Vergaderjaar 2024-2025
Staten-Generaal
1/2
Kamerstukken
36 763

Verdrag tussen het Koninkrijk der Nederlanden en de Portugese Republiek inzake de uitwisseling en wederzijdse beveiliging van gerubriceerde gegevens; ’s-Gravenhage, 11 december 2024
A/ Nr. 1

BRIEF VAN DE MINISTER VAN BUITENLANDSE ZAKEN
Ter griffie van de Eerste en van de Tweede Kamer der Staten-Generaal ontvangen op 3 juni 2025.
De wens dat het verdrag aan de uitdrukkelijke goedkeuring van de Staten-Generaal wordt onderworpen kan door of namens één van de Kamers of door ten minste vijftien leden van de Eerste Kamer dan wel dertig leden van de Tweede Kamer te kennen worden gegeven uiterlijk op 4 juli 2025.
Aan de Voorzitters van de Eerste en van de Tweede Kamer der Staten-Generaal
Den Haag, 27 mei 2025
Overeenkomstig het bepaalde in artikel 2, eerste lid, en artikel 5, eerste lid, van de Rijkswet goedkeuring en bekendmaking verdragen, de Raad van State gehoord, heb ik de eer u hierbij ter stilzwijgende goedkeuring over te leggen het op 11 december 2024 te ’s-Gravenhage tot stand gekomen Verdrag tussen het Koninkrijk der Nederlanden en de Portugese Republiek inzake de uitwisseling en wederzijdse beveiliging van gerubriceerde gegevens (Trb. 2024, 150).
Een toelichtende nota bij dit verdrag treft u eveneens hierbij aan.
De goedkeuring wordt voor het Europese deel en het Caribische deel van Nederland gevraagd.
De Minister van Buitenlandse Zaken,
C.C.J.
Veldkamp

TOELICHTENDE NOTA
Algemeen
Door middel van dit Verdrag verzekeren het Koninkrijk der Nederlanden en de Portugese Republiek zich ervan dat nationale gerubriceerde gegevens die onderling worden uitgewisseld een vergelijkbaar niveau van beveiliging ontvangen. Naast maatregelen voor de beveiliging van nationale gerubriceerde gegevens valt daaronder tevens de strafbaarstelling in het geval van compromittering van nationale gerubriceerde gegevens.
Het Verdrag maakt de uitwisseling van nationale gerubriceerde gegevens mogelijk, maar verplicht beide landen daar niet toe. Het is telkens de eigenstandige afweging van de respectieve overheden om nationale gerubriceerde gegevens al dan niet uit te wisselen. Deze uitwisseling kan plaatsvinden tussen overheden onderling, of tussen overheid en bedrijfsleven, wanneer de overheid een gerubriceerde opdracht verleent aan een bedrijf in het andere land. Dit Verdrag biedt Nederlandse bedrijven daarmee de mogelijkheid om opdrachten voor Portugal uit te voeren waarvoor toegang tot Portugese gerubriceerde gegevens nodig is en vice versa.
Vanwege de nauwe banden tussen het Koninkrijk en Portugal biedt dit Verdrag waarborgen voor samenwerking in het geval dat nationale gerubriceerde gegevens moeten worden uitgewisseld. Dit is bijvoorbeeld aan de orde op militair gebied.
Tijdens de onderhandelingen hebben vertegenwoordigers van de overheden van beide landen informatie uitgewisseld over de respectieve nationale wet- en regelgeving voor de bescherming van nationale gerubriceerde gegevens en de implementatie daarvan. Vervolgens is op basis daarvan de tekst van het Verdrag afgerond, die aansluit bij de wet- en regelgeving en de uitvoeringspraktijk in de beide landen.
Artikelsgewijze toelichting
Artikel 1 Doel en reikwijdte
Het Verdrag strekt ertoe de beveiliging van nationale gerubriceerde gegevens die worden uitgewisseld tussen Nederland en Portugal te waarborgen. Het Verdrag regelt dat de informatie die onderling onder het Verdrag wordt uitgewisseld in beide landen een vergelijkbaar en passend niveau van beveiliging krijgt. In het Verdrag zijn de procedures en regelingen voor de beveiliging vastgelegd.
