35 257 Voorstel van wet van het lid Verhoeven houdende een regeling voor een afwegingsproces voor het gebruik van kwetsbaarheden in geautomatiseerde werken door de overheid (Wet Zerodays Afwegingsproces)

Nr. 5 VOORSTEL VAN WET ZOALS GEWIJZIGD NAAR AANLEIDING VAN HET ADVIES VAN DE AFDELING ADVISERING VAN DE RAAD VAN STATE

Wij Willem-Alexander, bij de gratie Gods, Koning der Nederlanden, Prins van Oranje-Nassau, enz. enz. enz.

Allen, die deze zullen zien of horen lezen, saluut! doen te weten:

Alzo Wij in overweging genomen hebben, dat het wenselijk is om elk gebruik van kwetsbaarheden in geautomatiseerde werken door de overheid af te wegen of de kwetsbaarheid gemeld moet worden aan de producent of leverancier;

Zo is het, dat Wij, de Afdeling advisering van de Raad van State gehoord, en met gemeen overleg der Staten-Generaal, hebben goedgevonden en verstaan, gelijk Wij goedvinden en verstaan bij deze:

Artikel 1

In deze wet wordt verstaan onder:

a. onbekende kwetsbaarheid:

een kwetsbaarheid in een geautomatiseerd werk die kan worden gebruikt om dat geautomatiseerde werk binnen te dringen en waarvan het aannemelijk is of verondersteld kan worden dat die niet bekend is bij de producent of leverancier;

b. het afwegingsorgaan:

het orgaan, bedoeld in artikel 2, eerste lid.

Artikel 2

• 1. Onze Minister van Justitie en Veiligheid wijst een orgaan aan dat tot taak heeft afwegingen te maken omtrent de bekendmaking van onbekende kwetsbaarheden.

• 2. Bij algemene maatregel van bestuur kunnen regels worden gesteld over de inrichting en samenstelling van het afwegingsorgaan.

Artikel 3

• 1. Indien een bestuursorgaan voor het binnendringen van een geautomatiseerd werk gebruik zal maken van een onbekende kwetsbaarheid, wordt deze kwetsbaarheid bekend gemaakt aan de producent of leverancier van het geautomatiseerd werk.

• 2. Het afwegingsorgaan kan besluiten een onbekende kwetsbaarheid niet bekend te maken dan wel alleen bekend te maken aan betrokkenen die vitale infrastructuur beheren. Hierbij worden in ieder geval de volgende belangen overwogen:

  • a. de veiligheid van de Staat;

  • b. de economische en financiële belangen van de Staat;

  • c. de opsporing en vervolging van strafbare feiten;

  • d. de betrekkingen van Nederland met andere staten en met internationale organisaties, en

  • e. een ernstige inbreuk van de persoonlijke levenssfeer.

• 3. Het afwegingsorgaan wordt voorafgaand aan het besluit, bedoeld in het tweede lid, mede geadviseerd door een of meer vertegenwoordigers van betrokkenen die vitale infrastructuur beheren.

• 4. Indien het afwegingsorgaan besluit een onbekende kwetsbaarheid in een geautomatiseerd werk niet bekend te maken, wordt uiterlijk na een jaar opnieuw overwogen om de onbekende kwetsbaarheid alsnog bekend te maken. Het eerste tot en met derde lid zijn hierop van toepassing.

• 5. Bij of krachtens algemene maatregel van bestuur worden regels gesteld over:

  • a. de wijze waarop het afwegingsorgaan wordt ingelicht over een onbekende kwetsbaarheid;

  • b. de wijze waarop wordt overwogen of een onbekende kwetsbaarheid bekend gemaakt kan worden aan de producent of leverancier of aan betrokkenen die vitale infrastructuur beheren;

  • c. de wijze waarop het afwegingsorgaan wordt geadviseerd als bedoeld in het derde lid;

  • d. de wijze van bekendmaking aan de producent of leverancier van het geautomatiseerd werk of aan betrokkenen die vitale infrastructuur beheren, en

  • e. de zwaarwegende belangen die in weg staan aan deze bekendmaking.

Artikel 4

• 1. Indien een bestuursorgaan voor het binnendringen van een geautomatiseerd werk gebruik zal maken van een aan te kopen technisch hulpmiddel, waarvan aannemelijk is dat dit hulpmiddel gebaseerd is op een onbekende kwetsbaarheid, wordt het voornemen tot deze aankoop ter instemming voorgelegd aan het afwegingsorgaan.

• 2. Bij of krachtens algemene maatregel van bestuur worden regels gesteld over het aankopen van technische hulpmiddelen waarvan aannemelijk is dat deze zijn gebaseerd op onbekende kwetsbaarheden.

Artikel 5

De voordracht voor een krachtens artikel 2, tweede lid, artikel 3, vijfde lid, of artikel 4, tweede lid, vast te stellen algemene maatregel van bestuur wordt niet eerder gedaan dan vier weken nadat het ontwerp aan beide Kamers der Staten-Generaal is overgelegd.

Artikel 6

In artikel 97, derde lid, van de Wet op de inlichtingen- en veiligheidsdiensten 2017 wordt onder de vervanging van de punt aan het slot van onderdeel d door een puntkomma een onderdeel toegevoegd, luidende:

• e. het toezicht op de rechtmatigheid van de uitvoering van hetgeen bij of krachtens de Wet Zerodays Afwegingsproces is gesteld.

Artikel 7

In artikel 1 van bijlage 2 van de Algemene wet bestuursrecht wordt in de alfabetische rangschikking ingevoegd:

Wet Zerodays Afwegingsproces.

Artikel 8

Onze Minister van Justitie en Veiligheid zendt in overeenstemming met Onze Ministers die het mede aangaat binnen vijf jaar na de inwerkingtreding van deze wet aan de Staten-Generaal een verslag over de doeltreffendheid en de effecten van deze wet in de praktijk.

Artikel 9

Deze wet treedt in werking op een bij koninklijk besluit te bepalen tijdstip.

Artikel 10

Deze wet wordt aangehaald als: Wet Zerodays Afwegingsproces.

Lasten en bevelen dat deze in het Staatsblad zal worden geplaatst en dat alle ministeries, autoriteiten, colleges en ambtenaren die zulks aangaat, aan de nauwkeurige uitvoering de hand zullen houden.

Gegeven

De Minister van Justitie en Veiligheid,

De Minister van Defensie,

De Minister van Binnenlandse Zaken en Koninkrijksrelaties,

De Minister van Economische Zaken en Klimaat,