4 Vragenuur: Vragen Gesthuizen

Vragen van het lid Gesthuizen aan de minister van Veiligheid en Justitie over de handel in veiligheidslekken en de antwoorden op eerdere schriftelijke vragen over het gebruik van omstreden spionagesoftware door de politie. 

Mevrouw Gesthuizen (SP):

Voorzitter. Afgelopen zondag en zaterdag berichtten het radioprogramma Argos en het televisieprogramma Tegenlicht over de handel in veiligheidslekken. Voor een heleboel mensen die deze programma's hebben gevolgd, zal er een wereld open zijn gegaan. Naar aanleiding van alles wat wij in die reportages te horen hebben gekregen — wat ook mij bijzonder verontrustte — stellen wij een aantal vragen aan de minister van Veiligheid en Justitie. 

Om met de deur in huis te vallen: heeft het leger zulke lekken? Heeft het leger zulke software? Dat leek men te kunnen opmaken uit de woorden van kolonel Folmer, die te zien was in Tegenlicht. 

Bestaan die lekken ook bij de politie? Dat meende ik te kunnen opmaken uit de antwoorden van de minister op mijn eerdere vragen over FinFischer. Hebben andere diensten deze software? Handelt de Nederlandse overheid in dit soort lekken? Koopt of verkoopt de Nederlandse overheid dit soort lekken? Van wie dan en voor hoeveel geld? Kan de minister reageren op de uitlatingen in de media dat de Nederlandse overheid op deze manier het internet bewust onveilig houdt? Er zijn lekken geconstateerd die niet worden gedicht. De producent van de software wordt niet gewaarschuwd. De overheid gebruikt ze om te kunnen spioneren of om burgers in de gaten te kunnen houden. 

In Tegenlicht kwamen diverse mensen aan het woord die zeiden dat dit legale handel is. Dit is toch wel curieus. Een hacker beweerde: als een staat mijn werk inzet om bijvoorbeeld burgers om te brengen, met doden tot gevolg, is dat niet mijn verantwoordelijkheid. Ik ben het daarmee hartgrondig oneens. Hoe ziet de minister dit? Op basis van deze redenering zou je ook wapenhandel volledig vrij kunnen geven, zowel nationaal als internationaal. Zou het wenselijk zijn om deze handel legaal te laten voortbestaan en ziet de minister mogelijkheden om dit te reguleren? Dit zou dan uiteraard internationaal moeten gebeuren. Wordt dit een onderwerp tijdens de cyberspaceconferentie volgend jaar? 

Tot slot, valt dit soort software onder het Wassenaar Arrangement, omdat het waarschijnlijk om dual-use-zaken gaat? 

Minister Opstelten:

Voorzitter. Ik dank mevrouw Gesthuizen voor de gestelde vragen. Ik wil graag de antwoorden geven op deze vragen naar aanleiding van de uitzending. Over de eerste vraag over defensie kan ik hier geen uitspraken doen, gelet op mijn verantwoordelijkheden. Ten aanzien van de diensten, de AIVD en de MIVD, worden daarover in het openbaar ook geen uitspraken gedaan. Over de politie kan ik nee zeggen. De politie valt volledig onder mijn verantwoordelijkheid. De politie beschikt hier niet over. Op de vraag of andere diensten deze software hebben, heb ik net al antwoord gegeven. Over de werkwijze van de AIVD en de MIVD doe ik, in het belang van de veiligheid, in het openbaar geen uitspraken. De politie en het OM handelen niet in deze lekken, noch kopen ze. Over de veiligheidsdiensten kan ik daarover geen uitspraken doen. 

Ik denk dat ik in zijn algemeenheid kan zeggen dat wie technische kennis heeft, kwetsbaarheden in software kan ontdekken. Kennis als zodanig is van belang om software veiliger te maken en is als zodanig overdraagbaar. Dit is legaal. Producenten van software zijn daarom vaak bereid om voor die kennis te betalen. Dat is duidelijk. De verkoop van deze kennis is niet verboden, maar is juist nodig om de digitale wereld veiliger te maken. Ons Nationaal Cyber Security Centrum werkt hieraan mee. Met betrouwbare ethische hackers worden combinaties gemaakt, bijvoorbeeld via bedrijven en soms ook naar gemeenten om die verbanden te leggen. 

