Audits van het Centraal Informatiepunt Onderzoek Telecommunicatie (CIOT)

Tweede Kamer der Staten-Generaal2Vergaderjaar 2025–202636 800 VIVaststelling van de begrotingsstaten van hetMinisterie van Justitie en Veiligheid (VI) voor hetjaar 2026Nr. 137 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 27 maart 2026Met deze brief informeer ik uw Kamer over het uitvoeren van audits tenaanzien van het Centraal Informatiepunt Onderzoek Telecommunicatie(CIOT). De aanleiding hiervoor is tweeledig. Ten eerste het hanteren vaneen nieuwe, meer gestructureerde aanpak van het doen van audits bij degebruikers (zoals de politie en Bijzondere Opsporingsdiensten) en debeheerder (Justid) van het CIOT. Ten tweede het afronden van enkeleconcrete verrichte audits. In deze brief vindt u daar een verslag van. Deauditrapporten zijn als bijlage gevoegd.Allereerst geef ik een achtergrondschets van de aard en de werking vanhet CIOT. Het is een informatiesysteem dat in beheer is bij de JustitiëleInformatiedienst (Justid) en heeft een wettelijke taak1 als verdeelpunt vantelecommunicatiegegevens. Telecommunicatiebedrijven zijn verplicht omdagelijks actuele klantgegevens (zoals telefoonnummer, NAW-gegevens,e-mailadres, IP-adres) aan het CIOT te verstrekken.De Inlichtingen- en Veiligheidsdiensten (I&V-diensten) en een aantalopsporingsdiensten2 kunnen, met inachtneming van hun wettelijke taaken de op hen van toepassing zijnde regelgeving, gegevens bij het CIOTopvragen. Het gaat om identificerende klantgegevens van telecombe-drijven die relevant zijn voor het uitvoeren van concrete opsporingsonder-zoeken. Dit gaat op een geautomatiseerde, gestructureerde en gestandaar-diseerde manier. Het betreft bijvoorbeeld het opvragen van namen of1Besluit verstrekking gegevens telecommunicatie.2Het gaat om de politie, de rijksrecherche, de Koninklijke Marechaussee, de Fiscale Inlichtingen-en Opsporingsdienst, de Opsporingsdienst van de Nederlandse Arbeidsinspectie, deInlichtingen- en Opsporingsdienst van de Inspectie Leefomgeving en Transport, de Inlichtingen-en Opsporingsdienst van de Nederlandse Voedsel- en Warenautoriteit en de InspectieGezondheidszorg en Jeugd. De I&V-diensten AIVD en MIVD kunnen ook bevragingen doen aanhet CIOT, maar het toezicht- en controlesysteem dat op hen van toepassing is, is wettelijkanders dan bij de andere diensten. Deze diensten worden daarom verder buiten beschouwinggelaten. kst-36800-VI-137ISSN 0921 - 7371’s-Gravenhage 2026Tweede Kamer, vergaderjaar 2025–2026, 36 800 VI, nr. 1371 adressen van gebruikers van telefoonnummers die elders in een opspo-ringsonderzoek naar boven gekomen zijn, bijvoorbeeld bij eentelefoontap.Het CIOT levert gegevens die de betrokken instanties reeds op grond vanbestaande wettelijke bevoegdheden mogen ontvangen; er worden dusgeen gegevens geleverd die de bevoegde instanties zonder het bestaanvan het CIOT niet zouden kunnen vorderen of opvragen.Op grond van artikel 8, tweede lid, van het Besluit verstrekking gegevenstelecommunicatie stelt de Minister van Justitie en Veiligheid jaarlijks eenverslag op van een audit naar de goede werking van het besluit. Dit kaneen audit zijn ten aanzien van een van de gebruikers van het CIOT, maarook een audit van Justid als beheerder.Meerjarenplanning en uitvoering auditsTot 2024 was er geen duidelijke planning voor het uitvoeren vanCIOT-audits bij Justid en de bevoegde instanties. De auditdienst van depolitie verricht zelf de audits en heeft de afgelopen jaren wel elk jaar eenaudit uitgevoerd. De audits bij de andere gebruikers van het CIOT (waarbijhet uitgangspunt is dat zij elke twee jaar geaudit worden) worden dooreen externe partij verricht, doorgaans de Auditdienst Rijk (ADR). Dezehebben niet in alle gevallen plaatsgevonden.Om een meer structurele aanpak van de audits te waarborgen is eenmeerjarenplan gemaakt. Behalve het maken van afspraken over de jarenwaarin de betrokken organisaties geaudit worden, helpt het plan bij hetstandaardiseren van de audits. Zo wordt van de te auditen organisatiesverwacht dat zij zelf goed vorm geven aan het verrichten van internecontroles. De audit ziet vervolgens op de inrichting van de internecontroles en op de uitkomsten daarvan. Het normenkader voor deADR-audits is geüniformeerd, waardoor de audits soepeler en snelleruitgevoerd kunnen worden. Het meerjarenplan omvat naast het CIOT ookde audits voor het Verwijzingsportaal Banken (VB) dat eveneens bij Justidin beheer is. Over de auditing ten behoeve van het VB wordt Uw Kamerseparaat