Kabinetsreactie ADR Rapport inzake Onderzoeksrapport Beveiligingsproces van staatsgeheime/vertrouwelijke informatie bij NCTV en politie

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202536 600 VIVaststelling van de begrotingsstaten van hetMinisterie van Justitie en Veiligheid (VI) voor hetjaar 2025Nr. 123 BRIEF VAN DE MINISTER VAN JUSTITIE EN VEILIGHEID Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 13 december 2024Op 1 november 2023 heeft mijn voorganger uw Kamer geïnformeerd overde verontrustende berichtgeving dat op donderdag 26 oktober 2023 tweepersonen zijn aangehouden op verdenking van het bezitten en naar buitenbrengen van staatsgeheime informatie (Kamerstuk 36 410-VI, nr. 10). Dit isaanleiding geweest voor het instellen van verschillende onderzoeken,waaronder een onafhankelijk onderzoek naar de omgang met bijzondereinformatie1 bij de NCTV en de politie door de Auditdienst Rijk (ADR). Hetrapport dat door de ADR is opgesteld als resultaat van dit onderzoek is op29 november jl. aangeboden aan mijn ministerie en stuur ik uw Kamer alsbijlage2 bij deze kabinetsreactie toe. Peildatum van het onderzoek van deADR is 1 oktober 2023. De situatie na 1 oktober 2023 en de sindsdiengenomen maatregelen maken daarom in beginsel geen onderdeel uit vanhet rapport en de bevindingen van de ADR. Dat betekent dat de ADR inbeginsel heeft gekeken naar de situatie zoals die was direct voor deaanhoudingen.Ik acht het van belang uw Kamer zo volledig en transparant mogelijk teinformeren. Dat neemt niet weg dat, zoals ook gemeld in de Kamerbriefvan 8 december 20233, juist over deze aangelegenheid goed moet wordenbezien welke informatie – met het oog op de zorgvuldigheid en deveiligheid die moet worden betracht – niet openbaar gemaakt kan worden.Dat heeft ertoe geleid te besluiten om enkele passages uit het rapport nietopenbaar te maken, omdat deze ofwel 1) de belangen van de Staat1Met bijzondere informatie wordt in deze brief gedoeld op gerubriceerde informatie, waaronderstaatsgeheime informatie, en vertrouwelijke politie-informatie. Staatsgeheime informatie isanders van aard dan vertrouwelijke politie-informatie; bij staatsgeheime informatie is er altijdsprake van een belang voor de nationale veiligheid. Gerubriceerde politie-informatie kent eenspectrum aan rubriceringen met uiteenlopende belangen.2Op en in het rapport staat nog de rubricering departementaal-vertrouwelijk. Deze rubricering iser formeel afgehaald voor verzending aan uw Kamer maar blijft erop staan vanwege het formatvan het rapport.3Kamerstukken 2023–24, 36 410-V, nr. 16 kst-36600-VI-123ISSN 0921 - 7371’s-Gravenhage 2024Tweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1231 kunnen schaden dan wel 2) veiligheidsrisico’s opleveren omdat concreetinzicht wordt gegeven in de operationele werkwijze van de politie.Ik ben de ADR erkentelijk voor het verrichte onderzoek en het rapport. DeADR concludeert dat de informatiebeveiliging, op peildatum 1 oktober2023, onvoldoende was. Procedures en maatregelen werden onvoldoendenageleefd, er was onvoldoende alertheid op mogelijk misbruik en desamenwerking tussen verantwoordelijke onderdelen was onvoldoende.De ADR concludeert dat de NCTV en de politie daarmee hun eigenkwetsbaarheden hebben gecreëerd.Uit het rapport spreekt een heldere boodschap: de informatiebeveiligingten aanzien van bijzondere informatie kan en moet beter en moet betervoorbereid worden op misbruik van gerechtvaardigde toegang totbijzondere informatie. Ik onderschrijf die boodschap volledig. Het is nietgoed dat destijds niet is voldaan aan de geldende procedures envoorschriften voor informatiebeveiliging. Het is van groot belang dat dezeworden nageleefd. Daar zet ik vol op in.De geldende voorschriften moeten altijd omgezet worden in concretemaatregelen in de praktijk. Die concrete maatregelen moeten vervolgensconstant getoetst en aangescherpt worden. Dat is nooit af. Het ADRrapport doet ten aanzien van die concrete maatregelen waardevolleaanbevelingen die ik omarm. Zoals ook uit de bijlage zal blijken, is eendeel van de aanbevelingen reeds opgevolgd door de al sinds de aanhou-dingen van de verdachten getroffen maatregelen.De