Waar de handel in kwetsbaarheden zelf niet strafbaar is, is het treffen van voorbereiding voor het begaan van strafbare feiten dit wel. Ik wijs vanzelfsprekend — u herkent dat natuurlijk direct — naar artikel 139 van het Wetboek van Strafrecht. 

De voorzitter:

Dank u wel. Dank u wel. 

Minister Opstelten:

Om alle vragen te beantwoorden — het waren er zeven en die moeten een antwoord krijgen; die radio-uitzending was trouwens heel wat langer ... 

De voorzitter:

U had eigenlijk twee minuten voor deze antwoorden, dus ik geef nu het woord aan mevrouw Gesthuizen. U kunt de andere vragen in tweede termijn meenemen. 

Minister Opstelten:

Oké. Internet is per definitie internationaal. 

De voorzitter:

Ik geef het woord aan mevrouw Gesthuizen. 

Mevrouw Gesthuizen (SP):

De minister en ik vinden elkaar op dat laatste punt: internet is inderdaad per definitie internationaal. Ik ben echter wat minder te spreken over de andere uitspraken van de minister. Zo gauw het om cyber, internet, software of lekken gaat, wordt er gezegd: daar kunnen we niets over zeggen. Dat vind ik gek. Dat zou hetzelfde zijn als wanneer de minister van Defensie zou zeggen dat zij ons niet gaat vertellen hoeveel F-16's of tanks Nederland heeft. De minister slaat hier de plank volledig mis. Ik wil wél weten hoe het zit. Ik hoef niet te weten wat voor lekken het zijn en ik hoef ook niet te weten in welke software ze zitten, maar ik wil weten of de Nederlandse overheid meedoet aan deze handel. 

Tot slot, want ik moet waarschijnlijk ook alweer afronden, heb ik nog één punt. De minister zegt dat dit volledig legaal is. Ik kan me daar van alles bij voorstellen als je als al dan niet ethische hacker een lek meldt aan de fabrikant van de software. Maar als je dat niet doet en je probeert er tienduizenden of honderdduizenden euro's voor te vangen op de internationale markt, dan plaats ik daar op zijn minst vraagtekens bij. Dat brengt burgers en overheden namelijk in gevaar. Ik kan me dus voorstellen dat de minister dat antwoord toch enigszins zou willen herzien. 

Minister Opstelten:

Nee, dat niet. Een van de eerste punten geldt ten volle voor alles, namelijk dat we daar geen mededelingen over doen. In mijn verantwoordelijkheid voor de politie en het Openbaar Ministerie heb ik gezegd dat het antwoord niet helderder kan. Als je die kennis echter gebruikt om strafbare feiten voor te bereiden, komt het natuurlijk wel aan de orde en dan heb je ook met het strafrecht te maken, namelijk met artikel 125i uit het Wetboek van Strafvordering. 

Ik wil toch nog even ingaan op het internationale aspect van het internet, want daar heeft mevrouw Gesthuizen vragen over gesteld. Ik vind dit een onderwerp dat in het brede kader van cyberspace thuishoort, en dus ook internationaal aan de orde is en blijft. 

Dan nog even ten aanzien van het Wassenaar Arrangement. Ik ken verschillende Wassenaar Arrangementen, maar in dit geval kan ik zeggen dat voor bepaalde vormen van software, zoals sommige encryptiesoftware, een exportcontroleregime geldt. Kwetsbaarheden vallen in beginsel niet onder een exportcontroleregime. In die zin heb ik dit beoordeeld op de heel korte termijn dat ik daar de tijd voor kreeg. 