Artikel 2 Begripsomschrijvingen
Artikel 2 bevat de omschrijvingen van enkele in het Verdrag voorkomende, voor beveiligingsverdragen overigens gebruikelijke, begrippen.
Artikel 3 Bevoegde beveiligingsautoriteiten
De verantwoordelijke autoriteit voor de implementatie en uitvoering van het Verdrag wordt in het Verdrag omschreven als de Competent Security Authority (CSA, zie ook artikel 2 onder d van het Verdrag). Deze rol is in Nederland belegd bij de Algemene Inlichtingen- en Veiligheidsdienst (AIVD).
De CSA is het eerste aanspreekpunt voor bedrijven en overheden uit beide landen over de uitvoering van het Verdrag, ziet toe op de naleving van het Verdrag bij de eigen overheid en de bedrijven die onder haar jurisdictie vallen en draagt zorg voor de uitvoering van onderzoek ten behoeve van veiligheidsmachtigingen voor personen en/of bedrijven.
De CSA is bevoegd bepaalde verantwoordelijkheden te delegeren aan een zogenoemde delegated Competent Security Authority. Voor Nederland is dit de beveiligingsautoriteit (BA) van het Ministerie van Defensie. De Militaire Inlichtingen- en Veiligheidsdienst (MIVD)/Bureau Industrieveiligheid (BIV) heeft hierin een aantal taken in de richting van betrokken bedrijven teneinde uitvoering te geven aan bepaalde verplichtingen, zoals het afgeven van veiligheidsmachtigingen in het militaire domein.
Artikel 4 Rubriceringsniveaus
In dit artikel is een vergelijkingstabel opgenomen met de rubriceringsniveaus van de twee landen. De tabel geeft de equivalentie weer tussen de rubriceringsniveaus die Nederland en Portugal volgens hun wet- en regelgeving hanteren. Gerubriceerde informatie die Nederland ontvangt van Portugal zal worden beveiligd volgens de maatregelen zoals die in Nederland gelden voor het equivalente nationale rubriceringsniveau. Vice versa geldt hetzelfde. Conform de Portugese wet- en regelgeving is een veiligheidsmachtiging voor bedrijven in geval van gerubriceerde opdrachten op het niveau DEPARTEMENTAAL VERTROUWELIJK niet vereist. Een dergelijke veiligheidsmachtiging voor dat rubriceringsniveau wordt derhalve niet afgegeven, terwijl Nederland dat wel wenselijk acht. In Nederland is namelijk in het militaire domein een veiligheidsmachtiging voor bedrijven vereist voor alle gerubriceerde opdrachten ongeacht het rubriceringsniveau. In het Verdrag is daarom afgesproken dat ten behoeve van het afgeven van een veiligheidsmachtiging voor bedrijven, de opdrachten binnen het militaire domein van het niveau DEPARTEMENTAAL VERTROUWELIJK door Portugal als CONFIDENCIAL zullen worden behandeld.
Artikel 5 Beveiligingsmaatregelen
Door gerubriceerde informatie afkomstig van de andere partij ook te voorzien van de equivalente nationale rubricering (de «dubbele markering»), wordt de herkenbaarheid vergroot en de naleving van de vereiste beveiligingsmaatregelen bevorderd. Deze waarborg is vastgelegd in het tweede lid van dit artikel.
Het aanbrengen van een initiële rubricering is aan de partij onder wier gezag de gerubriceerde gegevens zijn gecreëerd. Dit brengt met zich mee dat wijziging of verwijdering van die rubricering tevens aan die partij is voorbehouden. Deze waarborg is opgenomen in het derde lid. De partij onder wier verantwoordelijkheid de gerubriceerde gegevens tot stand zijn gekomen, zal de partij die deze gerubriceerde gegevens ontvangt altijd informeren over veranderingen van de rubricering; zie het vierde lid. Het vijfde lid geeft hierbij aan de partij onder wier verantwoordelijkheid de gerubriceerde gegevens in kwestie zijn gecreëerd de mogelijkheid om verdere markeringen aan te brengen ten aanzien van de desbetreffende informatie. Het zesde lid geeft vervolgens weer op welke wijze de classificatie zal worden aangebracht als het gaat om informatie die onder de verantwoordelijkheid van beide partijen tot stand is gekomen.