opvolging van de aanbevelingen van de ADR is niet met een enkeletoegespitste maatregel te bereiken. Een andere aanpak en bewustzijn overde hele breedte van de omgang met bijzondere informatie bij de NCTV ende politie is nodig. De omvangrijke stappen die reeds sinds de aanhou-dingen en naar aanleiding van het ADR rapport zijn gezet illustreren datde aanbevelingen met de nodige urgentie en zorgvuldigheid zijn opgepakten zullen blijven worden opgepakt. Er zal in het verdere proces continugetoetst worden waar nog verdere verbeteringen doorgevoerd kunnenworden. Ik heb daarbij ervaren dat de onderzochte organisaties deurgentie voelen en de aanbevelingen van de ADR adequaat hebbenopgepakt. Hieronder zal ik in algemene zin ingaan op de hoofdpuntenwaarop die aanpak gericht is en tot welke maatregelen dat leidt en geleidheeft. Een gedetailleerde reactie op de aanbevelingen en de uitwerkingdaarvan is in de bijlage weergegeven.KabinetsreactieDe NCTV en de politie spelen een belangrijke rol bij het veilig houden vanons land en beschikken daartoe over een specifieke informatiepositie. DeNCTV, als onderdeel van het Ministerie van Justitie en Veiligheid, doet datvanuit een coördinerende rol. De politie, een sui generis organisatie, doetdat vanuit een operationele rol. De organisaties vervullen hun rollenonder bijzondere omstandigheden waarbij alertheid en veiligheidsbe-wustzijn hoog in het vaandel staan. Vanwege de verschillende positio-nering van de NCTV en de politie is er sprake van verschillende wettelijkeverankerde regimes voor informatiebeveiliging.Voor het vervullen van de rol in de bescherming van onze (nationale)veiligheid verwerken verschillende partijen binnen de overheid,waaronder de NCTV en de politie, bijzondere informatie. Dit maakt dezeorganisaties een interessant doelwit voor statelijke en niet-statelijkeactoren. Het is bekend dat Nederland doelwit is van inlichtingenactivi-teiten van landen met een offensief inlichtingenprogramma die daarmeeTweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1232 de nationale veiligheid van Nederland bedreigen.4 Digitale en fysiekespionage vormen een specifiek probleem waar het kabinet en desamenleving alert op moeten blijven.5 Het is daarom van groot belang datveiligheidsorganisaties, en daarmee onze samenleving, daartegen zoweerbaar mogelijk zijn en blijven. Tegelijkertijd zullen kwaadwillendeactoren altijd op zoek blijven naar gevoelige informatie en daar metoffensieve inlichtingencampagnes maximaal op inzetten.1. Maatregelen naar aanleiding van de aanhoudingZodra bekend werd dat er sprake was van een mogelijk lek van bijzondereinformatie door een medewerker van de NCTV, zijn er binnen de NCTVnoodmaatregelen getroffen. Het gaat dan om zowel noodmaatregelen alsgelijktijdig ingezette maatregelen gericht op de lange(re) termijn. Denoodmaatregelen beoogden een direct effect, waarbij de maatregelengericht op de lange(re) termijn onderdeel uitmaken van een continuproces van verbetering. De aanbevelingen die de ADR in haar rapportheeft gedaan zijn, voor zover dat nog niet het geval was, weer integraalmeegenomen. Dit proces kent ook geen einde, nu informatiebeveiligingeen constante cyclus van verbetering kent.Doel van de (nood)maatregelen was zekerstellen dat alleen die mensenkennis kunnen nemen van informatie waarvoor dat voor de uitoefeningvan hun taak noodzakelijk is. Verschillende werkprocessen, waaronderinformatiedeling, zijn daartoe onmiddellijk gestopt en de toegang totbijzondere informatie is zeer sterk ingeperkt. Vervolgens is de toegang totbijzondere informatie via het digitale systeem stap voor stap weeropgestart, waar nodig met aanvullende waarborgen en tussenstappen enmet een sterk ingeperkt toegangsregime. De geldende wet- en regel-geving, waaronder het Voorschrift Informatiebeveiliging Rijksdienst –Bijzondere Informatie (VIR-BI) is daarbij de basis. Er is en wordt striktergekeken naar wie welke informatie echt nodig heeft om zijn of haar werkte kunnen doen.Daarnaast is de NCTV direct gestart met het nemen van maatregelengericht op de lange(re) termijn. Er zijn zowel ten aanzien van de digitaleals fysieke verwerking van bijzondere