geïnformeerd.Door het opstellen van een gezamenlijke meerjarenplanning en jaarlijkseafstemming met de ADR over de precieze planning voor het komendejaar, is ruim vooraf bekend wanneer audits plaats zullen vinden. Op dezemanier wordt de werklast bij zowel de ADR als de te auditen instantiesgespreid, terwijl alle instanties wel tijdig geaudit worden. Door allebetrokkenen kan zo tijdig gezorgd worden voor de benodigde capaciteit.In 2024 zijn audits verricht bij de politie en de FIOD. In 2025 zijn auditsverricht bij de politie, de Koninklijke Marechaussee, de Opsporingsdienstvan de Nederlandse Arbeidsinspectie, en bij de Rijksrecherche. De tehanteren wijze van auditen bij de telecommunicatieaanbieders wordt opdit moment met hen besproken.Oorspronkelijk stond voor het najaar van 2025 ook een CIOT-audit geplandbij Justid. Deze is uitgesteld tot de tweede helft van 2026. Hiermee wordtJustid in staat gesteld om verbeterde maatregelen rond interne controleste implementeren en in gebruik te nemen. Met een audit in het najaar van2026 kan de werking van die verbeterde maatregelen direct getoetstworden.In de bijlage bij deze brief zijn de auditrapportages van de politie uit 2022en 2023 (vastgesteld in respectievelijk 2023 en 2024) toegevoegd, deTweede Kamer, vergaderjaar 2025–2026, 36 800 VI, nr. 1372 rapportage over de audit bij de FIOD van 2024, en de drie genoemdeaudits die in 2025 zijn verricht.Bevindingen auditsPolitie 2023, 2024 en 2025De audit van 2023 (uitgevoerd over het jaar 2022) is anders dan die vanvoorgaande jaren. Er is voor het eerst gebruik gemaakt van de internecontroles die de lokale beheerders in de eenheden zelf uitvoerden. Hetbeeld dat voortkomt uit de audit is, wat betreft het aantal afwijkingen,vergelijkbaar met dat van vorige jaren. Wel zijn er meer verschillendesoorten afwijkingen. Het betreft bijvoorbeeld het niet kunnen koppelenvan enkele aanvragen aan de antwoorden, het ontbreken van verplichtedocumenten in het dossier, of het niet noemen van de wettelijke bepalingvan het misdrijf. Bij zes aanvragen gaf het antwoord meer informatie danwas aangevraagd. Geadviseerd is om het proces van landelijkemonitoring op de interne controles te versterken en daarbij oorzaakana-lyses te betrekken. Daarnaast is geadviseerd om vervolgacties te nemenom de fouten te reduceren, bijvoorbeeld door in de opleiding aandacht tebesteden aan dit onderwerp. De adviezen zijn overgenomen en de actieszijn in gang gezet.De audit van 2024 (uitgevoerd over 2023) geeft een vergelijkbaar resultaat.Er is wederom gebruik gemaakt van de interne controles van deeenheden. Het aantal afwijkingen is, bij een gelijkblijvend aantal onder-zochte dossiers, iets gedaald: van 39 naar 36. Wel zijn wederom meerverschillende soorten afwijkingen geconstateerd. Het aantal dossierswaarin meer informatie is ontvangen dan is aangevraagd, is gedaald vanzes naar twee. Bij één aanvraag heeft een opsporingsambtenaar eenbevoegdheid gebruikt die is voorbehouden aan de officier van justitie. Bijdrie aanvragen was sprake van een niet-bevoegde opsporingsambtenaar.In het kader van bevragingen over urgente persoonsvermissingen is bijéén aanvraag een rechtmatigheidsfout aangetroffen, namelijk het nietkunnen koppelen van de aanvraag aan het antwoord. Ten opzichte van hetjaar ervoor zijn dezelfde adviezen gegeven, aangevuld met het advies omhet proces rondom de urgente vermissingen beter in kaart te brengen. Inde managementreactie is aangegeven dat, door de verscheidenheid aansoorten afwijkingen, het lastig is om aanvullende gerichte actie teondernemen. Wel is er een uniforme werkwijze ingericht voor het doenvan steekproeven bij de lokale beheerders, zodat uitkomsten betervergeleken kunnen worden. Daarnaast wordt ingezet op directere sturingdoor leidinggevenden, alsmede een verdere automatisering van hetproces, waarmee menselijke fouten gereduceerd worden.De audit van 2025 (uitgevoerd over 2024) is op een vergelijkbare wijzeuitgevoerd. Er zijn minder rechtmatigheidsfouten geconstateerd dan inhet jaar daarvoor. Bij tien aanvragen was de grondslag (wet en of artikel)van het misdrijf niet benoemd. Bij twee aanvragen komt het antwoord nietovereen met de vraag. Bij zes posten kon geen conclusie wordengetrokken omdat onderliggende documenten ontbraken.Wat betreft de bevragingen over urgente persoonsvermissingen zijn in2024 in totaal 36 CIOT-bevragingen uitgevoerd. Inmiddels is het interneproces met betrekking tot deze bevragingen ingericht, maar nog nietformeel vastgelegd in de CIOT