30 821 Nationale Veiligheid

Nr. 239 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 27 september 2024

Met deze brief informeer ik uw Kamer over een casus waarin het Nationaal Cybersecurity Centrum (NCSC) informatie heeft gedeeld met een aantal landen. Het gaat hier om informatie over computersystemen waar een Chinese statelijke actor toegang tot heeft gekregen voor spionagedoeleinden.1 Met deze informatie zijn deze landen in staat gesteld om maatregelen te nemen tegen deze cyberaanval. De informatie is ook gedeeld met de nationale computercrisisteams van vier niet-EU-landen: Canada, Japan, het Verenigd Koninkrijk en de Verenigde Staten. Het NCSC heeft echter geen wettelijke grondslag om dergelijke informatie met deze vier landen te delen. Daarom stel ik uw Kamer daarvan op de hoogte, gekoppeld aan de maatregelen die ik heb ingesteld om dit in de toekomst te voorkomen.

Aanleiding

U bent door de Minister van Defensie op 6 februari 2024 geïnformeerd over de onderkende Chinese spionagecampagne bij Defensie.1 Op deze datum is tevens een rapport van de Militaire Inlichtingen- en Veiligheidsdienst (MIVD), de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) en het NCSC gepubliceerd over deze geavanceerde Chinese malware.2 Deze zogenaamde COATHANGER-campagne, maakt gebruik van een kwetsbaarheid in FortiGate-systemen en is aangetroffen op een losstaand Defensie-netwerk. Op 10 juni 2024 is nogmaals aandacht gevraagd voor deze spionagecampagne met een nieuwsbericht uitgebracht door MIVD, AIVD en NCSC en is bekend gemaakt dat deze statelijke actor zowel in 2022 als in 2023 binnen enkele maanden toegang heeft verkregen tot ten minste 20.000 FortiGate-systemen wereldwijd.3

De MIVD heeft op verzoek van het NCSC lijsten opgesteld met IP-adressen van FortiGate-systemen waar de statelijke actor zich (mogelijk) toegang tot verschaft heeft. Deze informatie is gedeeld met het NCSC met als doel om de slachtoffers te informeren zodat zij adequate tegenmaatregelen kunnen nemen. Het is gebruikelijk dat nationale computercrisisteams, zoals het NCSC in Nederland, elkaar informeren wanneer zij op de hoogte zijn van kwetsbare of gecompromitteerde systemen binnen hun doelgroep. Om die reden heeft het NCSC lijsten met voor deze landen gerelateerde IP-adressen gedeeld, waarbij elk land enkel de voor hen relevante IP-adressen heeft ontvangen. Naast het delen van deze informatie met landen binnen de EU waarvoor een wettelijke grondslag bestaat, is deze informatie ook gedeeld met vier landen buiten de EU waarvoor dat niet geldt.

Procedure binnen het NCSC

Voor het besluit tot het delen van (mogelijke) persoonsgegevens, zoals een IP-adres, of vertrouwelijke tot aanbieders herleidbare gegevens, hanteert het NCSC processen om dit zorgvuldig en rechtmatig te doen. Hierbij wordt gekeken of de informatie gedeeld kan worden met een specifiek belanghebbende binnen het wettelijk kader van het NCSC of door een andere partij met de juiste bevoegdheid. In het geval dat hierover twijfel bestaat of wanneer dit niet kan, maar er zwaarwegende uitzonderlijke (cyber)risico’s zijn, wordt over het eventuele vervolg hierop advies gevraagd aan juristen en bestuurlijk adviseurs van NCSC en NCTV. In dit geval is deze procedure zoals boven aangegeven niet gevolgd. Dat heeft te maken met de hieronder genoemde urgentie en context waarbinnen deze informatiedeling heeft plaats gevonden.

Context bij deling informatie

De ernst van de Chinese cyberspionagecampagne is de reden geweest dat het NCSC over is gegaan tot het delen van informatie met de relevante organisaties. Deze keuze om informatie te delen bleek naderhand zonder grondslag te zijn. De doelwitten bestaan uit onder meer tientallen (Westerse) overheden, internationale organisaties en een groot aantal bedrijven binnen de defensie-industrie. De campagne was zeer omvangrijk, met meer dan twintigduizend mogelijk compromitteerde systemen wereldwijd. Ook is de gebruikte spionagesoftware zeer moeilijk te onderkennen binnen een netwerk zonder precies te weten in welk systeem deze zich bevindt. Daarom is het verstrekken van specifieke IP-adressen noodzakelijk om adequate tegenmaatregelen te kunnen nemen, zoals in dit geval is gebeurd.