informatie belangrijke stappengezet. Dit heeft er onder meer toe geleid dat de NCTV sinds 8 april jl. eenaccreditatie heeft ontvangen voor de duur van 1 jaar die ziet op hetdigitale systeem waarmee bijzondere informatie wordt verwerkt.Daarnaast zijn maatregelen getroffen ten aanzien van de fysieke contextwaarin bijzondere informatie wordt verwerkt. De uitkomsten van de eersteschouw op deze maatregelen is dat de NCTV momenteel voldoet aan devereisten voor het verwerken van staatsgeheime informatie. Ook zijn depersonele beveiligingsmaatregelen verder aangescherpt, om het risico opinsider threat zo klein mogelijk te maken. Over de volle breedte zijnverdere verbetermaatregelen geïdentificeerd, die ook deels hun weerslagvinden in het ADR rapport. Deze elementen zullen ook nader aan bodkomen in deze brief en de bijlage bij deze brief.Na de aanhouding van de verdachten heeft ook de politie direct maatre-gelen getroffen. De gevolgen van de aanhouding van de verdachte dieingehuurd werd door de politie zijn in kaart gebracht, waaronderveiligheidsrisico’s voor individuele medewerkers en lopende onderzoeken.Waar nodig zijn maatregelen in de operatie getroffen om mogelijkeschadelijke gevolgen te beheersen. De politie heeft in de periode na deaanhouding van de verdachten ook maatregelen getroffen bij het cluster4Dreigingsbeeld Statelijke Actoren, November 2022, p. 175Dreigingsbeeld Statelijke Actoren, November 2022, p. 4, 13–14, 17Tweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1233 Contraterrorisme, Extremisme en Radicalisering (CTER), onder meer naaraanleiding van eigen onderzoek. De politie heeft in de periode na deaanhoudingen ook structurele maatregelen getroffen. De voorlichting overhet geldende beleid is verbeterd en het eerstelijns toezicht hierop isverscherpt. Het gaat hierbij om het naleven van het beleid voor veiligecommunicatie en voor het veilig werken met tolken. Verder is de politienaar aanleiding van de aanhouding gestart met het treffen van lange(re)termijn maatregelen, zoals het (verder treffen van voorbereidingen voor)de invoering van protective monitoring voor de gehele politieorganisatieen het in gang zetten van een proces om tolken op een hoger niveau danvoorheen te screenen. Deze elementen zullen ook nader aan bod komen indeze brief en de bijlage bij deze brief.2. Hoofdpunten ADR RapportDe belangrijkste punten uit het ADR rapport zijn dat op de peildatum van1 oktober 2023:a)procedures en regels ingericht ten aanzien van informatiebeveiliging inde praktijk onvoldoende werden nageleefd;b)er onvoldoende alertheid was ten aanzien van mogelijk misbruik vantoegang tot informatie; enc)de samenwerking tussen de verschillende onderdelen die een rolhebben in informatiebeveiliging onvoldoende was.De NCTV en de politie hebben maatregelen getroffen om deze aandachts-punten structureel op orde te brengen. Deze komen hieronder één vooréén aan bod, eerst algemeen en daarna per organisatie. Ik merk daarbij opdat de ADR ten aanzien van de NCTV en politie verschillende aanbeve-lingen heeft gedaan die zien op verschillende onderdelen van het procesvan informatiebeveiliging.a) Het naleven van de procedures en voorschriftenHet eerste aspect ziet op het voldoen aan de geldende procedures envoorschriften langs de lijnen van het veelgebruikte Plan-Do-Check-Act(PDCA) cyclus zoals ook gehanteerd door de ADR. Enerzijds omdat andersrisico’s kunnen ontstaan in de beveiliging. Anderzijds omdat de (informa-tie)beveiliging anders niet toetsbaar is en kwetsbaarheden onvoldoendenaar boven komen. Er was bij de NCTV en politie geen volledig cyclischproces van informatiebeveiliging ingeregeld. Terwijl het juist nodig is voorgoede informatiebeveiliging om deze stappen continu te doorlopen. HetADR rapport laat zien dat de NCTV en politie op dit punt (verschillende)verbeteringen moeten doorvoeren. Zo heeft de ADR ten aanzien van depolitie geconstateerd dat er al veel bruikbaars op papier staat en beveeltaan om aanvullende aandacht te besteden aan de Do-Check-Act onder-delen van de cyclus. Bij de NCTV zal met een sluitende PDCA-cyclusworden voldaan aan het normenkader voor informatiebeveiliging, zoalsdie wordt