5 Vragenuur: Vragen Van der Lee

Vragen van het lid Van der Lee aan de staatssecretaris van Economische Zaken en Klimaat over het bericht dat van de naar schatting ruim 500.000 websites van het mkb die privacygevoelige informatie verwerken, driekwart kwetsbaar is voor digitale inbraak.

De voorzitter:

Dan geef ik nu het woord aan de heer Van der Lee voor zijn vragen aan de staatssecretaris van Economische Zaken en Klimaat, die ik ook van harte welkom heet, over de kwetsbaarheid van websites van het midden- en kleinbedrijf die privacygevoelige informatie verwerken. Het woord is aan de heer Van der Lee namens GroenLinks.

De heer Van der Lee (GroenLinks):

Dank u wel, voorzitter. Afgelopen vrijdag publiceerde de Volkskrant op verzoek van Dataprovider hun analyse over de kwaliteit en de databeveiliging van websites van het midden- en kleinbedrijf. Daaruit bleek dat 350.000 websites in Nederland kwetsbaar zijn voor digitale inbraak. Eén op de vier van deze sites loopt zelfs het risico dat kwaadwillenden rechtstreeks toegang krijgen tot de database met alle klantgegevens.

Nu sinds kort de scherpere Europese privacywet, de Algemene verordening gegevensbescherming, ook in Nederland van kracht is geworden, hebben we hier dus met een fors probleem te maken. Daar waar grotere bedrijven al langer bezig zijn zich voor te bereiden op de AVG en hun cyberbeveiliging hebben verbeterd, zullen kwaadwillenden nog meer de neiging hebben om kleinere en middelgrote bedrijven op te zoeken en die leeg te plunderen als het om data gaat. Denkt de staatssecretaris dat zij en het midden- en kleinbedrijf in voldoende mate de omvang en de urgentie van dit vraagstuk zien? Functioneert de recent ingestelde MKB Servicedesk al naar behoren? Doet de desk al meer dan hulp bieden bij het maken van een veiligheidsscan? Zijn er al concrete resultaten te melden?

Het kabinet heeft ervoor gekozen om in de handhaving van de nieuwe AVG in te zetten op het zogenaamde hulpvaardige handhaven. Dat wil eigenlijk zeggen: we leggen geen boete op, als je maar kunt aantonen dat je bezig bent om je databeveiliging te verbeteren. Is deze combinatie van servicedesk en hulpvaardige handhaving wel afdoende om tijdig de beveiliging van die 350.000 websites op orde te brengen? Wat is dan tijdig? Kan de staatssecretaris daar ook een antwoord op geven?

Tot slot: is het niet noodzakelijk om de introductie van een nationaal keurmerk voor cyberveiligheid voor te bereiden, zodat er een heldere standaard in de markt wordt gezet waar webbouwers zich aan te houden hebben en zodat je als zakelijke klant ook weet dat die nieuwe website voldoet aan de eisen die de AVG tegenwoordig stelt? Ik zie uit naar de beantwoording.

De voorzitter:

Het woord is aan de staatssecretaris.

Staatssecretaris Keijzer:

Dank u wel, voorzitter. Zoals gezegd door de heer Van der Lee verscheen op 1 juni in de Volkskrant het bericht dat veel websites van het midden- en kleinbedrijf nog slecht beveiligd zouden zijn. Hij vroeg mij of we weten dat dit probleem er is. Onveilige websites bij het midden- en kleinbedrijf zijn een ernstig probleem en zeker niet onbekend bij ons. Het is alleen wel zo dat het midden- en kleinbedrijf natuurlijk vooral in eerste instantie zelf verantwoordelijk is voor de eigen digitale veiligheid, maar omdat je het meestal hebt over kleinere bedrijven trek ik mij dit probleem wel aan en probeer ik binnen de mogelijkheden die ik heb, het midden- en kleinbedrijf te ondersteunen bij het verbeteren van die digitale veiligheid.

Om hier handen en voeten aan te geven, is in het najaar van 2017 besloten om het Digital Trust Centre op te richten. Dat heeft een aantal taken. De eerste is natuurlijk het vergroten van het bewustzijn bij bedrijven over kwetsbaarheden en het bieden van een concreet handelingsadvies. Dank aan de heer Van der Lee voor het stellen van deze vragen, want het is natuurlijk een perfect moment om toch een beetje over uw hoofden heen over dit onderwerp te vertellen aan mensen die thuis zitten te luisteren of hier op de publieke tribune zitten die in hun familie een midden- en kleinbedrijf hebben. Ik kan hen daarvan bewust maken door hier nog eens te vertellen over dat Digital Trust Centre. Een nieuwtje voor u allemaal is dat aanstaande vrijdag de website online gaat, zodat mensen ook de informatie kunnen vinden. Het Digital Trust Centre heeft twee doelen: zorgen dat basismaatregelen voor veilig digitaal ondernemen beschikbaar zijn en zorgen dat de samenwerkingsverbanden binnen bedrijven gestimuleerd worden. Dat is bijvoorbeeld al in Eindhoven gebeurd. Zoals ik eerder heb gezegd, kom ik voor de zomer met een brief waarin ik nader inga op de vormgeving van dit Digital Trust Centre.

De heer Van der Lee (GroenLinks):

Dank voor dit antwoord. Fijn dat er weer een website de lucht in gaat. Ik hoop trouwens dat die beveiligd is. Maar ik zou toch ook graag van de staatssecretaris willen weten op welke termijn zij denkt met deze inspanningen erin te slagen om die sites beveiligd te krijgen. Om dat ook voor de toekomst te verzekeren, wil ik graag haar reactie op mijn voorstel dat het kabinet gaat werken aan de introductie van een nationaal keurmerk voor cyberveiligheid, zodat het voor ondernemers straks duidelijk is dat de nieuwe website die zij kopen, voldoet aan alle eisen.