Ter specificatie van de vergelijkingstabel als opgenomen in artikel 4 van het Verdrag, maakt het zevende lid van artikel 5 expliciet dat partijen ten aanzien van gerubriceerde gegevens die onder dit Verdrag zal worden gegenereerd of uitgewisseld, dezelfde mate van bescherming zullen toepassen als de mate van bescherming die zij zouden toepassen ten aanzien van eigen gerubriceerde gegevens.
Het achtste en negende lid, omschrijven de verantwoordelijkheden van de verstrekkende en ontvangende partij van gerubriceerde gegevens. Belangrijk hierbij om te vermelden is, dat het aan de verdragsluitende partijen is om erop toe te zien dat deze verantwoordelijkheden worden nageleefd.
Artikel 6 Toegang tot gerubriceerde gegevens
Dit artikel beschrijft onder welke voorwaarden toegang tot gerubriceerde informatie verstrekt wordt. Zo dient men daarvoor geïnformeerd te zijn over de verantwoordelijkheden ten aanzien van die toegang. Daarnaast dient de persoon die zich toegang wenst te verschaffen tot de gerubriceerde gegevens gebonden te zijn aan geheimhouding, door middel van het ondertekenen van een geheimhoudingsverklaring. Voor toegang tot gegevens met een rubricering van Stg. CONFIDENTIEEL en hoger, is daarnaast een persoonlijke veiligheidsmachtiging vereist, zo is ook aangegeven in het tweede lid van dit artikel. Deze screening vindt in Nederland plaats op basis van de Wet Veiligheidsonderzoeken (Wvo).
Aangezien volgens de toepasselijke nationale wet- en regelgeving een veiligheidsmachtiging niet nodig is, alvorens toegang kan worden verkregen tot DEPARTEMENTAAL VERTROUWELIJKE gegevens, volgt uit de in het tweede lid van dit artikel opgenomen formulering dat voor die toegang enkel de overige vereisten als genoemd in het eerste lid gelden.
Artikel 7 Gerubriceerde contracten
Dit artikel regelt de procedures voor het gunnen van gerubriceerde opdrachten door de overheid van de ene partij aan bedrijven die vallen onder de jurisdictie van de andere partij. Voor Nederlandse bedrijven die mee willen dingen naar een gerubriceerde opdracht van de Portugese overheid zal door de Nederlandse overheid onderzoek worden uitgevoerd ten behoeve van veiligheidsmachtigingen voor personen en bedrijven en zal tijdens de uitoefening van de gerubriceerde opdracht bovendien periodiek toezicht worden gehouden bij deze bedrijven. Deze procedure komt op hoofdlijnen overeen met de gehanteerde procedures voor gerubriceerde opdrachten van internationale organisaties, namelijk de EU, NAVO en ESA.
Het tweede lid bepaalt dat wanneer een partij of een bedrijf onder haar jurisdictie een gerubriceerde opdracht (vanaf het niveau Stg. CONFIDENTIEEL en diens Portugese equivalent) wil gunnen aan een bedrijf werkzaam onder de jurisdictie van de andere partij, deze partij/dit bedrijf eerst een schriftelijke bevestiging dient te verkrijgen van de andere partij dat het bedrijf aan wie zij/het de opdracht wil gunnen over de benodigde veiligheidsmachtiging beschikt. Als het bedrijf niet over deze veiligheidsmachtiging beschikt, moet het bedrijf deze aanvragen bij de CSA. In Nederland geldt, binnen het militaire domein, het vereiste van een veiligheidsmachtiging voor bedrijven tevens voor gerubriceerde opdrachten op niveau DEPARTEMENTAAL VERTROUWELIJK. Dit verklaart toevoeging van de laatste zin in het tweede lid. Voor gerubriceerde opdrachten in het militaire domein op niveau DEPARTEMENTAAL VERTROUWELIJK die aan Portugese bedrijven worden verstrekt zijn in artikel 4 van dit Verdrag aanvullende afspraken gemaakt.