vereist op basis van de Baseline Informatiebeveiliging Overheid(BIO) en het VIR-BI. Zowel de korpschef als de NCTV hebben reedsmaatregelen getroffen die ertoe moeten leiden dat deze cyclus sluitendwordt gemaakt. Als onderdeel daarvan worden de verantwoordelijkhedenvoor informatiebeveiliging op alle niveaus versterkt.NCTVHoewel de PDCA-cyclus nog niet sluitend is – waarbij ook de ADRconstateert dat doorgaans een jaar nodig is om een volledigePCDA-cyclus te doorlopen –, heeft de NCTV inmiddels een procesuitgewerkt waarbij risico’s in het kader van de bescherming vanbijzondere informatie en de toegang daartoe in beeld worden gebracht enTweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1234 mitigerende maatregelen zijn en worden ontwikkeld en ingezet. HetVoorschrift Informatiebeveiliging Rijksdienst (VIR), uitgewerkt in het BIO,en het VIR-BI gelden daarbij als uitgangspunt. Hierbij was tevens «need toknow» altijd het uitgangspunt. Voorbeelden van verbeteringen die reedszijn getroffen, zijn bijvoorbeeld het beperken van toegang tot systemen eninformatie die alleen noodzakelijk is voor de goede uitoefening van eentaak (een steviger inrichting van het «need to know»-principe), hetaanscherpen van toezicht op en controleren van rechten en het vereisenvan toezicht op atypische gedragingen, zoals bijvoorbeeld het vereisenvan toestemming van een leidinggevende om voor een ander te printen.Daarnaast acht ik het van belang om stil te staan bij het beleid ten aanzienvan de veiligheidsonderzoeken en vertrouwensfuncties binnen de NCTV.Bevindingen uit het ADR onderzoek hebben aanleiding gegeven om tenaanzien van een beperkt aantal medewerkers nader te bezien in hoeverrede «verklaringen van geen bezwaar toereikend waren voor de functie. Tenaanzien van een aantal medewerkers zijn vervolgens mitigerendemaatregelen getroffen in afwachting van een hernieuwd veiligheidson-derzoek van de AIVD. Ook is de NCTV, met advies van de Beveiligingsau-toriteit van het Ministerie van Justitie en Veiligheid (hierna: BVA), gestartmet de 5-jaarlijkse actualisatie van de lijst vertrouwensfuncties, zodat dezeaansluit bij de laatste inzichten. Tot slot heeft de NCTV maatregelengenomen om het beleid t.a.v. het tijdig aanvragen van herhaalonder-zoeken en het melden van gewijzigde omstandigheden bij vertrouwens-functionarissen aan de BVA aangescherpt na te leven.PolitieDe ADR geeft aan dat er bij de politie veel bruikbaars op papier staat maaronvoldoende in de praktijk wordt nageleefd. Er worden verschillendestappen gezet om de implementatie daarvan in de praktijk te verbeteren.Er wordt bijvoorbeeld reeds een pilot gedraaid met protective monitoringwaarmee gebruikershandelingen proactief en geautomatiseerd wordengeanalyseerd op atypische signalen om onrechtmatig gebruik vansystemen te detecteren. Per 1 januari 2025 wordt protective monitoringingevoerd in de gehele politieorganisatie. Ook is het beleid ten aanzienvan de screening voor tolken binnen de politie aangescherpt.Het ADR rapport toont aan dat bij de leidinggevenden van hetCTER-cluster het eerstelijns toezicht niet op orde was. Dit sluit aan bij hetbeeld uit eerdere rapporten6 dat leidinggevenden te veel gericht waren ophet bereiken van operationele resultaten wat ten koste gaat van hetconcretiseren en naleven van voorschriften en procedures rondominformatiebeveiliging. Daarom wordt als deel van de transitie van delandelijke eenheden binnen het CTER-cluster reeds ingezet op hetversterken van het leiderschap en de verkleining van de span of controlvan leidinggevenden (het aantal medewerkers per leidinggevenden). Ookhet wijzigen van de inrichting van het CTER-cluster wordt meegenomen indeze transitie. Als onderdeel hiervan zal het toezicht op informatiebevei-liging in de werkpraktijk ingeregeld worden, bijvoorbeeld ten aanzien vantoegangsrechten.b) Blijvende alertheid op mogelijk misbruikHet tweede aspect ziet erop dat meer rekening moet worden gehoudenmet mogelijk misbruik door individuen die geautoriseerd toegang hebbentot bijzondere informatie. De ADR concludeert dat er te weinig alertheidwas ten aanzien van mogelijke inbreuken op beveiliging. Op de situatie6Kamerstukken