35 257 Voorstel van wet van het lid Verhoeven houdende een regeling voor een afwegingsproces voor het gebruik van kwetsbaarheden in geautomatiseerde werken door de overheid (Wet Zerodays Afwegingsproces)

Nr. 2 VOORSTEL VAN WET

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Allen, die deze zullen zien of horen lezen, saluut! doen te weten:

Alzo Wij in overweging genomen hebben, dat het wenselijk is om elk gebruik van kwetsbaarheden in geautomatiseerde werken door de overheid af te wegen of de kwetsbaarheid gemeld moet worden aan de producent of leverancier;

Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:

Artikel 1

In deze wet wordt onder onbekende kwetsbaarheid verstaan een kwetsbaarheid in een geautomatiseerd werk die kan worden gebruikt om dat geautomatiseerde werk binnen te dringen en waarvan het aannemelijk is of verondersteld kan worden dat die niet bekend is bij de producent of leverancier.

Artikel 2

• 1. Indien een bestuursorgaan voor het binnendringen van een geautomatiseerd werk gebruik zal maken van een onbekende kwetsbaarheid, wordt deze kwetsbaarheid bekend gemaakt aan de producent of leverancier van het geautomatiseerd werk.

• 2. Onze Ministers die het aangaat kunnen besluiten een onbekende kwetsbaarheid niet bekend te maken dan wel alleen bekend te maken aan betrokkenen die vitale infrastructuur beheren. Hierbij worden in ieder geval de volgende belangen overwogen:

  • a. de veiligheid van de Staat;

  • b. de economische en financiële belangen van de Staat;

  • c. de opsporing en vervolging van strafbare feiten;

  • d. de betrekkingen van Nederland met andere staten en met internationale organisaties, en

  • e. een ernstige inbreuk van de persoonlijke levenssfeer.

• 3. Onze Ministers die het aangaat worden voorafgaand aan het besluit, bedoeld in het tweede lid, mede geadviseerd door een of meer vertegenwoordigers van betrokkenen die vitale infrastructuur beheren.

• 4. Indien Onze Ministers die het aangaat besluiten een onbekende kwetsbaarheid in een geautomatiseerd werk niet bekend te maken, wordt uiterlijk na een jaar opnieuw overwogen om de onbekende kwetsbaarheid alsnog bekend te maken. Het eerste tot en met derde lid zijn hierop van toepassing.

• 5. Bij of krachtens algemene maatregel van bestuur worden regels gesteld over:

  • a. de wijze waarop Onze Ministers die het aangaat worden ingelicht over een onbekende kwetsbaarheid;

  • b. de wijze waarop wordt overwogen of een onbekende kwetsbaarheid bekend gemaakt kan worden aan de producent of leverancier of aan betrokkenen die vitale infrastructuur beheren;

  • c. de wijze waarop Onze Ministers die het aangaat worden geadviseerd als bedoeld in het derde lid;

  • d. de wijze van bekendmaking aan de producent of leverancier van het geautomatiseerd werk of aan betrokkenen die vitale infrastructuur beheren, en

  • e. de zwaarwegende belangen die in weg staan aan deze bekendmaking.

Artikel 3

• 1. Indien een bestuursorgaan voor het binnendringen van een geautomatiseerd werk gebruik zal maken van een aan te kopen technisch hulpmiddel, waarvan aannemelijk is dat dit hulpmiddel gebaseerd is op een onbekende kwetsbaarheid, wordt het voornemen tot deze aankoop ter instemming voorgelegd aan Onze Ministers die het aangaat.

• 2. Bij of krachtens algemene maatregel van bestuur worden regels gesteld over het aankopen van technische hulpmiddelen waarvan aannemelijk is dat deze zijn gebaseerd op onbekende kwetsbaarheden.

Artikel 4

De voordracht voor een krachtens artikel 2, vijfde lid, of artikel 3, tweede lid, vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide Kamers der Staten-Generaal is overgelegd.

Artikel 5

In artikel 97, derde lid, van de Wet op de inlichtingen- en veiligheidsdiensten 2017 wordt onder de vervanging van de punt aan het slot van onderdeel d door een puntkomma een onderdeel toegevoegd, luidende:

• e. het toezicht op de rechtmatigheid van de uitvoering van hetgeen bij of krachtens de Wet Zerodays Afwegingsproces is gesteld.

Artikel 6

In artikel 1 van bijlage 2 van de Algemene wet bestuursrecht wordt in de alfabetische rangschikking ingevoegd:

Wet Zerodays Afwegingsproces.

Artikel 7

Onze Minister van Justitie en Veiligheid zendt in overeenstemming met Onze Ministers die het mede aangaat binnen vijf jaar na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag over de doeltreffendheid en de effecten van deze wet in de praktijk.

Artikel 8

Deze wet treedt in werking op een bij koninklijk besluit te bepalen tijdstip.

Artikel 9

Deze wet wordt aangehaald als: Wet Zerodays Afwegingsproces.

Lasten en bevelen dat deze in het Staatsblad zal worden geplaatst en dat alle ministeries, autoriteiten, colleges en ambtenaren die zulks aangaat, aan de nauwkeurige uitvoering de hand zullen houden.

Gegeven

De Minister van Justitie en Veiligheid,

De Minister van Defensie,

De Minister van Binnenlandse Zaken en Koninkrijksrelaties,

De Minister van Economische Zaken en Klimaat,