30 517 Evaluatie van hoofdstuk 13 van de Telecommunicatiewet

Nr. 29 BRIEF VAN DE MINISTER VAN VEILIGHEID EN JUSTITIE

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 12 februari 2016

Met deze brief informeer ik u over de uitkomst van het gesprek dat op verzoek van uw Kamer heeft plaatsgevonden tussen de Auditdienst Rijk (ADR) en de heren Van Koppen en Jacobs. Ik verwijs naar mijn brief terzake van 8 december 2015 (Kamerstuk 30 517, nr. 28). Tevens informeer ik u hierbij over de stand van zaken van de verbeteringen die de ADR heeft voorgesteld in haar onderzoeksrapport Interceptiefaciliteit d.d. 9 december 2014, zoals toegezegd in mijn brief van 6 februari 2015 (Kamerstuk 30 517, nr. 27).

Uitkomst gesprek Van Koppen en Jacobs

In reactie op vragen tijdens het AO Strafrechtelijke Onderwerpen van 4 november 2015 (Kamerstuk 29 279, nr. 294) heb ik aangegeven dat de ADR de hoogleraren Van Koppen en Jacobs zal uitnodigen voor een gesprek over het onderzoek tapfaciliteit van de ADR, naar aanleiding van de tapstoring op 20 september 2012. Deze toezegging heb ik uw Kamer op 8 december 2015 per brief bevestigd. Dit gesprek heeft inmiddels plaatsgevonden op 26 januari jl. Daarin heeft de politie een toelichting gegeven op de werking van de interceptiefaciliteit en heeft de ADR het door hen uitgevoerde onderzoek toegelicht.

De hoogleraren hebben mij in een open nota (zie bijlage)¹ van hun bevindingen op de hoogte gesteld. In hun nota hebben zij aangegeven dat zij het een helder gesprek vonden. Wel constateren zij dat een aantal belangrijke vragen is open gebleven, die zij onder mijn aandacht hebben gebracht, te weten:

• dat een doelbewuste veroorzaakte storing niet volledig uitgesloten kan worden;

• dat zij twijfels hebben bij de technische beschikbaarheid van 99,5% van het tapsysteem;

• dat zij zorgen hebben over de bevoegdheden in het tapsysteem van de externe leverancier en de mate waarin de overheid daar zicht op heeft, en twijfelen over de noodzaak van geheimhouding van de identiteit van de leverancier.

Ik zal de hoogleraren binnenkort uitnodigen voor een gesprek over hun bevindingen. Vooruitlopend op dat gesprek, merk ik het volgende op.

Technisch defect of menselijk handelen

In hun nota geven de hoogleraren aan dat het technisch verloop van de storing op 20 september 2012 eerder duidt «op intern falen van de apparatuur dan op extern menselijk ingrijpen.» Niettemin stellen zij vast dat door verlaat onderzoek en gebrek aan transparantie «een doelbewust veroorzaakte storing niet volledig uitgesloten kan worden.»

Ik wil nogmaals benadrukken dat de ADR in haar onderzoek geen aanwijzingen heeft aangetroffen van opzettelijk menselijk handelen, maar dat een technisch probleem de oorzaak lijkt. Zoals ik op 8 december 2015 aan uw Kamer heb gemeld, heeft de ADR een onafhankelijk en grondig onderzoek uitgevoerd. Op grond van dit onderzoek acht de ADR het aannemelijk dat als gevolg van een defect geraakte voeding, in combinatie met firmware die niet up-to-date was, de verbinding tussen de verwerkingscomponent en de opslagcomponent is weggevallen waardoor de storing werd veroorzaakt.

Beschikbaarheid tapsysteem

De hoogleraren geven aan twijfels te hebben bij de technische beschikbaarheid van 99,5% van het tapsysteem die de korpsleiding meldt. Zij stellen dat er geen garantie is dat de politie volledig zicht heeft op alle storingen in het tapsysteem, gezien het feit dat de storing op 20 september 2012 voor de politie buiten beeld is gebleven.

Ik neem de zorg van beide hoogleraren zeer serieus en heb daarom de korpschef gevraagd de beschikbaarheid van het tapsysteem vanaf 2012 tot heden in kaart te brengen. Uit een eerste analyse blijkt dat bij herbeoordeling van de destijds gebruikte gegevens geen zekerheid kan worden gegeven of de gerapporteerde beschikbaarheid van het tapsysteem juist is. Hiervoor is een uitgebreide analyse noodzakelijk. Het aantal storingen met dataverlies moet uit een systeem worden gehaald dat niet is ingericht voor het ontsluiten van management informatie. Deze analyse zal daarom handmatig moeten worden uitgevoerd en zal minimaal een half jaar in beslag nemen. Aan de hand van deze analyse zal ik opnieuw bekijken of de aangescherpte procedures voor het melden van storingen adequaat zijn. De ADR zal dit onderzoek superviseren en de uitkomst ervan valideren. Over de uitkomsten zal ik uw Kamer informeren.