Juridisch kader

Het NCSC heeft op grond van artikel 3, eerste lid, Wet beveiliging netwerk- en Informatiesystemen (Wbni) primair tot taak om vitale aanbieders en rijksoverheidsorganisaties in Nederland bijstand te verlenen, waaronder het verstrekken van dreigings- of incidentinformatie (met inbegrip van bijvoorbeeld persoonsgegevens). Ook kan het NCSC andere organisaties informeren over dreigingen en incidenten bij genoemde vitale aanbieders en rijksoverheidspartijen in Nederland. Daarnaast heeft het NCSC op grond van artikel 3, tweede lid, Wbni de taak om dreigings- en incidentinformatie, die op systemen van andere organisaties dan de rijksoverheid of vitale aanbieders in Nederland ziet, te verstrekken aan onder de wet aangewezen (schakel)organisaties waarvan genoemde andere organisaties de achterban vormen. Aanvullend daarop geldt op grond van artikel 20, lid 2, Wbni dat bij verstrekking op basis van de in artikel 3 bedoelde taken vertrouwelijke tot aanbieders herleidbare gegevens slechts in beperkte kring kunnen worden verstrekt (CSIRTs van EU-lidstaten, inlichtingen- en veiligheidsdiensten, etc.).

In deze casus betroffen de IP-adressen, die met de computercrisisteams in niet-EU-landen zijn gedeeld, vertrouwelijke tot aanbieders herleidbare gegevens. Een IP-adres is een herleidbaar gegeven omdat het mogelijk is, via openbare informatie, te herleiden welke organisatie hieraan verbonden is. In dit geval is de informatie tevens vertrouwelijk omdat het informatie betreft over een incident. Daarnaast kan niet worden uitgesloten dat ook IP-adressen tot personen te herleiden zijn. Voor verstrekking van deze gegevens, in het geval van de computercrisisteams buiten de EU, is geen wettelijke basis, met name omdat deze niet bij of krachtens de Wbni zijn aangewezen als partijen waaraan op grond van voormelde artikelen 3 en 20 dergelijke informatie kan worden verstrekt. Conclusie is daarom dat de verstrekking van de IP-adressen aan de genoemde computercrisisteams buiten de EU zonder grondslag heeft plaatsgevonden. De gevolgtrekking van het niet uit kunnen sluiten of er sprake is van het lekken van persoonsgegevens maakt dat er sprake is van een datalek, dat gemeld is bij de Autoriteit Persoonsgegevens (AP).

Vervolg

Naar aanleiding van deze casus zijn binnen het NCSC extra waarborgen ingebouwd om te verzekeren dat de juiste procedures worden gevolgd. Dit behelst het verder aanscherpen van zowel technische als organisatorische maatregelen.

Het NCSC heeft haar werkproces voor informatiedeling aangescherpt. Ook zal het NCSC een opleidingstraject starten om de kennis van het handelings- en begrippenkader rondom informatiedeling doorlopend op peil te houden bij de verschillende organisatieonderdelen die hiermee te maken hebben tijdens werkzaamheden. Daarnaast is er een traject gestart voor het verbeteren van het proces met behulp van technische maatregelen, zoals het verbeteren van de geautomatiseerde registratie van feitelijke handelingen, het verbeteren van de vastlegging van besluitvorming en het verder structureren van overdrachtsvorming van cases tussen de verschillende functionarissen. Deze maatregelen worden geëvalueerd en zo nodig aangepast.

NIS2

Het wettelijk kader waarbinnen het NCSC opereert zal binnenkort wijzigen als gevolg van de Nederlandse implementatie van de herziene netwerk- en informatiebeveiligingsrichtlijn (NIS2-richtlijn) via het wetsvoorstel voor de Cybersecuritywet (Cbw), die voor de zomer in consultatie is geweest. De NIS2-richtlijn biedt aan lidstaten meer mogelijkheden om informatie met landen buiten de EU te delen. Het werkproces en het kader zullen door het NCSC aan de nieuwe wetgeving worden aangepast.

De Minister van Justitie en Veiligheid, D.M. van Weel

Naar boven