Mevrouw Gesthuizen (SP):

Volgens mij geeft dit aanleiding tot verdere discussie. Ik krijg in ieder geval geen antwoord op mijn eerdere vragen. Ik hecht er zeer aan om daar wel over geïnformeerd te worden. Ik ben blij dat de minister zegt dat dit wel in het brede kader omtrent cyberspace past. Ik ga er dus maar van uit dat dit inderdaad een onderwerp zal zijn op de cyberspaceconferentie die Nederland volgens mij komend jaar mag gaan organiseren. 

Dan kom ik bij het laatste antwoord van de minister, over het Wassenaar Arrangement. Ik bedoel uiteraard niet het Wassenaar Agreement, maar het Wassenaar Arrangement waarbij landen zich hebben gecommitteerd aan afspraken over wapenexport en dual-use goederen. Het zou mij zeer verbazen als dit er niet onder valt. Of je het nu hebt over software of over lekken in software, als zulke zaken zowel civiel als militair ingezet kunnen worden, moet je daar volgens mij wel afspraken over maken. 

Minister Opstelten:

Dat was de laatste vraag die ik kreeg. Daar verschillen we dan van mening over. We blijven dat natuurlijk bekijken. In beginsel valt het niet onder het Wassenaar Arrangement. 

De voorzitter:

Dank u wel voor uw antwoorden. U mag nog even blijven want ook de volgende mondelinge vraag is voor u. Ook zie ik dat mevrouw Oosenbrug nog een vervolgvraag heeft. 

Mevrouw Oosenbrug (PvdA):

In de veilige digitale wereld die we met z'n allen proberen te promoten, horen lekken eigenlijk helemaal niet thuis. In aansluiting daarop hebben we natuurlijk al het een en ander aan discussie gehad over de Wet computercriminaliteit III. Ik ben eigenlijk wel benieuwd wanneer we dat wetsvoorstel in de Kamer kunnen verwachten, want dan kunnen we de ethische discussie daarover voortzetten. Heeft de minister daar al zicht op? 

Minister Opstelten:

Mevrouw Oosenbrug vraagt naar de stand van zaken omtrent de Wet computercriminaliteit III. Dat is weer een ander onderwerp. Ik moet dat even precies nagaan, want ik heb nu niet de exacte data in mijn hoofd. Wat ons betreft komt die informatie zo snel mogelijk. 

De voorzitter:

Kunt u de exacte data dan op de kortst mogelijke termijn per brief naar de Kamer sturen? 

Minister Opstelten:

Jazeker. Maar ik blijf hier ook voor de volgende vraag, dus misschien is het wel mogelijk om het antwoord dan al impliciet te geven. 

De voorzitter:

Dat lijkt mij een beetje verwarrend. Als u de antwoorden deze week schriftelijk kunt toesturen, zijn wij zeer blij. 

Minister Opstelten:

Daar komt het antwoord al. Ik dacht het al, maar wilde er precies in zijn: het zal rond de jaarwisseling zijn, dus eind dit jaar of begin volgend jaar. Ik heb het kerstreces echt nog even nodig om er de laatste hand aan te leggen. 

De voorzitter:

Dat was een heel precies antwoord. Dank u. 

De heer Van Raak (SP):

De minister wil niks zeggen over het functioneren van de geheime diensten AIVD en MIVD. Dat snap ik en daarom heb ik een vraag over de wet. Is het de AIVD en MIVD wettelijk verboden om veiligheidslekken te kopen en daarvan gebruik te maken? 

Minister Opstelten:

Het antwoord daarop is "nee". Ik heb dat impliciet ook gezegd. Het is legaal om dat te doen en dat alles valt ook binnen de kaders van de wet. Het is kennis en sommige bedrijven vinden het belangrijk om te weten waar sprake is van onvolkomenheden. Dat is geld waard; het is een economisch goed. Het is dus niet verboden, maar of je er gebruik van maakt, is een tweede. Ik kan alleen zeggen dat de politie er geen gebruik van maakt.