II 2021–22, 29 628 nr. 1053 en 1101Tweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1235 dat er misbruik kan worden gemaakt van gerechtvaardigde toegang, ookbinnen de eigen organisatie, moet (beter) worden geanticipeerd. Ditomvat verschillende elementen, die deels overlappen met de maatregelendie hierboven zijn genoemd. Een onderdeel ziet bijvoorbeeld op hetregisteren en analyseren van gebeurtenissen die van invloed kunnen zijnop de betrouwbaarheid van informatie. Dit begint bij het vastleggen enanalyseren van handelingen van de medewerkers die met bijzondereinformatie werken.Bij zowel de NCTV als de politie worden procedures, toegespitst op deeigenheid van de organisaties, ingericht die uitgaan van succesvollepogingen tot ongeautoriseerde toegang of het misbruik maken vangeautoriseerde toegang. Onderdeel daarvan is beleid over wélkehandelingen vervolgens als atypisch gelden, waarbij rekening wordtgehouden met mogelijk misbruik of een insider threat. Dan wordt hetgedrag toetsbaar. Bovendien gaat daar een bewustzijn verhogend effectvan uit. Ook blijkt uit het ADR rapport dat incidenten of activiteiten nietaltijd als signaal van mogelijk misbruik werden opgevat. Het is van belangdat afwijkingen van procedures of opvallende gedragingen altijd vanuitverschillende perspectieven worden bekeken. Verhoogd bewustzijn overmogelijk misbruik draagt ook daar aan bij.Ten slotte is het van belang dat signalen samenkomen en dat afsprakenover het melden van signalen, zowel intern als aan andere relevanteinstanties, worden opgevolgd. Dit begint bij bewustzijn maar omvat ookhet verkleinen van mogelijke drempels die er kunnen zijn om signalen temelden. Het is van belang dat medewerkers niet alleen weten dat zemoeten melden, maar ook wat ze moeten melden (zoals afwijkendegedragingen) en waar ze kunnen melden. Dit wordt onder meer opgepaktdoor het verhogen van bewustzijn op medewerkersniveau, het inrichtenvan procedures om afwijkende gedragingen te ondervangen en door hetsamenspel tussen de verschillende toezichtslijnen te versterken.NCTVBinnen de NCTV is aandacht voor misbruik onder andere verstevigd doorveel duidelijkere kaders te stellen voor de individuele medewerkers waarzij op aangesproken worden. Daarmee wordt duidelijk gemaakt waarmededeling van moet worden gedaan bij de BVA. Het gaat daarbijbijvoorbeeld om meldingen over onjuiste omgang met bijzondereinformatie, maar ook om meldingen over afwijkend gedrag vanmedewerkers, in het bijzonder waar het raakt aan de integriteit enbetrouwbaarheid. Door toestemming te vereisen van een leidinggevendeom voor iemand anders staatsgeheime stukken te printen, kan er geentwijfel meer over bestaan dat dit een van de procedure afwijkendegedraging is. Door toestemming te vereisen voor het gebruiken vangegevensdragers en daar strikte administratie op te voeren, kan er geentwijfel meer over bestaan dat dit niet zomaar de bedoeling is en dat ditgecontroleerd wordt op mogelijk misbruik. Ook wordt hiermee bereikt datverschillende signalen ook in samenhang bezien kunnen worden.PolitieBinnen de politie zullen, om de risico’s op het vlak van de omgang metbijzondere informatie alsook de bredere (veiligheid)risico’s nader onder deaandacht te brengen, de teams van de politie die met bijzondere infor-matie werken in 2025 verplicht deelnemen aan een awareness training,die vervolgens structureel geborgd zal worden. Deze training zal ookgericht zijn op handelingsperspectieven voor de politiemensen die in demeest risicovolle contexten werken.Tweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1236 Ook treft de politie technische maatregelen, zoals hierboven toegelichteinvoering van protective monitoring per 1 januari 2025. De basis voor debeoordeling of een handeling als atypisch wordt beschouwd doorprotective monitoring ligt in de bestaande regels voor het raadplegen vanpolitiesystemen en de handreiking die de politie daarvoor heeft opgesteld.Deze regels en handreiking zijn van toepassing op alle politiemedewerkersen vormen onderdeel van hun opleiding. Ook zal de politie onderzoekenof, en zo ja welke, extra technische beveiligingsmaatregelen in politiesys-temen