Informatiedeling door het Nationaal Cybersecurity Centrum met derde landen

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202530 821Nationale VeiligheidNr. 239 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 27 september 2024Met deze brief informeer ik uw Kamer over een casus waarin hetNationaal Cybersecurity Centrum (NCSC) informatie heeft gedeeld meteen aantal landen. Het gaat hier om informatie over computersystemenwaar een Chinese statelijke actor toegang tot heeft gekregen voorspionagedoeleinden.1 Met deze informatie zijn deze landen in staatgesteld om maatregelen te nemen tegen deze cyberaanval. De informatieis ook gedeeld met de nationale computercrisisteams van vier niet-EU-landen: Canada, Japan, het Verenigd Koninkrijk en de Verenigde Staten.Het NCSC heeft echter geen wettelijke grondslag om dergelijke informatiemet deze vier landen te delen. Daarom stel ik uw Kamer daarvan op dehoogte, gekoppeld aan de maatregelen die ik heb ingesteld om dit in detoekomst te voorkomen.AanleidingU bent door de Minister van Defensie op 6 februari 2024 geïnformeerdover de onderkende Chinese spionagecampagne bij Defensie.1 Op dezedatum is tevens een rapport van de Militaire Inlichtingen- en Veiligheids-dienst (MIVD), de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) enhet NCSC gepubliceerd over deze geavanceerde Chinese malware.2 Dezezogenaamde COATHANGER-campagne, maakt gebruik van een kwets-baarheid in FortiGate-systemen en is aangetroffen op een losstaandDefensie-netwerk. Op 10 juni 2024 is nogmaals aandacht gevraagd voordeze spionagecampagne met een nieuwsbericht uitgebracht door MIVD,AIVD en NCSC en is bekend gemaakt dat deze statelijke actor zowel in1Kamerstuk 36 410 X, nr. 732TLP:CLEAR MIVD AIVD Advisory Coathanger | Publicatie | Nationaal Cyber Security Centrum(ncsc.nl) kst-30821-239ISSN 0921 - 7371’s-Gravenhage 2024Tweede Kamer, vergaderjaar 2024–2025, 30 821, nr. 2391 2022 als in 2023 binnen enkele maanden toegang heeft verkregen tot tenminste 20.000 FortiGate-systemen wereldwijd.3De MIVD heeft op verzoek van het NCSC lijsten opgesteld met IP-adressenvan FortiGate-systemen waar de statelijke actor zich (mogelijk) toegangtot verschaft heeft. Deze informatie is gedeeld met het NCSC met als doelom de slachtoffers te informeren zodat zij adequate tegenmaatregelenkunnen nemen. Het is gebruikelijk dat nationale computercrisisteams,zoals het NCSC in Nederland, elkaar informeren wanneer zij op de hoogtezijn van kwetsbare of gecompromitteerde systemen binnen hundoelgroep. Om die reden heeft het NCSC lijsten met voor deze landengerelateerde IP-adressen gedeeld, waarbij elk land enkel de voor henrelevante IP-adressen heeft ontvangen. Naast het delen van dezeinformatie met landen binnen de EU waarvoor een wettelijke grondslagbestaat, is deze informatie ook gedeeld met vier landen buiten de EUwaarvoor dat niet geldt.Procedure binnen het NCSCVoor het besluit tot het delen van (mogelijke) persoonsgegevens, zoalseen IP-adres, of vertrouwelijke tot aanbieders herleidbare gegevens,hanteert het NCSC processen om dit zorgvuldig en rechtmatig te doen.Hierbij wordt gekeken of de informatie gedeeld kan worden met eenspecifiek belanghebbende binnen het wettelijk kader van het NCSC ofdoor een andere partij met de juiste bevoegdheid. In het geval dathierover twijfel bestaat of wanneer dit niet kan, maar er zwaarwegendeuitzonderlijke (cyber)risico’s zijn, wordt over het eventuele vervolg hieropadvies gevraagd aan juristen en bestuurlijk adviseurs van NCSC en NCTV.In dit geval is deze procedure zoals boven aangegeven niet gevolgd. Datheeft te maken met de hieronder genoemde urgentie en contextwaarbinnen deze informatiedeling heeft plaats gevonden.Context bij deling informatieDe ernst van de Chinese cyberspionagecampagne is de reden geweest dathet NCSC over is gegaan tot het delen van informatie met de relevanteorganisaties. Deze keuze om informatie te delen bleek naderhand zondergrondslag te zijn. De doelwitten bestaan uit onder meer tientallen(Westerse) overheden, internationale organisaties en een groot aantalbedrijven binnen de defensie-industrie. De campagne was zeeromvangrijk, met meer dan twintigduizend mogelijk compromitteerdesystemen