ik u naar de geopenbaarde stukken in het kader van het besluit op het Wob-verzoek over datacenters. En verwijs ik u naar de antwoorden die de Minister van EZK heeft gegeven in het Vragenuur van dinsdag 7 december.
Vraag 8

Hoe kan het zo zijn dat het datacenter van Facebook toch op een plek komt die niet past in de voorkeurslocatie van dit kabinet? Bent u hierdoor door Facebook ook actief op belobbyd?

In de Nationale Omgevingsvisie (NOVI) staan voorkeursrichtingen opgenomen over de vestiging van o.a. hyperscale datacenters. Conform de Omgevingswet heeft de NOVI geen juridisch bindende doorwerking naar decentrale overheden. Ook staat in de NOVI opgenomen dat decentrale overheden uiteindelijk de afweging maken. Kortom; decentrale overheden hebben afwegingsruimte om hier zelf nadere invulling aan te geven en hiervan af te wijken.
Facebook heeft hier verder geen rol in gespeeld, de rijksoverheid gaat immers uiteindelijk ook niet over de ruimtelijke plannen en de locatiekeuze over dit datacenter.
Vraag 9

Wat heeft u gedaan met de kritische opmerkingen over datacenters vanuit uw ministerie? Welke rol hebben deze kritische opmerkingen gehad op de besluitvorming rondom de komst van het datacenter Facebook?

De Minister van EZK heeft zich destijds alleen gericht op de vraag of een bijzondere wijze van aansluiting past binnen het wettelijke kader, en geconcludeerd dat dit het geval is. Dit is toegelicht door de Minister van Economische Zaken en Klimaat in het Vragenuur van 7 december 2021. Zoals te lezen valt in de stukken van het WOB-verzoek, staan er zowel voor- als nadelen beschreven in de nota’s. Ook hebben de provincie en gemeente op zijn verzoek nogmaals hun standpunt over vestiging per brief aan de Minister kenbaar gemaakt.
Zie verder ook het antwoord onder vraag 6 van het lid Van Dijk (Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 1728).
Vraag 10

Klopt het dat er ook bij dit datacenter opnieuw grote vragen bestaan over het stroom- en waterverbruik en de restwarmte?

De plannen hierover worden door Zeewolde nog nader uitgewerkt.
Vraag 11

Is er inmiddels duidelijkheid voor de benutting van de restwarmte van dit datacenter?

De gemeente Zeewolde geeft aan dat de benutting van restwarmte realistisch is. Zie verder het antwoord onder vraag 10.
Vraag 12

Heeft Facebook inmiddels al zekerheid gegeven wat zij met de restwarmte van het datacenter gaat doen?

Voor de benutting van restwarmte is er onder meer een warmtenet nodig, zijn er voldoende afnemers nodig, en is er een haalbare businesscase voor een warmtebedrijf nodig om de restwarmte af te nemen. Zie verder het antwoord onder vraag 10.
Vraag 13

Kunt u aangeven hoeveel stroom het datacenter gaat verbruiken en hoeveel daarvan duurzaam, door bestaande wind- zonneparken, opgewekte energie is? Klopt het dat dit datacenter net zoveel stroom gaat gebruikt als de stad Amsterdam?

Zie het antwoord onder vraag 7 van de beantwoording van de Kamervragen van de leden Erkens en Rajkowski (Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 1725).
Vraag 14

In hoeverre maken deze hyperscale datacenters het voor Nederland lastig om de productiedoelstelling voor duurzame energie te halen?

In algemene zin kan gesteld worden dat naarmate het energieverbruik in Nederland toeneemt, de opgave groter wordt voor het behalen van de Nederlandse doelstellingen op het gebied van duurzame energieopwekking.
Ten tijde van het Klimaatakkoord was er nog geen duidelijk beeld over de extra vraag voor datacenters en industrie in 2030. Deze wordt door de Stuurgroep Extra Opgave inmiddels ingeschat op 15–45 TWh bovenop het Klimaatakkoord, waarvan 5–15 TWh voor datacenters6. De Stuurgroep adviseert deze extra vraag op te wekken met extra wind op zee. In lijn met de moties Boucke c.s.7 wordt ingezet op het mogelijk maken van 10 GW aan extra wind op zee tot rond 2030. Een volgend kabinet zal besluiten over de precieze omvang van de opgave. Het kabinet werkt conform de motie Boucke (Kamerstuk 35 668, nr. 21) daarom aan 10 GW extra wind op zee in 2030.
Het elektriciteitsverbruik van bijvoorbeeld een datacenter is niet direct te koppelen aan bijvoorbeeld een te plaatsen hoeveelheid windmolens. Een datacenter krijgt immers ook elektriciteit als het niet waait. Maar voor de vergelijking verhoudt de 1,38 TWh die het datacenter in de eindsituatie verbruikt, zich tot de elektriciteitsproductie van zo’n 20–25 zeeturbines met een vermogen van 12–15 MW (uitgaande van 4.500 vollasturen).
Vraag 15

Hoeveel extra wind- en zonneparken moeten er aan worden gelegd voor het datacenter Facebook in Zeewolde?

Zie antwoord vraag 14.
Vraag 16

Wat is de reden dat Facebook niet zelf zonnepanelen op het dak van haar datacenter neerlegt? Hoeveel duurzame energie zou dit opleveren?

Uit opgave van het bedrijf zelf in het milieueffectrapport zouden de mogelijkheden van eigen energie-opwek, bijvoorbeeld door zon op gevel en dak beperkt zijn door ruimtegebrek op daken, het beschikbaar moeten blijven van open grond voor de bouwfase en problemen met de brandveiligheid. TNO heeft in het kader van het advies van het College van Rijksadviseurs over dit datacenter, onderzocht wat de opbrengst kan zijn van toepassing van zon-pv op daken, gevels en het terrein en geeft aan dat dit gaat om 50,84 GWh per jaar in totaal.8
Vraag 17

Klopt het dat voor het datacenter in Zeewolde 34 dieselaggregaten als noodstroomvoorziening noodzakelijk zijn? Hoe vaak moeten deze dieselaggregaten proefdraaien? Hoeveel CO2 stoten deze dieselaggregaten dan uit tijdens dit proefdraaien? Wat is de CO2-uitstoot van deze dieselaggregaten? Hoeveel extra CO2-emissierechten dienen hiervoor aangeschaft te worden?

Uit het milieueffect-rapport valt op te maken dat het datacenter beschikt over 34 noodaggregaten en een hiermee verband houdende opslag van dieselbrandstof. Bij de voorgenomen inrichting is er sprake van een mogelijkheid tot opslag van in totaal 777,08 ton diesel. Details over proefdraaien, belasting en uitstoot zijn mij niet bekend. Bij datacenters is maandelijks testen van de noodstroomvoorziening gangbaar.
Vraag 18

Gaat er voor deze dieselaggregaten ook een dieselmeer worden aangelegd? Zo ja, van hoeveel liter? Hoe is de veiligheid, zoals het tegengaan van lekkages, geborgd?

Zie antwoord vraag 17.
Vraag 19

Kunt u aangeven hoeveel duurzame banen (directe en indirecte werkgelegenheid) dit datacenter oplevert?

Het is niet eenduidig te zeggen hoeveel structurele werkgelegenheid dit hyperscale datacenter uiteindelijk zal opleveren. Een grove indicatie op basis van openbare gegevens van bedrijven met een hyperscale datacenter in Nederland geeft aan dat de drie thans in Nederland gevestigde hyperscale datacenters gemiddeld circa 6 tot 8 structurele directe banen per hectare verschaffen. Daarnaast voorzien datacenters ook in indirecte structurele werkgelegenheid in de dienstensector van de regio. Deze inschatting is gebaseerd op informatie die op dit moment bekend is en geeft geen sluitend of definitief beeld van de toegevoegde structurele werkgelegenheid. Wat betreft de mogelijke vestiging van het datacenter van Meta in Zeewolde, geeft de gemeente aan dat na afronding van de bouw 410 banen voor langere periode worden gerealiseerd.9
Vraag 20

Deelt u de mening dat de komst een enorme impact heeft voor het hele land en dat om die reden een beslissing over de komst van datacenters op nationaal niveau genomen zou moeten worden?

De impact wisselt per datacenter. Het is van belang dat er op een zorgvuldige wijze wordt omgegaan met de vestiging van datacenters, in het bijzonder van hyperscale datacenters. Op basis van het stelsel van de ruimtelijke ordening zijn gemeenten momenteel bevoegd gezag om die beslissing te maken. In lijn met het coalitieakkoord zal dit kabinet zich buigen over de landelijke regie en de toelatingscriteria ten aanzien van (hyperscale) datacenters.
Vraag 21

Wanneer komt u met de eerdere toegezegde landelijke datacenterstrategie? Kan deze landelijke datacenterstrategie nog invloed hebben op de besluitvorming van het datacenter in Zeewolde?

In lijn met het coalitieakkoord zal dit kabinet zich buigen over de landelijke regie en de toelatingscriteria ten aanzien van (hyperscale) datacenters. De Minister van Volkshuisvesting en Ruimtelijke Ordening zal u hier binnenkort over informeren.
Vraag 22

Bent u bereid ervoor zorg te dragen dat het Rijksvastgoedbedrijf geen grond verkoopt voor de bouw van datacenters zolang er geen landelijke datacenterstrategie is?

Op dit moment is het proces als volgt. Volgens het stelsel van de ruimtelijke ordening zijn gemeenten verantwoordelijk voor het vaststellen van de bestemming van gronden in de betreffende gemeente, ook wanneer het rijksgronden betreft. Het Rijksvastgoedbedrijf heeft beleid voor het verkopen van grond, dit is een privaatrechtelijke handeling. Overwegingen in dit beleid zijn bijvoorbeeld het door verkoop van grond kunnen bijdragen aan nationale opgaven zoals bijvoorbeeld wonen of energie. Een reden voor verkoop van agrarische gronden kan onder andere een bestemmingsplan(wijziging) zijn (Kamerstuk 24 490, nr. 25).
In de casus Zeewolde is naar aanleiding van de bestemmingsplanprocedure de vraag gesteld over de verkoop van Rijksgronden. De Staatssecretaris van BZK stuurde mede namens EZK en LNV op 10 augustus een brief aan de gemeente Zeewolde. Hierin staan voorwaarden voor de verkoop van de Rijksgronden.
Vraag 23

Welke mogelijkheden heeft het ministerie, juridisch of anderszins, om de bouw van deze datacentrale te stoppen? Welke mogelijkheden heeft de provincie hiervoor?

Gelet op het huidige beleid is er vanuit het ruimtelijk instrumentarium uit de Wet ruimtelijke ordening (Wro) op dit moment geen gelegenheid om de bouw van het datacenter te stoppen.
Vraag 24

Kunt u nog verder ingaan op de nota van begin 2021 waarin uw voorganger wordt opgeroepen lastige vragen uit de weg gaan en bewust inhoudsloze informatie te verstrekken om inhoudelijke discussies te ontwijken?

Ik ga ervan uit dat uw Kamer doelt op de openbaar gemaakte nota «beleidsbrief datacenters» (11 januari 2021, nr. 19 van de inventarislijst van openbaar gemaakte stukken). Een oproep om bewust gebrekkige informatie te verstrekken is daarin niet opgenomen. De nota betrof de advisering om middels een Kamerbrief invulling te geven aan een drietal moties over uiteenlopende aspecten van datacenters in algemene zin. De nota adviseerde om in afwachting van een lopend onderzoek naar het belang van datacenters voor de digitalisering vooralsnog geen uitspraak te doen over deze onderwerpen. De beleidsbrief (Kamerstuk 32 813, nr. 675) die is verstuurd bevatte informatie over het energieverbruik, gebruik van restwarmte en beleid met betrekking tot de vestiging van datacenters. De nota had geen betrekking op de eventuele vestiging van het datacenter van Meta in Zeewolde.
Vraag 25

Kunt u deze vragen een voor een en voor 16 december 2021 beantwoorden?

Wij hebben uw vragen binnen een zo kort mogelijke termijn beantwoord.

3 december 2021 - 16 december 2021

13 dagen

Het bericht 'Beelden van misbruik van Marcels dochter blijven rondgaan: ‘Mensen gaan hierdoor kapot’'
	Ingrid Michon (VVD)
	Ferdinand Grapperhaus (minister justitie en veiligheid) (CDA)

Bronnen

1. AD, 3 december 2021, «Beelden van misbruik van Marcels dochter blijve…
2. Aanhangsel van Handelingen, vergaderjaar 2019–2020, nr. 3147

Vraag 1

Bent u bekend met het bericht «Beelden van misbruik van Marcels dochter blijven rondgaan: «Mensen gaan hierdoor kapot»»?1

Ja.
Vraag 2

Herinnert u zich de antwoorden op de vragen van het lid Van Wijngaarden over het jaarrapport van de Internet Watch Foundation?2

Ja.
Vraag 3

Waarom lukt het journalisten wel om op darkweb kinderpornografisch materiaal te detecteren en duurt het langer voordat de politie darkweb kinderpornografisch materiaal kan detecteren?

Helaas is het voor iedereen mogelijk om beeldmateriaal van seksueel kindermisbruik op het internet te vinden. In Nederland is het een strafbaar feit om op het internet, waaronder ook het darkweb, te zoeken naar beeldmateriaal van seksueel kindermisbruik. De strafrechtelijke onderzoeken van de politie strekken zich uit over het gehele internet, waaronder ook het darkweb. Vanwege het operationeel belang wordt niet nader ingegaan op de opsporingsmethoden. In aanvulling hierop richt de aanpak van online seksueel kindermisbruik door de politie zich vooral op het identificeren van slachtoffers van actueel misbruik. De politie maakt hiertoe in een zo vroeg mogelijk stadium een onderscheid tussen oud en nieuw materiaal, zodat de kans om slachtoffers van actueel misbruik te ontdekken wordt vergroot. Verder zet de politie in op het opsporen en vervolgen van vervaardigers/misbruikers, sleutelfiguren (keyplayersen facilitators),de netwerken daarachter en downloaders/verspreiders. Deze aanpak is als prioriteit opgenomen in de Veiligheidsagenda.
Ook de internetsector zelf zet zich in om het openbaar maken, verspreiden en opslaan van online seksueel kindermisbruik tegen te gaan. Het Expertisebureau Online Kindermisbruik (EOKM) stuurt verwijderverzoeken van grote hoeveelheden online kindermisbruikmateriaal uit naar bedrijven. Deze werkwijze is zeer effectief en leidt tot verwijdering van grote hoeveelheden online kindermisbruik. Met de oprichting van de Autoriteit Terroristisch en Kinderpornografisch materiaal zet het kabinet in op bestuursrechtelijke handhaving op de verwijderverzoeken waaraan geen gehoor wordt gegeven door aanbieders van communicatiediensten die beeldmateriaal van seksueel kindermisbruik doorgeven of hebben opgeslagen.
Vraag 4

Klopt het dat de IWF (Internet Watch Foundation) wederom concludeert dat het percentage van het door hun gevonden kinderpornografisch materiaal dat wordt gehost in Nederland is gestegen van 71% naar 77%?

Het rapport van IWF over 2020 concludeert dat er dit jaar 77% van het door hun gevonden beeldmateriaal van seksueel kindermisbruik in Nederland wordt gehost. Dit ten opzichte van de 71% in het rapport van de IWF over 2019.
Zoals ook aangegeven in de beantwoording op vragen van het lid Van Wijngaarden3 zijn er kanttekeningen te maken bij de conclusies van de IWF. Het percentage wordt beïnvloed door meldingen die ze van burgers ontvangen, eigen zoekgedrag en (instellingen van) crawlers. De cijfers kunnen niet één op één worden door vertaald naar een mondiaal beeld.
Vraag 5

Hoe beoordeelt u het feit dat ondanks uw inspanningen om de hosting van kinderpornografische afbeeldingen in Nederland te verminderen, zowel de aantallen als het percentage van het door IWF gevonden materiaal dat wordt gehost in Nederland stijgt?

Het tegengaan van beeldmateriaal van seksueel kindermisbruik vraagt blijvende inzet. Om die reden blijven de sector, de politie, het OM, het EOKM en mijn ministerie via meerdere maatregelen inzetten op het voorkómen dat beeldmateriaal (opnieuw) online komt en het zo spoedig mogelijk verwijderen van materiaal dat wordt gemeld. Zie hiervoor ook de beantwoording van vraag 3 en 6.
Vraag 6

Welke maatregelen hebben Nederlandse webhosters afgelopen jaren geïmplementeerd om te voorkomen dat kinderpornografisch materiaal wordt gehost?

De afgelopen jaren heeft de sector zich erg ingespannen voor een internet vrij van beeldmateriaal van seksueel kindermisbruik. Dit heeft geleid tot goede resultaten. Zo heeft de sector afgesproken dat in de Notice-And-Takedown-procedure (NTD) dergelijk materiaal binnen 24 uur offline gehaald moet worden. Verder is er ingezet op de ontwikkeling van technische tools. Zo is de HashCheckService ontwikkeld, waarmee voorkomen kan worden dat bekend beeldmateriaal van seksueel kindermisbruik geüpload wordt, en helpt het innovatieve meldingsverwerkingssysteem SCART het EOKM bij het geautomatiseerd verwerken van meldingen. Ook is er door de sector meegedacht over de monitor van de TU Delft, waardoor duidelijk wordt welke hosters dit materiaal hosten en hoe snel zij dit verwijderen na een NTD-melding. Op deze manier wordt de spiegel voorgehouden aan hosters die zich onvoldoende inspannen voor een schoon netwerk en roepen we slecht presterende providers ter verantwoording.
Vraag 7

In hoeverre heeft het openbaar maken van de namen van webhosters die onvoldoende doen tegen het weren van kinderporno reeds effecten gesorteerd en op welke wijze wordt dit ook voor de Kamer inzichtelijk?

In oktober 2020 is de eerste rapportage van de TU Delft naar de Kamer verzonden4. De volgende rapportage van de TU Delft wordt naar verwachting in het voorjaar van 2022 naar de Kamer verzonden. Deze zal, net zoals de voorgaande keer, voorzien zijn van een begeleidende brief. De afgelopen metingen tonen dat er bedrijven zijn die maatregelen hebben genomen en hun prestaties hebben verbeterd. Verder tonen de metingen een wisselend beeld qua bedrijven die hierin voorkomen. De opgevoerde druk in Nederland heeft ook als gevolg dat materiaal zich naar het buitenland heeft verplaatst. Om die reden is het zeer belangrijk om dit ook op Europees niveau aan te pakken, zie ook de beantwoording van vragen 11, 12 en 13.
De TU Delft monitor is echter maar één van de vele maatregelen. Het is daarom lastig om bewegingen in de markt of ontwikkelingen in het aantal meldingen van beeldmateriaal van seksueel kindermisbruik toe te schrijven aan de effectiviteit van enkel de monitor.
Vraag 8

Kunnen webhosters die aantoonbaar onvoldoende doen tegen het weren van kinderporno niet alleen bestuursrechtelijk worden aangepakt, maar ook strafrechtelijk worden vervolgd wegens medeplichtigheid aan het verspreiden van kinderporno?

Op grond van Europese regelgeving en de Nederlandse implementatie daarvan zijn hostingproviders onder voorwaarden niet aansprakelijk voor de gedragingen van hun klanten. De beperking van aansprakelijkheid voor hostingproviders die wordt geregeld in artikel 14 van de E-Commercerichtlijn is geïmplementeerd in artikel 54a Sr. Artikel 54a Sr stelt dat hostingproviders in beginsel niet vervolgd kunnen worden vanwege wederrechtelijke materiaal dat door klanten op hun servers wordt geplaatst, indien zij doen wat redelijkerwijs van hen gevergd kan worden wanneer ze op bevel van de officier van justitie (125p Sv) – en straks ook op bevel van de Autoriteit – gegevens ontoegankelijk moeten maken. Verder is het voor het strafrechtelijk vervolgen van hosters voor medeplichtigheid aan strafbare feiten die op hun servers plaatsvinden, zoals het verspreiden van beeldmateriaal van seksueel kindermisbruik, noodzakelijk om het opzet of het voorwaardelijke opzet van de hoster te bewijzen. In de praktijk blijkt (voorwaardelijke) opzet bij hosters lastig te bewijzen.
Vraag 9

Wanneer wordt de volgende monitoringsrapportage van de TU Delft over webhosters naar de Kamer gestuurd?

De volgende rapportage van de TU Delft wordt naar verwachting in het voorjaar van 2022 naar de Kamer gestuurd.
Vraag 10

Op welke wijze worden (vertegenwoordigers van) slachtoffers en ouders betrokken bij de maatregelen om kinderporno tegen te gaan, zoals de doorontwikkeling van monitor van TU Delft?

In de aanpak van online seksueel kindermisbruik wordt intensief samengewerkt met het EOKM. Het EOKM houdt zich bezig met het voorkomen en bestrijden van (online) seksueel misbruik van kinderen. Een programma van het EOKM is HelpWanted.nl, dat als kerntaak heeft het bieden van acute hulp bij (dreigend) online seksueel geweld. Kinderen en jongeren, maar ook ouders, verzorgers, docenten en hulpverleners, kunnen hier onder andere terecht voor advies en informatie bij online seksueel misbruik. Het is goed dat de Motie-Hermans het mogelijk heeft gemaakt om verder te investeren in het EOKM en HelpWanted.nl. Hierover heb ik uw Kamer op 13 oktober jl. reeds geïnformeerd5.
Daarnaast zijn preventie en bewustwording twee belangrijke pijlers in de aanpak van (online) seksueel kindermisbruik. De digitale wereld speelt een grote rol in het onderlinge contact tussen minderjarigen, ook op het gebied van seksualiteit. Dit maakt dat het (onbewust) vervaardigen, delen en verkrijgen van beeldmateriaal door minderjarigen gemakkelijk is, terwijl minderjarigen de risico’s daarvan lang niet altijd overzien. In 2020 is daarom een lesprogramma en een wegwijzer ontwikkeld, om de bewustwording van online risico’s te vergroten en de seksuele weerbaarheid van kinderen te versterken.
Vraag 11

Kunt u de laatste stand van zaken schetsen met betrekking tot het in EU-verband gezamenlijk optreden tegen webhosters die onvoldoende doen om kinderporno te verwijderen?

Zie antwoord 12.
Vraag 12

Wanneer wordt het voorstel van de Europese Commissie om een Europese Autoriteit op te richten al gepubliceerd en kunt u binnen twee weken na publicatie van het voorstel een BNC-fiche over het voorstel met de Kamer delen?

Het aangekondigde wetgevende voorstel van de Europese Commissie voor de aanpak van online seksueel kindermisbruik wordt begin maart 2022 verwacht. Het voorstel zal zich richten zich op de verantwoordelijkheid van aanbieders van onlinediensten en de oprichting van een Europees Centrum ter bestrijding van online seksueel kindermisbruik. Na publicatie van het wetgevende voorstel zal mijn reactie binnen het vastgestelde termijn van 6 weken in een BNC-fiche naar de Tweede Kamer worden verzonden.
Vraag 13

In hoeverre is uw inzet dat een eventueel op te richten Europese Autoriteit – indien u het voorstel van de Europese Commissie positief beoordeelt ten aanzien van subsidiariteit en proportionaliteit – het beste in Nederland kan worden gevestigd?

Ik verwacht dat een Europees centrum om (online) seksueel kindermisbruik te voorkomen en te bestrijden tot verbetering kan leiden. De overweging om dit centrum eventueel in Nederland te vestigen is de beoogde nauwe samenwerking met Europol in Den Haag, waarbij een korte afstand wenselijk is. Daarbij is Nederland een belangrijk internetknooppunt, waardoor het een hoofdrol in de mondiale internetindustrie speelt. Veel betrokken bedrijven zijn in Nederland gevestigd en Nederland heeft reeds een lopende constructieve samenwerking met de internetsector. Ik zie met belangstelling uit naar de uitwerking van het voorstel van de Commissie om te beoordelen of Nederland als vestigingsplaats voor het Europees centrum kan dienen.
Vraag 14

Hoe beoordeelt u de inzet van algoritmen zoals NeuralHash van Apple om kinderpornografisch materiaal eerder te signaleren en wat is de inzet van Nederland in Brussel hierover?

In de strijd tegen deze verschrikkelijke vorm van criminaliteit is het belangrijk dat ook bedrijven hun verantwoordelijkheid nemen. Dit heb ik nogmaals benadrukt op de ministeriële bijeenkomst van het Europees Internetforum op 8 december jl. Het is een hoopvolle ontwikkeling dat een aantal bedrijven deze verantwoordelijkheid serieus neemt en actie onderneemt. Ik heb met Apple gesproken over hun plannen om beeldmateriaal van seksueel kindermisbruik online tegen te gaan. Apple heeft zich aangesloten bij de nationale publiek-private werkgroep tegen online seksueel kindermisbruik. Dit is een goede plek om gezamenlijk een schoner internet te realiseren en van elkaar te leren wat wel en niet werkt. Het is belangrijk dat bij de proactieve maatregelen om beeldmateriaal van seksueel kindermisbruik online te detecteren wordt gezocht naar een goede balans tussen het respecteren van privacy en het beschermen van kinderen.

30 november 2021 - 16 februari 2022

78 dagen

Het bericht ‘Facebook vs. Zeewolde: hoe lokale politici moeten beslissen over een landelijke kwestie’.
	Queeny Rajkowski (VVD), Silvio Erkens (VVD)
	Stef Blok (VVD), Dilan Yeşilgöz-Zegerius (minister justitie en veiligheid) (VVD), Kajsa Ollongren (minister defensie) (D66)

Bronnen

1. NRC Handelsblad, 26 november 2021 (https://www.nrc.nl/nieuws/2021/11/…
2. De Telegraaf, 10 november 2021 (https://www.telegraaf.nl/nieuws/21448…
3. rijksoverheid, maart 2019 (https://www.rijksoverheid.nl/binaries/rijk…

Vraag 1

Bent u bekend met het bericht «Facebook vs. Zeewolde: hoe lokale politici moeten beslissen over een landelijke kwestie»?1

Ja, daar ben ik mee bekend.
Vraag 2

Hoe oordeelt u over het feit dat er in Zeewolde wellicht een van de grootste datacentra van Europa gebouwd gaat worden?