Bevoegdheden en identiteit leverancier

Het is juist dat ook contractueel is vastgelegd dat de naam van de leverancier niet bekend wordt gemaakt, zoals aangegeven door de hoogleraren. Het tapsysteem zal binnen afzienbare termijn opnieuw worden aanbesteed. In dat kader zal ik heroverwegen of en in welke mate geheimhouding noodzakelijk is, en zo ja op welke wijze anderszins transparantie kan worden geboden.

De hoogleraren geven aan «wat de leverancier precies ziet of doet in het tapsysteem ook geheim wordt gehouden voor de overheid. De auditor van de overheid, de ADR, krijgt geen volledig inzicht in de zwarte doos die het tappen in Nederland vormt. Dat geldt ook voor de politie.»

Met betrekking tot de bevoegdheden van de leverancier in het tapsysteem heeft de ADR in zijn onderzoeksrapport het volgende aangegeven: «Op dit moment zijn de maatregelen voor toegang tot het tapsysteem van de technisch beheerder van de leverancier voornamelijk gericht op de fysieke en logische toegang. In het najaar 2014 is een software update voorzien, waardoor het mogelijk wordt de bevoegdheden in het tapsysteem van de technisch beheerder van de leverancier effectief in te perken»².

In de brief van 6 februari 2015 heeft mijn ambtsvoorganger u geïnformeerd dat genoemde software update is uitgevoerd. Hiermee zijn de bevoegdheden van de technisch beheerder van de leverancier ingeperkt. Ik heb de korpschef gevraagd mij zo spoedig mogelijk te informeren hoe de bevoegdheid van de leverancier thans wordt gemonitord. Bij de komende aanbesteding zal ik ook dit punt nadrukkelijk betrekken. Ook hierover zal ik uw Kamer op de hoogte stellen.

Ten slotte merk ik op dat de zaak waarnaar door de hoogleraren van Koppen en Jacobs in hun nota verwijzen, de zaak Van Rey, nog onder de rechter is, zodat het mij niet vrij staat daar uitspraken over te doen.

Voortgang uitvoering aanbevelingen ADR

De ADR heeft onderzoek verricht naar de oorzaak van de storing in de interceptiefaciliteit op 20 september 2012. Het rapport van de ADR is met de brief van 6 februari 2015 aan uw Kamer aangeboden³. In het rapport van de ADR worden aanbevelingen gedaan. In de brief van 6 februari 2015 is ingegaan op de stand van zaken van de aanbevelingen. Een aantal aanbevelingen was op dat moment nog niet opgepakt. In deze brief ga ik in op stand van zaken van die aanbevelingen.

1. Uitwerking en implementatie proces «Incidentmanagement I&S»

De nieuwe procesbeschrijving «Incidentmanagement Interceptie & Sensing (I&S)» werd in juni 2014 opgeleverd. De afdeling I&S heeft in 2015 de volledige uitwerking van het incidentmanagementproces afgerond met een actualisatie van het (in juni 2014 vastgestelde) proces. De onderliggende werkinstructies zijn inmiddels ook uitgewerkt. De implementatie van het geactualiseerde proces en de werkinstructies wordt in het eerste kwartaal van 2016 afgerond.

2. Actualisatie Normstelling Inrichting Interceptiefaciliteit

De normstelling stelt voorwaarden waaraan de informatiebeveiliging van de interceptiefaciliteit moet voldoen. Om te zorgen dat de tapkamer voldoet aan de eisen van moderne/actuele beveiligingstechniek voert de politie risicoanalyses uit op het interceptieproces. Hierin worden procesmatig risico’s afgewogen en de te nemen maatregelen inzichtelijk gemaakt. De risicoanalyses zullen met regelmaat een externe kwaliteitstoets ondergaan. Hierdoor ontstaat een actuele, gerichte en effectieve aanpak van mogelijke hiaten in de beveiliging. De combinatie van uitgevoerde risicoanalyses, externe toetsing en te nemen maatregelen beoogt een continu en actueel niveau van beveiliging van de interceptiefaciliteit te bereiken. Er wordt bekeken in hoeverre de risicoanalyses effect hebben op de actualisatie van de normstelling.

Aan de ADR wordt gevraagd na afronding van de risicoanalyses in 2016 een nieuwe reguliere audit op de informatiebeveiliging uit te voeren waarin de risicoanalyses worden betrokken. Over de uitkomsten van deze audit zal ik uw Kamer informeren.

3. Opstellen kalender kritieke beheershandelingen

De kalender met kritieke beheershandelingen (o.a. periodieke controles van logbestanden en bijhouden van nieuwe releases) is inmiddels in concept gereed. De implementatie hiervan vindt in het eerste kwartaal van 2016 plaats.

De Minister van Veiligheid en Justitie, G.A. van der Steur

---

1 Raadpleegbaar via www.tweedekamer.nl

2 Rapportage onderzoek interceptiefaciliteit

3 Pagina 24 van bijlage bij Kamerstuk 30 517, nr. 27