wereldwijd. Ook is de gebruikte spionagesoftware zeer moeilijkte onderkennen binnen een netwerk zonder precies te weten in welksysteem deze zich bevindt. Daarom is het verstrekken van specifiekeIP-adressen noodzakelijk om adequate tegenmaatregelen te kunnennemen, zoals in dit geval is gebeurd.Juridisch kaderHet NCSC heeft op grond van artikel 3, eerste lid, Wet beveiliging netwerk-en Informatiesystemen (Wbni) primair tot taak om vitale aanbieders enrijksoverheidsorganisaties in Nederland bijstand te verlenen, waaronderhet verstrekken van dreigings- of incidentinformatie (met inbegrip vanbijvoorbeeld persoonsgegevens). Ook kan het NCSC andere organisatiesinformeren over dreigingen en incidenten bij genoemde vitale aanbiedersen rijksoverheidspartijen in Nederland. Daarnaast heeft het NCSC opgrond van artikel 3, tweede lid, Wbni de taak om dreigings- en incidentin-3Aanhoudende statelijke cyberspionagecampagne via kwetsbare edge devices | Nieuwsbericht |Nationaal Cyber Security Centrum (ncsc.nl)Tweede Kamer, vergaderjaar 2024–2025, 30 821, nr. 2392 formatie, die op systemen van andere organisaties dan de rijksoverheid ofvitale aanbieders in Nederland ziet, te verstrekken aan onder de wetaangewezen (schakel)organisaties waarvan genoemde andere organi-saties de achterban vormen. Aanvullend daarop geldt op grond van artikel20, lid 2, Wbni dat bij verstrekking op basis van de in artikel 3 bedoeldetaken vertrouwelijke tot aanbieders herleidbare gegevens slechts inbeperkte kring kunnen worden verstrekt (CSIRTs van EU-lidstaten,inlichtingen- en veiligheidsdiensten, etc.).In deze casus betroffen de IP-adressen, die met de computercrisisteams inniet-EU-landen zijn gedeeld, vertrouwelijke tot aanbieders herleidbaregegevens. Een IP-adres is een herleidbaar gegeven omdat het mogelijk is,via openbare informatie, te herleiden welke organisatie hieraanverbonden is. In dit geval is de informatie tevens vertrouwelijk omdat hetinformatie betreft over een incident. Daarnaast kan niet worden uitge-sloten dat ook IP-adressen tot personen te herleiden zijn. Voorverstrekking van deze gegevens, in het geval van de computercrisisteamsbuiten de EU, is geen wettelijke basis, met name omdat deze niet bij ofkrachtens de Wbni zijn aangewezen als partijen waaraan op grond vanvoormelde artikelen 3 en 20 dergelijke informatie kan worden verstrekt.Conclusie is daarom dat de verstrekking van de IP-adressen aan degenoemde computercrisisteams buiten de EU zonder grondslag heeftplaatsgevonden. De gevolgtrekking van het niet uit kunnen sluiten of ersprake is van het lekken van persoonsgegevens maakt dat er sprake is vaneen datalek, dat gemeld is bij de Autoriteit Persoonsgegevens (AP).VervolgNaar aanleiding van deze casus zijn binnen het NCSC extra waarborgeningebouwd om te verzekeren dat de juiste procedures worden gevolgd.Dit behelst het verder aanscherpen van zowel technische als organisato-rische maatregelen.Het NCSC heeft haar werkproces voor informatiedeling aangescherpt. Ookzal het NCSC een opleidingstraject starten om de kennis van hethandelings- en begrippenkader rondom informatiedeling doorlopend oppeil te houden bij de verschillende organisatieonderdelen die hiermee temaken hebben tijdens werkzaamheden. Daarnaast is er een traject gestartvoor het verbeteren van het proces met behulp van technische maatre-gelen, zoals het verbeteren van de geautomatiseerde registratie vanfeitelijke handelingen, het verbeteren van de vastlegging van besluit-vorming en het verder structureren van overdrachtsvorming van casestussen de verschillende functionarissen. Deze maatregelen wordengeëvalueerd en zo nodig aangepast.NIS2Het wettelijk kader waarbinnen het NCSC opereert zal binnenkort wijzigenals gevolg van de Nederlandse implementatie van de herziene netwerk-en informatiebeveiligingsrichtlijn (NIS2-richtlijn) via het wetsvoorstel voorde Cybersecuritywet (Cbw), die voor de zomer in consultatie is geweest.De NIS2-richtlijn biedt aan lidstaten meer mogelijkheden om informatiemet landen buiten de EU te delen. Het werkproces en het kader zullendoor het NCSC aan de nieuwe wetgeving worden aangepast.De Minister van Justitie en Veiligheid,D.M. van WeelTweede Kamer, vergaderjaar 2024–2025, 30 821, nr. 2393