Het derde en vierde lid kent aan de CSA de verantwoordelijkheid toe om toezicht te houden op bedrijven die een gerubriceerde opdracht aangaan. Hierbij geeft het vierde lid de aanvullende eisen aan voor zover het gaat om rubriceringen vanaf het niveau Stg. CONFIDENTIEEEL en hoger.
Het vijfde lid stelt eisen aan de gerubriceerde contracten, teneinde te bewerkstelligen dat beveiligingseisen in de praktijk voor alle betrokken partijen kenbaar zijn en juridisch kunnen worden afgedwongen. Het zesde lid geeft aan op welke wijze de CSA van een land diens counterpart van het andere land onder dit Verdrag zal informeren over de beveiligingseisen. Voor complexe en omvangrijke programma’s/projecten kunnen er aanvullende beveiligingseisen vereist zijn. De CSA’s zullen in die gevallen de Programma-/projectbeveiligingsinstructie gezamenlijk vaststellen, aldus de zevende lid. Het achtste en laatste lid van dit artikel bevat een verwijzing naar artikel 8 van het Verdrag, dat specifiek ingaat op de procedures voor wanneer een persoon een bedrijf of overheidslocatie wenst te bezoeken, waarbij toegang tot nationale gerubriceerde gegevens nodig is.
Artikel 8 Internationale bezoeken
Dit artikel omschrijft de procedures voor wanneer een persoon een bedrijf of overheidslocatie wenst te bezoeken, waarbij toegang tot nationale gerubriceerde gegevens nodig is.
Dit kan bijvoorbeeld het geval zijn wanneer een medewerker van een Nederlands bedrijf in de uitvoering van een gerubriceerde opdracht de Portugese overheid of een Portugees bedrijf wil bezoeken waarbij toegang tot (in dit geval Portugese) nationale gerubriceerde gegevens nodig is. In een dusdanig geval, wordt via de in dit artikel beschreven procedure bij de Nederlandse CSA nagegaan of de betrokkene op dat moment over een geldige veiligheidsmachtiging beschikt en of aan de overige voorwaarden in dit artikel wordt voldaan. Dit wordt vervolgens gemeld aan de Portugese CSA voorafgaand aan het bezoek en geldt als voorwaarde voor toegang tot de nationale (in dit geval Portugese) gerubriceerde gegevens. Deze procedure geldt dus tevens vice versa.
Artikel 9 Overbrenging van gerubriceerde gegevens
Het eerste lid van dit artikel bepaalt dat de uitwisseling van nationale gerubriceerde gegevens plaatsvindt in overeenstemming met de nationale wet- en regelgeving van het land onder wiens verantwoording de desbetreffende gegevens tot stand zijn gekomen of op een wijze die tussen de CSA’s wordt afgestemd.
Voor zover het gaat om elektronische verzending van nationale gerubriceerde gegevens, geldt het vereiste van cryptografische middelen. De exacte procedure hiervoor zal tussen CSA’s moeten worden afgestemd, aldus het tweede lid.
De CSA’s zullen bedrijven adviseren over de manier – inclusief de vereiste verpakking – waarop de verzending van gerubriceerde informatie dient plaats te vinden. In het vijfde lid is bepaald dat voor omvangrijke zendingen van gerubriceerde informatie de CSA’s gezamenlijk een transportplan zullen moeten goedkeuren.
Artikel 10 Reproductie, vertaling en vernietiging van gerubriceerde gegevens
Dit artikel bevat een aantal specifieke bepalingen omtrent de reproductie, vertaling en vernietiging van gerubriceerde gegevens, met specifieke aandacht voor gegevens met de hoogste rubricering en voor noodsituaties. Deze bepalingen zijn erop gericht te waarborgen dat de partij van wie de betreffende gerubriceerde informatie afkomstig is, zoveel als mogelijk controle houdt over de betreffende informatie.