In de Nationale Omgevingsvisie (NOVI)2 wordt aangegeven dat de vestiging van nieuwe hyperscale datacenter(cluster)s een goede ruimtelijke afweging en afstemming vergt met andere belangen in de leefomgeving. In de NOVI wordt de voorkeur uitgesproken om hyperscale datacenters te vestigen aan de randen van Nederland, op locaties waar veel aanbod is van (hernieuwbare) elektriciteit, waar aansluiting op het elektriciteitsnetwerk kan worden geboden en waar ruimte minder schaars is. De voorkeur gaat uit naar vestiging in de randen van Nederland, zoals op de bestaande locaties Eemshaven en Middenmeer. Daarnaast geeft de NOVI richtingen mee voor het benutten restwarmte, landschappelijke inpassing en duurzame energie.
De provincie en gemeente hebben hierbij eigen afwegingen gemaakt. Voor realisatie van het beoogde bedrijventerrein zijn Rijksgronden benodigd. Als grondeigenaar heeft de Staatssecretaris van BZK, mede namens de Ministers van BZK en LNV en de Staatssecretaris van EZK, voorwaarden gesteld voor de verkoop aan de gemeente Zeewolde. Deze liggen in het verlengde van keuzes in NOVI, zijn gebaseerd op een advies van het College van Rijksadviseurs (CRa) en betreffen maximale energiezuinigheid van servers, maximale opwekking van zonne-energie op daken en gevels van het datacenter, minimaal gebruik van water voor koeling en het gebruik van restwarmte voor een warmtenet.
Vraag 3

Welke impact heeft de komst van grote hyperscale datacentra op de internationale concurrentiekracht van het economisch kerngebied van Nederland en onze digitale infrastructuur ten opzichte van regionale, kleinere datacentra?

Rond Amsterdam zitten veel co-locatie (of multi-tenant) datacenters met zeer snelle onderlinge verbindingen. Dit zorgt voor zogeheten hyperconnectiviteit tussen deze datacenters. Op dit moment hebben maar vijf steden in Europa3, waaronder Amsterdam, de unieke vestigingsvoorwaarden voor (hyperconnectiviteit)datacenters. Dit is dus bijzonder en speelt een belangrijke faciliterende rol voor de Nederlandse maar ook de Europese digitale economie. Deze hyperconnectiviteit rond Amsterdam draagt bij aan een zeer gunstig vestigingsklimaat voor co-locatie datacenters en bepaalde dienstverlening waarvoor hyperconnectiviteit een vereiste is.
Hyperscale datacenters zijn voor de kwaliteit van hun dienstverlening niet genoodzaakt om zich te vestigen in een regio met hyperconnectiviteit, internationale ontsluiting vindt plaats via eigen connecties met hyperconnectiviteitsclusters. Dit betekent dat de locatie waar het hyperscale datacenter is gevestigd vanuit het perspectief van de gebruiker weinig uitmaakt.
Dit heeft tot gevolg dat hyperscale datacenters weinig bijdragen aan het in stand houden van of uitbreiden van de in Nederland bestaande hyperconnectiviteitsclusters, onderdeel van de Nederlandse digitale infrastructuur en daarbij voor de ambitie uit het coalitieakkoord om van Nederland een digitaal knooppunt te maken. Ook faciliteren co-locatie datacenters meer dan hyperscale datacenters regionale partijen in hun digitaliseringsbehoefte, omdat hyperscale datacenters primair worden gebruikt voor het opslaan van data of het verlenen van dienstverlening voor de internationale markt. Dit betekent dat de vestiging van hyperscale datacenters een relatief beperkte invloed heeft op de internationale concurrentiekracht van Nederland en de digitale infrastructuur ten opzichte van co-locatie datacenters.
Vraag 4

Deelt u de mening dat het van belang is dat Nederland haar koploperspositie niet verliest aan Frankfurt, Londen, Amsterdam, Parijs (de FLAP-steden), Noord-Ierland of Zweden? Kan dit ook zonder de komst van hyperscale centra?

Nederland heeft vanwege de vele onderlinge verbindingen van co-locatie datacenters rond Amsterdam een koploperpositie binnen Europa op het gebied van hyperconnectiviteit. Deze hyperconnectiviteit rond Amsterdam draagt bij aan een zeer gunstig Nederlands vestigingsklimaat voor multi-tenant datacenters en bepaalde dienstverlening waarvoor hyperconnectiviteit een vereiste is.
De FLAP-D steden zijn van groot belang voor de doorvoer van internetverkeer in Europa. Nederland fungeert hierbij als datacenterrotonde van Europa. De hyperconnectiviteitsclusters rond de FLAP-D steden bedienen zowel de nationale als Europese markt. Het is van belang dat Nederland deze belangrijke rol blijft houden, mede omdat het voor alle in Europa gevestigde bedrijven en organisaties het van belang is dat de (Europese) datacentercapaciteit groeit.
Hyperscale datacenters dragen weinig tot niet bij aan het in stand houden van of uitbreiden van de in Nederland bestaande hyperconnectiviteitsclusters. Dit betekent dat de Nederlandse koppositie op het gebied van hyperconnectiviteit behouden kan blijven zonder de aanvullende vestiging van hyperscale datacenters.
Vraag 5

Deelt u de mening dat een slimme datacenterstrategie ook betekent dat er gekeken wordt naar het opvangen en gebruiken van restwarmte, een lang gekoesterde wens van menig datacentrum?

Ja, het streven dient altijd te zijn om restwarmte voor zover mogelijk te benutten. Maar of dit daadwerkelijk lukt is complex en van de specifieke situatie afhankelijk. Een haalbare businesscase voor een warmtenet is van veel factoren afhankelijk. Datawarmte is van (zeer) lage temperatuur (in de regel 20–30°C4, soms hoger) en moet opgewaardeerd worden indien een bestaand of beoogd warmtenet een hogere temperatuur heeft. Cruciaal is dat er voldoende warmtevraag moet zijn in de nabijheid van een datacenter; het vollooprisico is één van de grootste belemmeringen voor een goede business case. Het gebruik van warmtebronnen is vraaggestuurd; een warmtebedrijf bepaalt uiteindelijk of het afnemen van restwarmte zinvol is om een kosteneffectieve warmtevoorziening te realiseren.
EZK stelt kaders en instrumenten ten behoeve van de benutting van restwarmte. O.a. via het wetsvoorstel voor de Wet Collectieve Warmtevoorziening waarin een «ophaalrecht» voor restwarmte is opgenomen. Hiermee krijgen restwarmteproducenten zoals datacenters de verplichting om hun restwarmte af te staan aan een warmtebedrijf indien die daarom vraagt en dat met de aanleg van een warmtenet mogelijk maakt, waarbij uitsluitend de feitelijke uitkoppelkosten aan de restwarmteproducent worden vergoed. De SDE++-subsidie biedt financiële ondersteuning bij het realiseren van duurzame warmteprojecten en helpt de uitkoppelkosten te dekken.
Vraag 6

Wat is de impact van dit soort grote datacentra op de netproblematiek, gezien het feit dat de energietransitie op veel vlakken vastloopt op de beschikbare netcapaciteit? Deelt u de mening dat regio-overstijgende sturing voor dit soort ingrijpende besluiten (over)belasting van het stroomnet kan voorkomen?

Datacenters leggen net als andere grootverbruikers een relatief groot beslag op de beschikbare transportcapaciteit van het elektriciteitsnet. Een aanvraag van een grootverbruiker op een plek waar er nog maar beperkte transportschaarste is voor afname van elektriciteit kan tot extra knelpunten leiden. Het creëren van extra (complementaire) vraag op plekken waar deze elektriciteit niet weg kan worden getransporteerd kan juist verlichting brengen in de ontstane transportschaarste5.
Decentrale overheden hebben de mogelijkheid om sturing te geven aan allerlei (maatschappelijke) initiatieven via het ruimtelijk beleid. Pas als decentrale overheden de bestemmingen mogelijk maken en ruimtelijke vergunningen verlenen, zal een initiatief zich kunnen vestigen en aangesloten kunnen worden. Het is dus belangrijk dat decentrale overheden in een vroeg stadium rekening houden met beschikbare netcapaciteit bij ruimtelijke inpassing van zowel initiatieven als netinfrastructuur. In dit verband is voorts relevant dat het Rijk – zoals aangekondigd in het coalitieakkoord – naar aanleiding van het grote beslag op duurzame energie in verhouding tot de economische en maatschappelijke meerwaarde, de landelijke regie voor hyperscale datacenters zal aanscherpen en ook de toelatingscriteria voor de vergunningverlening. De Minister voor Volkshuisvesting en Ruimtelijke Ordening komt hier dit voorjaar in een gezamenlijke brief met de Minister voor Klimaat en Energie op terug.
Vraag 7

Klopt het dat dit datacentrum meer energie zal verbruiken dan de provincie Flevoland of de stad Amsterdam?2 Hoe gaat die energie opgewekt worden?

Als de datacentercampus volledig gebouwd is (dat gebeurt gefaseerd en beslaat een periode van 2021–2028), kan het totale jaarlijkse verbruik groeien tot 1,38 TWh volgens de plannen.
Het elektriciteitsverbruik van Flevoland is zo’n 2 TWh en het elektriciteitsverbruik van de gemeente Amsterdam is zo’n 4,6 TWh. De vergelijking wordt vaak gemaakt met het elektriciteitsverbruik van huishoudens. In 2020 was het elektriciteitsverbruik van de huishoudens in Nederland 22% van het totale elektriciteitsverbruik (KEV, 2021). Dus het klopt dat het datacenter in de eindsituatie meer elektriciteit verbruikt dan huishoudens in Flevoland of Amsterdam. Overigens is de huidige productie van hernieuwbare elektriciteit in Flevoland momenteel zo’n 2,7 TWh, groeiend naar maximaal 5,8 TWh in 2030 (bron: Monitor RES 1.0 PBL). Alleen al het nabij gelegen windpark Groen zal jaarlijks zo’n 1,8 TWh produceren, wat dus meer is dan het datacenter maximaal zal gebruiken in de eindsituatie.
Vraag en aanbod van elektriciteit in ons land zijn op elk moment van de dag in balans. Productie van elektriciteit zal in toenemende mate via wind en zon verlopen. In 2030 dient er volgens het Klimaatakkoord 84 TWh hernieuwbare elektriciteit uit wind en zon te zijn. Dit is dan ca. 75% van de vraag.
De Stuurgroep extra opgave7 raamt de extra elektriciteitsvraag voor datacenters in 2030 tussen de 5–15 TWh ten opzichte van het Klimaatakkoord. De Stuurgroep adviseert tevens hiervoor extra wind op zee te realiseren. In lijn met de moties Boucke c.s.8 wordt ingezet op het mogelijk maken van 10 GW aan extra wind op zee tot rond 2030. Een volgend kabinet zal besluiten over de precieze omvang van de opgave.
Vraag 8

Wat is de impact van dit datacentrum op de capaciteit van het stroomnet? Wat betekent de komst hiervan voor de continuïteit van andere grote stroomgebruikers in de regio?

Ik heb geen zicht op de exacte impact van dit initiatief op het elektriciteitsnetwerk. De netbeheerder zal moeten beoordelen of de gevraagde transportcapaciteit ook op korte termijn geleverd kan worden of dat dit nog aanvullende investeringen vergt. Andere gebruikers worden niet direct geraakt. Netbeheerders dienen bij het uitgeven van transportcapaciteit rekening te houden met de benodigde transportcapaciteit die de gezamenlijk gebruikers van het net nodig hebben. De netbeheerders publiceren een actueel overzicht van de beschikbare transportcapaciteit.9 Hieruit blijkt dat er een transportprobleem is voor wat betreft invoering van elektriciteit (door o.a. zon- en windinstallaties) en niet voor afname.
Vraag 9

Welke trajecten voor de komst van regionale kleine of hyperscale datacentra lopen er op dit moment? Om welk type datacentrum gaat het, om welke locaties gaat het en per wanneer?

Voor zover bekend, op basis van de informatie van TenneT en de Netherlands Foreign Investment Agency (NFIA), lopen er rond de 20 à 25 projecten voor de vestiging en uitbreiding van datacenters in Nederland. Dit is ook toegelicht in de brief over datacenters van 17 december jl. (Kamerstuk 32 813, nr. 968). Dit betreffen datacenters van uiteenlopende grootte die in verschillende fases van voorbereiding zitten; van zeer globale tot concrete plannen. Het gaat onder andere om projecten in de regio’s Noord-Holland, Flevoland en Groningen. Meer specifieke informatie ten aanzien van de locatie van de projecten en aanvragen voor aansluitingen op het elektriciteitsnet is bedrijfsvertrouwelijk en mag niet door de NFIA of TenneT worden gedeeld. Dit aantal is overigens niet uitputtend. Het is mogelijk dat er ook bij lokale overheden projecten lopen, waar op nationaal niveau geen zicht op is.
Het is tot slot goed om te benadrukken dat bedrijven bij dergelijke investeringsprojecten vaak verschillende locaties in verschillende landen vergelijken om zo tot een vestigingslocatiekeuze te komen. Daarom is het dus zeer onzeker of deze lopende projecten uiteindelijk ook tot nieuwe vestigingen in Nederland zullen leiden, en zo ja op welke termijn. In de praktijk zien we daarbij dat bedrijven met datacenters, door de teruglopende beschikbaarheid van fysieke ruimte en stroom, steeds vaker kiezen voor een locatie buiten Nederland.
Vraag 10

Wat is de impact van dit soort grote datacentra op het energiebesparingsdoel dat Nederland heeft vanuit de Europese Commissie?

Het energieverbruik van datacenters, net als dat van andere energieverbruikers, telt mee voor het EU-energieverbruiksdoel zoals vastgelegd in artikel 3 van de Energy Efficiency Directive (EED). Dit doel is vertaald naar een energieverbruiksniveau in 2030, zowel voor primair als finaal energieverbruik. De precieze impact van grootschalige datacenters op het Nederlandse aandeel van het Europese energieverbruiksdoel is niet te geven.
Volgens het CBS verbruikten datacenters in 2020 2,8% van de totale elektriciteit in Nederland. Indien datacenters in de toekomst (netto) meer energie verbruiken, zal het energieverbruik van andere verbruikers verder moeten afnemen om aan de EU-verbruiksdoelen te voldoen. Dit geldt overigens ook indien andere energie-intensieve bedrijven zich in Nederland vestigen of in de toekomst meer energie verbruiken. Voor datacenters zijn er eisen met betrekking tot energie-efficiëntie vastgelegd in de Erkende Maatregelenlijst energiebesparing (EML Commerciële Datacenters). Vanaf 2023 vallen alle datacenters, inclusief de grote datacenters, automatisch onder de energiebesparingsplicht.
In de voorgestelde herschikking van de EED worden er op EU-niveau strengere eisen aan datacenters gesteld. Zo komt er een verplichting om energieverbruik van datacenters te monitoren en rapporteren. De herschikking van de EED is onderdeel van het Fit-for-55 pakket dat momenteel in Brussel wordt besproken.
Vraag 11

Is de energie-infrastructuur aangepast in zowel (groot) Amsterdam als Almere, zoals te lezen is in de «Ruimtelijke Strategie Datacenters»?3 Zo nee, waarom niet en wanneer en hoe gaat dit gebeuren? Hoe zit het met de andere locaties die in de strategie worden genoemd?

Pas als decentrale overheden de bestemmingen mogelijk maken en ruimtelijke vergunningen verlenen, zal een initiatief zich kunnen vestigen en aangesloten kunnen worden op het elektriciteitsnet. Het is bij het maken van deze ruimtelijke plannen belangrijk om ook na te denken over de afstemming met het energiesysteem.
De netbeheerder zelf maakt geen onderscheid tussen functies en sluit functies aan op volgorde van binnenkomst. De netbeheerder zal bij een aansluitverzoek moeten beoordelen of de gevraagde transportcapaciteit ook op korte termijn geleverd kan worden of dat dit nog aanvullende infrastructuurversterkingen vergt.
De netbeheerders werken op veel locaties in Nederland aan de versterking van de elektriciteitsinfrastructuur. Dit gebeurt echter niet voor een specifieke sector.
Vraag 12

Op welke manier is er afstemming geweest tussen lokale bestuurders, de provincie en de rijksoverheid en wat is er afgesproken over randvoorwaarden voor de bouw van het datacentrum?

In aanloop naar de mogelijke vestiging van het Meta datacenter in Zeewolde hebben de netbeheerders de Minister van Economische Zaken en Klimaat advies gevraagd over een bijzondere wijze van aansluiting op het hoogspanningsnet die Meta wenste. Vervolgens is getoetst of de Elektriciteitswet deze bijzondere wijze van aansluiting toestond, en geconstateerd dat dit het geval is.
Op dat moment zijn ook de provincie Flevoland en gemeente Zeewolde benaderd over de vestiging, waar zij benadrukten een zorgvuldige afweging te hebben gemaakt en grote belangen te hechten aan de vestiging.
Een van de vervolgstappen van de provincie en gemeente was het verzoek aan het Rijk om rijksgronden te verkopen in het kader van de beoogde bestemmingswijziging en daaraan gekoppelde procedures. Naar aanleiding van dit verzoek heeft het Rijk, in overleg met de gemeente en provincie, aan het College van Rijksadviseurs (CRa) de opdracht gegeven voor een verkenning naar een optimaler ontwerp en inpassing van het datacenter. De Staatssecretaris van BZK stelde, mede namens de Ministers van BZK en LNV en de Staatssecretaris van EZK, op basis van deze verkenning de onder antwoord 2. genoemde voorwaarden. Op dit moment heeft Zeewolde nog geen aangepast plan gedeeld, het Rijksvastgoedbedrijf is in afwachting van dit aangepast plan.
Vraag 13

Welke afspraken zijn er gemaakt met Meta/Facebook over onder andere het betalen van (lokale) belastingen, het wel of niet ontvangen van subsidies, de komst van arbeidsplaatsen en watercompensatie?

De inhoudelijk betrokkenheid van het Rijk bij deze mogelijke investering van Facebook richtte zich op de netaansluiting en de mogelijke verkoop van grond van het Rijksvastgoedbedrijf. Belastingen, subsidies, arbeidsplaatsen en watercompensatie waren geen onderwerpen in deze gesprekken. In de gesprekken tussen het Rijksvastgoedbedrijf en de gemeente over de eventuele verkoop van de grond zijn voorwaarden van het Rijk gesteld. Daarbij zijn ook de processtappen besproken die voorschrijven dat de gemeente zorgt voor een aangepast plan, het Rijk deze laat toetsen en vervolgens beoordeelt en daarna beslist over verkoop (zie de brief van de Staatssecretaris van BZK van 13 december jl.11).
Vraag 14

Deelt u de mening dat het niet wenselijk zou zijn als lokale politici en bestuurders zonder afstemming met provincie en rijksoverheid zouden besluiten over de komst van een datacentrum vanwege de regio-overstijgende consequenties?

De NOVI is zelfbindend voor het Rijk maar geeft ook de onder 2 genoemde richtingen mee voor deze afwegingen.
Het verdient daarbij voorkeur als provincies zelf beleid formuleren voor vestiging van datacenters en de inrichting van locaties. Het Rijk gaat hier met provincies over in overleg. In lijn met het coalitieakkoord zal dit kabinet de landelijke regie en de toelatingscriteria ten aanzien van (hyperscale) datacenters aanscherpen. De Minister voor Volkshuisvesting en Ruimtelijke Ordening zal hier komt hier dit voorjaar in een gezamenlijke brief met de Minister voor Klimaat en Energie op terug.
Vraag 15

Deelt u de mening dat de komst van een regionaal klein datacentrum bij kan dragen aan de internationale concurrentiekracht van het economisch kerngebied van Nederland en het onze digitale infrastructuur versterkt, mits het geen blokkerende impact heeft op het Nederlandse stroomnet? Zo nee, waarom niet? Zo ja, wilt u dit meenemen in de datacentervisie die naar de Tweede Kamer wordt gestuurd?

Het merendeel van de datacenters in Nederland zijn regionale datacenters waarvan een groot deel in de regio Amsterdam gevestigd is. Regionale (co-locatie) datacenters spelen een belangrijke faciliterende rol in de digitalisering van Nederlandse bedrijven en organisaties en daarmee de internationale concurrentiekracht van deze bedrijven maar datacenters in Nederland zorgen ook voor uitstekende internationale connectiviteit. Clusters van co-locatie datacenters rond Amsterdam en de AMS-IX zorgen voor deze zeer snelle internationale verbindingen, de zogenoemde hyperconnectiviteit. Deze hyperconnectiviteit draagt bij aan de goede digitale infrastructuur en is daarmee ook gunstig voor het Nederlands vestigingsklimaat, met name voor multi-tenant datacenters en bepaalde dienstverlening waarvoor hyperconnectiviteit een vereiste is. De Metropoolregio Amsterdam (MRA) houdt bij het opstellen van de nieuwe verstedelijkingsstrategie met het oog op groei van deze hyperconnectiviteitclusters dan ook rekening met de beschikbare (toekomstige) energie-infrastructuur. Met betrekking tot de datacentervisie verwijs ik u naar het antwoord op vraag 16.
Vraag 16

Deelt u de mening dat er meer landelijke sturing moet zijn en dat er meer duidelijkheid moet komen over het beleid rondom het bouwen van datacentra in Nederland? Zo ja, welke randvoorwaarden zouden hier volgens u van toepassing zijn? Zo nee, waarom niet?

Op 17 december jl. heeft uw Kamer een brief ontvangen over datacenters (Kamerstuk 32 813, nr. 968) die verder ingaat op de verwachte groei van de datacentersector, de elektriciteitsvraag die daarbij gepaard gaat en de wenselijkheid van datacenters mede gezien schaarse ruimte en de landschappelijke impact. Voorts: in het coalitieakkoord constateert het kabinet dat hyperscale datacentra een onevenredig groot beslag leggen op de beschikbare duurzame energie in verhouding tot de maatschappelijke en/of economische meerwaarde. Daarom scherpen we de landelijke regie en de toelatingscriteria bij de vergunningverlening hiervoor aan. De Minister voor Volkshuisvesting en Ruimtelijke Ordening komt hier dit voorjaar in een gezamenlijke brief met de Minister voor Klimaat en Energie op terug.

17 november 2021 - 16 februari 2022

91 dagen

De rode loper voor datacenters
	Gijs van Dijk (PvdA)
	Stef Blok (VVD), Kajsa Ollongren (minister defensie) (D66)

Bronnen

1. Telegraaf, 9 november 2021, «Overheid liet zich bij bouw datacentra b…
2. Noordhollands Dagblad, 15 november 2021, «Zonder stroom gaat Boekeler…
3. NH Nieuws, 27 oktober 2021, «Provincie vraagt Den Haag om hulp: overv…

Vraag 1

Bent u bekend met het artikel «Rode loper uit voor datacentra»?1

Ja, daar ben ik mee bekend.
Vraag 2

Klopt het dat u actief internationaal beleid voert om grote multinationals, zoals Facebook, Google en Microsoft naar Nederland te halen? Op welke manier heeft u deze bedrijven gefaciliteerd?

Buitenlandse bedrijven leveren een belangrijke bijdrage aan de ambities van dit kabinet, bijvoorbeeld in de vorm van werkgelegenheid, innovatie en toegevoegde waarde van onze economie. Op 17 april 2020 is uw Kamer geïnformeerd over het acquisitiebeleid.2 Daarin is aangegeven dat het kabinet in het acquisitiebeleid sterker wil focussen op juist die buitenlandse bedrijven die ook bijdragen aan versterking van innovatie-ecosystemen en de verduurzaming en digitalisering van onze economie.
De Netherlands Foreign Investment Agency (NFIA), de uitvoeringsorganisatie van EZK die verantwoordelijk is voor het aantrekken van buitenlandse bedrijven naar Nederland, geeft invulling aan dit acquisitiebeleid. Dit doet de NFIA door bedrijven te informeren over het Nederlandse investeringsklimaat en hen te introduceren bij relevante partijen die hen van informatie kunnen voorzien.3 De NFIA heeft daarbij ook contact met bedrijven als Facebook, Google en Microsoft over mogelijke investeringen in Nederland. Zo heeft NFIA bijgedragen aan het in 2019 geopende Microsoft kwantum Lab op de TU Delft campus en de vestiging van het Google datacenter in de Eemshaven in 2016.
Specifiek voor datacenters geldt dat sinds begin 2020 de NFIA deze niet meer actief naar Nederland acquireert. Dit geldt zowel voor grootschalige (hyperscale) datacenters als voor andere soorten datacenters.
Vraag 3

Klopt het dat u op basis van door de lobby van datacenters afgegeven rooskleurige informatie over datacenters uw beleid is gebaseerd voor een actieve acquisitiestrategie om grootschalige datacenters naar Nederland te halen?

Nee, dit klopt niet. Het strategische acquisitiebeleid van ICT-bedrijven, zoals opgenomen in het plan «the Netherlands: Digital Gateway to Europe»4, was onderdeel van een bredere ambitie om hoofkantoor-, onderzoeks- en innovatieactiviteiten van buitenlandse bedrijven in Nederland te laten vestigen. Doel hierbij was het kwantitatief (omzet, aantal bedrijven, werkgelegenheid) en kwalitatief (innovatiekracht, kennis en kunde) versterken van de Nederlandse ICT-sector en economische (top)sectoren. De keuze voor sectoren was gebaseerd op een SWOT-analyse van de sterktes en zwaktes van de Nederlandse ICT-sector en is tot stand gekomen in samenspraak met het (ICT-)bedrijfsleven en kennisinstellingen. Daarbij was de datasector slechts een van de focusgebieden uit het plan in 2013; daarnaast waren gaming en cybersecurity als kansrijke sectoren geïdentificeerd. Verder richtte het plan zich op het aantrekken van buitenlandse ICT-bedrijven die innovatieve oplossingen bieden voor onze topsectoren (LSH, logistiek, tuinbouw, media en HTSM). Een belangrijke basis voor deze ambitie was een onderzoek van Roland Berger uit 20115, waarin werd geconstateerd dat Nederland voordeel zou hebben van het aantrekken van hoofdkantoor-, onderzoeks- en innovatieactiviteiten van buitenlandse bedrijven. Het plan liep van 2013 tot 2017 en is daarna aangepast en verlengd van 2018 tot eind 2021. In dat plan zijn de focusgebieden herijkt met bijvoorbeeld meer aandacht voor opkomende technologieën als AI en bedrijven die big data toepassingen aanbieden. Ook is ervoor gekozen om in dat plan nog meer focus te leggen op het aantrekken van hoogwaardige ICT-activiteiten6. Zoals aangegeven in het antwoord op vraag 2 is deze opdracht begin 2020 aangepast en wordt er niet meer actief geacquireerd op datacenters.
Vraag 4

Klopt het verder dat u al in 2019 bekend was met de enorme nadelen van hyperscale datacenters, zoals problemen met het enorme water- & elektraverbruik en aansluiting op het stroomnet? Welke maatregelen heeft u vanaf 2019 genomen om deze genoemde problemen «kritische succesfactoren» serieus te nemen?

