Vragen van de leden Rahimi en Ellian (beiden VVD) aan de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties en de Minister voor Rechtsbescherming over het bericht «Ambtenaar vervalste meerdere rapporten over beveiliging DigiD-aansluiting» (ingezonden 21 juni 2023).

Vraag 1

Bent u bekend met het bericht «Ambtenaar vervalste meerdere rapporten over beveiliging DigiD-aansluiting» van security.nl van 14 juni 2023?¹

Vraag 2

In opdracht van wie heeft deze ambtenaar deze taken uitgevoerd?

Vraag 3

Is hier het vierogenprincipe gebruikt door een andere persoon? Zo ja, is deze persoon in zicht en zo nee, kunt u uitleggen waarom geen gebruik is gemaakt van het vierogenprincipe?

Vraag 4

Heeft de desbetreffende ambtenaar ook op andere ministeries gewerkt? Zo ja, op welke?

Vraag 5

Is er aan de hand van het digitaal forensisch onderzoek aanleiding om ook binnen andere ministeries en uitvoeringsorganisatie te onderzoeken of daar ook dergelijke praktijken plaatsvinden of hebben gevonden?

Vraag 6

Welke structurele oplossingen ziet u om dit in de toekomst te voorkomen?

Vraag 7

Wat is er in het rapport voor Suwinet van 2020 aangepast en waarom?

Vraag 8

Wat zijn de verschillen tussen de beveiligingsassessments van DigiD die de Auditdienst Rijk (ADR) aan Justis levert en de beveiligingsassessments die Justis naar Logius stuurt? Is de informatieveiligheid in gevaar geweest en/of zijn er gegevens gelekt?

Vraag 9

Kan de Staatssecretaris ons mededelen of de weggestuurde persoon betrokken was bij de opzet van de exploited audit en zo ja, welke andere personen in een identieke rol betrokken waren, of mogelijk betrokken zijn? En zijn deze personen ook betrokken bij het implementeren van de reparatie van deze exploit?

Vraag 10

Zien de toegezegde vervolgacties op de verbetering van de interne auditfunctie of op de compliance office bij Justis zelf?

Vraag 11

Is er vastgesteld of de betrokken fraudeur ook andere mogelijke exploits heeft gezocht bij Justis en bij Suwinet in die vijf jaren?

Vraag 12

Heeft het onderzoek kunnen vaststellen of deze medewerkers ook zicht en vermoedens hebben gehad dat deze medewerker deze vervalsingen kon en wilde aanleggen?

---

1 Security (2023). Ambtenaar vervalste meerdere rapporten over beveiliging DigiD aansluiting. Zie https://www.security.nl/posting/799578/Ambtenaar+vervalste+meerdere+rapporten+over+beveiliging+DigiD-aansluiting.