26 643 Informatie- en communicatietechnologie (ICT)

Nr. 936 BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 10 november 2022

Met deze brief wordt uw Kamer geïnformeerd over het afronden van het onderzoek rondom de hack op ID-ware, een bedrijf dat diensten levert voor de Rijkspasvoorziening en voor beheer van toegangspassen voor de Eerste Kamer en Tweede Kamer.

Eerder heb ik u per brief geïnformeerd dat de hack heeft plaatsgevonden en dat hierbij een grote hoeveelheid bestanden zijn buitgemaakt (Kamerstuk 26 643, nr. 921). Om duidelijkheid te verschaffen over de gevolgen van het datalek voor pasgebruikers en de beveiliging van gebouwen is nader onderzoek uitgevoerd. Ten tijde van de eerste brief was al duidelijk dat een aantal persoonsgegevens van medewerkers van Rijksoverheid zijn gelekt. De gegevens zijn via een website op het z.g. darkweb gepubliceerd.

Het onderzoek bij ID-ware is afgerond. De actuele status is als volgt:

• Het aantal van 3500 medewerkers van Rijksoverheid waarvan persoonsgegevens uit de thuisbezorgservice zijn gelekt is naar beneden bijgesteld tot bijna 3200. Deze medewerkers zijn geïnformeerd. Het gaat betreft hierbij naam, rijkspasnummer en paraaf van de getroffen personen.

• Van ongeveer 1300 pasgebruikers van Tweede en/of Eerste Kamer is nu bevestigd dat hun persoonsgegevens zijn gelekt via logbestanden die op de getroffen opslagserver stonden. De betreffende pasgebruikers zijn door de Tweede Kamer en/of de Eerste Kamer persoonlijk geïnformeerd.

• Er zijn uit het onderzoek geen nieuwe feiten naar boven gekomen die gevolgen hebben voor de beveiliging van gebouwen.

• Het NCSC heeft steekproefsgewijs onderzoek naar de dataset gedaan. Dit onderzoek richtte zich m.n. naar het type data in de set.

Hoewel de gevolgen van deze datalekken voor de pasgebruikers waarschijnlijk beperkt zijn, wil ik nogmaals benadrukken dat ik dit incident zeer betreur, en ook de mogelijke gevolgen voor de betrokken personen.

Maatregelen

Van de datalekken zijn door zowel ID-ware als Rijkspasbeheer, Eerste en Tweede Kamer een melding gedaan bij de Autoriteit Persoonsgegevens. De personen waarvan bevestigd is dat hun gegevens betrokken zijn bij dit lek zijn persoonlijk op de hoogte gebracht.

De interne systemen van Rijkspas, Tweede Kamer en Eerste Kamer zijn niet geraakt door de hack. De verbindingen tussen de systemen en de systemen van ID-ware worden gemonitord.

ID-ware geeft aan dat zij maatregelen heeft getroffen om herhaling te voorkomen en te monitoren dat dit niet gebeurt en deze aanpak ook gedeeld met de betrokken partijen. CISO Rijk zal samen met BVA Rijk en Rijkspasbeheer samenwerken om te zich vergewissen dat de maatregelen en procedures nu en in de toekomst adequaat zijn voor de taak die ID-ware uitvoert.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties, A.C. van Huffelen