In 2019 is uw Kamer geïnformeerd over de Ruimtelijke Strategie Datacenters7, die namens de partijen uit de Ruimtelijk Economische Ontwikkelstrategie (REOS), waaronder het Rijk, is gepubliceerd. Daarin wordt in het kader van een zorgvuldige ruimtelijke ordening onder meer gewezen op het belang van een goede afstemming met het elektriciteitsnetwerk bij de vestiging van datacenters. Vervolgens is de Nationale Omgevingsvisie gepubliceerd8 die het nationaal ruimtelijk beleid omvat voor een zorgvuldige vestiging van datacenters en voorkeuren aangeeft voor o.a. de vestiging van hyperscale datacenters.
In de zomer van 2019 hebben de gemeenten Haarlemmermeer en Amsterdam een voorbereidingsbesluit genomen als aankondiging van nader te bepalen ruimtelijk vestigingsbeleid voor datacenters in deze gemeenten. Dit was voor het ministerie ook een signaal om het nationale acquisitiebeleid t.a.v. datacenters te herzien. Begin 2020 is daarom ook de opdracht aan de NFIA aangepast.
In de kamerbrief van maart 2021 over datacenters9 is uw Kamer daarnaast geïnformeerd over bijvoorbeeld de instrumenten en maatregelen m.b.t. energiebesparing en stimulering van benutting van restwarmte. Ook zijn er diverse vereisten en procedurele stappen om problemen t.a.v. watergebruik te voorkomen, zoals de Minister van IenW uiteenzet in de beantwoording van kamervragen over watergebruik in datacenters van april10. Verder verwijs ik ook naar de antwoorden onder vraag 11.
Vraag 5

Kunt u een overzicht geven van al uw contacten met bedrijven zoals Microsoft, Facebook en/of organisaties die lobbyen voor datacenters en die mogelijk een actieve rol hebben gehad in de besluitvorming?

Vanuit het Ministerie van Economische Zaken en Klimaat wordt met regelmaat gesproken met verschillende marktpartijen, brancheorganisaties en mede overheden, zo ook bij gelegenheid met eigenaren van co-locatie en hyperscale datacenters en de branchevereniging van datacenters. Het ministerie maakt echter altijd een eigen afweging in de besluitvorming van beleid, zo ook in dit geval bij het opstellen van strategisch acquisitiebeleid. De besluitvorming is zowel gebaseerd op onafhankelijk onderzoek als eigen onderzoek, hier zijn gesprekken met marktpartijen en brancheorganisaties een onderdeel van.
Vraag 6

Heeft u daarnaast contact gehad met kritische geluiden omtrent datacenters? Zo ja, wat waren deze reacties en in hoeverre heeft u hier rekening mee gehouden in de besluitvorming? Heeft u verder actief kritische geluiden, zoals gemeenten en omwonenden, opgezocht en gesproken?

De uiteindelijke afweging en besluitvorming ten aanzien van de vestiging ligt bij decentrale overheden. Indien een (hyperscale) datacenter een mogelijke locatie heeft gevonden, zal het datacenter het reguliere besluitvormingsproces bij de gemeente en/of provincie moeten doorlopen en de benodigde vergunningen aan moeten vragen. Bij het opstellen van het ontwerpbestemmingsplan of de aanvraag van een vergunning hebben omwonenden de mogelijkheid om hun standpunt kenbaar te maken. Het is vervolgens aan het bevoegd gezag om in de besluitvorming met deze zienswijzen rekening te houden.
In het opstellen van de Nationale Omgevingsvisie (NOVI)11, die tevens ingaat op datacenters, is rekening gehouden met binnengekomen zienswijzen van verschillende partijen. Zie hiervoor de Nota van Antwoord aan uw Kamer12. Naar aanleiding van vragen is aan het nationaal belang van digitale connectiviteit expliciet de veiligheid van datacenters toegevoegd. Daarnaast waren er vragen over Eemshaven als vestigingsplaats voor datacenters in relatie tot andere ruimteclaims en de vraag naar water. In het antwoord werd gewezen op het voordeel van vestiging van energie-intensieve bedrijven (waaronder datacenters) aan de kust voor het optimaal benutten van windenergie vanaf zee. Ook werd ingegaan op werkgelegenheid, kans op gebruik van restwarmte en bijvoorbeeld zon op het dak van het datacenter.
Vraag 7

Kunt u aangeven, op basis van onafhankelijk onderzoek, wat het publieke belang en de baten zijn van grootschalige datacenters voor Nederland? Kunt verder aangeven hoeveel structurele werkgelegenheid 1 hyperscale datacenter oplevert?

Datacenters vervullen een belangrijke rol in het realiseren van de noodzakelijke digitalisering van Nederland. In datacenters staan servers opgesteld die vele digitale processen bij bedrijven, overheden en organisaties moeten ondersteunen. Denk hierbij aan het werken in de cloud. Met name de regionaal en nationaal verzorgende (multi-tenant of co-locatie) datacenters stellen nationale bedrijven en organisaties in staat efficiënter te produceren of te werken. Daarnaast faciliteren grootschalige (hyperscale) datacenters allerlei soorten digitale toepassingen die door bedrijven, organisaties en consumenten wereldwijd dagelijks worden gebruikt.
De directe regionale economische meerwaarde van co-locatie datacenters is relatief beperkt, maar heeft regionaal en nationaal gezien wel belangrijke positieve effecten door die faciliterende rol voor de digitalisering. Dit blijkt uit onderzoeken van Buck Consultants International (BCI) in opdracht van de Metropoolregio Amsterdam en van Stratix in opdracht van de provincie Zuid-Holland.13 Rond Amsterdam (en met name de AMS-IX) zitten veel multi-tenant datacenters met zeer snelle onderlinge verbindingen. Dit zorgt voor zogeheten hyperconnectiviteit tussen deze datacenters. Op maar vijf plekken in Europa bestaat deze hyperconnectiviteit. Dit is dus bijzonder en speelt een belangrijke faciliterende rol voor de Nederlandse maar ook de Europese digitale economie. Deze hyperconnectiviteit rond Amsterdam draagt bij aan een zeer gunstig vestigingsklimaat voor multi-tenant datacenters en bepaalde dienstverlening waarvoor hyperconnectiviteit een vereiste is. Ook faciliteren co-locatie datacenters regionale partijen in hun digitaliseringsbehoefte. Omdat hyperscale datacenters niet bijdragen aan deze hyperconnectiviteit en primair worden gebruikt voor het opslaan van data of het verlenen van specifieke dienstverlening voor de internationale markt, kan worden gesteld dat de (in)directe regionale en nationale meerwaarde voor de Nederlandse digitalisering en digitale infrastructuur lager is dan bij co-locatie datacenters.
Het is niet eenduidig te zeggen hoeveel structurele werkgelegenheid één hyperscale datacenter oplevert. Dit is afhankelijk van de omvang van het datacenter, de hoeveelheid operationaliserings- en onderhoudsactiviteiten en andere bedrijfsspecifieke omstandigheden. Een grove indicatie op basis van openbare gegevens van bedrijven met een hyperscale datacenter in Nederland geeft aan dat de drie thans in Nederland gevestigde hyperscale datacenters gemiddeld circa 6 tot 8 structurele directe banen per hectare verschaffen. In totaal komt dit voor de drie in Nederland gevestigde hyperscale datacenters neer op circa 750 vaste banen. Dit impliceert dat de directe regionale economische meerwaarde van hyperscale datacenters gemeten in directe en structurele werkgelegenheid relatief beperkt is. Daarnaast voorzien datacenters ook in tijdelijke en indirecte werkgelegenheid. Bij de bouw van datacenters zijn op tijdelijke basis grote aantallen medewerkers betrokken en de tijdelijke en structurele directe werkgelegenheid ondersteunt ook indirecte werkgelegenheid in de dienstensector van de regio. Het voorgaande is gebaseerd op informatie die op dit moment bekend is en geeft geen sluitend of definitief beeld van de uiteindelijk toegevoegde structurele werkgelegenheid.
Vraag 8

Klopt het dat er op dit moment zelfs overcapaciteit aan datacenters is in Nederland, waardoor driekwart van de capaciteit naar het buitenland gaat? Vindt u het daarom ook onwenselijk, vanwege alle nadelige gevolgen rondom water- en elektraverbruik en problemen rond inpassing in het landschap, om nog actief datacenters naar Nederland te halen?

De datacentermarkt is grotendeels een internationale markt. Een recent onderzoek14 van Buck Consultants International (BCI) in opdracht van het Ministerie van Economische Zaken en Klimaat geeft aan dat, zoals bij meerdere Nederlandse diensten en producten geldt, de Nederlandse datacentersector een belangrijk aandeel heeft in het bedienen van de buitenlandse markt. Zoals ik al eerder aangaf huisvest Nederland één van de vijf hyperconnectiviteitsclusters in Europa. Dit betekent dat veel Nederlandse datacenters gebruikers in het buitenland bedienen maar Nederlandse bedrijven en organisaties maken ook gebruik van datacentercapaciteit in andere landen. Nederland fungeert dus als een datacenterrotonde binnen Europa. Een van de conclusies uit het genoemde rapport luidt logischerwijs dat de Nederlandse datacentercapaciteit fors is in verhouding tot binnenlandse vraag. Een grove schatting laat zien dat het equivalent van 25–35% van de Nederlandse capaciteit gebruikt wordt voor in Nederland gevestigde bedrijven. Gezien de aard van de markt is het niet mogelijk om in Nederland alleen de Nederlandse benodigde datacentercapaciteit te accommoderen. Dat er nu geen knelling van capaciteit verwacht wordt voor de Nederlandse digitaliseringstransitie neemt niet weg dat de markt voor de datacentercapaciteit moet kunnen blijven groeien. Als de Europese datacentermarkt niet kan groeien, dan is er op termijn ook te weinig capaciteit voor de digitaliseringstransitie in Nederland.
Ten aanzien van het actief aantrekken van datacenters naar Nederland, zie het antwoord op vraag 2.
Vraag 9

Bent u het verder eens dat het onwenselijk is dat het elektraverbruik geheim wordt gehouden door de sector? Bent u daarom bereid om een onafhankelijk onderzoek, dus niet door de sector zelf, onderzoek te laten doen naar het elektra-, maar ook, waterverbruik van datacenters?

Het CBS monitort het elektriciteitsverbruik en heeft inzicht in alle elektriciteit die via het elektriciteitsnet wordt geleverd. Over de periode van 2017–2020 heeft het CBS de gegevens gepubliceerd.15 Ook de komende jaren zal CBS dat blijven monitoren. Het CBS monitort tevens het gebruik van leidingwater door de sector «informatie en communicatie» waar datacenters onder vallen.16 Het CBS heeft bij navraag aangegeven dat dit een zeer grove schatting betreft en momenteel helaas niet geschikt om een harde uitspraak te doen over het huidige leidingwatergebruik van datacenters. Het CBS doet momenteel onderzoek of er mogelijkheden zijn om deze schatting te verbeteren.
Vraag 10

Klopt het verder dat door de grote hoeveelheid stroom die datacenters gebruiken er daardoor nieuwe woonwijken of startende bedrijven niet kunnen worden aangesloten op het stroomnet in de Kop van Noord-Holland?2 Speelt dit probleem ook in andere gebieden waar hyperscale datacenters aanwezig zijn?

Datacenters leggen net als andere grootverbruikers een relatief groot beslag op de beschikbare transportcapaciteit van het elektriciteitsnet. Netbeheerders kunnen de vraag naar aanvullende transportcapaciteit in de Kop van Noord-Holland, maar ook op veel plekken elders in Nederland, moeilijk bijhouden. Het gaat hierbij zowel om transportschaarste voor invoeding van hernieuwbare elektriciteit en in toenemende mate ook om afname van elektriciteit door gebruikers18. De problematiek is hierbij dan ook niet alleen aan datacenters toe te schrijven.
Vraag 11

Bent u vanwege het overvolle elektriciteitsnet van plan om, zoals ook de Provincie Noord-Holland bepleit3, om met wet- en regelgeving te komen zodat decentrale overheden de mogelijkheid krijgen om zelf te kunnen bepalen wat eerst, zoals nieuwe woningen, kan worden aangesloten op het elektriciteitsnet, in plaats van dat zij verplicht zijn om datacenters, die energie slurpen, toe te laten op het elektriciteitsnet?

Netbeheerders zijn als natuurlijk monopolist gehouden aan zowel het Europese als Nederlandse kaders die voorschrijven dat ze non-discriminatoir jegens een ieder opereren. Netbeheerders geven hier invulling aan door aanvragen op volgorde van binnenkomst te behandelen. Dit is juist bij schaarste een zuiver principe voor de netbeheerder. Ik zet bij de aanpak van de schaarse transportcapaciteit in op een combinatie van maatregelen waarbij waar mogelijk het net sneller verzwaard kan worden en betere gezamenlijke planning aan de voorkant tussen netbeheerders, overheden en marktpartijen. Op nationaal niveau doen we dit bijvoorbeeld met het Meerjarenplan Infrastructuur Energie en Klimaat (MIEK). Decentrale overheden werken aan regionale varianten hierop en ook hierover ben ik met hen in gesprek.
Vraag 12

Klopt het dat voor datacenters er geen financiële prikkels zijn om minder energie, via de zogenaamde volumeheffingskorting, te gebruiken? Bent u daarom bereid om financiële prikkels in te bouwen, zodat zeer grote verbruikers van het elektriciteitsnet zoals datacenters efficiënter omgaan met de beschikbare transportcapaciteit?

Het is niet goed mogelijk om één prikkel in te bouwen die tegelijkertijd het efficiënt omgaan met transportcapaciteit beloont en tegelijkertijd ook prikkelt tot energiebesparing. De belangrijkste financiële prikkel voor energiebesparing voor datacenters, en andere elektriciteitsgebruikers, volgt uit de prijs van het product elektriciteit en de belasting die daarover wordt geheven. De volumecorrectieregeling is daarentegen onderdeel van de nettarievenstructuur, welke voorschrijft volgens welke verdeelsleutels netbeheerders de tarieven van aangeslotenen op het elektriciteitsnet berekenen. Omdat de kosten van het elektriciteitsnet voornamelijk capaciteitsgedreven zijn, beprijst de nettarievenstructuur met name het gebruik van capaciteit (vermogen) en niet het verbruik van elektriciteit. Het klopt daarom niet dat er door het bestaan van de volumecorrectieregeling geen of minder prikkels zijn voor datacenters om energie te besparen. De volumecorrectieregeling prikkelt daarentegen wel tot het efficiënter omgaan met transportcapaciteit: de regeling leidt tot procentueel lagere transporttarieven voor grote elektriciteitsgebruikers, maar alleen als deze een zeer vlak en stabiel afnamepatroon kennen. Dat leidt eveneens tot een efficiënter gebruik van de beschikbare transportcapaciteit. Elektriciteitsgebruikers met een grillig elektriciteitsgebruik daarentegen komen niet in aanmerking voor de regeling. Voor de volledigheid wordt opgemerkt dat elke elektriciteitsgebruiker met een voldoende groot en voldoende stabiel afnamepatroon gebruik kan maken van de volumecorrectieregeling. De regeling richt zich dus niet op datacenters en niet alle datacenters zullen in aanmerking komen voor deze regeling.
Vraag 13

Bent u het eens dat het ongewenst is dat de gemeente Hollands Kroon een «gedoogbeslissing» heeft afgegeven aan een hyperscale datacenter van Microsoft, waardoor zonder dat alle democratische procedures zijn doorlopen?

Het college van gedeputeerde staten van Noord-Holland is in het geval van het datacenter van Microsoft bevoegd gezag voor het afgeven van de omgevingsvergunning. Op 15 september jl. is namens het college door de Omgevingsdienst Noordzeekanaalgebied (OD NZKG) aan Microsoft een gedoogbeslissing afgegeven20. Voordat de gedoogbeslissing is gegeven is de inpasbaarheid van het datacenter ook getoetst aan de concept-datacenterstrategie van de provincie Noord-Holland.
Met de gedoogbeslissing kan Microsoft voor eigen rekening en risico starten met bouwen in afwachting van besluitvorming over de vereiste omgevingsvergunning. Voor deze gedoogbeslissing is onder meer een m.e.r.-beoordelingsbesluit genomen. Hierbij zijn de volgende milieuaspecten beoordeeld: bodem, lucht, energiegebruik, watergebruik, geluid, afvalwater, externe veiligheid en de bescherming van de natuur ingevolge de Wet natuurbescherming. De besluitvorming over de aanvraag van Microsoft voor een omgevingsvergunning doorloopt alle democratische procedures. De genoemde milieuaspecten worden nu voor de beoordeling van de aanvraag voor de omgevingsvergunning opnieuw beoordeeld. Voordat de definitieve omgevingsvergunning wordt verleend, wordt eerst een ontwerpvergunning gepubliceerd. De OD NZKG verwacht deze nog dit jaar of uiterlijk in januari 2022 ter inzage te kunnen leggen. Inwoners en belanghebbenden hebben vanaf dat moment de mogelijkheid tot inspraak door middel van het indienen van een zienswijze. De ontwerpvergunning en alle bijbehorende stukken worden dan ook gepubliceerd en voor iedereen openbaar.
Vraag 14

Bent u verder niet bezorgd dat lokale politici de lastige keuze moeten maken over het toestaan van hyperscale datacenters? Bent u het daarom eens dat het verstandiger is om de bevoegdheid voor het plaatsen van hyperscale datacenters bij het Rijk te leggen?

Voor hyperscale datacenters spreekt de NOVI voorkeur uit om deze te vestigen aan de randen van Nederland, op locaties waar veel aanbod is van (hernieuwbare) elektriciteit, waar aansluiting op het elektriciteitsnetwerk kan worden geboden en waar ruimte minder schaars is. Daarnaast geeft de NOVI richtingen mee voor het benutten van restwarmte, landschappelijke inpassing en duurzame energie. In lijn met het coalitieakkoord zal dit kabinet de landelijke regie en de toelatingscriteria ten aanzien van (hyperscale) datacenters aanscherpen. De Minister voor Volkshuisvesting en Ruimtelijke Ordening komt hier dit voorjaar in een gezamenlijke brief met de Minister voor Klimaat en Energie op terug.
Verder heeft de Staatssecretaris van Economische Zaken en Klimaat, in afstemming met de Minister en Staatssecretaris van BZK uw Kamer op 17 december jl. een brief (Kamerstuk 32 813, nr. 968) gestuurd mede n.a.v. vragen van Kamerlid Bontenbal (CDA). Deze brief gaat verder in op de verwachte groei van de datacentersector, de elektriciteitsvraag die daarbij gepaard gaat en de wenselijkheid van datacenters mede gezien schaarse ruimte en de landschappelijke impact.
Vraag 15

Bent u om die reden dan ook van plan om als regisseur een leidende rol te nemen om strakke regels rondom water- en elektraverbruik, restwarmte en inpasbaarheid in het landschap bij datacenters vast te leggen?

Zie antwoord vraag 14.

9 november 2021 - 7 april 2022

149 dagen

Beantwoording vragen 'Litouwen adviseert consument geen Xiaomi-telefoons meer te kopen'
	Queeny Rajkowski (VVD)
	Stef Blok (VVD), Raymond Knops (CDA), Ferdinand Grapperhaus (CDA)

Vraag 1

Hoe weet u zeker dat op de smartphones geen censuur wordt toegepast en dat deze software constant uit staat, aangezien u in de beantwoording aangeeft dat er op de in de Europese Unie verkochte smartphones geen censuur wordt toegepast, er voor Nederland op dit moment geen aanleiding is om een dergelijk zwaarwegend advies af te geven en dat u ziet dat het daadwerkelijk toepassen van dergelijke software inbreuk kan maken op de grondrechten van gebruikers?

Het Ministerie van Defensie van Litouwen heeft onderzoek gedaan naar telefoons van het merk Xiaomi. Daarbij is ook gekeken naar de functionaliteit die in deze vragen wordt aangeduid als censuursoftware. Uit het onderzoek blijkt dat deze functionaliteit is uitgeschakeld in de Europese Unie. Naar aanleiding van het Litouwse onderzoek heeft ook het Duitse Bundesambt für Sicherheit in der Informationstechnik (BSI) een eigen onderzoek ingesteld. Daarbij zijn geen bijzonderheden aangetroffen.1 In beide onderzoeken is vastgesteld dat de software in de praktijk niet wordt toegepast. Ik hecht eraan dat dit ook in de toekomst niet zal gebeuren.
Gebruikers van telefoons moeten immers met elkaar kunnen communiceren zonder dat er, zoals zou gebeuren als de bedoelde functionaliteit wordt geactiveerd, door derden inbreuk wordt gemaakt op de communicatie. Dit zogenoemde communicatiegeheim is onder meer vastgelegd in artikel 5 van richtlijn 2002/58/EG (de e-privacyrichtlijn) en ook in het voorstel voor een Europese e-privacyverordening die in de toekomst de e-privacyrichtlijn zal vervangen.
Zolang de e-privacyverordening nog niet van kracht is, is een complicerende factor dat artikel 11.2a van de Telecommunicatiewet waarin artikel 5 van de e-privacyrichtlijn is omgezet, zich alleen richt tot aanbieders van openbare elektronische communicatienetwerken en diensten en dus niet tot derden zoals de leverancier van de telefoon. Omdat de totstandkoming van de e-privacyverordening nog op zich laat wachten, zal ik nader bezien of het doelmatig is om de Telecommunicatiewet op dit punt aan te passen.
Naast de Telecommunicatiewet wordt het communicatiegeheim ook beschermd in het Wetboek van Strafrecht. Zo stelt artikel 139c het met een technisch hulpmiddel aftappen of opnemen van het telecommunicatieverkeer strafbaar. Betoogd zou kunnen worden dat het met software bekijken (aftappen) en vervolgens aanpassen (het er uit filteren van «ongewenste» zoekresultaten) van het telecommunicatieverkeer onder de werking van deze strafbepaling valt (vgl. Hoge Raad, 17 december 2019, ECLI:NL:HR:2019:1973). In dat geval zou het activeren van dergelijke software ertoe kunnen leiden dat sprake is van een strafbaar feit.
Waar apparaten bijvoorbeeld de zoekresultaten filteren, dan kan dit voorts een inbreuk vormen op de vrijheid van nieuwsgaring. Het is uiteindelijk aan de rechter om in voorkomende gevallen een uitspraak te doen over de rechtmatigheid van zo’n filter.
Vraag 2

In hoeverre worden er, in het kader van «Bring-Your-Own-Device», privé Xiaomi-telefoons gebruikt, waarvan in de beantwoording is aangegeven dat er sinds 2018 60 van zijn aangeschaft, en is dit wenselijk?

Voor «Bring-Your-Own-Device» binnen de rijksoverheid geldt als uitgangspunt dat ieder rijksonderdeel moet aangeven of en in welke gevallen het gebruik van eigen apparatuur is toegestaan op basis van een eigen risicoafweging.
De (on)wenselijkheid hiervan verschilt dus per rijksonderdeel. Mocht het gebruik van eigen toestellen toegestaan zijn dan geldt, net zoals voor overheidstoestellen, dat op basis van de risicoafweging de juiste maatregelen worden getroffen om de overheidsinformatie voldoende te beschermen, bijvoorbeeld door toepassing van cryptografische oplossingen die op het eigen apparaat gebruikt kunnen worden.
In antwoord op eerdere vragen is aangegeven dat er zover bekend bij het Ministerie van Binnenlandse Zaken sinds 2018 60 Xiaomi telefoons zijn aangeschaft binnen de rijksoverheid. Deze zijn aangeschaft om te worden gebruikt als onderwerp van technisch, forensisch of opsporingsonderzoek. Er is geen relatie tussen deze 60 telefoons en «Bring-Your-Own-Device»-beleid.
Vraag 3

In hoeverre biedt de Baseline Informatiebeveiliging Overheid voldoende handvatten om nieuwe informatie en potentiële risico’s zoals censuursoftware zoveel als mogelijk te voorkomen?

De Baseline Informatiebeveiliging Overheid (BIO) is een informatiebeveiligingskader voor de hele overheid en is gebaseerd op de internationale standaarden ISO27001 en ISO27002. De BIO kent een risicogebaseerde aanpak. Dat betekent dat overheidsorganisaties op basis van risicoafweging (nieuwe) dreigingen onderkennen en daarop passende en proportionele beveiligingsmaatregelen treffen. Zo ook deze casus.
De BIO kent (nog) geen specifieke maatregelen tegen dergelijke software. Dit jaar wordt de BIO geëvalueerd. Onderdeel van die evaluatie is de herijking van de dreigingen die richting geven aan de concrete overheidsmaatregelen in de BIO. Dit vraagstuk zal daarbij worden meegenomen.
In algemene zin geldt dat eind 2018 ten aanzien van nationale veiligheidsrisico’s een verscherpt inkoop- en aanbestedingsbeleid is geïmplementeerd voor de rijksoverheid. Hierin is opgenomen dat bij inkoop en aanbesteding mogelijke risico’s voor de nationale veiligheid per inkoopopdracht worden meegewogen. Bij de aanschaf en implementatie van gevoelige apparatuur of programmatuur wordt volgens dit beleid rekening gehouden met zowel risico’s in relatie tot een leverancier, als met het concrete gebruik van de systemen, bijvoorbeeld als het gaat om de toegang tot systemen door derden.
Ter ondersteuning van dit beleid is aanvullend instrumentarium ontwikkeld door de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) dat organisaties handvatten biedt bij het maken van een risicoanalyse en het nemen van mitigerende maatregelen. Behoeftestellende partijen zijn zelf verantwoordelijk voor de toepassing van dit instrumentarium en het meewegen van nationale veiligheidsrisico’s. Het instrumentarium is ter beschikking gesteld binnen de rijksoverheid en medeoverheden, alsmede aan organisaties die onderdeel zijn van de vitale processen.
In het Commissiedebat Digitale overheid, datagebruik en algoritmen, en digitale identiteit van 22 maart jl. heeft de Staatssecretaris voor Koninkrijksrelaties en Digitalisering verder toegezegd een onderzoek te gaan doen naar inkoopeisen en -richtlijnen over cyberveiligheid in het overheidsapparaat, dat voornamelijk zal gaan over landen met een offensief cyberprogramma. In het daaropvolgende tweeminutendebat van 29 maart is in aanvulling op de toezegging een motie ingediend door Kamerleden Rajkowski en Van Weerdenburg, om in dit onderzoek ook te kijken naar de vitale sector.2 De motie is op 5 april aangenomen; de Kamer zal over het vervolg geïnformeerd worden.
Vraag 4

Wat zou u ervan vinden als Rijksambtenaren Chinese censuursoftware zouden downloaden op hun apparaten?

In algemene zin is het onwenselijk als rijksambtenaren software zouden downloaden op hun werkapparaten als die een conflict zou opleveren met hun werkzaamheden.
Verder wil ik opmerken dat de werkomgeving van rijksambtenaren op mobiele apparaten zich bevindt op een afgeschermd deel dat niet toegankelijk is voor overige geïnstalleerde software.
Vraag 5

Onderkent u dat Xiaomi telefoons, in tegenstelling tot wat er in de beantwoording te lezen is, niet alleen via verschillende webwinkels verkocht worden, maar dat er sinds 2020 ook een fysieke «Mi-store» is geopend in Rotterdam, de eerste fysieke Xiaomi winkel in de Benelux?

