Vragen van het lid Verhoeven (D66) aan de Minister van Economische Zaken over het bericht dat de Minister van Economische Zaken doorgaat met het gebruik van Gmail voor communicatie met ambtenaren (vervolgvragen) (ingezonden 13 juli 2016).

Antwoord van Minister Kamp (Economische Zaken) (ontvangen 18 november 2016) Zie ook Aanhangsel Handelingen, vergaderjaar 2015–2016, nr. 3172

Vraag 1, 2 en 16

Bent u bereid het onderzoek dat de Auditdienst Rijk (ADR) doet te verbreden naar alle bewindspersonen die hun privée-mailadres gebruiken voor werkaangelegenheden?¹

Welke bewindspersonen gebruiken of gebruikten hun privée-mailadres voor werkaangelegenheden? Vallen de ministers van Veiligheid en Justitie, Binnenlandse Zaken en Koninkrijksrelaties, Defensie, Buitenlandse Zaken en Algemene Zaken hier ook onder?

U geeft aan dat bewindspersonen die gebruik maken van een privée-mailadres voor werkaangelegenheden daarbij rekening houden met de aard van de informatie, waarbij het geen als staatsgeheim gerubriceerde informatie zou betreffen. Betreft het tevens geen informatie met de rubriceringen Departementaal Vertrouwelijk, Staatsgeheim Confidentieel, Staatsgeheim Geheim of Staatsgeheim Zeer Geheim?

Antwoord 1, 2 en 16

Zoals eerder is vermeld in de antwoorden op de vragen van de leden Gesthuizen (SP) en Van Tongeren (GroenLinks) en de vragen van het lid Verhoeven (D66) hebben alle bewindspersonen aan de Minister-President laten weten dat zij in verschillende mate (en in sommige gevallen geen) gebruik maken van een privé e-mailaccount voor werkaangelegenheden.² Zij houden daarbij rekening met de aard van de informatie. Het is op grond van de Baseline Informatiebeveiliging Rijksdienst 2012 (BIR) niet zo dat het gebruik van een privé e-mailaccount voor zakelijke e-mails niet is toegestaan, zolang daar terughoudend en bewust gebruik van wordt gemaakt. Gelet op het feit dat bewindspersonen hebben aangegeven rekening te houden met de aard van de informatie, acht het kabinet het niet nodig het onderzoek van de ADR uit te breiden of per bewindspersoon te specificeren of al dan niet gebruik wordt gemaakt van een privé e-mailaccount. Het kabinet is van mening dat een onderzoek van een privé e-mailaccount een inbreuk op de persoonlijke levenssfeer is. Tot een dergelijk onderzoek moet alleen worden overgegaan als daartoe een concrete aanleiding bestaat.

Ik heb besloten dat in mijn geval een concrete aanleiding bestaat om onderzoek te doen naar mijn privé e-mailaccount. Ik maak al langere periode frequent gebruik van het privé e-mailaccount voor werkgerelateerde zaken. Het privé

e-mailaccount is in 2014 getroffen door een vermoedelijk ongerichte phishingaanval. Ik heb u eerder gemeld dat ik wat betreft de aard van de informatie die op mijn privé e-mailaccount aanwezig was, niet het beeld had dat dit staatsgeheim gerubriceerde informatie betrof. Ik constateerde naar aanleiding van uw Kamervragen evenwel dat hierover twijfel bestond, en wilde daarom onafhankelijk laten vaststellen of er als staatsgeheim gerubriceerde documenten op het account aanwezig waren. Over de uitkomsten van het door de Auditdienst Rijk (ADR) uitgevoerde onderzoek informeer ik u gelijktijdig met de beantwoording van uw vragen. Voor de andere bewindspersonen doen deze omstandigheden zich niet voor.

Vraag 3

Gebruiken ook (top)ambtenaren privée-mailaccounts voor werkaangelegenheden? Zo ja, kunt u uitsluiten dat er bijzondere informatie, zoals beschreven in het Voorschrift Informatiebeveiliging Rijksdienst – Bijzondere Informatie (VIR-BI), verstuurd wordt via deze privée-mailaccounts?

Antwoord 3

Rijksambtenaren worden er regelmatig op gewezen dat tijd,- plaats,- en apparaatonafhankelijk werken enkel veilig is, wanneer gebruik wordt gemaakt van de departementale faciliteiten. Gebruik van privé e-mailaccounts is niet in alle gevallen uit te sluiten. Uit de BIR volgt overigens ook niet dat het gebruik van een privé e-mailaccount voor zakelijke e-mails door (top)ambtenaren niet is toegestaan. Wel moet terughoudend en bewust gebruikgemaakt worden van privé e-mailaccounts.