Staatssecretaris Keijzer:

Dit onderwerp is op zichzelf al geregeld, maar het wordt anders genoemd. In het Burgerlijk Wetboek is opgenomen dat datgene wat geleverd wordt, moet voldoen aan de conformiteitsplicht. Dat betekent gewoon dat een website veilig moet zijn. Maar waar heb je het dan over? Dan heb je het bijvoorbeeld over een rapport dat de Cyber Security Raad al aan mijn voorganger heeft aangeboden, waarin omschreven staat wat die zorgplicht dan betekent. Ook zijn er inmiddels veilige standaarden beschikbaar voor veilige internetverbindingen, veilige e-mail en encryptie. Hierdoor realiseren brancheverenigingen in deze sector zich dat het bouwen van een website of het helpen van een bedrijf met het voorzien van digitaal ondernemen niet iets vrijblijvends is, maar ook moet voldoen aan die desbetreffende standaarden. Op de vraag of ik een tijdstip kan noemen wanneer dit allemaal geregeld is, zeg ik: ik zou dat graag willen, maar ik ben begonnen met te zeggen dat het hierbij om ondernemingen gaat die er ook een eigen verantwoordelijkheid in hebben. Ik probeer er alles aan te doen om hen erbij te helpen, maar uiteindelijk moeten zij zorgen dat zij hun zaakjes op orde hebben en dat hun klanten, burgers die bijvoorbeeld informatie geven over wat ze daar kopen en hun telefoonnummer en hun e-mailadres geven, weten dat het veilig is.

De heer Van der Lee (GroenLinks):

Nog een vervolgvraag. Op zich is er van alles, maar dat is ook gelijk het probleem. Er is geen heldere standaard en een helder keurmerk dat ook gehandhaafd wordt en waarop getoetst wordt. Ik wil de staatssecretaris aanbevelen om dit prioriteit te geven in de nationale digitale strategie waar zij aan werkt en ervoor te zorgen dat we in Nederland dit keurmerk krijgen, zodat iedereen ook zekerheid heeft dat websites voldoen aan eisen. Het gaat niet alleen om instructies geven over wat er allemaal kan, want dat is al genoeg beschikbaar.

Staatssecretaris Keijzer:

Het gaat niet alleen over wat kan, maar ook over wat moet, om ervoor te zorgen dat datgene wat een ICT-bedrijf levert aan het midden- en kleinbedrijf ook voldoet aan de standaarden die ervoor zijn. Als de heer Van der Lee vraagt of die standaarden er zijn, zeg ik: ja, die zijn er. Er zijn bijvoorbeeld standaarden waaraan veilige internetverbindingen moeten voldoen, maar de verantwoordelijkheid daarvoor ligt wel bij de desbetreffende bedrijven en brancheverenigingen.

De voorzitter:

Dank u wel. De heer Koopmans, VVD.

De heer Koopmans (VVD):

De minister voor Rechtsbescherming heeft een tijdje terug een motie die in de Kamer breed werd gedragen overgenomen. Deze ging over een snelle evaluatie, eind dit jaar al, over de eerste ervaringen met de AVG. We hebben allemaal regels over hoe je data kan opslaan. De staatssecretaris heeft het met de heer Van der Lee over het belangrijke punt hoe je die kan beveiligen. Is de staatssecretaris bereid om met deze ervaringen bij te dragen aan die evaluatie die haar collega, de minister voor Rechtsbescherming, dus aan het eind van dit jaar zal ondernemen?

Staatssecretaris Keijzer:

Ik moet even op zoek naar die overgenomen motie en naar wat daarin staat, maar ik ben uiteraard bereid om in overleg te treden met mijn collega van JenV, om te bezien of het werk dat ik doe met het Digital Trust Centre al voldoende gevorderd is zodat ik kan bijdragen aan die evaluatie. Dat hoort u dan te zijner tijd van de minister van JenV.

De heer Verhoeven (D66):

Ik luisterde met interesse naar de vragen van de heer Van der Lee en de antwoorden van de staatssecretaris. Op een gegeven moment ging het over een keurmerk. Ik vond het op zich wel begrijpelijk dat de staatssecretaris zei dat er al iets vergelijkbaars is, maar toen moest ik ineens denken aan het Keurmerk Veilig Ondernemen, dat er is voor de fysieke veiligheid van winkels. Winkels kunnen hulp aanvragen bij de overheid om zichzelf beter te beveiligen. Zou er in de toekomst ook een soort digitaal keurmerk veilig ondernemen kunnen komen, dat een beetje zit tussen het idee van Van der Lee en hetgeen de staatssecretaris zei?

Staatssecretaris Keijzer:

Een interessant idee. Zoals de Kamer weet, ben ik bezig met de actieagenda midden- en kleinbedrijf. Staat u het mij toe om daar even over na te denken en op dat moment daarop terug te komen.

De voorzitter:

Dank u wel. Daarmee zijn we aan het eind gekomen van dit vragenuur. Ik schors de vergadering tot 15.00 uur. Dan beginnen we met de beëdiging van de heer Kerstens, daarna volgt het afscheid van mevrouw Voortman en daarna de stemmingen.

De vergadering wordt van 14.54 uur tot 15.01 uur geschorst.