In de eerdere beantwoording is aangegeven dat Xiaomi-toestellen in Nederland breed verkrijgbaar zijn. Het klopt dat er een fysieke Xiaomi-winkel in Rotterdam is.
Vraag 6

Hoe beoordeelt u het feit dat aanbieders van apparaten waar censuursoftware op staat winkels openen in Nederland en hun marktaandeel in Nederland groeiend is?

Het is belangrijk dat producten die hier op de markt worden gebracht voldoen aan de relevante regelgeving. Dat wordt des te belangrijker als het een wijdverspreid product is. Tegelijkertijd is het iedereen die zich aan de relevante Nederlandse en Europese wetgeving houdt toegestaan producten op de Nederlandse en Europese markt te brengen.
Vraag 7

Klopt het dat de censuursoftware op afstand kan worden geactiveerd vanuit China, zonder dat gebruikers dit doorhebben? Deelt u de mening dat deze functionaliteit een potentiële bedreiging vormt voor de vrijheid van meningsuiting en de vrije toegang tot informatie van Nederlandse gebruikers van Xiaomi-toestellen? Zo ja, hoe beoordeelt u dit? Zo nee, waarom niet?

Een fabrikant kan op afstand wijzigingen doorvoeren aan producten en diensten door software-updates uit te brengen. Op basis van artikel 11.7a van de Telecommunicatiewet moet de fabrikant daarover de eindgebruiker informeren en bovendien diens toestemming verkrijgen voor de wijziging.
De vrije nieuwsgaring wordt onder meer beschermd door artikel 10 van het Europees Verdrag voor de Rechten van de Mens. Hiervoor is het van belang dat mensen degelijke toegang hebben tot informatie zonder hierin te worden gehinderd. De gigantische hoeveelheid informatie die in de moderne wereld voorhanden is maakt het echter noodzakelijk dat technische hulpmiddelen zoals zoekmachines deze informatie filteren voordat het aan gebruikers wordt voorgelegd. Voor vrije nieuwsgaring is het van belang dat deze filtering waardenvrij plaatsvindt.
Het is onwenselijk voor gebruikers om heimelijk af te worden gehouden van specifieke onderwerpen. Uit zowel het Litouwse als Duitse onderzoek blijkt echter dat dit in de Europese Unie op Xiaomi telefoons ook niet wordt gedaan. Het is in het algemeen belangrijk dat gebruikers de beperkingen van hun apparatuur kennen en begrijpen en indien zij dat wensen kunnen kiezen uit alternatieve browsers en zoekmachines om te voorzien in hun informatiebehoefte.
Vraag 8

Hoe beoordeelt u het feit dat ook de data van Nederlandse gebruikers die Xiaomi-toestellen gebruiken wordt doorgestuurd naar Xiaomi-servers in China, waar conform de geldende Chinese cyberveiligheidswet, ook de Chinese overheid toegang heeft tot de data van Nederlandse gebruikers?

Nederland en de EU spreken in verschillende verbanden, waaronder binnen de VN, met China over dataveiligheid. Centraal hierbij staat de bescherming van privacy, zoals de naleving van de Algemene verordening gegevensbescherming (AVG), bescherming van mensenrechten en het tegengaan van ongepaste toegang van overheden tot datagegevens. Zoals aangegeven in de Notitie «Nederland-China: Een nieuwe balans» (Kamerstuk 35 207, nr. 1) staat het kabinet achter striktere handhaving en sterker uitdragen van bestaande standaarden en normen, zoals de Europese regelgeving op het gebied van data, bescherming van persoonsgegevens en privacy en productveiligheid.
Partijen moeten, wanneer zij in de EU producten of diensten aanbieden, voldoen aan de vereisten die conform het gegevensbeschermingsrecht op hen rusten. In dit geval zijn deze vereisten primair neergelegd in het algemene kader dat de AVG biedt voor de verwerking van persoonsgegevens en de speciale regels uit de Telecommunicatiewet. De AVG kent een ruim toepassingsbereik. Artikel 3, tweede lid, onder a AVG bepaalt dat verwerkingsverantwoordelijken die goederen of diensten aanbieden aan betrokkenen in de EU binnen het toepassingsbereik vallen. De AVG bepaalt onder meer dat er een «rechtsgrondslag» moet zijn om persoonsgegevens te verwerken (bijvoorbeeld toestemming), dat betrokkenen geïnformeerd moeten worden over de verwerking van hun gegevens en dat zij in staat worden gesteld om de rechten uit te oefenen die zij over hun gegevens hebben.
Voor zover het gaat om gegevens die worden afgelezen van het randapparaat van de eindgebruiker (ook als dit geen persoonsgegevens zijn) is artikel 11.7a van de Telecommunicatiewet van toepassing. Dit ook bij vraag 7 genoemde artikel bepaalt dat voor het plaatsen en aflezen van informatie op een randapparaat de toestemming van de eindgebruiker noodzakelijk is. Voor een rechtsgeldige toestemming is van belang dat de eindgebruiker adequaat is geïnformeerd over de doeleinden van de gegevensverzameling en verwerking. Op deze bepaling wordt toezicht gehouden door Autoriteit Consument en Markt (ACM).
In algemene zin geldt dat, wanneer persoonsgegevens naar een land buiten de Europese Unie worden doorgegeven, er additionele voorwaarden gelden. Doorgifte is namelijk slechts toegestaan op grond van een van de wettelijke bepalingen uit hoofdstuk V van de AVG. Aangezien voor China geen door de Europese Commissie genomen adequaatheidsbesluit bestaat, waarin wordt besloten dat dit land een passend beschermingsniveau waarborgt, kan structurele doorgifte van persoonsgegevens alleen plaatsvinden voor zover er door de verwerkingsverantwoordelijke «passende waarborgen» worden geboden.
Het is aan de Autoriteit Persoonsgegevens (AP), de toezichthouder op de AVG, om erop toe te zien dat er passende waarborgen zijn getroffen. Als dit niet het geval is heeft de AP onder meer de bevoegdheid om boetes op te leggen, maar ook om de verwerking te verbieden.
Vraag 9

Klopt het dat de Belgische Staatsveiligheidsdienst al eerder publiekelijk heeft gewaarschuwd voor spionage via Chinese spionage, waaronder die van Xiaomi? Zo ja, hoe beoordeelt u dit en deelt u de mening dat deze waarschuwing zeer zorgelijk is?

Het klopt dat de Belgische Staatsveiligheid heeft gewaarschuwd voor potentiële Chinese spionagedreiging. Zoals ook staat beschreven in het Dreigingsbeeld Statelijke Actoren (DBSA)3 en de jaarverslagen van de inlichtingen- en veiligheidsdiensten is toenemende afhankelijkheid van buitenlandse technologie een gegeven. Hierdoor bestaat het risico dat met technologische toeleveringen de digitale spionage- en sabotagemogelijkheden toenemen. Waar dit de nationale veiligheid raakt, wordt per geval afgewogen welke maatregelen proportioneel zijn om dit risico te beheersen. Risico’s voor de nationale veiligheid kunnen met name ontstaan wanneer technologie de Nederlandse vitale infrastructuur of gevoelige kennis en informatie raakt.
Vraag 10

In hoeverre is de huidige aangewezen toezichthouder in staat om te controleren of er censuursoftware op mobiele telefoons aanwezig is en of deze software daadwerkelijk actief is?

De toekomstige e-privacy verordening bevat regels over (de verwerking van persoonsgegevens bij) elektronische communicatie om te zorgen dat de persoonlijke levenssfeer wordt beschermd. Daarin wordt het controleren van de communicatie, ook door leveranciers van telefoons, verboden. Als de verordening van kracht wordt of voorafgaand daaraan de Telecommunicatiewet wordt aangepast conform het gestelde onder vraag 1, is er pas een aangewezen toezichthouder op dit punt.
Voor zover de vraag gaat over het in staat zijn om te controleren of er een betreffende functionaliteit op mobiele telefoons aanwezig is en of deze actief is, komt uit de genoemde onderzoeken bij vraag 1 naar voren dat dit het geval is. Uit die onderzoeken bleek dat de functionaliteit in de praktijk niet wordt toegepast.
Vraag 11

Hoe beoordeelt u de aanwezigheid van censuursoftware op Xiaomi-toestellen in het kader van een eerdere uitspraak, gedaan door de Algemene Inlichtingen- en Veiligheidsdienst, dat er sprake is van een «wereldwijde grootschalige vergaring van persoonsgegevens door Chinese actoren om profielen te maken van medewerkers van bedrijven en instellingen waar het land digitaal wil inbreken»?

De betreffende functionaliteit ziet op het detecteren en blokkeren van bepaalde termen. Deze functionaliteit heeft geen verband met grootschalige vergaring van persoonsgegevens. Zie het antwoord op vraag 1 ten aanzien van deze functionaliteit en het antwoord op vraag 8 ten aanzien van dataveiligheid.
Vraag 12

Deelt u de mening dat het zeer onwenselijk is dat ook de telefoons van Nederlandse gebruikers deze software kunnen bevatten en dat er een mogelijkheid is dat de censuursoftware wordt geactiveerd? Zo ja, bent u bereid een onafhankelijk onderzoek te laten uitvoeren door bijvoorbeeld het Agentschap Telecom en de Nationaal Coördinator Terrorismebestrijding en Veiligheid naar de mogelijke aanwezigheid van deze censuursoftware op Xiaomi-toestellen die in Nederland worden verkocht? Zo nee, waarom niet?

Ik zie geen noodzaak tot het doen van een aanvullend onderzoek naar de in het artikel genoemde software op Xiaomi-toestellen. Wel zal ik nader bezien of het doelmatig is om de Telecommunicatiewet op dit punt aan te passen. Zie hiervoor het antwoord op vraag 1.
Daarnaast is, zoals ook in de hoofdlijnenbrief digitalisering van 8 maart jl. aangegeven, digitaal bewustzijn noodzakelijk. We investeren samen met de ministeries van Justitie en Veiligheid en Binnenlandse Zaken en Koninkrijksrelaties in het vergroten van kennis onder burgers over digitale veiligheid en over technologische ontwikkelingen, zodat zij zich bewust zijn van de mogelijkheden, beperkingen, kansen en risico’s van technologie. Op de website veiliginternetten.nl wordt voorlichting en handelingsperspectief gegeven over het veilig gebruik van een apparaat.

29 oktober 2021 - 15 november 2021

17 dagen

De langdurige digitale storing bij Dienst Justis.
	Ulysse Ellian (VVD)
	Sander Dekker (minister zonder portefeuille justitie en veiligheid) (VVD)

Bronnen

1. Ad.nl: 21 oktober 2021Duizenden Nederlanders kunnen geen verklaring omtrent gedrag aanvragen door softwarefout overheid | Tech | AD.nl
2. Kamerstukken II 34 550 VI, nr. 111

Vraag 1

Bent u bekend met het bericht «Duizenden Nederlanders kunnen geen verklaring omtrent gedrag (VOG) aanvragen door softwarefout overheid»1?

Ja.
Vraag 2

Waarom zijn meerdere systemen tegelijk uitgevallen en waarom is de storing tot op heden niet opgelost?

Vanaf vrijdag 15 oktober heeft zich een storing bij het Shared Service Center(SSC)-ICT voorgedaan. De storing trof meerdere systemen rijksbreed, waaronder de applicaties van Justis. Het betreft een technische fout, geen ransomware of hackaanval. Vanaf maandag 1 november is de storing verholpen en zijn de processen stap voor stap weer opgestart.
Vraag 3

Welke processen kan de Dienst Justis door de storing niet uitvoeren?

Aanvankelijk kon Justis geen enkele van de processen uitvoeren. Na enkele dagen konden de meeste processen weer worden opgestart. Dit gold echter niet voor de certificering van de buitengewoon opsporinsambtenaren (BOA), het toezicht op rechtspersonen en de VOG/GVA (verklaring omtrent gedrag/gedragsverklaring aanbesteden).
Per 26 oktober is een workaround in gebruik genomen voor het proces continue screenen. Tot en met 1 november kon een VOG of GVA niet worden aangevraagd. Sommige andere producten konden alleen per post worden aangevraagd.
Vraag 4

Hoeveel en op welke wijze zijn mensen getroffen door deze storing?

Doorgaans worden ongeveer 5.000 VOG’s per dag worden aangevraagd. Naar schatting konden door de storing ongeveer 70.000 VOG’s in de afgelopen twee weken niet worden aangevraagd. Dat kan gevolgen hebben gehad voor werkgevers en werknemers doordat een werknemer in afwachting van de VOG niet in een nieuwe baan kon starten. Ook andere processen waarvoor een VOG vereist is, zoals emigratie en inschrijving in registers van bepaalde beroepsgroepen, kunnen zijn geraakt. Nu de storing is verholpen werkt Justis met man en macht aan het verwerken van de (extra) aanvragen die nu alsnog worden ingediend. Ik heb u in de brief van 3 november reeds geïnformeerd over de maatregelen die Justis heeft getroffen om dit te realiseren.2
Vraag 5

Waarom is niet eerder gecommuniceerd over het feit dat er een grote storing bij de Dienst Justis is?

In eerste instantie was er ook een storing in de systemen die het plaatsen van informatie op de website, het digitaal aanvraag-kanaal en het Klantcontactcentrum onmogelijk maakte. Het Twitterkanaal van Justis is daarom vanaf vrijdag 15 oktober gebruikt om mensen te informeren. Zodra de website www.justis.nl op dinsdag 19 oktober weer toegankelijk was, zijn er nieuwsberichten op de homepage geplaatst over de storing, evenals op het kanaal digitaal aanvragen (MijnJustis). Daarnaast heb ik u op 29 oktober3 en op 3 november4 per brief geïnformeerd over de voortgang omtrent het oplossen van de storing.
Vraag 6

Waar kunnen mensen terecht die in de problemen komen door de storing?

In beginsel kunnen mensen zich het best wenden tot degene die de VOG verlangt, bijvoorbeeld een werkgever. Justis probeert uitloop van beoordeling zoveel mogelijk te voorkomen. Met de extra inzet die Justis, nu de storing achter de rug is, pleegt houdt Justis de termijn waarop een VOG wordt behandeld zo kort mogelijk. De wettelijke termijn voor het afgeven van een VOG is in de meeste gevallen vier weken vanaf het moment van indienen van de aanvraag. Justis verwacht dat het overgrote deel van de aanvragers alsnog een VOG ontvangt binnen vier weken nadat ze de aanvraag hadden willen, maar niet konden indienen.
Vraag 7

Welke gevolgen heeft de storing voor de werkvoorraad van de Dienst Justis? Leidt de storing tot achterstanden en zo ja, hoe worden deze weggewerkt?

Nu het systeem weer werkt, is het aantal aanvragen dat momenteel binnenkomt bovengemiddeld hoog. Hiertoe is de capaciteit van de systemen opgeschroefd, rekening houdend met het belang om de stabiliteit van de systemen niet in gevaar te brengen. Medewerkers werken over. Een groot deel van de aanvragen die nu binnen komen, worden daardoor erg snel verwerkt. Voor het deel dat handmatig moet worden beoordeeld, wordt voorrang gegeven aan de VOG’s die wettelijk verplicht zijn.
Vraag 8

Klopt het dat in 2017 voor het laatst een jaarverslag van de Dienst Justis naar de Kamer is gestuurd?2 Zo ja, wat is hiervoor de reden?

Dat klopt. Sinds 2017 worden de cijfers op www.justis.nl gepubliceerd.
Vraag 9

Welke maatregelen zijn reeds getroffen en welke maatregelen worden op de korte termijn uitgewerkt om nieuwe storingen bij de Dienst Justis te voorkomen?

De afgelopen weken lag de focus op het oplossen van de huidige storing. Na evaluatie van de storing door SSC-ICT en door JenV zal bezien worden welke maatregelen worden getroffen

21 oktober 2021 - 26 november 2021

36 dagen

Het bericht 'Besmet, maar de QR-code blijft geldig'
	Aukje de Vries (VVD)
	Hugo de Jonge (viceminister-president , minister volksgezondheid, welzijn en sport) (CDA)

Bronnen

1. De Telegraaf, 19 oktober 2021, «Virologen schrikken: geprikt en toch besmet, maar QR-code werkt gewoon» (Virologen schrikken: geprikt en toch besmet, maar QR-code werkt gewoon | Binnenland | Telegraaf.nl)
2. Aanhangsel Handelingen, vergaderjaar 2021–2022, nr. 363

Vraag 1

Kent u het bericht «Virologen schrikken: geprikt en toch besmet, maar QR-code werkt gewoon»? Wat vindt u van het bericht?1

Ja, ik heb kennisgenomen van dit bericht. Zoals ook aangegeven in de beantwoording op eerdere schriftelijke vragen die hierover gesteld zijn2, zie ik het als de eigen verantwoordelijkheid van mensen om rekening te houden met anderen en zich bij een eventuele besmetting aan de op dat moment geldende richtlijnen en basisregels te houden. Bij een positieve testuitslag (gevaccineerd of ongevaccineerd) ga je thuis in isolatie en gebruik je de QR-code niet voor toegang. Als iedereen zich aan deze afspraak houdt, zie ik geen reden om de QR-code in te trekken.
Op dit moment is het (tijdelijk) op afstand intrekken of ongeldig maken van deze coronatoegangsbewijzen (CTB’s) technisch niet mogelijk zonder afbreuk te doen aan de hoge eisen van gegevensbescherming die ik heb gesteld aan de ontwikkeling van het Nederlandse CTB (zowel digitaal in de CoronaCheck-app als ook geprint op papier). Hierbij is een afweging gemaakt in de balans tussen de bescherming van persoonsgegevens en het tegengaan van misbruik. In die afweging heb ik uw Kamer eerder dit jaar meegenomen.3 De CoronaCheck-app is daarom ontwikkeld volgens de principes van privacy- en security by design waarbij verschillende maatregelen zijn getroffen om de privacy van burgers te borgen. Door deze ontwerpkeuzes bevat het CTB te weinig informatie om de QR-code in te trekken. Naar aanleiding van de Motie Den Haan4; «geen Groen vinkje in de CoronaCheck-app na besmetting» zal ik u binnenkort nader berichten over de keuzes die te maken zijn. Daarbij geef ik u alvast het volgende mee.
Allereerst moet er onderscheid gemaakt worden tussen papieren bewijzen en bewijzen in de app. Het zonder meer intrekken van papieren bewijzen op afstand kan niet, ze kunnen immers niet worden weggenomen of vernietigd. Wel kan worden gedacht aan het controleren aan de deur of een eerder afgegeven papieren bewijs op dat moment geldig is. Dat vergt een publiek beschikbare zwarte lijst van positief geteste mensen die kan worden gekoppeld aan papieren bewijzen. De huidige papieren bewijzen zijn daarvoor niet geschikt. De al meer dan 600.000 per post uitgegeven papieren bewijzen en alle daarnaast door mensen zelf afgedrukte bewijzen zouden allemaal moeten worden ingetrokken (en opnieuw aangevraagd). Ze zouden daarbij zo moeten worden gemaakt dat ze direct te koppelen worden aan individuele personen, om de relatie te leggen tussen een positief getest persoon en een specifiek bewijs teneinde dit bewijs op een lijst van besmette personen te kunnen plaatsen. Het opstellen van een dergelijke lijst heeft als risico dat door iedereen met een scanner-app kan worden vastgesteld dat mensen positief getest zijn of zijn geweest. Daarbij bestaat het risico dat een dergelijke lijst wordt gelekt. De Belgische Gegevensbeschermingsautoriteit doet nu bijvoorbeeld onderzoek naar een mogelijk datalek bij een bepaalde versleutelde lijst met ruim 39.000 codes die gebruikt wordt om QR-codes te blokkeren bij scannen.
Bewijzen in de app zouden wellicht wel technisch kunnen worden ingetrokken. Een mogelijke werkwijze daarbij kan zijn dat mensen verplicht worden om (bijvoorbeeld elke dag) met DigiD in te loggen bij de GGD om te checken dat ze niet recent positief zijn getest en dat alleen als mensen dat doen hun QR-code geldig blijft. Ook dit brengt allerlei risico’s met zich mee. Het leidt tot hoge kosten (voor onder meer dagelijks gebruik van DigiD), overbelasting van systemen omdat dit aantal inlogpogingen niet ondersteund kan worden en sluit heel veel mensen uit (zoals de groep mensen die niet beschikt over DigiD of een Burgerservicenummer).
Zoals gezegd zal ik uw Kamer nader informeren naar aanleiding van genoemde motie. Ter voorbereiding daarvan wordt de Begeleidingscommissie Digitale Ondersteuning Bestrijding Covid-19 om advies gevraagd. Aan de Begeleidingscommissie is de vraag gesteld of en hoe de CoronaCheck-app kan worden aangepast zonder afbreuk te doen aan de hoge eisen van gegevensbescherming en privacy die aan de app zijn gesteld bij de ontwikkeling. Hierbij maak ik graag gebruik van alle expertise van de Begeleidingscommissie, waaronder op het gebied van ethiek, gedragswetenschappen, privacy en informatieveiligheid en morele aspecten.
Vraag 2

Bent u het eens dat het volstrekt onverantwoord is om als positief geteste persoon een eerder verkregen QR-code te gebruiken om toegang te krijgen tot activiteiten met een coronatoegangsbewijs? Zo nee, waarom niet? Zo ja, waarom bent u dan niet bereid om dit probleem op te lossen?

Zie antwoord vraag 1.
Vraag 3

Herinnert u zich uw antwoorden op eerdere schriftelijke vragen van mij, over het bericht «Fraudeurs houden toch groen vinkje»?2

Ja.
Vraag 4

Waarom is het, zoals wordt vermeld in uw antwoorden, blijkbaar wel mogelijk QR-codes te blokkeren als gevolg van fraude met het online verspreiden van QR-codes van coronatoegangsbewijzen waarmee andere personen deze QR-codes kunnen gebruiken om toegang te krijgen, maar is het niet mogelijk om QR-codes te blokkeren van mensen die positief zijn getest?

Onlangs is gebleken dat CTB’s en buitenlandse DCC’s worden gekopieerd en via het internet beschikbaar worden gesteld om door anderen te worden gebruikt voor binnenlandse toegang. Dit gebeurt vooral met bewijzen die op papier zijn uitgegeven. Deze QR-code is statisch, anders dan een QR-code die in de CoronaCheck-app wordt gemaakt en elke minuut wordt ververst. Zodra wordt geconstateerd dat een CTB of DCC met anderen wordt gedeeld, kan deze worden geblokkeerd. Gedupeerden van fraude of misbruik kunnen op de gebruikelijke wijze een nieuw CTB aanmaken en daarmee opnieuw toegang verkrijgen tot activiteiten en voorzieningen.
Omdat voor zover het gaat om papieren QR-codes, de codes van mensen die positief getest zijn niet door hen of anderen gepubliceerd zijn, kunnen deze niet op dezelfde wijze worden geblokkeerd.
Vraag 5

Wat zijn de verschillen in de apps voor coronatoegangsbewijzen in Nederland en België, aangezien het in België wel mogelijk is om de QR-code van een positief geteste persoon tijdelijk te blokkeren? Welke andere landen kunnen QR-codes van positief geteste personen tijdelijk blokkeren?

In een Nederlands CTB zijn – zoals toegelicht in het antwoord op vraag 1 en 2 – nauwelijks gegevens opgenomen, waardoor het intrekken of ongeldig maken van de QR-code in de CoronaCheck app op dit moment onmogelijk is. Dit in tegenstelling tot de internationale QR-code die meer gegevens bevat. Het is aan een land zelf om te bepalen of en hoe invulling wordt gegeven aan coronabewijzen voor binnenlands gebruik. In sommige Europese landen zoals België wordt alleen gebruik gemaakt van het DCC, in andere landen is een eigen CTB-equivalent ontwikkeld. Hierdoor kan het zijn dat de QR-code in een ander land – zoals België – door andere ontwerpkeuzes wel herleidbaar is naar een specifiek persoon en dus kan worden ingetrokken door deze op een lijst te plaatsen. De Belgische Gegevensbeschermingsautoriteit doet nu onderzoek naar een mogelijk datalek bij een versleutelde lijst met ruim 39.000 codes die gebruikt wordt om QR-codes te blokkeren bij scannen.
Uit navraag begin oktober is bekend dat het op dit moment in Letland, Frankrijk, België en Liechtenstein mogelijk is om vaccinatiebewijzen tijdelijk in te trekken in het geval van een positief testresultaat.
Vraag 6

Wat is er nodig om QR-codes van positief geteste personen alsnog tijdelijk te kunnen blokkeren?

Zie het antwoord op vraag 2.
Vraag 7

Bent u bereid om alsnog de QR-code te blokkeren van mensen die positief getest zijn op het coronavirus? Zo nee, waarom niet?

Zie antwoord vraag 6.
Vraag 8

In hoeverre is het strafbaar om met een onterecht coronatoegangsbewijs en dus met een positieve coronatest naar activiteiten toe te gaan waar een coronatoegangsbewijs nodig is?

Wanneer iemand, ondanks een positieve coronatest, een legaal CTB gebruikt om toegang te krijgen tot een CTB-plichtige activiteit, dan is dat in de eerste plaats zeer onverantwoordelijk handelen van deze persoon. Dergelijk onverantwoordelijk handelen kan een gevaar vormen voor anderen en kan afhankelijk van de specifieke omstandigheden in sommige gevallen mogelijk als strafbaar worden beschouwd.
Vraag 9

Welk gezondheidsadvies krijgen mensen die positief getest zijn op het coronavirus, maar ook gevaccineerd zijn? Wordt bij een positief getest persoon gemeld dat het tijdelijk niet bedoeling is dat een verkregen QR-code gebruikt wordt?

Vanaf het begin van de coronapandemie is het dringende advies om bij klachten thuis te blijven, je te laten testen en als je weet dat je corona hebt in quarantaine te gaan. Dit wordt op alle mogelijke manieren uitgedragen. Als je gevaccineerd bent en klachten hebt of positief bent getest, geldt dit ook. Wanneer iemand positief test, dan neemt de GGD contact met diegene op voor het bron- en contactonderzoek. De medewerker van de GGD zal tijdens dit gesprek de informatie verschaffen die is opgesteld door het landelijk centrum infectieziektebestrijding (LCI) van het RIVM.6

20 oktober 2021 - 11 november 2021

22 dagen

Het bericht ‘Onderzoek: riolen en bruggen kwetsbaar voor hackers.’
	Rudmer Heerema (VVD), Queeny Rajkowski (VVD), Peter de Groot (VVD)
	Ferdinand Grapperhaus (minister justitie en veiligheid) (CDA), Barbara Visser (minister infrastructuur en waterstaat) (VVD)

Bronnen

1. Onderzoek: riolen en bruggen kwetsbaar voor hackers (fd.nl)

Vraag 1

Bent u bekend met bovenstaand bericht?1

Ja.
Vraag 2

Bent u bekend met het onderzoek van Binnenlands Bestuur en AG Connect naar de kwetsbaarheden in industriële controlesystemen waarmee onder meer rioleringen, sluizen en verkeerslichtsystemen worden aangestuurd? Zo ja, hoe beoordeelt u de bevinding dat deze controlesystemen kwetsbaar zijn voor hackers?