Artikel 11 Beveiligingssamenwerking
Tijdens de onderhandelingen die hebben geleid tot het Verdrag hebben partijen elkaar geïnformeerd over de wederzijdse wet- en regelgeving en bijbehorende uitvoeringspraktijk. Het eerste lid van dit artikel voorziet in een blijvende informatie-uitwisseling tussen partijen daaromtrent.
Dit artikel ziet verder specifiek op de samenwerking met betrekking tot de (veiligheidsonderzoeken ten behoeve van de) afgifte van veiligheidsmachtigingen voor personen of bedrijven. Het betreft uitsluitend de samenwerking met betrekking tot het afgeven van veiligheidsmachtigingen voor personen of bedrijven in de gevallen waarbij uitwisseling van onder dit Verdrag bedoelde gerubriceerde gegevens aan de orde is.
Zo kunnen partijen elkaar onderling bevragen over de geldigheid van afgegeven veiligheidsmachtigingen voor personen of bedrijven, aldus het tweede lid. CSA’s zullen voorts de in overeenstemming met nationale wet- en regelgeving en dit Verdrag afgegeven veiligheidsmachtigingen erkennen, volgens het derde lid. Ook zullen partijen elkaar desgevraagd ondersteunen bij de uitvoering van onderzoeken ten behoeve van de afgifte van voornoemde veiligheidsmachtigingen, volgens het vierde lid. Dit kan bijvoorbeeld door informatie te verstrekken over personen indien deze personen gedurende een deel van de onderzoeksperiode in hun land verblijf hebben gehad. Het verstrekken van de informatie – en meer in het algemeen enige vorm van samenwerking zoals bedoeld in dit artikel – gebeurt uitsluitend in overeenstemming met de nationale wet- en regelgeving. De relevante wet- en regelgeving ten behoeve van het afgeven van veiligheidsmachtigingen voor personen in Nederland betreft de Wet op inlichtingen- en veiligheidsdiensten (Wiv 2017) en met name de Wet Veiligheidsonderzoeken. In Nederland is de Unit Veiligheidsonderzoeken van de AIVD en de MIVD belast met het uitvoeren van de veiligheidsonderzoeken in het kader van de afgifte van veiligheidsmachtigingen onder dit Verdrag en binnen het civiele en militaire domein.
Voorafgaand aan het verstrekken van informatie aan de verdragspartij – in dit geval Portugal – in het kader van de afgifte van veiligheidsmachtigingen wordt nagegaan of er een zodanige samenwerkingsrelatie ex artikel 88 Wiv 2017 bestaat dat de verstrekking verantwoord kan gebeuren.
Indien een daartoe geëigende samenwerkingsrelatie ontbreekt zal geen verdere verstrekking van informatie aan Portugal plaatsvinden.
De samenwerking met Portugal is derhalve te allen tijde onderworpen aan de nationale wet- en regelgeving en de nadere voorwaarden die daarin aan dergelijke samenwerkingen zijn gesteld.
In aanvulling hierop, is in het vijfde lid van dit artikel bepaald dat partijen elkaar informeren over wijzigingen in afgegeven veiligheidsmachtigingen voor personen of bedrijven die werkzaam zijn met gerubriceerde gegevens die onder dit Verdrag worden uitgewisseld. Waarbij het zesde en laatste lid van dit artikel de voertaal tussen partijen aangeeft voor wat betreft de samenwerking als omschreven in dit artikel.
Artikel 12 Beveiligingsincident
Dit artikel beschrijft de te doorlopen procedure in het geval van (vermoedelijke) beveiligingsincidenten (zie hiertoe het eerste lid). Hier is een rol weggelegd voor de CSA’s.
De CSA van het land waar het beveiligingsincident (mogelijk) heeft plaatsgevonden informeert de CSA van het land onder wiens verantwoordelijkheid de gerubriceerde gegevens zijn gegenereerd over het (vermoedelijke) beveiligingsincident. Dit staat omschreven in het tweede lid.