Vraag 4

Bent u bereid de ADR ook te laten onderzoek of er, naast documenten met de rubriceringen Departementaal Vertrouwelijk, Staatsgeheim Confidentieel, Staatsgeheim Geheim of Staatsgeheim Zeer Geheim, ook documenten of informatie naar het privée-mailadres gestuurd is die redelijkerwijs als (economisch) gevoelige, of voor buitenlandse inlichtingendiensten interessante, informatie aangeduid kan worden?

Antwoord 4

Het onderzoek van de ADR heeft naar mijn mening een passende reikwijdte en is proportioneel, gezien de voorliggende feiten. Het rubriceren van informatie binnen de rijksoverheid heeft als doel om aan te geven in welke mate geheimhouding van informatie geboden is. De aan de ADR verstrekte opdracht sluit hierbij aan; er is onderzocht of er gerubriceerde documenten op het e-mailaccount stonden, en zo ja welke. Daarnaast was dit naar mijn mening de meest efficiënte en zorgvuldige methode om binnen afzienbare tijd antwoord te kunnen geven op uw eerdere vraag of er als staatsgeheim gerubriceerde documenten op het e-mailaccount aanwezig waren.

Vraag 5

Waarom wordt de mogelijkheid om op een locatie buiten het ministerie te werken via het zakelijke e-mailaccount door u als omslachtig en niet als gebruiksvriendelijk ervaren? Bent u bereid veilige alternatieven te onderzoeken die wél gebruiksvriendelijk zijn?

Antwoord 5

Die mogelijkheid werd door mij zo ervaren, omdat het in mijn beleving niet op praktische wijze mogelijk was om bij gebruik van mijn zakelijke e-mailaccount

e-mails en bijlagen te printen, of bijlagen bij e-mails te voegen. Inmiddels maak ik voor werkgerelateerde e-mails enkel gebruik van de departementale zakelijke

e-mailfaciliteiten.

Vraag 6

Kunt u de resultaten van het onderzoek van de ADR nog voor aanstaande Prinsjesdag naar de Kamer sturen?

Antwoord 6

Het onderzoek van de ADR is inmiddels afgerond en over de uitkomsten informeer ik u gelijktijdig met het toesturen van mijn antwoorden op de door u gestelde vragen.

Vraag 7, 9 en 11

Wanneer is de Rijksbeveiligingsambtenaar op de hoogte gesteld van het gebruik van uw privée-mailadres voor werkaangelegenheden?

Artikel 8 lid 1 van het VIR-BI stelt dat «elke ambtenaar is verplicht de Beveiligingsambtenaar (BVA) onmiddellijk mededeling te doen van een inbreuk op de beveiliging die redelijkerwijs kan leiden, dan wel vermoedelijk of vaststaand heeft geleid, tot compromittering van bijzondere informatie». Is de BVA medegedeeld over de inbreuk op uw privée-mailadres? Wanneer is dat gebeurd? Zo nee, waarom niet?

Heeft de BVA conform het VIR-BI onderzocht of compromittering van bijzondere informatie heeft plaatsgevonden? Is hiervan vervolgens mededeling gedaan aan de secretaris-generaal en geadviseerd over de noodzaak tot het instellen van een commissie van onderzoek? Zo nee, waarom niet?

Antwoord 7, 9 en 11

De Rijks-BVA is op 13 januari 2016 geïnformeerd over de vermoedelijk ongerichte phishingaanval op mijn privé e-mailaccount. Op advies van de Rijks-BVA zijn vervolgens alle bewindspersonen gewezen op de risico’s die men loopt, en de acties die men kan treffen om de digitale weerbaarheid, ook bij het eventuele gebruik van privé e-mailaccounts, verder te vergroten.

De BVA van het Ministerie van Economische Zaken is op 11 juli 2014 geïnformeerd over de vermeende inbreuk op mijn privé e-mailaccount. Er is daarnaast op 11 juli 2014 aangifte gedaan bij de Landelijke Eenheid van de Nationale Politie. Het Team High Tech Crime van de Landelijke Eenheid van de Nationale Politie heeft onder leiding van het Openbaar Ministerie (OM) onderzoek verricht en geconcludeerd dat een ongerichte phishingaanval aannemelijk was. Voor een nader, afzonderlijk onderzoek door de departementale BVA leek daarom op dat moment daarom geen aanleiding.

Vraag 8 en 10

Welke acties zijn er ondernomen nadat geconstateerd is dat uw privée-mailadres gehacked was? Is het wachtwoord veranderd? Zijn gebruikte privéapparaten opgeschoond? Waaruit blijkt dat het ging om een ongerichte phishingaanval?

Heeft de BVA onmiddellijk (nood)maatregelen getroffen om verdere inbreuk te voorkomen? Zo ja, welke maatregelen? Zo nee, waarom niet?