Ja. De beveiliging van dergelijke systemen vereist een andere aanpak dan reguliere IT-systemen. Dit komt door de specifieke risico’s die samenhangen met het toepassingsgebied. Deze systemen hebben een langere levensduur en zijn complexer. Juist daarom is er de laatste jaren extra aandacht voor de beveiliging van operationele technologie, bijvoorbeeld in het programma «Versterken Cyberweerbaarheid in de Watersector». Zie ook het antwoord bij vraag 6.
Vraag 3

Hoe vaak is het in de afgelopen twee jaar binnen Rijkswaterstaat of ProRail voorgekomen dat een succesvolle aanval is gepleegd op de systemen van bediening, besturing en bewaking? Welke maatregelen zijn binnen het Chief Information Security Officer (CISO) domein genomen om inbreuk op vitale systemen in de toekomst te voorkomen?

De Wet beveiliging netwerk- en informatiesystemen (Wbni) verplicht vitale aanbieders en aanbieders van essentiële diensten incidenten of inbreuken met aanzienlijke gevolgen voor de continuïteit van de verleende dienst te melden bij het Nationaal Cyber Security Centrum (NCSC). Er zijn de afgelopen twee jaar geen Wbni-meldingen gedaan door Rijkswaterstaat (RWS). RWS investeert actief in de verbetering van de digitale beveiliging. Zowel via het RWS versterkingsprogramma als ook via het jaarlijkse informatiebeveiligingsbeeld vanuit het CISO-domein worden diverse acties opgesteld en uitgevoerd ten behoeve van de (digitale) veiligheid, zoals uitvoeren van cybertesten als onderdeel van functionele inspectietesten en het oefenen van planvorming tijdens een cybercrisis ProRail heeft systemen voor de besturing van bruggen, tunnels en beveiliging op het spoor. Deze worden (deels) op afstand bestuurd vanuit de Verkeersleiding-posten. Er zijn geen succesvolle (cyber)aanvallen uitgevoerd. Op de essentiële systemen is een zwaar cybersecurity regime van toepassing. Dit regime wordt met regelmaat door externe onderzoeksbureaus getoetst op betrouwbaarheid en werking.
Vraag 4

Klopt het dat de kwetsbaarheden in de controlesystemen onder meer worden veroorzaakt door de afwezigheid van beveiligingsupdates en het gebruik van verouderde besturingssystemen? Zo ja, hoe beoordeelt u dit beleid, zijn hierover afspraken gemaakt met de aanbieders van de besturingssystemen en wat zijn de kosten hiervan op jaarlijkse basis? Deelt u de mening dat een gebrek aan adequate beveiliging van dergelijke systemen kan leiden tot aanzienlijke (nationale) veiligheidsrisico’s met mogelijk ontwrichtende gevolgen?

De door u genoemde kwetsbaarheden die bij Industriële Controle Systemen (ICS) kunnen ontstaan, kunnen vooral benut worden door hackers indien er koppelingen zijn met het internet waardoor systemen op afstand kunnen worden gemanipuleerd, overgenomen of onklaar worden gemaakt. Risico’s van controle-systemen zijn in het algemeen systeem-, organisatie-, locatie- en tijd specifiek en hangen samen met beveiligingsmaatregelen die door de organisatie zijn getroffen.
Ons beleid is erop gericht organisaties bewust te maken van deze kwetsbaarheden, kennis te delen en te waarborgen dat er maatregelen worden genomen om deze nationale risico’s zoveel mogelijk te verkleinen. Het programma «Versterken Cyberweerbaarheid in de Watersector» levert hier een belangrijke bijdrage aan. De uitvoering van het programma wordt bekostigd uit het IenW-budget van de Nationale Cyber Security Agenda (NCSA). Zie voor de inzet van regelgeving ook vraag 6.
Vraag 5

Klopt het dat een goedwillende hacker op afstand het rioleringssysteem van een grote gemeente kon overnemen, dit vervolgens meldde bij de betreffende gemeente, maar het vervolgens maanden duurde voor de benodigde update werd uitgevoerd? Zo ja, hoe beoordeelt u deze gang van zaken? Bent u het eens dat, gezien de aanzienlijke veiligheidsrisico’s van kwetsbaarheden in het systeem, snelheid hier geboden is?

Uit navraag blijkt geen nadere informatie beschikbaar over een casus van een goedwillende hacker die het rioleringssysteem van een grote gemeente kon overnemen.
Voor de aanpak van de veiligheidsrisico’s die volgen uit kwetsbaarheden in een systeem, zie de beantwoording van vraag 4, 6, 7 en 9.
Vraag 6

Kunt u toelichten welk beleid wordt gevoerd ten aanzien van beveiligingsproblemen en in het bijzonder van het updaten van software van industriële besturingssystemen? Zo ja, welke problemen worden hier ondervonden en wordt in samenwerking met experts gezocht naar oplossingen voor deze problemen? Zo nee, waarom niet?

Op 1 juli j.l. is voor alle Aanbieders van Essentiele Diensten (AED’s) binnen het IenW-domein de Regeling beveiliging netwerk- en informatiesystemen IenW (MR)2 in werking getreden om de AED’s meer handvatten te bieden bij de uitvoering van hun zorgplicht, waaronder maatregelen op het gebied van detectie en respons en patchmanagement. Met deze MR wordt ook de ILT in staat gesteld hier goed toezicht op te houden. Het Nationaal Cybersecurity Centrum (NCSC) heeft voor het adequaat patchen van industriële besturingssystemen diverse handreikingen opgesteld 3. Daarnaast wordt er regelmatig door het NCSC en de diverse ministeries, samen met leveranciers gesproken over (de noodzaak van) goed patchmanagement. Hierbij wordt samen gewerkt in diverse initiatieven4, bijvoorbeeld in de Cybersecurity Alliantie.
Al deze maatregelen tezamen borgen dat de betreffende organisaties weerbaarder zijn bij cyberrisico’s: ze hebben inzicht in de mate waarop de maatregelen doeltreffend zijn, de risico’s kunnen beter beheerst worden en ze zijn in staat voortdurend bij te sturen.
Vraag 7

Welke veiligheidseisen worden gesteld bij de inkoop van software en hardware voor industriële besturingssystemen? Wordt een risicoanalyse uitgevoerd bij de aankoop van de betreffende software en wordt regelmatig getest of beiden voldoen aan de dan geldende veiligheidseisen? Zo ja, wat wordt gedaan met de uitkomsten van de risicoanalyses? Zo nee, waarom niet?

Een overheidsorganisatie die ICT-producten en -diensten inkoopt moet de eisen uit de Baseline Informatiebeveiliging Overheid (BIO) vertalen naar inkoop-contracten en afspraken maken over de naleving van die contracteisen. Het uitvoeren van risicoanalyses en testen is hier onderdeel van. De aanscherping van de nationale veiligheidsrisico’s voor inkoop en aanbesteding is eind 2018 geïmplementeerd door de rijksoverheid. Hiermee is het staand beleid vanuit de rijksoverheid dat nationale veiligheidsoverwegingen worden meegewogen bij de inkoop en aanbesteding van producten en diensten. Bij de aanschaf en implementatie van gevoelige apparatuur wordt rekening gehouden met eventuele risico’s in relatie tot de leverancier en met het concrete gebruik van de systemen.
Vraag 8

Wat is de huidige stand van zaken van het uitvoeren van de aanbevelingen die de Algemene Rekenkamer in 2019 heeft gedaan ten aanzien van de cyberbeveiliging van waterwerken? Welke aanbevelingen zijn reeds overgenomen en uitgevoerd en welke nog niet?

Sinds het rapport van de Algemene Rekenkamer «Digitale Dijkverzwaring» uit 2019 heeft er bij Rijkswaterstaat (RWS) een flinke verbeterslag plaatsgevonden. RWS investeert in verbetering van de digitale beveiliging, via het RWS-versterkingsprogramma. Ik heb uw kamer hierover geïnformeerd in 20205 en onlangs over de laatste stand van zaken via mijn brief «Update Versterken Cyberweerbaarheid in de Watersector» op 2 juni 20216. Sindsdien zijn de maatregelen voor procesautomatisering in de «Cybersecurity Implementatie Richtlijn Objecten» waarmee deze op bredere schaal kunnen worden toegepast. Een andere prioritaire maatregel betreft de aansluiting van extra objecten op het Security Operations Centre (SOC)7 van RWS. Het betreft daarbij objecten, zoals bijvoorbeeld bruggen en sluizen,van het Hoofdwatersysteem (HWS), het Hoofdwegennet (HWN) en het Hoofdvaarwegennet (HVWN). Hiermee kunnen kwetsbaarheden eerder gesignaleerd worden en kan er adequaat actie worden genomen om deze te verhelpen.
Vraag 9

In hoeverre worden dreigingsbeelden ingezet en praktisch doorvertaald naar de bescherming van industriële besturingssystemen en in het bijzonder individuele vitale objecten zoals waterkeringen en sluizen?

Dreigingsbeelden worden gedeeld door de veiligheidsdiensten met de betreffende bedrijven en instellingen. Deze maken zelf een doorvertaling naar de systemen in eigen beheer en de organisatie specifieke impact. Vanuit onze beleidsverantwoordelijkheid bieden wij hierbij ondersteuning. Organisaties zijn zelf verantwoordelijk om de juiste maatregelen te implementeren. Waar het aanbieders van essentiële diensten (AED’s) betreft, zien de toezichthouders hierop toe.
Vraag 10

Bent u het eens dat bij het keren en beheren van water de fysieke veiligheid van miljoenen Nederlanders op het spel staat? Zo ja, bent u het dan ook eens dat het niveau van cybersecurity van systemen die rioleringen, bruggen en sluizen aansturen aanzienlijk hoger moet liggen dan nu het geval is? Zo ja, bent u bereid maatregelen te treffen om dit niveau te verhogen? Zo ja, welke? Zo nee, waarom niet?

Ja, ik deel uw mening dat het keren en beheren van water cruciaal is voor de bescherming van Nederland. Daarom is «keren en beheren van de waterkwantiteit» een vitaal proces in categorie A (infrastructuur die bij verstoring, aantasting of uitval ernstige gevolgen heeft op economisch, fysiek of sociaal-maatschappelijk vlak met mogelijke cascade gevolgen). Er wordt hard gewerkt aan het verhogen van het niveau van cyberweerbaarheid van vitale objecten binnen dit proces en deze vallen ook onder de Wbni, zie ook mijn antwoord onder vraag 8.
Verder heb ik vanuit mijn systeemverantwoordelijkheid aandacht voor de cybersecurity van systemen die riolering, bruggen en sluizen aansturen. Daarom werken we samen met decentrale overheden om ook hier de cyberweerbaarheid te verhogen en de Nederlandse infrastructuur blijvend te beschermen.

20 oktober 2021 - 26 november 2021

37 dagen

De Kamerbrief ‘Reactie op de motie van het lid Yesilgöz-Zegerius over een cyberverdedigingsprotocol voor gemeenten’
	Mark Strolenberg (VVD), Queeny Rajkowski (VVD)
	Raymond Knops (staatssecretaris binnenlandse zaken en koninkrijksrelaties) (CDA)

Bronnen

1. Kamerstuk 26 643, nr. 786
2. Cybersecurity onderzoek gemeenten: nog veel werk te doen – AG Connect

Vraag 1

Hoe beoordeelt u het feit dat verschillende gemeenten zoals Hof van Twente afgelopen jaren slachtoffer zijn geworden van cyberaanvallen waarbij veel gevoelige persoonsgegevens zijn buitgemaakt?1

Iedere digitale aanval op een overheidsorganisatie is er één te veel. De realiteit is dat digitale dreigingen toenemen. Vanuit mijn stelselverantwoordelijkheid voor de digitale overheid stel ik kaders en ondersteun ik waar nodig om het openbaar bestuur digitaal veilig te laten functioneren.
Vraag 2

Hoe beoordeelt u het feit dat uit onderzoek blijkt dat een groot deel van de gemeenten nog geen draaiboek (protocol) heeft in het geval van een digitale aanval? Hoe beoordeelt u het feit dat gemeenten als gevolg hiervan geen kennis en kunde in huis hebben om de benodigde stappen te zetten na een digitale aanval en om de opgelopen schade te mitigeren?2

Ik deel het beeld dat op het terrein van informatieveiligheid binnen en buiten de overheid veel werk te doen is. De digitale dreiging is groeiende en alle organisaties wereldwijd kampen met dit vraagstuk. Het is een breed maatschappelijk vraagstuk waar naast gemeenten, ook andere publieke organisaties mee kampen.
Verder deel ik de mening dat overheidsorganisaties voorbereid moeten zijn op digitale aanvallen. Inderdaad zijn aanvallen nooit 100% te voorkomen. Vandaar dat ik uw Kamer graag wijs op de Baseline Informatiebeveiliging Overheid (BIO)3. Dit is het algemene basisnormenkader voor informatieveiligheid voor de gehele overheid, waarin ook eisen en maatregelen zijn opgenomen over het beheer van informatiebeveiligingsincidenten. Concreet stelt de BIO in hoofdstuk 16 «Beheer van informatiebeveiligingsincidenten» onder meer verplicht dat er verantwoordelijkheden en procedures tot op directieniveau zijn vastgesteld voor een snelle, doeltreffende en ordelijke respons op informatiebeveiligingsincidenten. Er worden eisen gesteld aan het rapporteren van incidenten. Gezien het belang ervan zijn deze eisen in de BIO, conform de systematiek van de BIO4, nader vertaald in maatregelen zoals de verplichting een intern meldloket te hebben met vastgestelde afhandelingsprocedures. En de meldingsprocedure moet voor iedereen in de organisatie kenbaar zijn. Ook beschrijft de BIO hoe afhankelijk van de ernst van een incident verder moet worden gereageerd. Draaiboeken en protocollen zijn daarmee impliciet onderdeel van een totaalpakket van de verplichtingen en aan maatregelen, die voortvloeien uit hoofdstuk 16 van de BIO.
Ik deel dan ook het standpunt dat het hebben van draaiboeken en protocollen van belang is om snel in te kunnen spelen op digitale ontwrichting. Gemeenten zijn verantwoordelijk voor hun informatieveiligheid binnen de geldende kaders, ook voor het opstellen van draaiboeken en protocollen voor incidenten. Het college van burgemeester & Wethouders draagt de eindverantwoordelijkheid voor hun gemeente en de gemeenteraad controleert.
Digitale aanvallen zijn niet allemaal hetzelfde. De kennis en kunde die nodig is om de nodige stappen te zetten, verschilt per aanval. Gemeenten kunnen indien nodig ondersteuning krijgen van de Informatiebeveiligingsdienst (IBD) van de Vereniging Nederlandse Gemeenten (VNG). Vanuit de kaderstellende en ondersteunende rol van BZK voert het Centrum Informatiebeveiliging een Privacybescherming (CIP) sinds 2019 een overheidsbreed ondersteuningsprogramma uit. Het voornaamste doel hiervan is adviezen en ondersteuningsmiddelen aanreiken aan overheden, gericht op het geïmplementeerd krijgen van de BIO.
Ten slotte maak ik u graag attent op de jaarlijkse overheidsbrede cyberoefening en de bijbehorende webinars5 die erop zijn gericht op de digitale weerbaarheid van de overheid te vergroten. Aan deze oefening nemen veel verschillende overheidspartijen deel. De laatste cyberoefening met meer dan 1000 deelnemers vond op 1 november plaats.
Vraag 3

Hoe beoordeelt u het feit dat er wetenschappelijk en maatschappelijk consensus bestaat over de meerwaarde van een cyber protocol/draaiboek in het geval van een digitale aanval waarbij handelingsperspectief kan worden geboden aan organisaties en digitale aanvallen sneller kunnen worden verholpen?

Zie antwoord vraag 2.
Vraag 4

Bent u het met ons eens dat digitale aanvallen nooit honderd procent voorkomen kunnen worden, maar dat het hebben van een cyber protocol/draaiboek indien een aanval zich voordoet wel van essentieel belang is om gemeentes de juiste stappen te laten zetten om zo goed mogelijk om te gaan met digitale aanvallen en om de schade zoveel mogelijk te beperken? Zo ja, bent u het dan ook eens dat het hebben van een cyber protocol/draaiboek een belangrijk hulpmiddel is in het zo goed mogelijk omgaan met digitale aanvallen? Zo nee, waarom niet?

Zie antwoord vraag 2.
Vraag 5

Bent u het met ons eens dat het hebben van een cyber protocol/draaiboek als een belangrijk aanvullend instrument kan worden in gezet in een breder pakket van bestaande maatregelen tegen digitale aanvallen? Zo ja, bent u alsnog bereid om de aangenomen motie Yesilgöz-Zegerius (Kamerstuk 26 643, nr. 753) uit te voeren en dus in samenwerking met de Vereniging Nederlandse Gemeenten (VNG) en de Informatiebeveiligingsdienst (IBD) cyber protocollen/draaiboeken op te stellen om gemeentes beter voor te bereiden op digitale aanvallen? Zo nee, waarom niet?

In mijn reactiebrief6 op de motie Yesilgöz-Zegerius7 heb ik aangegeven hoe ik uitvoering geef aan de motie. Ik herhaal hier kort wat ik in mijn reactiebrief heb gesteld, namelijk dat ik in mijn beleid niet inzet op één cyberverdedigingsprotocol voor alle gemeenten, omdat de ene situatie niet de andere is. Hoe er daadwerkelijk moet worden gehandeld is weliswaar context-afhankelijk, maar wel onderworpen aan eisen. Zoals ik hierboven heb aangegeven stelt de BIO eisen aan het afhandelen van informatiebeveiligingsincidenten met inbegrip met vastgestelde procedures.
Naar aanleiding van het artikel van AG Connect wil ik hieraan nog een paar opmerkingen toevoegen. Ten eerste: informatieveiligheid is een gezamenlijke verantwoordelijkheid. Ik noemde eerder dat informatieveiligheid bij gemeenten onder de eindverantwoordelijkheid van het College van B&W valt. Het is van belang dat waar dat niet of onvoldoende gebeurt, zij hun verantwoordelijkheid nemen en gaan uitoefenen; de gemeenteraad dient hier ook op toe te zien. Gemeenten worden hierbij ondersteund door de VNG en de IBD voor gemeenten.
Ik ondersteun dit door de controlerende taak (het horizontale toezicht) van de gemeenteraad te versterken met onder andere de aanpak Eenduidige Normatiek Single Information Audit (ENSIA), waarover uw Kamer is geïnformeerd op 18 maart jl. in de Voortgangsbrief Informatieveiligheid.8 ENSIA heeft tot doel te komen tot een zo effectief en efficiënt mogelijk ingericht verantwoordingsstelsel voor informatieveiligheid bij gemeenten. De focus van ENSIA ligt op verantwoording richting de gemeenteraad, het hoogste politieke orgaan van de gemeente. Echter, omdat gemeenten ook verantwoording afleggen aan de rijksoverheid waar het gaat om het gebruik van landelijke voorzieningen, helpt ENSIA de gemeenten in één keer verantwoording af te leggen over informatieveiligheid gebaseerd op de normen die gelden voor de Nederlandse overheid, de BIO. Met ENSIA sluit de verantwoording over informatieveiligheid aan op de planning- en controlcyclus van de gemeente. Hierdoor heeft het gemeentebestuur meer overzicht over de informatieveiligheid van zijn gemeente en kan het beter sturen en verantwoording afleggen aan de gemeenteraad.
Ook de VNG ziet het belang en de urgentie van adequate digitale weerbaarheid toenemen. Ze biedt op het terrein van informatieveiligheid de gemeenten daarbij op allerlei wijzen ondersteuning, zoals ook op het terrein van incidentmanagement. VNG en IBD trekken lessen uit incidenten en stellen deze lessen openbaar beschikbaar. Dit geldt onder andere voor de geleerde lessen van de door u aangehaalde incidenten, de hacks bij de gemeenten Lochem en Hof van Twente en de Citrix-problematiek.
De IBD heeft voor gemeenten een aantal producten beschikbaar gesteld die ingaan op het voorkomen van digitale incidenten, maar ook op de wijze waarop een incident kan worden afgewikkeld. Het incident bij de gemeente Hof van Twente heeft onder andere geleid tot de ontwikkeling van het «kaartje in de meterkast» voor gemeentesecretarissen9. Dit document helpt de gemeente om vooraf de juiste stappen te bepalen in geval van een incident. Via de vakvereniging worden gemeentesecretarissen gewezen op dit initiatief.
Om gemeenten te helpen met het verhogen van de digitale weerbaarheid heeft de IBD een ondersteuningspakket ontwikkeld voor de processen en maatregelen uit de BIO met de hoogste prioriteit. In dit ondersteuningspakket wordt naast preventieve maatregelen en bewustwording ook ingezet op bedrijfscontinuïteitbeheer (BCM) en zijn concrete handreikingen voor incident en responsmanagement beschikbaar voor alle gemeenten. Zoals gesteld in mijn reactie op de motie Yesilgöz-Zegerius worden de Veiligheidsregio’s betrokken bij crisis en incidenten volgens de Gecoördineerde Regionale Incidentbestrijdingsprocedure (GRIP) en kan opgeschaald worden naar de nationale crisisstructuur.
Met dit ondersteuningspakket zie ik dat de gemeenten voortvarend bezig zijn. Tegelijkertijd ben ik met de VNG, de rijksoverheid, de Unie van Waterschappen en het Interprovinciaal overleg doorlopend in gesprek om gezamenlijk de digitale weerbaarheid van de overheid te versterken tegen de telkens wijzigende dreigingen.

15 oktober 2021 - 11 november 2021

27 dagen

De kwetsbaarheid van bruggen en riolen voor hackers
	Barry Madlener (PVV)
	Barbara Visser (minister infrastructuur en waterstaat) (VVD)

Bronnen

1. Het Financieele Dagblad, 14 oktober 2021, «Onderzoek: riolen en brugg…
2. AG Connect, 14 oktober 2021, «Hoe onveilige SCADA-systemen overheden …
3. Algemene Rekenkamer, 28 maart 2019, «Digitale dijkverzwaring: cyberse…

Vraag 1

Bent u op de hoogte van het gepubliceerde artikel in Het Financieele Dagblad en het onderzoek dat op 14 oktober 2021 is gepubliceerd door de vakbladen Binnenlands Bestuur en AG Connect?1, 2

Ja.
Vraag 2

Zijn er bruggen en rioleringssystemen die op dit moment kwetsbaar zijn en geen update kunnen krijgen met de laatste beveiligingsmaatregelen? Zo ja, welke zijn dit?

Bruggen en rioleringssystemen zijn veelal in beheer bij decentrale overheden. Decentrale overheden zijn zelf verantwoordelijk om op basis van risicoanalyse en risicoafweging beveiligingsmaatregelen te nemen. Ik heb geen signalen van de sector of koepelorganisaties VNG, UvW of IPO ontvangen dat Industriële Controle Systemen (ICS) van bruggen en rioleringen bij decentrale overheden op grote schaal kwetsbaar zouden zijn en dat het ontbreken van updates benodigde beveiligingsmaatregelen zou belemmeren, zie ook de beantwoording van vraag 3.
Vraag 3

Welke risico’s lopen de controlesystemen bij onder andere rioleringen, sluizen en verkeerslichten op dit moment op?

Risico’s van controlesystemen zijn in het algemeen systeem-, organisatie-, locatie- en tijdsspecifiek en hangen samen met beveiligingsmaatregelen die door een organisatie zijn getroffen. Iedere organisatie opereert binnen haar eigen organisatie-specifieke context en maakt op basis van een risicoanalyse een risicoafweging. Risico’s die bij ICS systemen kunnen ontstaan, worden vooral veroorzaakt door koppelingen aan het internet waardoor systemen op afstand kunnen worden gemanipuleerd, overgenomen of onklaar worden gemaakt. Om uitval te voorkomen zijn er veelal terugval opties aanwezig, zoals bijvoorbeeld de handbediening van bruggen en sluizen.
Vraag 4

Welke acties heeft u getroffen naar aanleiding van het kritische rapport van de Algemene Rekenkamer vanaf 2019?3

Sinds publicatie van het rapport van de Algemene Rekenkamer «Digitale Dijkverzwaring: cybersecurity en vitale waterwerken» uit 20194 heeft er bij Rijkswaterstaat (RWS) een flinke verbeterslag plaatsgevonden. Ik heb uw Kamer in 20205 geïnformeerd over mijn inzet in deze. Op 2 juni 20216 heb ik uw Kamer geïnformeerd over de laatste stand van zaken via mijn brief «Update Versterken Cyberweerbaarheid in de Watersector».
RWS investeert in verbetering van de digitale beveiliging, via het RWS-versterkingsprogramma. Één van de prioritaire maatregelen betreft de aansluiting van extra objecten op het Security Operations Centre (SOC7). In 2019 zijn alle vitale objectenl aangesloten. Van de overige niet-vitale objecten zijn momenteel 12 van de 60 aangesloten. Het betreft daarbij objecten zoals bijvoorbeeld bruggen en sluizen, van het Hoofdwatersysteem (HWS), het Hoofdwegennet (HWN) en het Hoofdvaarwegennet (HVWN). De verwachting is dat in 2023 alle 60 objecten zijn aangesloten.
Vraag 5

Kunt u de kamer informeren over de huidige stand van zaken en wat het plan van aanpak is om onze infrastructuur te beschermen tegen hackers?

Binnen de overheid lopen er meerdere initiatieven om de vitale infrastructuur te beschermen en de digitale weerbaarheid te verhogen. Voor de stand van zaken van de Nationale Cybersecurity Agenda verwijs ik naar de beleidsreactie Cyber Security Beeld Nederland 2021 en voortgangsrapportage NCSA die op 28 juni 2021 door de Minister van Justitie en Veiligheid met uw Kamer is gedeeld8.
Samen met de drinkwaterbedrijven, waterschappen, gemeenten, provincies en Rijkswaterstaat heeft het Ministerie van Infrastructuur en Waterstaat het Programma Versterken Cyberweerbaarheid in de Watersector 2019–2022 (PVCW9) opgezet. Binnen het programma zijn vijftien projecten geformuleerd die moeten bijdragen aan de versterking van de cyberweerbaarheid in de watersector. De projecten richten zich met name op de cybersecurity van de operationele technologie. Meer informatie kunt u vinden in de eerder genoemde brief10.
Vraag 6

Bent u al in gesprek getreden met gemeenten, provincies en de waterschappen inzake de beveiligingsrisico’s?