procedures.De afdeling Concernaudit van de politie heeft periodiek overleg metbetrokkenen uit de CIOT-organisatie en monitort op eerdere aanbeve-Tweede Kamer, vergaderjaar 2025–2026, 36 800 VI, nr. 1373 lingen uit de vorige jaren. Spoedbevragingen buiten kantoortijd blijveneen aandachtspunt, evenals de eenduidige vastlegging van procedures. Inde managementreactie is aangegeven dat deze bevindingen wordenherkend en inmiddels worden opgepakt. De verbeteringen kunnen naarverwachting op korte termijn worden afgerond.FIOD 2024Er zijn bij de audit geen onrechtmatigheden geconstateerd. De geconsta-teerde verbeterpunten zijn vooral procedureel van aard, bijvoorbeeld overde wijze van inrichting van de interne controles.Het normenkader dat de ADR hanteert voor de audits bevat een focus opautorisaties. Zo is er scherp gekeken naar de vraag of binnen de FIODgecontroleerd wordt of de vragende opsporingsambtenaar op hetmoment van bevraging daadwerkelijk bevoegd is. Binnen de FIOD wordtniet per geval gecontroleerd; de bevoegdheid vloeit voort uit eenalgemenere systematiek. In de onderzochte dossiers is bij de auditgeconstateerd dat de bevragende opsporingsambtenaren allemaalbevoegd waren. Verbetermogelijkheden zijn administratief van aard. DeFIOD is reeds gestart met een aantal verbeteringen.Koninklijke Marechaussee, OD-NLA en Rijksrecherche 2025Deze audits zijn alle in de eerste helft van 2025 verricht en hebbenvergelijkbare aanbevelingen opgeleverd. Er zijn geen noemenswaardigeonrechtmatigheden geconstateerd. Er is in enkele incidentele en vanelkaar losstaande gevallen sprake van bijvoorbeeld een ontbrekendehandtekening of een zaaknummer dat niet overeenkomt met het nummervan de vordering.De aanbevelingen zijn hoofdzakelijk procesmatig van aard. Het verbeterenvan werkinstructies over het doen van interne controles op de bevra-gingen, alsmede de rapportage over die interne controle, speelt in alledrie de rapporten een kleinere of grotere rol. Deze aanbevelingen wordendoor de betreffende organisaties herkend en overgenomen.Er is één breder aandachtspunt, en dat betreft de autorisaties van deopsporingsambtenaren. Zij ondertekenen een vordering voor eenCIOT-bevraging, die vervolgens door een infodesk-medewerker feitelijkwordt uitgevoerd. De ADR kijkt in haar onderzoek of de infodesk-medewerker controleert of de opsporingsambtenaar geautoriseerd is. Datgebeurt niet bij alle organisaties, zoals ik hierboven bij het FIOD-rapport alheb opgemerkt. De bevoegdheid van opsporingsambtenaren vloeit voortuit een algemenere systematiek en is naar het oordeel van enkeleorganisaties daarmee een gegeven. Ik zal dit punt in algemene zin naderbestuderen met de betreffende organisaties en vervolgens met de ADRbespreken.AppreciatieIk constateer dat het proces rondom de audits flink verbeterd is. Hetmaken van een planning en de afstemming daarvan met de ADR zorgtervoor dat er duidelijkheid is rond de periode van uitvoering van deaudits, en dat de betrokkenen tijdig capaciteit vrij kunnen maken. Hetgeven van randvoorwaarden aan de audits, met name in de vorm vangoede interne controles, en het uniformeren van het toetsingskaderzorgen er voor dat de audits soepeler verlopen. Dit is bij de drie audits van2025 al goed zichtbaar geweest. Met deze aanpak worden er op regel-matige basis audits verricht, en worden de betrokken organisaties in staatTweede Kamer, vergaderjaar 2025–2026, 36 800 VI, nr. 1374 gesteld om hun processen te verbeteren. Door de kortere tussenpozenwordt de kans verkleind dat er nieuwe fouten ontstaan en raken deorganisaties beter gewend aan de auditing.Bij sommige audits is sprake van incidentele, kleine rechtmatigheids-fouten, zoals het ontbreken van een handtekening onder een vordering. Ikacht het van belang dat er prioriteit gegeven wordt aan het oplossen envoorkomen van dergelijke fouten. Daarnaast is er sprake van administra-tieve fouten of onvolkomenheden in processen. Voor al deze zakenconstateer ik dat de aanbevelingen allemaal overgenomen zijn, en dat erdirect gestart is met verbeteringen. Voor een optimaal proces vanbevragingen is dat essentieel.Het uitvoeren van het meerjarenplan en de betrokkenheid van de ADRdaarbij is nog vrij recent. De ingeslagen weg is mijns inziens de juiste, ende komende jaren zullen uitwijzen hoe het uitvoeren van de audits, deuitkomsten daarvan, alsmede het uitvoeren van verbeterslagen, zichzullen ontwikkelen.De Minister van Justitie en Veiligheid,D.M. van WeelTweede Kamer, vergaderjaar 2025–2026, 36 800 VI, nr. 1375