Antwoord 8 en 10

Door het Security Center van de Dienst ICT Uitvoering (DICTU) is onder meer het wachtwoord van het privé e-mailaccount gewijzigd en is de door mij gebruikte apparatuur gecontroleerd. Het Openbaar Ministerie (OM) heeft geconcludeerd dat een ongerichte phishingaanval aannemelijk was, op basis van onderzoek van de phishing e-mail en mijn apparatuur door het Team High Tech Crime van de Landelijke Eenheid van de Nationale Politie.

Vraag 12, 13 en 14

Wanneer is het bestuurlijk advies van het Landelijk Parket van het OM en de Landelijke Eenheid van de Nationale Politie aangeboden aan de Minister van Veiligheid en Justitie? Bent u alsnog bereid het bestuurlijk advies naar de Kamer te sturen?

Hebben bewindspersonen hun gebruik van privée-mailaccounts gestopt, dan wel aangepast, na dit advies?

Is het advies gedeeld met alle ministeries?

Antwoord 12, 13 en 14

Het bestuurlijk advies van het Landelijk Parket van het Openbaar Ministerie en de Landelijke Eenheid van de Nationale Politie is op 1 augustus 2014 verzonden aan de Minister van Veiligheid en Justitie. Zoals ik uw Kamer eerder in antwoorden op de schriftelijke vragen van het lid Verhoeven (D66) en de vragen van de leden Gesthuizen (SP) en Van Tongeren (GroenLinks) berichtte, wordt een dergelijke interne advisering aan een beleidsverantwoordelijk bewindspersoon in de regel niet gedeeld met uw Kamer.

Het bestuurlijk advies is als zodanig ook niet gedeeld met alle departementen. Het stuk leent zich, gezien het vertrouwelijke karakter van de erin vervatte informatie, niet voor een brede en integrale verspreiding binnen de rijksoverheid. Om die reden kan niet worden vastgesteld of het gebruik van privé e-mailaccounts door bewindspersonen als gevolg van het bestuurlijk advies is aangepast.

De inhoud van het bestuurlijk advies sloot aan bij eerdere adviezen van de Nationaal Coördinator Terrorismebestrijding en Veiligheid (NCTV) en was in lijn met de bijbehorende inspanningen op het gebied van digitale veiligheid in de afgelopen jaren. Dit laat onverlet dat het verstandig zou zijn geweest om op dat moment naar aanleiding van het bestuurlijk advies nogmaals expliciet de aandacht te vragen voor de risico’s van zakelijk gebruik van privé e-mailaccounts.

Vraag 15

Heeft u ook in uw vorige ministerschappen, zoals bij Defensie, gebruik gemaakt van uw privée-mailaccount?

Antwoord 15

Ja, in mijn periode als Minister van Sociale Zaken gebruikte ik hetzelfde privé

e-mailaccount. Daarnaast beschikte ik, in de daaraan voorafgaande periode waaronder mijn bewindsperiode bij Defensie, over een ander privé e-mailaccount. Dat privé e-mailaccount is in 2009 opgeheven. De betreffende dienstenaanbieder heeft mij medegedeeld dat de inhoud van het e-mailaccount bij de opheffing is verwijderd. Overigens is er, in tegenstelling tot mijn huidige privé e-mailaccount, geen indicatie dat mijn vorige privé e-mailaccount getroffen is door een (on)gerichte (phishing)aanval, waardoor aanleiding zou kunnen zijn voor een nader onderzoek.

Vraag 17

Acht u het aannemelijk dat als de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) in zijn jaarverslag 2015 constateert dat sommige landen geïnteresseerd zijn in de politieke besluitvorming in Nederland en dat ministers een bijzonder doelwit zijn?

Antwoord 17

Ik kan niet uitsluiten dat ministers een bijzonder doelwit kunnen zijn, of dat sommige landen of buitenlandse inlichtingendiensten interesse hadden kunnen hebben in de informatie op het door mij gebruikte privé e-mailaccount. Ik ben mij er onvoldoende bewust van geweest dat, gezien de aard van mijn werkzaamheden, de door mij gebruikte privé e-maildienst niet geschikt was. Zoals ik u eerder berichtte heb ik deze werkwijze beëindigd en maak ik nu voor mijn werkgerelateerde communicatie enkel gebruik van de departementale digitale faciliteiten.³

---

1 Aanhangsel Handelingen, vergaderjaar 2015–2016, nr. 3070.

2 Aanhangsel Handelingen, vergaderjaar 2015–2016, nr. 3069.

en Aanhangsel Handelingen, vergaderjaar 2015–2016, nr. 3070.

3 Aanhangsel Handelingen, vergaderjaar 2015–2016, nr. 3069.

en Aanhangsel Handelingen, vergaderjaar 2015–2016, nr. 3070.