Ja, bijvoorbeeld in het programma «Versterken Cyberweerbaarheid in de Watersector» vindt regelmatig overleg plaats met en tussen de decentrale overheden en betrokken organisaties, zie ook antwoord op vraag 5.
Vraag 7

Zijn er al casussen aangetroffen waarbij er daadwerkelijk problemen zijn ontstaan in het verkeer of de waterkwaliteit doordat er een controlesysteem gehackt is geweest? Zo ja, welke casussen zijn dit?

Nee, dergelijk casussen in Nederland zijn nog mij niet bekend. De Wet beveiliging netwerk- en informatiesystemen (Wbni) verplicht vitale aanbieders en aanbieders van essentiële diensten incidenten of inbreuken met aanzienlijke gevolgen voor de continuïteit van de verleende dienst te melden bij het Nationaal Cyber Security Centrum.
Vraag 8

Bent u bereid om bijvoorbeeld bij aanbestedingen en inkooptrajecten strengere eisen te stellen inzake beveiligingsupdates en de controle daarop?

Het is sinds de aanscherping van de nationale veiligheidsrisico’s voor inkoop en aanbesteding in 2018 staand beleid vanuit de rijksoverheid dat nationale veiligheidsoverwegingen worden meegewogen. Een overheidsorganisatie die ICT-producten en -diensten inkoopt moet de eisen uit de Baseline Informatiebeveiliging Overheid (BIO) vertalen naar inkoopcontracten en afspraken maken over de naleving van die contracteisen. Bij de aanschaf en implementatie van gevoelige apparatuur wordt rekening gehouden met eventuele risico’s in relatie tot de leverancier en met het concrete gebruik van de systemen.
Vraag 9

Waarom is er in het Deltaprogramma 2022 geen aandacht geschonken aan deze bevolkingsproblematiek?

Samenwerkingsafspraken over cybersecurity, met thema’s zoals de door u genoemde beveiligingsproblematiek, verlopen via het Bestuursakkoord Water en een apart ingericht programma voor de implementatie daarvan (zie ook antwoord op vraag 6). Op pagina 22 van het Deltafonds 202211 wordt de aanpak van cyberweerbaarheid beschreven.

7 oktober 2021 - 4 november 2021

28 dagen

Het bericht ‘Psychische problemen HAN-studenten ook op straat na grote hack’.
	Queeny Rajkowski (VVD), Hatte van der Woude (VVD)
	Ingrid van Engelshoven (minister onderwijs, cultuur en wetenschap) (D66)

Bronnen

1. RTL Nieuws, 05/10/2021; https://www.rtlnieuws.nl/nieuws/nederland/art…

Vraag 1

Bent u bekend met het bericht «Psychische problemen HAN-studenten ook op straat na grote hack»?1

Ja.
Vraag 2

Is het waar dat de hogeschool van Arnhem en Nijmegen (HAN) vorige maand is aangevallen met gijzelsoftware? Zo ja, kunt u een chronologisch feitenrelaas schetsen van deze gebeurtenis en kunt u hierbij specifiek ingaan op de oorzaak van de cyberaanval? Zo nee, waarom niet? Deelt u de mening dat het wenselijk is om de kennis over het ontstaan van hack te delen met andere onderwijsinstellingen zodat zij hier lering uit kunnen trekken?

De HAN University of Applied Sciences (HAN) is geconfronteerd met een hack. De HAN heeft mij laten weten dat een hacker via een webformulier toegang heeft gekregen tot een server van de HAN waarop veel gegevens stonden. Van gijzelsoftware is in dit geval géén sprake. Voor een chronologisch feitenrelaas verwijs ik naar de website van de HAN, www.han.nl/datalek waar via een liveblog de ontwikkelingen in de tijd te volgen zijn. Het is van groot belang om de kennis over het ontstaan van hacks te delen met andere onderwijsinstellingen, aangezien voor een effectieve bestrijding van cyberrisico’s samenwerking en continue kennis-en informatiedeling cruciaal is. Dat is ook in dit geval gebeurd. Zie ook het antwoord op vraag 5.
Vraag 3

Is het waar dat bij deze hack zeer gevoelige gegevens zoals medische en persoonsgegevens van studenten van de HAN buit zijn gemaakt als gevolg van de cyberaanval? Zo ja, kunt u een overzicht geven van de omvang van deze gegevens en welke gegevens precies buit zijn gemaakt? Zo nee, waarom niet?

De HAN heeft mij laten weten dat de hacker toegang heeft gehad tot een omgeving waar veel persoonsgegevens beschikbaar waren en heeft op 5 oktober een overzicht van de gelekte data gepubliceerd op haar website han.nl/datalek. Dit overzicht is als bijlage toegevoegd aan een persbericht dat op dezelfde dag is verschenen. Uit het overzicht blijkt dat het in 95% van de gevallen gaat om algemene persoonsgegevens zoals adresgegevens of telefoonnummers. Van een klein percentage van de mogelijk getroffen gegevens (3%) gaat het om meer persoonlijke gegevens waaronder informatie over de reden van studievertraging of bijzondere omstandigheden waar de hogeschool rekening mee wil houden.
Vraag 4

Is de datadiefstal reeds gemeld bij de Autoriteit Persoonsgegevens (AP)? Zo ja, is er verder contact geweest tussen de HAN en de AP? Zo nee, waarom niet?

Ja. De HAN heeft zodra zij weet had van het datalek direct de AP geïnformeerd. Deze (voorlopige) melding is op 1 september door de Functionaris Gegevensbescherming van de HAN gedaan. Zodra er nieuwe ontwikkelingen waren en de voorlopige melding kon worden aangevuld is de AP daarvan steeds op de hoogte gebracht.
Vraag 5

Heeft de HAN ten tijde van de aanval met gijzelsoftware in contact gestaan met het sectorale computer emergency response team SURFcert ter (technische) ondersteuning? Zo ja, heeft de HAN dit contact geïnitieerd? Zo ja, wat is er uit dit contact gekomen qua ondersteuning vanuit SURFcert?

De HAN heeft mij laten weten dat er van gijzelsoftware géén sprake is geweest (zie vraag 2). Zodra de HAN weet had van het datalek heeft de HAN op 1 september contact gezocht met SURFcert. SURFcert heeft de HAN ondersteund met het analyseren van het incident. De Indicators of Compromise (IOCs) zijn daarbij gedeeld met het SURFcert en de daarbij aangesloten instellingen.
Vraag 6

Is er een dialoog geweest tussen de HAN en de hacker in kwestie over het wel of niet betalen van het geëiste losgeld bedrag? Zo ja, heeft de HAN de politie ingeschakeld bij het voeren van deze dialoog? Zo nee, waarom niet?

De HAN heeft mij laten weten dat er contact is geweest met de hacker. De HAN is niet ingegaan op de eisen van het losgeld. Zodra de HAN kennis had van het datalek heeft zij direct contact gezocht met de politie en ook aangifte gedaan.
Vraag 7

Is het waar dat de gestolen data zijn gepubliceerd? Zo ja, waar en zijn de studenten en medewerkers hiervan op de hoogte gesteld? Zo nee, waarom niet?

Voor zover bekend zijn er geen data gepubliceerd. Omdat niet bekend is welke data er exact zijn buitgemaakt heeft de HAN vanuit het oogpunt van zorgvuldigheid en voorzorg besloten om iedereen van wie mogelijk persoonsgegevens zijn buitgemaakt te informeren.
Vraag 8

Kunt u een inschatting maken van de (immateriële) schade en kosten die deze cyberaanval tot nu heeft veroorzaakt?

Deze inschatting is vooralsnog niet te geven. De werkzaamheden bij de HAN lopen nog door. Hier zijn naast eigen medewerkers ook externe deskundigen bij betrokken.
Vraag 9

Is het waar dat de HAN een «makkelijk doelwit» is genoemd door de hacker in kwestie? Zo ja, hoe beoordeelt u deze uitspraak? Deelt u de mening dat het zeer zorgelijk is dat een Nederlandse hoger onderwijsinstelling op deze wijze wordt bestempeld door cybercriminelen?

De uitspraak van de hacker is opgetekend door een journalist. Ik kan daarover niet oordelen. De HAN heeft in haar bedrijfsvoering veel aandacht voor IT veiligheid. Dat blijkt onder andere uit de aanwezigheid van diverse preventieve, detectieve, responsieve en correctieve maatregelen. Voorbeelden daarvan zijn de regelmatige uitvoering van penetratietesten o.a. door ethical hackers, de aansluiting op de Security Operations Center oplossing geboden door het SURFsoc en de aanwezigheid van offline back-up faciliteiten. Daarnaast wordt met enige regelmaat het bewustzijn van medewerkers en studenten rond informatiebeveiliging verhoogd middels campagnes. Ook is deelgenomen aan de landelijke OZON-oefening van SURF op 18 maart jl. Middels de planning & control cyclus wordt invulling gegeven aan de verdere groei in volwassenheid op het gebied van informatiebeveiliging, om zo in te kunnen spelen op het continu veranderde cyberdreigingslandschap waar de onderwijssector mee te maken heeft.
Vraag 10

Deelt u de mening dat deze cyberaanval en in het bijzonder het buit maken van gevoelige medische gegevens van ruim 2000 studenten een zeer grote inbreuk maakt op de privacy van de studenten in kwestie? Deelt u de mening dat het voor studenten die slachtoffer zijn geworden, wenselijk is om ondersteuning te krijgen over eventuele gevaren met betrekking tot identiteitsfraude en hoe om te gaan met een eventuele psychische impact die bij het prijsgegeven van dit type gevoelige gegevens komt kijken, bijvoorbeeld van de Fraudehelpdesk? Zo ja, kunt u dit meegeven aan het bestuur van de HAN? Zo nee, waarom niet?

Persoonsgegevens en bijzondere persoonsgegevens worden beschermd via de daarvoor geldende wetgeving (AVG). Dat er gegevens van medische aard betrokken zijn bij het datalek is uiteraard bijzonder te betreuren. De HAN heeft alle mogelijk getroffen personen van het datalek geïnformeerd, waarbij de personen van wie mogelijk gevoelige gegevens zijn betrokken als eerste zijn geïnformeerd. Een team van professionals heeft vanaf het moment van informeren klaargestaan om eventuele vragen te beantwoorden. Wanneer op basis van reacties het vermoeden bestaat dat er extra nazorg nodig is, worden mensen gewezen op de diverse voorzieningen die de HAN heeft op dit gebied zoals studentpsychologen. Ook monitort de HAN of de verdere opvolging wellicht bijsturing behoeft.
Vraag 11

Deelt u de mening dat onderwijsinstellingen meer moeten doen om dergelijke cyberaanvallen te voorkomen? Zo ja, deelt u dan ook de mening dat bijvoorbeeld moet worden gekeken naar minimale beveiligeisen om de digitale hygiëne op orde te krijgen? Zo ja, hoe komt dit overeen met uw eerdere uitspraken dat de verantwoordelijkheid van goede bedrijfsvoering bij de instelling zelf ligt en ze in beginsel dus zelf verantwoordelijkheid zijn om de eigen kwetsbaarheden in de cyberveiligheid te mitigeren? Zo nee, waarom niet?

Hogescholen hebben afgelopen jaren op grond van toenemende dreiging hun aanpak geïntensiveerd. De hack bij de Universiteit Maastricht, maar ook andere incidenten, heeft de sector doen beseffen hoe belangrijk digitale veiligheid en een goede voorbereiding is. In mijn brief van 28 september jl. heb ik uiteengezet welke maatregelen de sector en ik reeds getroffen hebben en welke op stapel staan. 2
Vraag 12

Kunt u bovenstaande vragen voor het nog in te plannen commissiedebat «Digitalisering in het onderwijs» beantwoorden?

Ja.

7 oktober 2021 - 10 november 2021

34 dagen

De urenlange storing bij Facebook en Instagram op 4 oktober 2021
	Laurens Dassen (Volt)
	Kajsa Ollongren (viceminister-president , minister binnenlandse zaken en koninkrijksrelaties) (D66), Stef Blok (minister economische zaken) (VVD)

Vraag 1

Heeft de grootschalige storing impact gehad op de bedrijfsvoering van de Nederlandse overheid (op de verschillende lagen)? Zo ja, op welke manier? Heeft de Nederlandse overheid daarbij schade geleden?

Facebook, Whatsapp en Instagram zijn voornamelijk berichtenplatforms. Voor de rijksoverheid is de Gedragsregeling Digitale Werkomgeving van toepassing, waarin staat dat dergelijke berichtenapps alleen gebruikt mogen worden voor informele zaken, zoals een interessant artikel delen, een hulpvraag stellen of sparren met collega’s. Er is geen standaard voor berichtenapps vastgesteld, waardoor een dergelijke storing niet direct leidt tot een belemmering in de bedrijfsvoering.
Voor zover mij bekend heeft de storing niet geleid tot belemmering van de bedrijfsvoering bij gemeenten, waterschappen en provincies. Overheidsorganisaties zijn zelf verantwoordelijk voor hun bedrijfsvoering en de beveiliging van informatie en informatiesystemen, zij hanteren daarbij vergelijkbare gedragsregelingen als bij de rijksoverheid.
Vraag 2

Heeft het demissionaire kabinet berichten van Nederlandse burgers, bedrijven en organisaties gehad, die last hebben ervaren van de storing? Zo ja, hoeveel? Wat was de inhoud van deze berichten? Welk algemeen beeld kan hieruit worden afgeleid?

Er zijn op dit moment geen signalen bekend over dergelijke aan het kabinet gerichte berichten. In algemene zin kan worden gesteld dat Nederlandse burgers, bedrijven en organisaties hinder en/of ongemak zullen hebben ervaren als gevolg van deze storing, die optrad als gevolg van een menselijke fout. Het betrof immers uitval van diensten die door Nederlandse burgers en bedrijven veel gebruikt worden, waaronder sociale-media platforms Facebook en Instagram en berichtendiensten WhatsApp en Facebook Messenger.
Hoewel het een grote communicatiestoring betrof in termen van gebruikersuren (duur uitval * getroffen gebruikers), lijkt in dit geval de maatschappelijke en economische schade in Nederland mee te vallen.
Het betrof uitval van diensten die door Nederlandse burgers en bedrijven veel gebruikt worden, waaronder sociale-media platforms Facebook en Instagram en berichtendiensten WhatsApp en Facebook Messenger. Vanzelfsprekend zullen burgers en organisaties die meer gebruik maken van Facebook-diensten meer hinder hebben ondervonden.
Zo lijkt een deel van de gebruikers zonder grote problemen te zijn uitgeweken naar alternatieve diensten. Diverse andere sociale-media platforms en berichtendiensten gaven aan dat het gebruik van hun diensten tijdens en na de storing is toegenomen. Voor zover organisaties en bedrijven tijdelijk verminderd bereikbaar waren, is de verwachting dat dienstverlening over het algemeen op een later moment alsnog heeft kunnen plaatsvinden.
Vraag 3

Hoe is het demissionaire kabinet voornemens in de (recente) toekomst om te gaan met zulke grootschalige digitale storingen?

Het is in eerste instantie primair aan Facebook zelf om de benodigde technische en organisatorische maatregelen te treffen om een storing als deze te voorkomen, of wanneer deze zich toch voordoet, zo snel mogelijk te verhelpen.
Parallel daaraan hebben gebruikers een eigen verantwoordelijkheid om voor zichzelf na te gaan in hoeverre het voor hen verantwoord is om van één dienst of één bedrijf afhankelijk te zijn en zo nodig alternatieven te verkennen en te gebruiken.
Voor zover het de storing van de berichtendiensten WhatsApp en Facebook Messenger betreft: deze diensten zijn zogeheten nummeronafhankelijke interpersoonlijke communicatiediensten. Zij vallen daarmee onder de verbrede definitie van een elektronische communicatiedienst zoals gedefinieerd in het wetsvoorstel tot wijziging van de telecommunicatiewet ter implementatie van Richtlijn 2018/1972 (de Telecomcode) (Kamerstuk 35 865, nr. 2) zoals deze op dit moment bij uw Kamer voorligt. Dat betekent dat na inwerkingtreding van bovenvermelde wijziging van de telecommunicatiewet (TW) de aanbieders van deze diensten straks ook een meldplicht van incidenten (TW art. 11.a2) en een zorgplicht (treffen van passende beveiligingsmaatregelen onder meer om, als het gaat om dergelijke storingen, in bepaalde mate bestand te zijn tegen acties die de beschikbaarheid van de dienst in gevaar brengen, (TW art. 11.a1) opgelegd krijgen, zoals dat nu al geldt voor aanbieders van traditionele elektronische communicatiediensten als spraaktelefonie en berichtenverkeer (SMS). Agentschap Telecom is hiervoor de aangewezen toezichthouder.
Op Europees niveau wordt gewerkt aan een herziening van de richtlijn (2016/1148) ter bevordering van de beveiliging van netwerk- en informatiesystemen, NIB2. De huidige richtlijn is in Nederland geïmplementeerd in de Wet beveiliging netwerk- en informatiesystemen (Wbni). Op grond van de huidige NIB-richtlijn is de Ierse toezichthouder exclusief bevoegd om toe te zien op Facebook-clouddiensten daar de Europese vestiging van het bedrijf in Ierland is gevestigd. Met betrekking tot het herzieningsvoorstel1 heeft de Europese Commissie voorgesteld om in deze herziening ook sociale media op te nemen. Over deze richtlijn wordt momenteel onderhandeld.
In het ECASEC2-overleg van ENISA3 en de Europese toezichthouders die toezien op de telecomveiligheid worden ook incidenten en te nemen maatregelen besproken. Dit gebeurt nu voor de meer traditionele elektronische communicatiediensten en zal naar verwachting straks ook gaan gelden voor de interpersoonlijke communicatiediensten. Hierdoor kunnen vroegtijdig trends en ontwikkelingen in incidenten worden gesignaleerd. Dat kan er bijvoorbeeld toe leiden dat de toezichthouders bij het uitoefenen van het toezicht op de zorgplicht extra aandacht gaan besteden aan de bepaalde oorzaken van incidenten. ENISA publiceert jaarlijks4 de grote incidenten die nationale toezichthouders doormelden aan ENISA.
Ter voorbereiding op een digitale crisis is er het Nationaal Crisisplan Digitaal.5 Het plan is een leidraad om op hoofdlijnen snel inzicht en overzicht te krijgen in de bestaande afspraken op nationaal niveau over de beheersing van incidenten in het digitale domein met aanzienlijke maatschappelijke gevolgen. Het plan sluit daarmee aan op het Nationaal Handboek Crisisbesluitvorming. In dit geval is er geen aanleiding geweest om op te schalen binnen de nationale crisisstructuur.
Vraag 4

Is het demissionaire kabinet voornemens tijdens de Europese wetgevingsonderhandelingen inzake de Digital Services Act, de Digital Markets Act en de Artificial-Intelligence-verordeningen, en direct al bij de komende Europese top, het belang van het vernieuwen en updaten van de Border Gateway Protocol aan te kaarten? Zo ja, hoe gaat het demissionaire kabinet dit aanpakken? Zo niet, waarom niet?

Deze casus heeft geen invloed op de Nederlandse positie in de onderhandelingen aangaande de Europese wetsvoorstellen voor een Digital Services Act, een Digital Markets Act en een AI Act, omdat de casus buiten de reikwijdtes van deze voorstellen valt. Wel ziet het kabinet het belang van het doorontwikkelen van internetstandaarden zoals het Border Gateway Protocol (BGP).
Facebook heeft na afloop van de storing verklaard dat deze veroorzaakt is door een menselijke fout in de BGP-configuratie van het Facebook-netwerk die niet tijdig is opgemerkt.6 Het BGP is het belangrijkste routeringsprotocol van het internet. Het zorgt ervoor dat zogenaamde Autonome Systemen (AS) elkaar kunnen vinden op het internet. Het BGP zorgt voor de koppeling tussen verschillende AS-netwerken. In dit geval heeft Facebook, door een interne (menselijke) fout, abusievelijk alle routes tussen haar netwerk en de rest van het wereldwijde Internet opgeheven, waardoor de Facebook-servers voor de rest van het Internet niet meer bereikbaar waren. Het BGP-protocol heeft in deze correct gefunctioneerd.
Het BGP wordt ontwikkeld onder de vlag van de Internet Engineering Task Force (IETF). De doorontwikkeling van een dergelijke essentiële standaard is complex en vereist een wereldwijde consensus tussen betrokken en deskundige partijen. De IETF is een grote, open, internationale gemeenschap van netwerkontwerpers, -operators, -leveranciers en -onderzoekers die zich bezighoudt met de evolutie van de internetarchitectuur en de soepele werking van het internet. Om bij deze casus te blijven, ook Facebook neemt deel aan de IETF. Nederland staat voor het multi-stakeholder model van internet governance, waarvan de IETF een goed voorbeeld is. Het kabinet ziet naar aanleiding van deze casus geen noodzaak de werkwijze van de IETF ter discussie stellen.
Wel laat ik de ontwikkelingen rond dergelijke standaardisatievraagstukken volgen en duiden. Agentschap Telecom voert daartoe op dit moment een onderzoek uit naar de belangrijkste vraagstukken rond technische internetstandaardisatie.
Vraag 5

Deelt het demissionaire kabinet de mening dat dit incident wederom aantoont hoe groot de afhankelijkheid van slechts enkele tech-grootmachten op dit moment is en dat deze buitenproportionele afhankelijkheid, middels Europese wetgeving, noodzakelijkerwijs en spoedig ingeperkt dient te worden ter bescherming van Europese burgers en bedrijfsleven? Zo ja, hoe gaat het demissionaire kabinet dit aanpakken? Zo niet, waarom deelt het demissionaire kabinet deze mening niet?

Het kabinet heeft al een tijd zorgen over de afhankelijkheid van een aantal grote platforms waar ondernemers en consumenten nauwelijks meer omheen kunnen. Vandaar dat het kabinet sinds 2019 pleit voor aanvullende regelgeving om met de macht van deze poortwachters om te gaan (Kamerstuk 27 879, nr. 71 en Kamerstuk 35 134, nr. 13). Dit heeft zijn vruchten afgeworpen. De Europese Commissie heeft in december 2020 een voorstel gedaan voor de Digital Markets Act (DMA) waarmee zij dit soort problematiek wil aanpakken. Dit voorstel is voor een groot deel in lijn met de Nederlandse inzet voor de DMA, die in februari per BNC-fiche naar uw Kamer is verzonden (Kamerstuk 22 112, nr. 3049). Ook is deze inzet tijdens de Technische Briefing over de DMA met de Commissie Digitale Zaken van eind september toegelicht. De onderhandelingen in de Raad over het voorstel lopen in een ambitieus tempo door. Er wordt gestreefd naar het aannemen van een algemene oriëntatie in de Raad voor Concurrentievermogen eind november.
Vraag 6

Welke maatregelen gaat het demissionaire kabinet treffen naar aanleiding van de grootschalige storing?

In de beantwoording van vragen 3, 4 en 5 is de inzet van het kabinet uiteengezet.

6 oktober 2021 - 18 november 2021

43 dagen

De berichten ‘Bedrijfsleven start eigen alarmsysteem tegen hackers: ‘overheid te traag’ & ‘Informatie over op handen zijnde hacks wordt grotendeels weggeooid’
	Hilde Palland (CDA), Mustafa Amhaouch (CDA)
	Stef Blok (minister economische zaken) (VVD), Ferdinand Grapperhaus (minister justitie en veiligheid) (CDA)

Bronnen

1. Het Financieele Dagblad, 28 september 2021, «Bedrijfsleven start eigen alarmsysteem tegen hackers: «overheid te traag»»
2. De Volkskrant, 29 september 2021, «Informatie over op handen zijnde hacks wordt grotendeels weggeooid»

Vraag 1

Bent u bekend met de berichten «Bedrijfsleven start eigen alarmsysteem tegen hackers: «overheid te traag» & «Informatie over op handen zijnde hacks wordt grotendeels weggeooid»»?1, 2

Ja.
Vraag 2

Hoe beoordeelt u de ontwikkelingen vanuit het bedrijfsleven waar men «niet meer wil wachten op de overheid» en zelf aan de slag gaat om een alarmsysteem dat waarschuwt voor aanstaande of bezig zijnde hacks?

Het is een positieve ontwikkeling dat private initiatieven op het gebied van cybersecurity, zoals het «alarmsysteem», zich ontwikkelen. Het initiatief past binnen de ambitie die het kabinet heeft om te komen tot een Landelijk Dekkend Stelsel (LDS) van cybersecurity samenwerkingsverbanden zoals omschreven staat in de Nederlandse Cybersecurity Agenda (NCSA).3 Om in Nederland op nationaal niveau voldoende slagkracht te kunnen organiseren tegen de toenemende digitale dreiging is publiek-private samenwerking noodzakelijk. De overheid stimuleert de totstandkoming van samenwerkingsverbanden zodat tussen hen informatie over digitale dreigingen en incidenten, die relevant is voor de verschillende doelgroepen, efficiënter en effectiever wordt gedeeld. Alle organisaties blijven zelf primair verantwoordelijk voor hun digitale veiligheid en het is van belang dat zij die verantwoordelijkheid ook nemen ongeacht of zij wel of niet een vitale aanbieder zijn of deel uitmaken van (rijks)overheid.
Vraag 3

Begrijpt u dat beide berichten waarover vragen worden gesteld een zekere samenhang lijken te hebben?

Ja.
Vraag 4

Kunt u aangeven of het Digital Trust Center (DTC) duurzaam is geborgd voor de toekomst? Heeft het Digital Trust Center haar waarde al bewezen? Zo nee, waarom (nog) niet?

Ja, het DTC is duurzaam geborgd. Het DTC is najaar 2019 geëvalueerd door onderzoeksbureau Kwink. De evaluatie is 18 februari 2020 aan de Tweede Kamer aangeboden.4 Deze evaluatie gaf een positief beeld van de resultaten en het doelbereik van DTC. Op basis van deze evaluatie is besloten het DTC een vast onderdeel te laten worden van het Ministerie van EZK en hiervoor structureel budget beschikbaar te stellen. Per brief van 16 december 2020 bent u over de voortgang van de implementatie van de aanbevelingen geïnformeerd.5 De aanbevelingen van het onderzoeksbureau zijn overgenomen. Dit heeft onder meer geleid tot uitbreiding van de diensten van het DTC, zoals het daadwerkelijk notificeren van individuele bedrijven indien de overheid informatie heeft over concrete kwetsbaarheden. Deze zomer is hiermee gestart, waarbij waar aangewezen zo veel mogelijk wordt samengewerkt met het Nationaal Cyber Security Centrum (NCSC).
Tevens heeft de Minister van Economische Zaken en Klimaat een wetsvoorstel in voorbereiding, dat de juridische basis van het DTC nader regelt. Hiermee ontstaan er nog meer mogelijkheden voor het DTC om informatie over digitale dreigingen en incidenten aan het Nederlandse niet-vitale bedrijfsleven te doen toekomen, ook als dit persoonsgegevens zoals IP-adressen bevat.
Vraag 5

Deelt u de signalen vanuit de praktijk dat het Nationaal Cyber Security Centrum (NCSC) de urgentie en het tempo volledig onderschat en daarmee in bepaalde gevallen niet van meerwaarde lijkt te zijn? Hoe gaat u dat verbeteren?