De CSA van het land onder wiens verantwoordelijkheid de gerubriceerde gegevens zijn gegenereerd, kan bovendien assisteren in onderzoek naar het (vermoedelijke) beveiligingsincident, aldus het derde lid.
Het vierde lid bepaalt vervolgens dat de CSA van het land waar het beveiligingsincident heeft plaatsgevonden, verantwoordelijk is voor het nemen van mitigerende maatregelen, alsmede maatregelen teneinde herhaling te voorkomen. Deze CSA informeert de CSA van het land waar de gerubriceerde gegevens vandaan komen over deze maatregelen.
Artikel 15 Uitvoeringsregelingen
Volgens dit artikel zijn CSA’s bevoegd om, indien daar aanleiding toe bestaat, nadere afspraken te maken ter uitvoering van het Verdrag. In dit geval kan dat gebeuren voor nadere afspraken die benodigd zijn bijvoorbeeld in het militaire domein. Vanwege het specifieke beleid dat het Ministerie van Defensie hanteert ten aanzien van beveiliging van gerubriceerde gegevens in het militaire domein, zou het voor het Ministerie van Defensie noodzakelijk kunnen zijn dat, indien er defensie of -industrie gerelateerde uitwisseling van gerubriceerde informatie voortvloeit uit dit Verdrag, er nadere afspraken gemaakt worden. Hiervoor, alsmede voor de implementatie van die afspraken, is het Ministerie van Defensie als eerste aanspreekpunt verantwoordelijk.
Artikel 16 Slotbepalingen
Dit artikel bevat de gebruikelijke slotbepalingen.
In het zesde lid is een bepaling opgenomen voor het geval het Verdrag beëindigd wordt. De nationale gerubriceerde gegevens die op het moment van beëindiging onder de reikwijdte van het Verdrag vallen, zullen de bescherming van het Verdrag behouden zolang ze een onder het Verdrag verkregen nationale rubricering behouden.
Bijlage
In de Bijlage staan de CSA’s, als verantwoordelijke autoriteiten, voor Nederland en Portugal opgenomen.
De Bijlage vormt een geïntegreerd onderdeel van het Verdrag en is van uitvoerende aard. Verdragen tot wijziging van de Bijlage behoeven, ingevolge artikel 7, onderdeel f van de Rijkswet goedkeuring en bekendmaking verdragen, geen parlementaire goedkeuring, tenzij de Staten-Generaal zich thans het recht tot goedkeuring terzake voorbehouden.
Een ieder verbindende bepalingen
Het Verdrag bevat naar het oordeel van de regering enkele eenieder verbindende bepalingen in de zin van artikel 93 en 94 Grondwet die aan rechtssubjecten rechtstreeks rechten toekennen of plichten opleggen. Het gaat hierbij om artikel 5, tweede en derde lid, artikel 6, artikel 7, tweede lid, artikel 8, artikel 9, eerste, tweede en derde lid, artikel 10, artikel 12, eerste en derde lid en artikel 16, zesde lid, in verband met de positie van bedrijven aan of door wie die gerubriceerde opdrachten zijn verleend of waaraan men opdrachten wil gunnen.
Koninkrijkspositie
Het Verdrag zal, wat het Koninkrijk der Nederlanden betreft, alleen voor het Europese en het Caribische deel van Nederland gelden (zie ook artikel 16, tweede lid). Dit is in lijn met de andere bilaterale beveiligingsverdragen die Nederland heeft gesloten (bijvoorbeeld met Polen, Trb. 2023, 18). Dit maakt het mogelijk voor bedrijven in het Caribische deel van Nederland om gerubriceerde opdrachten voor de Portugese overheid uit te voeren en maakt het tevens mogelijk om informatie die door de Portugese overheid wordt gedeeld met overheidsinstanties in het Caribische deel van Nederland te delen.
De Minister van Binnenlandse Zaken en Koninkrijksrelaties,
J.J.M.
Uitermark
De Minister van Buitenlandse Zaken,
C.C.J.
Veldkamp
De Minister van Defensie,
R.P.
Brekelmans