Het tempo in het digitale domein ligt hoog: digitale ontwikkelingen en dreigingen volgen elkaar in rap tempo op. De ernst en urgentie van de toename van digitale aanvallen wordt dan ook onderschreven in het Cyber Security Beeld Nederland (CSBN).6 Wij delen daarom niet het perspectief dat het NCSC de urgentie en het tempo onderschat. Het is echter een constante uitdaging om deze digitale aanvallen het hoofd te bieden. Daar is de inzet vanuit onze ministeries ook volop op gericht.
Vraag 6

Op welke vlakken zorgt de Algemene verordening gegevensbescherming (AVG) voor knelpunten? Welke grondslagen zijn er nodig, bijvoorbeeld in de Wet Beveiliging Netwerk- en Informatiesystemen (WBNI), om gegevens als IP-adressen te kunnen delen?

De Wet beveiliging netwerk- en informatiesystemen (Wbni) regelt de taken en bevoegdheden die het NCSC namens de Minister van Justitie en Veiligheid op het terrein van cybersecurity uitvoert. Primair heeft het NCSC tot taak om vitale aanbieders en aanbieders die onderdeel zijn van de rijksoverheid te informeren en adviseren over digitale dreigingen en incidenten, en daartoe analyses en technisch onderzoek te verrichten. Het NCSC kan bij die analyses en dat technisch onderzoek ook informatie over digitale dreigingen of incidenten verkrijgen die andere aanbieders aangaat. Het NCSC kan die informatie, waaronder ook persoonsgegevens met inachtneming van de AVG, verstrekken aan krachtens de Wbni aangewezen schakelorganisaties, die andere aanbieders in hun doelgroep hebben. Gebleken is echter dat verstrekking van die informatie aan deze schakelorganisaties vanwege een leemte in de Wbni niet altijd mogelijk is en dat relevante dreigings- en incidentinformatie daardoor niet altijd voor die andere aanbieders beschikbaar komt. Om die reden is er deze zomer een voorstel tot wijziging van de Wbni in consultatie gebracht, dat ertoe strekt het NCSC de bevoegdheid te bieden om in ruimere zin dreigings- of incidentinformatie met of ten behoeve van andere aanbieders te delen. Daartoe regelt dit wetsvoorstel dat schakelorganisaties, die krachtens de Wbni zijn aangewezen als OKTT (organisatie die objectief kenbaar tot taak heeft om organisaties of het publiek te informeren over dreigingen en incidenten), in ruimere zin dreigings- en incidentinformatie, waaronder ook persoonsgegevens, verstrekt kunnen krijgen, zodat zij op basis daarvan andere aanbieders in hun doelgroep beter kunnen informeren en adviseren. Daarnaast regelt het wetsvoorstel dat in bepaalde gevallen het NCSC individuele andere aanbieders voor hen relevante dreigingsinformatie, met inbegrip van persoonsgegevens, kan verstrekken. Hiervan is sprake als er geen schakelorganisatie (zoals een OKTT of computercrisisteam) is die de aanbieder van de informatie kan voorzien én de informatie gaat over een dreiging of incident met (potentiële) aanzienlijke gevolgen voor de continuïteit van de dienstverlening van de aanbieder. Naast dit wetsvoorstel is er, zoals hierboven aangegeven, een wetsvoorstel in voorbereiding dat de juridische basis van het DTC nader regelt.
Vraag 7

Welke stappen worden er gezet om het NCSC meer mogelijkheden te geven wanneer het gaat om niet-vitale onderdelen in de samenleving? Wordt er ook gekeken om de WBNI een ruimer bereik te geven?

Zoals in het antwoord op vraag 6 is vermeld is een wetsvoorstel tot wijziging van de Wbni opgesteld en in consultatie gebracht, dat ertoe strekt het NCSC de bevoegdheid te bieden om in ruimere zin dreigings- en incidentinformatie aan of ten behoeve van aanbieders, die geen vitale aanbieder zijn en evenmin deel uitmaken van de rijksoverheid, te verstrekken.
Daarnaast is het Digital Trust Center (DTC) in juni gestart met het proactief informeren van individuele niet-vitale bedrijven over digitale dreigingen, zoals toegelicht in de brief aan uw Kamer over dit onderwerp op 2 juni jl.7 Het DTC doet dit in eerste instantie nog op beperkte schaal in geval van ernstige dreigingen bij het niet-vitale bedrijfsleven.
In november 2021 start het DTC met het notificeren van bedrijven die deel uitmaken van een pilot. Deze pilot maakt het mogelijk voor DTC concrete dreigingsinformatie waar de overheid over beschikt te matchen met bedrijven die hun technische gegevens hebben doorgegeven aan het DTC. Er zijn 62 bedrijven uit negen sectoren geselecteerd, van groot tot klein, die deel kunnen gaan uitmaken van deze pilot. De pilot zal duidelijk maken of en hoe deze nieuwe dienst van het DTC verder kan worden opgeschaald en ook kan worden geautomatiseerd.
Het demissionaire kabinet zet daarnaast stappen om het cybersecuritystelsel door te ontwikkelen en te versterken, op korte termijn onder meer door middel van het genoemde wetsvoorstel tot wijziging van de Wbni. Op de lange termijn adviseren wij een volgend kabinet om een nieuwe integrale cyberstrategie te formuleren en het cybersecuritystelsel door te ontwikkelen, daarbij rekening houdend met de aankomende herziening van de netwerk- en informatiebeveiliging richtlijn (NIB-richtlijn). Onze digitale weerbaarheid zal immers de nodige aandacht en investeringen blijven vragen.
Vraag 8

Acht u het een meerwaarde dat er ook een private partij komt waar tevens meldingen van hacks en/of kwetsbaarheden kunnen worden gedaan?

Zie het antwoord op vraag 2.
Vraag 9

Kunt u aangeven waar er bij het NCSC behoefte aan is en in hoeverre u kunt zorgen dat het NCSC deze bevoegdheden, middelen en/of grondslagen ook krijgt? Welke obstakels liggen er in de weg?

In onder meer bovengenoemd CSBN valt te lezen dat de digitale dreiging alleen maar toeneemt, net als onze afhankelijkheid van digitale systemen. Om ervoor te zorgen dat de bij de overheid, meer in het bijzonder het NCSC, voorhanden zijnde informatie inzake digitale dreigingen en incidenten zo veel als mogelijk ter beschikking komt van organisaties waarvoor die informatie relevant is, is er zoals hierboven vermeld een wetsvoorstel tot wijziging van de Wbni in procedure gebracht. Daarnaast is het van belang dat met het oog op een zo optimaal mogelijk functionerend cybersecuritystelsel voortdurend door alle partijen in dat stelsel, waaronder het NCSC, nagedacht wordt over nodige doorontwikkelingen van dat stelsel. De Cyber Security Raad (CSR) schat in dat voor de benodigde verdere ontwikkeling van het gehele stelsel een totaal aan investeringen nodig is van ca. 833 miljoen euro, bestaande uit investeringen in de overheid, waaronder ook het NCSC en het DTC, en investeringen door private organisaties via bijvoorbeeld een fonds voor vitale aanbieders. Het is aan een volgend kabinet om invulling te geven aan de inzet van de rijksoverheid in dit verband.
Vraag 10

Bent u bekend met signalen dat er vanwege veel te stringente wettelijke beperkingen het NCSC genoodzaakt is om buiten de wet om te werken? Acht u dat acceptabel?

Wij zijn bekend met deze signalen en deze situatie is onwenselijk. Informatie over digitale dreigingen en incidenten kan vanuit het NCSC vanwege een leemte in de wet momenteel niet altijd worden verstrekt aan of ten behoeve van aanbieders, die geen vitale aanbieder zijn of deel uitmaken van de rijksoverheid. Daarom is, zoals hierboven ook vermeld, een wetsvoorstel tot wijziging van de Wbni opgesteld en in consultatie gebracht dat ertoe strekt dat het NCSC in ruimere zin de bevoegdheid heeft om genoemde informatie aan die andere aanbieders of hun schakelorganisaties te verstrekken. Daarnaast wordt voortdurend gewerkt aan de doorontwikkeling van het LDS. Daarvan deel uitmakende schakelorganisaties kunnen ook krachtens de Wbni als bijvoorbeeld OKTT worden aangewezen, en zo in bredere zin dreigings- en incidentinformatie verstrekt krijgen vanuit het NCSC ten behoeve van hun doelgroepen.
Vraag 11

Kunt u aangeven waarom het NCSC niet de mogelijkheden heeft om het internet te scannen om te kijken welke partijen er gevaar lopen voor bepaalde software of kwetsbaarheden? Welke mogelijkheden ziet u om ervoor te zorgen dat dit wel gaat gebeuren?

Het NCSC voert zoals vermeld technisch onderzoek uit ten behoeve van het informeren en adviseren van organisaties die deel uitmaken van de rijksoverheid en vitale aanbieders over voor hen relevante dreigingen en incidenten. In het kader van deze taakuitoefening scant het NCSC ook op kwetsbaarheden voor zover dit mogelijk is zonder daarbij de netwerk- en informatiesystemen van organisaties binnen te dringen. Voor zover scannen naar kwetsbaarheden het zonder toestemming binnendringen van een netwerk- of informatiesystemen inhoudt, beschikt het NCSC niet over de daartoe benodigde wettelijke bevoegdheid.
Vraag 12

Kunt u een overzicht geven van alle initiatieven die er thans lopen om de cyberveiligheid bij (mkb-)bedrijven te vergroten? Wat is het bereik hiervan?

Eind 2020 heeft het DTC in samenwerking met leden van het CIO Platform Nederland de «Cybersecurity Wegwijzer» gelanceerd. Er zijn voor bedrijven veel cybersecurityinitiatieven in Nederland die zich ten doel stellen om een hoog niveau van cyberweerbaarheid in de keten, branche of regio te bereiken. De «Cybersecurity Wegwijzer» maakt het landschap aan dergelijke cybersecurity initiatieven in Nederland inzichtelijk.8 Deze wegwijzer is met name relevant voor intermediaire organisaties. Tot nu zijn er 2.000 unieke bezoekers geweest. Daarnaast is er sprake van een sterke toename van het aantal bezoeken van de website van het DTC, naar verwachting zullen er dit eind van het jaar meer dan 200.000 bezoeken zijn. De website biedt bezoekers relevante informatie en tools om hun eigen weerbaarheid te verhogen. Ook het aantal op het DTC aangesloten samenwerkingsverbanden op het gebied van cybersecurity neemt sterk toe. Op dit moment zijn er 37 samenwerkingsverbanden van niet-vitale bedrijven, regionaal en/of sectoraal, aangesloten bij het DTC, en het aantal neemt verder toe. Hiermee wordt het mogelijk nog meer bedrijven, vaak mkb, vanuit het DTC bij te staan om de cyberweerbaarheid te vergroten van de deelnemers van deze samenwerkingsverbanden. Ook zorgt de interactie in dit nieuwe netwerk ervoor dat de leercurve van ieder samenwerkingsverband sneller doorlopen wordt. Naast de hiervoor genoemde initiatieven wordt door het DTC waar aangewezen zo veel als mogelijk samengewerkt met het NCSC, alsook met de Kamers van Koophandel, VNO-NCW/MKB-Nederland en een aantal gemeenten om zo nog meer bedrijven cyberbewust en -bekwaam te maken. De Minister van Economische Zaken en Klimaat zal uw Kamer begin 2022 een overzicht geven van de door het DTC bereikte resultaten en de concrete plannen voor 2022 en verder.
Een concreet voorbeeld van de initiatieven die lopen om de cyberveiligheid bij (mkb-)bedrijven te vergroten is de Citydeal «Lokale weerbaarheid Cybercrime», die op 28 oktober 2020 is ondertekend. In de City Deal «Lokale weerbaarheid Cybercrime» gaan gemeenten, ministeries (JenV, BZK en EZK/DTC), veiligheidsorganisaties en kennisinstellingen samen aan de slag om de cyberweerbaarheid te verhogen van burgers en bedrijven. De City Deal ondersteunt regionale samenwerkingsverbanden Veiligheid, gemeenten en Platforms Veilig Ondernemen en activeert hen om burgers en mkb-ondernemers bewust te maken van hun kwetsbaarheid en hun weerbaarheid tegen cybercrime te vergroten.
Een van de pijlers binnen de Citydeal is het versterken van de cyberweerbaarheid in het mkb. Het afgelopen jaar zijn binnen deze pijler projecten uitgevoerd gericht op het versterken van de cyberweerbaarheid van agrariërs, het inzetten van studenten om bedrijven te helpen, digitale ambassadeurs en een website met handelingskader. In de tweede fase van de Citydeal ligt de focus op het landelijk verspreiden van de resultaten uit de eerste fase en op nieuwe innovatieve projecten.
Daarnaast subsidieert JenV het project Samen Digitaal Veilig van MKB-Nederland. Met dit project wil MKB-Nederland, via een groot aantal branche- en ondernemersverenigingen, ondernemers helpen digitaal veiliger te worden.
De basis is een brancheaanpak, waarin met de branches wordt ingezet op een vorm van zelfregulering met een groeicurve. Door dat centraal te organiseren, worden bedrijven efficiënt en laagdrempelig stap voor stap veiliger.
Vraag 13

Bent u bereid om een evaluatie te laten uitvoeren over het functioneren van de instanties als het NCSC en het DTC in relatie tot relevante stakeholders.

Tijdens ISIDOOR2021, Nederlands grootste nationale cyber-crisisoefening, werd er geoefend met het Nationaal Crisisplan Digitaal. Het COT Instituut voor Veiligheids- en Crisismanagement heeft het evaluatierapport van ISIDOOR2021 afgerond en deze is met uw Kamer gedeeld.9 Het is belangrijk om lering te trekken uit deze lessen, ook met betrekking tot het NCSC, het DTC en daarmee in relatie staande andere partijen in het LDS.
Naast de evaluatie van ISIDOOR2021 is een evaluatie van de werking van het gehele LDS, waaronder deelname daaraan door het NCSC en het DTC, naar mijn mening ook waardevol. Het stelsel is echter sterk aan verandering onderhevig waardoor het eerst zinvol is om een evaluatie in gang te zetten als onder meer informatiedeling tussen het NCSC en het DTC verder op gang is gekomen en bovengenoemde pilot voor het vanuit het DTC notificeren van bedrijven gestart is en de resultaten van de eerdere pilot van het DTC hiervan opgetekend kunnen worden. Ook is het van belang om te kunnen bepalen of en in welke zin de herziening van de NIB-richtlijn, over het ontwerp waarvan de EU-onderhandelingen nog gaande zijn, en in vervolg daarop de implementatie daarvan gevolgen zal hebben voor de informatie-uitwisseling tussen organisaties die deel uitmaken van het LDS.

1 oktober 2021 - 18 november 2021

48 dagen

Het bericht ‘’Hoe China met de Nederlandse politie meekijkt’’
	Ingrid Michon (VVD), Ruben Brekelmans (VVD), Queeny Rajkowski (VVD)
	Ferdinand Grapperhaus (minister justitie en veiligheid) (CDA), Ben Knapen (minister buitenlandse zaken) (CDA)

Bronnen

1. Website Trouw, 30 september 2021 (https://www.trouw.nl/buitenland/hoe…

Vraag 1

Bent u bekend met het bericht ««Hoe China met de Nederlandse politie meekijkt»»?1

Ja.
Vraag 2

Klopt het dat de Nederlandse politie drones van het Chinese bedrijf Da Jiang Innovations (DJI) inzet? Zo ja, voor welke taken precies? Waarom is er gekozen voor drones van dit bedrijf?

Ja. De politie heeft bij de aanschaf van de drones, via een security check, een bewuste afweging gemaakt om de drones niet voor gevoelige operaties, maar alleen voor reguliere processen in te zetten. Dat wil zeggen: wel voor forensische opsporing, verkeersongevallenanalyse en openbare orde en veiligheid, maar niet operaties waarbij vertrouwelijke informatie wordt verwerkt.
De politie besteedt structureel aandacht aan de bescherming en beveiliging van gegevens en veilige inkoop. De drones zijn aangeschaft via wettelijk voorgeschreven inkoopprocedures op grond van de Aanbestedingswet 2012. De Aanbestedingswet 2012 biedt een aantal wettelijke gronden om een inschrijver uit te sluiten. Gezien het doel van de inzet van de drones was er geen reden om een beroep te doen op een van de uitsluitingsgronden. De Aanbestedingswet schrijft voor dat als er meerdere partijen zijn die voldoen aan de gestelde eisen, er moet worden gekozen voor de biedende partij met de beste prijs-kwaliteitverhouding.
Vraag 3

Is de aanschaf en het gebruik van drones van Da Jiang Innovations door de politie voorafgegaan door een risico- en veiligheidsanalyse? Zo ja, zijn daarbij (digitale) veiligheids- en privacyexperts geraadpleegd over het verzamelen van persoonsgegevens? Zo nee, waarom niet?

Zoals gezegd heeft de politie bij de aanschaf van de drones een security check uitgevoerd. Daarnaast is tijdens de projectfase een gegevensbeschermingseffectbeoordeling (GEB) gedaan. Uit deze beoordeling is niet gebleken dat er sprake is van verwerking van gegevens met een hoog risico. Er wordt alleen beeldmateriaal vastgelegd, dat versleuteld wordt verzonden. Niet kan worden uitgesloten dat deze beelden, ondanks de vastgelegde schriftelijke afspraken met de leverancier, toch bij DJI en/of Chinese overheid terecht komen, omdat DJI ook (naast de politie zelf) in het bezit is van de sleutel. Om deze reden heeft de politie mitigerende maatregelen genomen. Zo worden voor operaties waar vertrouwelijkheid gegevens worden verwerkt geen DJI-producten ingezet, maar andere vormen van luchtsteun.
Vraag 4

Klopt het dat de Nederlandse inlichtingendiensten hebben geconstateerd dat China een offensief cyberprogramma heeft tegen de Nederlandse nationale belangen? Hoe beoordeelt u het gebruik van drones van Da Jiang Innovations in dat licht? Deelt u de mening dat het onwenselijk is om voor politiewerk afhankelijk te zijn van Chinese hardware/IT-producten?

In openbare stukken zoals de jaarverslagen van de AIVD en de MIVD en het Dreigingsbeeld Statelijke Actoren (2021) geven de inlichtingen- en veiligheidsdiensten en de NCTV aan dat China één van de staten is waarvan is onderkend dat ze een offensief cyberprogramma hebben dat gericht is tegen Nederlandse belangen. De Chinese overheid gebruikt cyberoperaties om inlichtingen te verzamelen ter ondersteuning van haar economische, militaire en politieke doelstellingen.
In het algemeen geldt dat het afhangt van het inzetdoel of het gebruik van een bepaalde technologie veilig (genoeg) is en of eventuele risico’s voor de nationale veiligheid beheersbaar kunnen worden gemaakt. Uitgangspunt is dat genomen maatregelen proportioneel zijn. Dit vergt een gedetailleerde analyse van de te beschermen belangen, de dreiging en de (huidige) weerbaarheid. De politie en Rijswaterstaat hebben beide een dergelijke analyse gemaakt voordat tot de aanschaf van de drones is over gegaan. Daarnaast is door de politie de afweging gemaakt de drones niet in te zetten voor processen waarbij het gaat om vertrouwelijke informatie.
Vraag 5

Klopt het dat Chinese bedrijven volgens de Chinese wet verplicht zijn om data af te staan aan hun overheid? Deelt u de mening dat het uit veiligheidsoogpunt zeer onwenselijk is dat er door de Nederlandse overheid IT-producten worden afgenomen bij een bedrijf dat data deelt met de Chinese overheid?

In algemene zin kan worden gesteld dat de Chinese overheid nauw betrokken is bij het Chinese bedrijfsleven, zowel via staatsbedrijven als private bedrijven. China kent daarnaast wetgeving die (buitenlandse) bedrijven dwingt om gegevens te delen met de overheid. Dit wordt ook beschreven in de beleidsnotitie «Nederland-China: een nieuwe balans».2
Zoals in het Dreigingsbeeld Statelijke Actoren (DBSA)3 beschreven, is een toenemende afhankelijkheid van buitenlandse technologie een gegeven, aangezien geen land beschikt over alle kennis en productiemiddelen om technologisch onafhankelijk te opereren. Wel bestaat het risico dat met technologische toeleveringen de digitale spionage- en sabotagemogelijkheden toenemen.
Om de weerbaarheid tegen deze dreiging te vergroten werkt de Minister van Justitie en Veiligheid samen met partners binnen en buiten de overheid aan de aanpak statelijke dreigingen, waarover uw Kamer op 3 februari jl. de laatste stand van zaken heeft ontvangen.4 Bij elke casus moet worden bezien hoe risico’s voor de nationale veiligheid beheersbaar kunnen worden gemaakt. Uitgangspunt is dat maatregelen die hiertoe genomen worden proportioneel zijn. Dit vergt een gedetailleerde analyse van de te beschermen belangen, de dreiging en de (huidige) weerbaarheid.
Als hulpmiddel bij het uitvoeren van een dergelijke risicoanalyse en het nemen van eventuele mitigerende maatrelen is eind 2018 instrumentarium ontwikkeld dat organisaties helpt bij het meewegen van nationale veiligheidsrisico’s bij de inkoop- en aanbesteding van producten en diensten. Het instrumentarium is ter beschikking gesteld binnen de rijksoverheid en medeoverheden, alsmede aan organisaties die onderdeel zijn van de vitale processen. Behoeftestellende partijen zijn zelf verantwoordelijk voor de toepassing van dit instrumentarium en het meewegen van nationale veiligheidsrisico’s.
De DJI-drones die Rijkswaterstaat op dit moment gebruikt zijn in 2017 aangeschaft ten behoeve van een pilot. Het genoemde instrumentarium was toen nog niet beschikbaar. Voor de politie geldt dat toen de inkoop startte, dit instrumentarium nog niet was geïmplementeerd in de inkoopprocedures. Ook achteraf gezien – wanneer het genoemde instrumentarium wel zou zijn gebruikt – zou de uitkomst van het inkoopproces niet anders zijn geweest. Rijkswaterstaat en de politie verwerken immers geen vertrouwelijke gegevens met de DJI-drones.
Rijkswaterstaat en de politie maken voor de lopende en toekomstige aanbestedingen met een mogelijk risico voor de nationale veiligheid wel gebruik van het instrumentarium.
Vraag 6

Wordt er bij het inzetten van drones van Da Jiang Innovations door de politie gebruikgemaakt van eigen software of gebruikt de politie DJI-bedrijfssoftware? Bent u op de hoogte van de veiligheidsrisico’s van het gebruik van DJI-software? Gebruikt de politie speciale overheidsdrones?

De politie gebruikt de besturingssoftware van DJI, maar er wordt geen gebruik gemaakt van de DJI-besturingsapp. De politie gebruikt geen speciale overheidsdrones. Voor het overige verwijs ik naar het antwoord op vragen 5 en 7.
Vraag 7

Bent u bereid om preventieve maatregelen te nemen die de risico’s op Chinese spionage beperken? Bent u bereid hiervoor onderzoek te laten doen naar het gebruik door de politie van drones van Da Jiang Innovations? Zo nee, waarom niet?

Zoals ook in de beantwoording van vraag 5 omschreven, bestaat het risico dat met technologische toeleveringen digitale spionage- en sabotagemogelijkheden toenemen.
Risico’s voor de nationale veiligheid kunnen met name ontstaan wanneer deze technologie de Nederlandse vitale infrastructuur raakt, of wanneer deze technologie raakt aan gevoelige kennis en informatie. Zoals gezegd is dit in het geval van de politie niet het geval. Een aanvullend risico kan ontstaan als er betrokkenheid is van leveranciers uit bepaalde landen die via nationale wet- en regelgeving gedwongen kunnen worden tot medewerking aan inlichtingenactiviteiten. De risico’s voor de nationale veiligheid worden verder vergroot als het landen betreft die een offensief cyberprogramma voeren tegen de Nederlandse belangen en wanneer (technische) mogelijkheden om risico’s te adresseren niet voorhanden zijn.
Bij elke casus moet worden bezien hoe eventuele risico’s voor de nationale veiligheid beheersbaar kunnen worden gemaakt. Uitgangspunt is dat maatregelen die hiertoe genomen worden proportioneel zijn. Dit vergt een gedetailleerde analyse van de te beschermen belangen, de dreiging en de (huidige) weerbaarheid.
Ik zie, gezien de stappen die de politie al heeft gezet, geen aanleiding om een onderzoek in te stellen.
Vraag 8

Hoe beschouwt u het feit dat Defensie vanwege veiligheidsrisico’s reeds geen gebruik meer maakt van DJI-drones? Hoe beschouwt u in dat licht het gebruik van DJI-producten door de politie?

Het hangt af van het inzetdoel of een bepaald type drone veilig (genoeg) is. Het uitgangspunt is dat eventuele risico’s per casus in kaart moeten worden gebracht. Defensie heeft besloten om geen gebruik meer te maken van Chinese drones voor operationele taken, maar wel voor luchtopnames van trainingen of evenementen. Defensie heeft daarin haar eigen afweging gemaakt.
Bij de aanschaf van de drones heeft de politie, via een security check, een bewuste afweging gemaakt om drones niet voor gevoelige operaties, maar alleen voor reguliere processen in te zetten. Dat wil zeggen: wel voor forensische opsporing, verkeersongevallenanalyse en openbare orde en veiligheid, maar niet operaties waarbij vertrouwelijke informatie wordt verwerkt.
Vraag 9

Bent u bekend met het feit dat drones van DJI sinds 2020 niet meer gebruikt worden door de Verenigde Staten vanwege veiligheidszorgen en dat Japan dit overweegt? Hoe beoordeelt u dit? Heeft u hierover contact gehad met de VS en Japan? Zo nee, bent u bereid hierover contact op te nemen?

Nederland is eind 2020 door de VS geïnformeerd dat DJI op de entity list van het Bureau of Industrial Security van het Department of Commerce is geplaatst. In de publiekelijk beschikbare listing geven de VS aan dat zij DJI zien als een mogelijk risico voor de Amerikaanse buitenlandse politieke belangen.5 Hierbij wijzen zij op de rol van o.a. DJI bij het mogelijk maken van mensenrechtenschendingen in China door hoogtechnologische surveillance en het exporteren van deze technologie naar derde landen waar repressieve regimes aan de macht zijn.
Japan verbiedt geen producten van specifieke landen of bedrijven maar heeft aanbestedingsrichtlijnen opgesteld voor gebruik van IT-producten door overheidsinstanties. Wanneer deze worden ingezet voor publieke veiligheid en orde, kritieke infrastructuur en het uitvoeren van reddingsacties, dient de Japanse overheid mogelijke risico’s in kaart te brengen. Sinds april 2021 vallen drones ook binnen deze richtlijnen. Nadien zijn drones die als «hoog risico» worden aangemerkt zo snel mogelijk vervangen. Ook worden maatregelen getroffen om dataveiligheid van drones te garanderen.
Nederland ziet het gebruik van Chinese technologie niet als absoluut risico. Het inzetdoel van de technologie en de mogelijkheid om mitigerende maatregelen te treffen zijn bepalend of het verantwoord is om gebruik te maken van een bepaalde technologie.
Vraag 10

Is er binnen de NAVO of de EU gesproken over de veiligheid van het gebruik van deze drones? Gebruiken NAVO-bondgenoten en EU-lidstaten deze drones voor politie-, militaire of andere doeleinden?

Overwegingen rondom de veiligheid van het gebruik van dit type drones is een nationale aangelegenheid waarover in NAVO-verband niet wordt gesproken. Ook in EU-verband is niet gesproken over het gebruik van dit type drones. Het is het kabinet niet bekend welke andere NAVO-bondgenoten en EU-lidstaten deze drones gebruiken. NAVO zelf beschikt in ieder geval niet over dit type drones.
Vraag 11

Zijn er Europese landen die drones van een bedrijf uit een EU-lidstaat of OESO-land inzetten voor vergelijkbare taken als waar de Nederlandse politie de DJI-drones voor inzet? Zo ja, kunt u aangeven welke landen dit zijn en uit welke landen de bedrijven komen die ook drones in deze categorie produceren?

Het is het kabinet niet bekend welke drones er in andere Europese landen worden gebruikt.
Vraag 12

Hoe beoordeelt u het risico dat China de data van drones gebruikt voor het analyseren van Nederlandse (vitale) infrastructuur? Deelt u de inschatting van experts dat deze informatie zeer interessant is voor China?

Zoals gezegd worden de drones door de politie niet ingezet bij processen waarbij het gaat om vertrouwelijke informatie of vitale infrastructuur.
Om de weerbaarheid tegen deze dreiging te vergroten werkt de Minister van Justitie en Veiligheid samen met partners binnen en buiten de overheid aan de aanpak statelijke dreigingen, waarover uw Kamer op 3 februari jl. de laatste stand van zaken heeft ontvangen.6
Zoals ook in mijn antwoord op vraag 4 gegeven moet bij elke casus worden bezien hoe eventuele risico’s voor de nationale veiligheid beheersbaar kunnen worden gemaakt. Uitgangspunt is dat maatregelen die hiertoe genomen worden proportioneel zijn. Dit vergt een gedetailleerde analyse van de te beschermen belangen, de dreiging en de (huidige) weerbaarheid. Verder verwijs ik u graag naar het antwoord op vraag 7.
Vraag 13

Ziet u een gevaar van het gebruik van DJI-drones voor bijvoorbeeld Oeigoeren in Nederland, gezien het feit dat China gezichtsherkenningssoftware gebruikt om Oeigoeren te onderdrukken en ook de diaspora in Nederland onder druk zet?

Er zijn voor zover mij bekend momenteel geen aanwijzingen dat China de DJI-drones kan en zal gebruiken om bepaalde minderheidsgroepen in Nederland te monitoren. Mocht dit in de (nabije) toekomst wel het geval zijn, dan is er naar het oordeel van het kabinet sprake van ongewenste buitenlandse inmenging en heeft het kabinet verschillende instrumenten tot haar beschikking, zoals uiteengezet in de brief van 16 maart 2018 over de aanpak ongewenste buitenlandse inmenging.7
De politie kan tijdens demonstraties DJI-drones inzetten ten behoeve van de handhaving van de openbare orde en veiligheid. Tot op heden heeft de politie drones ingezet tijdens Coronaprotesten, Black Lives Matter-demonstraties, boerenprotesten en het Woonprotest in Rotterdam. In het kader van de mitigerende maatregelen rondom het gebruik van Chinese drones heeft de korpsleiding van de politie besloten om bij bijvoorbeeld demonstraties voor de rechten van Oeigoeren andere luchtsteunmiddelen te gebruiken, bijvoorbeeld een helikopter of een militaire drone.
Vraag 14

Heeft u in algemene zin diplomatiek contact met China over de dataveiligheid van Chinese technologie voor Nederlandse gebruikers? Zo ja, wat is hierbij de Nederlandse inzet?

Ja, Nederland spreekt in verschillende verbanden, waaronder binnen de VN, met China over dataveiligheid. Centraal hierbij staat de bescherming van privacy, zoals de naleving van de Algemene Verordening Gegevensbescherming (AVG), bescherming van mensenrechten en het tegengaan van ongepaste toegang van overheden tot datagegevens. Zoals aangegeven in de notitie «Nederland-China: Een nieuwe balans» staat het kabinet achter striktere handhaving en sterker uitdragen van bestaande standaarden en normen, zoals de Europese regelgeving op het gebied van data, privacy en productveiligheid. Wat Nederland betreft dient China zich eveneens aan deze afspraken te conformeren.

1 oktober 2021 - 18 november 2021

48 dagen

Chinese drones die gebruikt worden door de politie
	Renske Leijten , Michiel van Nispen
	Ferdinand Grapperhaus (minister justitie en veiligheid) (CDA), Kajsa Ollongren (viceminister-president , minister binnenlandse zaken en koninkrijksrelaties) (D66)

Bronnen

1. Website De Groene Amsterdammer, 30 september 2021 (https://www.groene…
2. Website De Groene Amsterdammer, 29 september 2021 (https://www.groene…

Vraag 1

Klopt het dat de politie gebruikmaakt van drones van het Chinese merk Da Jiang Innovations? (DJI)1

Ja.
Vraag 2

Wat zijn de overwegingen geweest om te kiezen voor deze drones?

De politie heeft de drones aangeschaft via wettelijk voorgeschreven inkoopprocedures op grond van de Aanbestedingswet 2012. In een aanbesteding wordt getoetst of op een inschrijver de wettelijke uitsluitingsgronden van de Aanbestedingswet van toepassing zijn. De Aanbestedingswet 2012 biedt geen basis om producten van het bedrijf DJI uit te sluiten. Ook op de Nederlandse leverancier waren/zijn geen uitsluitingsgronden van toepassing. De Aanbestedingswet schrijft voor dat als er meerdere partijen zijn die voldoen aan de gestelde eisen, er moet worden gekozen voor de biedende partij met de beste prijs-kwaliteitverhouding.
Vraag 3

Klopt het dat het Ministerie van Defensie deze drones niet gebruikt, omdat ze deze te riskant vinden? Zo ja, wat zijn de overwegingen van Defensie?

Bij de aanschaf van een systeem beoordeelt Defensie de wijze waarop dit systeem zal worden ingezet. Indien daar vertrouwelijke en/of gerubriceerde informatie bij wordt vergaard geldt het Defensie Beveiligingsbeleid. Daarin is beschreven hoe deze informatie dient te worden behandeld. Dat betekent dat er beveiligingsmaatregelen worden geïmplementeerd om risico’s te mitigeren. De zwaarte van deze maatregelen is gekoppeld aan het niveau van het te beschermen belang en de risico’s in en rondom het systeem. Dat kan betekenen dat voor de behandeling van vertrouwelijke en/of gerubriceerde informatie bepaalde systemen niet mogen worden ingezet als de risico’s te groot worden ingeschat.
In algemene zin kan worden gezegd dat Chinese dronefabrikanten een risico kunnen vormen omdat hun data op servers in China kunnen staan waarvan de beveiliging lastig is vast te stellen. De beheerders van die data kunnen bijvoorbeeld verplicht worden om data te leveren aan de overheid. Daarom is gebruik van dergelijke drones voor Defensie meestal niet mogelijk bij operationeel optreden. Dit sluit niet uit dat deze drones gebruikt worden voor andere doeleinden binnen Defensie, bijvoorbeeld voor het maken van luchtopnames van trainingen of evenementen. Voor operationele doeleinden beschikt Defensie over militaire drones die voldoen aan de gestelde beveiligingseisen.
Vraag 4

Klopt het dat de politie toegeeft dat er niet uitgesloten kan worden dat dronedata op Chinese servers belanden? Zo ja, waarom worden er dan alsnog extra van deze drones aangeschaft?

De politie heeft de berichten, die er vanaf het begin waren, waarin hiervan melding werd gemaakt niet kunnen verifiëren. De politie heeft hierop besloten de DJI-drones alleen in te zetten tijdens reguliere operaties. Dit zijn operaties waarbij geen vertrouwelijke informatie wordt verwerkt.
Vraag 5

Is er onderzoek gedaan door ICT-experts of de app die bij de drones hoort, toegang kan geven tot de telefoons van de agenten die hem gebruiken? Zo nee, waarom niet?

Een dergelijk onderzoek is niet aan de orde omdat de politie geen gebruik maakt van een app voor de bediening van DJI-drones. Voor de bediening van drones maakt de politie gebruikt de van zogeheten Smart Controllers van DJI. Deze Smart Controllers zijn stand-alone en bevatten de complete bediening inclusief een beeldscherm. Op deze Smart Controller staat de besturingssoftware om het toestel te besturen.
Vraag 6

Bent u bereid nader te onderzoeken of er politiedata gelekt zijn naar de Chinese fabrikant? Zo nee, waarom niet?

Ik zie, gezien de stappen die de politie al heeft gezet op dit gebied (zoals benoemd in antwoord 4 en 5), geen aanleiding om een nader onderzoek in te stellen. Er is tot op heden geen blijk geweest van een datalek. De politie is overigens verplicht ieder datalek direct te melden bij de Autoriteit Persoonsgegevens.
Vraag 7

Zijn er afspraken tussen de politie en DJI? Zo ja, kunnen die openbaar worden gemaakt?

De politie heeft alleen contact met DJI voor de instelling van het geofencingsysteem. Dit systeem zorgt ervoor dat de drones niet kunnen opstijgen in de zogenaamde no-fly zones (gebieden waar niet mag worden gevlogen met drones). De politie heeft ontheffing voor veel no-fly zones. DJI heeft op verzoek van de politie deze instellingen aangepast.
Naar aanleiding van de Europese aanbesteding is er een raamovereenkomst gesloten met een Nederlandse leverancier die de DJI-drones conform deze overeenkomst levert aan de politie. In deze raamovereenkomst zijn de diverse (contract)afspraken vastgelegd, waaronder afspraken over data-security.
Vraag 8

Was u en/of de politie op de hoogte van de vele datalekken en onderzoeken rondom DJI? Zo nee, hoe kan dit?

De politie was op de hoogte van de berichten waarin werd gesproken over de mogelijkheid dat data weglekken naar Chinese servers. De politie heeft deze berichten echter niet kunnen verifiëren. Verder verwijs ik u naar het antwoord op vraag 4.
Vraag 9

Waarom vaart de politie op eigen expertise als het gaat om dataverzameling via externe leveranciers? Waarom is die expertise niet ingezet bij de technologie van kentekenscanners die ook aan gezichtsherkenning bleken te doen?

De politie besteedt structureel aandacht aan de bescherming en beveiliging van gegevens en veilige inkoop. Zo wordt een risico- en veiligheidsanalyse uitgevoerd door de informatiemanagement-functionaris en wordt indien van toepassing een gegevensbeschermingseffectbeoordeling (GEB) uitgevoerd. Ook is in dit geval een security check uitgevoerd voor aanschaf van de drones.
Ten aanzien van het tweede deel van de vraag: de ANPR-camera’s van de politie zijn niet uitgerust met gezichtsherkenningstechnologie.
Vraag 10

Kunt u een overzicht geven van welke overheidsinstanties nog meer gebruikmaken van technologie van dit bedrijf en voor wat voor werkzaamheden?

Een dergelijk overzicht is niet beschikbaar. Er is tot op heden geen aanleiding geweest om dat te inventariseren.
Vraag 11

Waarom zijn er geen Rijksbrede afspraken over het gebruik van technologie geproduceerd door bedrijven uit andere landen? Bent u bereid alsnog met Rijksbreed beleid hiervoor te komen? Zo nee, waarom niet?

Eind 2018 is instrumentarium ontwikkeld dat organisaties helpt bij het meewegen van nationale veiligheidsrisico’s bij de inkoop- en aanbesteding van producten en diensten. Dit dient als hulpmiddel bij het uitvoeren van een risicoanalyse en het nemen van eventuele mitigerende maatregelen. Het instrumentarium is ter beschikking gesteld binnen de rijksoverheid en medeoverheden, alsmede aan organisaties die onderdeel zijn van de vitale processen. Behoeftestellende partijen zijn zelf verantwoordelijk voor de toepassing van dit instrumentarium en het meewegen van nationale veiligheidsrisico’s. Op dit moment zie ik geen reden tot aanscherping van het staande beleid.
Vraag 12

Begrijpt u het advies van hoogleraar Oerlemans dat het nu de tijd is om goed na te denken over overheidsbevoegdheden op het gebied van cybersecurity en na te denken over wat hij checks and balances noemt? In hoeverre is dat al gebeurd in de afgelopen jaren, in integrale zin?2

Ja, dat is een begrijpelijk advies. Het nadenken over overheidsbevoegdheden en de «checks and balances» daaromtrent is een continu proces. In dit kader wijs ik graag op de Kamerbrief «Uitkomsten verkenning wettelijke bevoegdheden digitale weerbaarheid en beleidsreacties WODC-rapporten» van 3 februari 2021.3 Hierin wordt onder andere ingegaan op het Nederlandse cybersecuritystelsel en interventiemogelijkheden van de overheid in geval van digitale dreigingen en incidenten. Deze brief illustreert dat er binnen het kabinet continue aandacht is voor het vraagstuk rond overheidsbevoegdheden op gebied van cybersecurity. Dit is een proces dat nooit af is, en ik deel dan ook de visie van hoogleraar Oerlemans dat dit ook in het nieuwe kabinet continue aandacht vereist. Dit betreft overigens een ander vraagstuk dan het inkoopvraagstuk dat in de voorgaande vragen centraal staat.
Vraag 13

Denkt u dat als dit grondig was gedaan er niet met spoed een wetsvoorstel gemaakt moest worden voor de NCTV? Zo nee, waarom niet?

Het wetsvoorstel waar dhr. Oerlemans in het artikel aan refereert betreft het voorstel voor een Wet verwerking persoonsgegevens coördinatie en analyse terrorismebestrijding en nationale veiligheid. Dit wetsvoorstel, dat op 9 november jl. aan uw Kamer is gestuurd, beoogt de juridische grondslag voor specifieke analyse- en coördinatiewerkzaamheden te verankeren die de NCTV namens de Minister van Justitie en Veiligheid uitvoert op het terrein van de nationale veiligheid en terrorismebestrijding en waarbij de verwerking van persoonsgegevens noodzakelijk wordt geacht. Ik heb daar in de brieven van 13 april 20214 en 21 mei 20215 uitvoerig aandacht aan besteed. Dit wetsvoorstel bevat geen specifieke overheidsbevoegdheden op het gebied van cybersecurity.

23 september 2021 - 3 november 2021

41 dagen

Het bericht dat de digitale veiligheid onvoldoende is
	Barbara Kathmann (PvdA)
	Ferdinand Grapperhaus (minister justitie en veiligheid) (CDA), Stef Blok (minister economische zaken) (VVD)

Bronnen

1. DCMR, 16 september 2021, «Meer aandacht nodig voor digitale weerbaarh…

Vraag 1

Bent u bekend met het onderzoek van de DMCR en de provincie Zuid-Holland over het gebrek aan cybersecurity bij bedrijven die werken met gevaarlijke stoffen?1

Ja.
Vraag 2

Kunt u zich vinden in de bevindingen van het onderzoek van de DMCR en de provincie Zuid-Holland? Zo nee, welke bevindingen deelt u niet?

DCMR heeft Fox-IT gevraagd een cybervolwassenheidsbeeld vast te stellen voor de bedrijven die vallen onder het toepassingsbereik van het Besluit risico’s zware ongevallen 2015 (Brzo-bedrijven) in Zuid-Holland en Zeeland. Fox-IT heeft dat gedaan met diepte-interviews en self-assessments. Het geaggregeerde eindresultaat geeft een beeld van het implementatieniveau op een 5-punts schaal.
De bevindingen van het onderzoek geven een beeld van de situatie bij de bedrijven die deel uitmaakten van het onderzoek van DCMR.
Op basis van dat beeld kunnen wij ons vinden in de constatering dat er aanleiding is om de aandacht voor cybersecurity bij Brzo-bedrijven te vergroten.
Vraag 3

Hoe kan het dat bij een groot deel van de bedrijven er onvoldoende aandacht is voor cybersecurity?

De digitalisering van de maatschappij en van bedrijfsprocessen in het bijzonder heeft een grote vlucht genomen. De digitale kwetsbaarheid neemt daarmee ook in de breedte van de hele maatschappij toe. Berichtgeving in de media over hacks bij bedrijven en andere organisaties dragen bij aan bewustwording over de noodzaak van een adequate digitale weerbaarheid en het daartoe treffen van de noodzakelijke beveiligingsmaatregelen.
Dit is een ontwikkelproces waarbij niet alle bedrijven al even ver zijn. Een bedrijf is primair zelf verantwoordelijk voor een veilige bedrijfsvoering en dus ook voor het treffen van adequate maatregelen met betrekking tot cybersecurity.
Zoals het Cybersecuritybeeld Nederland 2021 laat zien is ook het midden- en kleinbedrijf (mkb) steeds vaker slachtoffer van ransomware-aanvallen. De digitalisering is door deze bedrijven omarmd, maar dat geldt vaak nog niet voor het treffen van de noodzakelijke cybersecuritymaatregelen. De onderzoeksgroep van DCMR valt grotendeels in deze doelgroep. Mogelijke factoren voor onvoldoende aandacht aan cybersecurity zijn bijvoorbeeld een tekort aan relevante kennis over het onderwerp of het gebrek aan prioriteit in aandacht of financiële ruimte zolang digitale incidenten nog niet het primaire proces hebben geraakt.
Voor een bedrijf waar gewerkt wordt met gevaarlijke stoffen, kan het grote gevolgen hebben als dat bedrijf de cybersecurity niet goed op orde heeft en het doelwit wordt van digitale aanvallen. Het is dus zeker van belang dat deze bedrijven adequate maatregelen treffen ter beveiliging van hun netwerk- en informatiesystemen. Het is daarom goed dat DCMR samen met het bevoegd gezag als bedoeld in het Besluit risico’s zware ongevallen 2015 (Brzo), de provincies Zuid-Holland en Zeeland, heeft onderzocht hoe het staat met de digitale weerbaarheid bij de risicovolle bedrijven in het eigen werkgebied.
De aandacht voor cybersecurity is de afgelopen jaren toegenomen maar is nog niet bij alle bedrijven op het gewenste niveau zoals ook uit het onderzoek van DCMR blijkt. Daarom is het van belang dat bedrijven hier mee aan de slag gaan. Zie verder het antwoord op vragen 5 en 6.
Vraag 4

Bent u het met ermee eens dat bedrijven die werken met gevaarlijke stoffen juist extra goed beveiligd moeten zijn op het digitale vlak?

Zie antwoord vraag 3.
Vraag 5

Wat doet u om de cybersecurity van deze bedrijven te vergroten?

Zoals eerder gesteld is een bedrijf primair zelf verantwoordelijk voor een veilige bedrijfsvoering en dus ook voor het treffen van adequate maatregelen met betrekking tot cybersecurity. Vanuit omgevingsveiligheid zijn de provincies bevoegd gezag voor de Brzo-bedrijven. De Staatssecretaris van IenW is systeemverantwoordelijk voor de regelgeving Brzo (omgevingsveiligheid).
Daarnaast is er beleidsverantwoordelijkheid in het kader van bescherming van vitale processen/sectoren. De vakdepartementen kennen vanuit dit kader een beleidsverantwoordelijkheid voor aanbieders binnen deze groep bedrijven die binnen hun beleidsdomein vallen. In het geval van de olievoorziening is de Minister van EZK beleidsverantwoordelijk. De Staatssecretaris van IenW is binnen de vitale sectoren beleidsverantwoordelijk voor de «Grootschalige productie/verwerking en/of opslag van (petro)chemische stoffen» (chemiesector).
Mede naar aanleiding van de uitkomsten van het onderzoek werken het Rijk, de provincies als bevoegd gezag voor de Brzo-bedrijven en het bedrijfsleven samen om een aantal activiteiten uit te voeren om de aandacht voor cybersecurity bij deze bedrijven te versterken. De primaire focus ligt daarbij op het werken aan de bewustwording bij alle partijen, kennis opbouwen bij en delen met bedrijven en de betrokken overheidsdiensten.
Het Ministerie van Economische Zaken en Klimaat (EZK) is verantwoordelijk voor het vitale proces olievoorziening waarbinnen een deel van de onderzochte bedrijven actief is. Op dit moment onderzoekt het Ministerie van EZK of en welke van deze bedrijven, voor zover zij zich bezighouden met het beheer van oliepijpleidingen en/of met productie, opslag, transport, raffinage of behandeling van olie, bij ministerieel besluit aangewezen zullen worden als aanbieders van essentiële diensten (AED) krachtens de Wet beveiliging netwerk- en informatiesystemen (Wbni). Aangewezen bedrijven onder de Wbni hebben de plicht om beveiligingsmaatregelen te treffen met betrekking tot hun netwerk- en informatiesystemen en de plicht tot het melden van digitale incidenten met aanzienlijke gevolgen voor hun vitale dienstverlening. Het Ministerie van EZK heeft een bijbehorende toezichthouder, voor onder Wbni geschaarde partijen.
Voor zover het gaat om bedrijven binnen de onderzochte groep die als vitale aanbieder zijn of worden aangewezen geldt dat het Nationaal Cyber Security Centrum (NCSC) van het Ministerie van Justitie en Veiligheid tot taak heeft om deze aanbieders te informeren en adviseren over dreigingen en incidenten met betrekking tot hun netwerk- en informatiesystemen. Daarnaast verleent het NCSC, waar nodig, ook op andere wijze bijstand aan deze aanbieders bij het treffen van maatregelen om de continuïteit van hun diensten te waarborgen of te herstellen. Ook verricht het NCSC analyses en technisch onderzoek ten behoeve van hiervoor beschreven dienstverlening.
De Staatssecretaris van IenW en de provincies maken in het Bestuurlijk Omgevingsberaad bestuurlijke afspraken over een versterkingsactie cybersecurity bij (Brzo)-bedrijven. Deze afspraken richten zich o.a. op het opbouwen van cybersecurity-kennis en het delen van deze kennis met bedrijven en betrokken overheidsdiensten.
Daarnaast geldt voor de onderzochte bedrijven die geen vitale aanbieder zijn binnen een vitaal proces dat zij terecht kunnen bij het Digital Trust Center (DTC), onderdeel van het Ministerie van Economische Zaken en Klimaat. Het DTC adviseert en informeert circa 1,8 miljoen niet-vitale bedrijven in Nederland over hoe zij hun digitale weerbaarheid kunnen verbeteren en jaagt de ontwikkeling van publiek-private samenwerkingsverbanden in Nederland aan, die ook deel kunnen gaan uitmaken van het zogenaamde Landelijk Dekkend Stelsel van cybersecurity samenwerkingsverbanden. Deze zomer is door het DTC begonnen met het proactief informeren van individuele bedrijven over digitale dreigingen.2 Daarbij gaat het bijvoorbeeld om een beveiligingslek in bepaalde (bedrijfs)software of andere acute kwetsbaarheden. Dit gebeurt nu nog op kleine schaal. Op de langere termijn werkt het DTC toe naar een systeem dat dreigingsinformatie aan grotere groepen bedrijven kan koppelen. Het DTC biedt ook tools aan, zoals de cybersecurity basisscan voor bedrijven, om te kijken of de basisveiligheid op orde is.
Tot slot benoemen we graag dat ook in publiek-private setting cybersecurity verder wordt opgepakt. Zo werkt stichting FERM vanuit het vanuit het Port Cyber Resilience Programma aan het verhogen van het bewustzijn met betrekking tot cyberrisico’s in de haven Rotterdam. Hierbij wordt nauw samengewerkt met onder andere het Digital Trust Center, de (zeehaven) politie, douane en DCMR.
Vraag 6

Doet u voldoende om de cybersecurity van deze bedrijven te verbeteren? Zo ja, hoe verklaart u de bevindingen in dit onderzoek dan? Zo nee, wat gaat u meer doen om de cybersecurity van deze bedrijven te verbeteren?

Zie antwoord vraag 5.

Titel

Status

Indiener (persoon)

Indiener (partij)

Onderwerpen

598 kamervragen gevonden

beantwoord onbeantwoord uitgesteld

Alle

21 december 2021 - 2 februari 2022

43 dagen

Queeny Rajkowski (VVD)

Ferdinand Grapperhaus (CDA)

Bronnen

Vraag 1

Vraag 2

Vraag 3

Vraag 4

Vraag 5

Vraag 6

Vraag 7

Vraag 8

Vraag 9

Vraag 10

Vraag 11

Vraag 12

Vraag 13

20 december 2021 - 31 januari 2022

42 dagen

Barbara Kathmann (PvdA)

Raymond Knops (CDA), Ferdinand Grapperhaus (CDA), Stef Blok (VVD)

Bronnen

Vraag 1

Vraag 2

Vraag 3

Vraag 4

Vraag 5

Vraag 6

14 december 2021 - 10 februari 2022

58 dagen

Ferdinand Grapperhaus (CDA), Raymond Knops (CDA), Kajsa Ollongren (minister defensie) (D66)

Bronnen

Vraag 1

Vraag 2

Vraag 3

Vraag 4

Vraag 5

Vraag 6

Vraag 7

Vraag 8

Vraag 9

Vraag 10

Vraag 11

Vraag 12

Vraag 13

Vraag 14

Vraag 15

Vraag 16

14 december 2021 - 4 februari 2022

52 dagen

Queeny Rajkowski (VVD)

Ferdinand Grapperhaus (CDA)

Bronnen

Vraag 1

Vraag 2

Vraag 3

Vraag 4

Vraag 5

Vraag 6

Vraag 7

Vraag 8

Vraag 9

Vraag 10

Vraag 11

9 december 2021 - 16 februari 2022

69 dagen

Gijs van Dijk (PvdA), Henk Nijboer (PvdA), Joris Thijssen (PvdA), Suzanne Kröger (GL)

Stef Blok (VVD), Kajsa Ollongren (minister defensie) (D66)

Bronnen

Vraag 1