gewenst en effectief zijn. Hiervoor wordt een speciaal projectingericht.c) Het samenspel tussen verschillende organisatieonderdelenHet derde aspect ziet op het samenspel tussen de verschillende organisa-tieonderdelen die een (eigen) taak hebben in de beveiliging vanbijzondere informatie. In deze context is het van belang om te benoemendat de informatiebeveiliging langs drie lijnen is opgebouwd. De eerste lijnis het lijnmanagement, dat verantwoordelijk is voor de informatiebevei-liging binnen de eigen organisatie. De tweede lijn is belegd bij debeveiligingscoördinatoren (hierna: BVC) en de chief information securityofficer (hierna: CISO). Zij adviseren het lijnmanagement en houdentoezicht namens de lijnmanager binnen de organisatie op de integralebeveiliging. De derde lijn bij de NCTV en de politie is respectievelijk deBeveiligingsautoriteit van het bestuursdepartement van het Ministerie vanJustitie en Veiligheid en de concern audit van de politie. Uit het ADRrapport wordt duidelijk dat het samenspel tussen deze organisatieonder-delen verbeterd moet worden en dat het huidige toezichtkader nietafdoende is. De posities van de onderdelen moet worden verstevigd en ermoet meer aandacht komen voor het opvolgen van aanbevelingen.BestuursdepartementDe derde lijn is bij het bestuursdepartement belegd bij de Beveiligingsau-toriteit van het Ministerie van Justitie en Veiligheid (hierna: de BVA). Uithet rapport blijkt dat de BVA niet altijd over een (voldoende) eigen-standige informatiepositie beschikte en bepaalde beveiligingsincidentenniet als door de eerste of tweede lijn als zodanig herkend en dus gemeldwerden. Hierdoor kon onvoldoende invulling worden gegeven aan detoezichthoudende taak van de BVA. Deze moet worden versterkt. De BVAmoet daartoe tot andersoortige samenwerkingen komen met alleonderdelen van het departement die met bijzondere informatie werken.De BVA zal daartoe in de reguliere overleggen die periodiek wordengevoerd met alle JenV organisatieonderdelen, waaronder de NCTV,structureel meer aandacht besteden aan diverse onderwerpen, waaronderbijzondere informatie. Doel daarvan is dat de BVA zelf meer informatieophaalt bij de organisaties binnen het departement waar gewerkt wordtmet bijzondere informatie en op basis daarvan aandachtspunten in deinformatiebeveiliging identificeert. De versterking van de samenwerkingtussen de BVA en NCTV zal prioriteit hebben, mede gelet op de te nemenstappen richting de accreditatie van de NCTV in 2025 en ten aanzien vande vertrouwensfuncties en veiligheidsonderzoeken.PolitieBij de politieorganisatie is de derdelijns toezichthoudende taak belegd bijde concern audit. Ten aanzien van de politie komt naar voren dat er doorde concern audit wel aanbevelingen werden gedaan, maar dat deze nietaltijd werden opgevolgd. Zo constateert de ADR dat de concern audit vande politie weliswaar aan de bel heeft getrokken over het ontbreken vanintegraal risicomanagement en intern toezicht, maar dat er niet isTweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1237 geacteerd op de aanbevelingen. De politie zal de doorwerking van interneaudits versterken. De korpsleiding zal toezien op de opvolging en borgingvan aanbevelingen die door concernaudit worden gedaan. Tevens zal depolitie bezien of de expertise van concern audit kan worden versterkt doorpolitiemensen uit de operationele werkpraktijk toe te voegen aan auditsop informatiebeveiliging.3. Signalen en samenloop van functiesDe ADR is ook verzocht om specifiek aandacht te hebben voor deberichtgeving over eerdere signalen en de (wenselijkheid van de)samenloop van functies.7 Uit het ADR rapport komt niet naar voren dat erprincipiële bezwaren tegen de samenloop van functies waren of zijn. DeADR komt niet tot aanbevelingen op dit vlak.Wel is de casus aanleiding geweest om te concluderen dat de combinatievan functies en vooral ook de bijbehorende informatiepositie per functiegewogen moeten worden bij verzoeken tot eventuele samenloop, omdateen grotere informatiepositie kan leiden tot grotere risico’s bij schendingvan de geheimhoudingsplicht. Dat zal nadrukkelijker gewogen worden,waarbij vooropstaat dat dit altijd per geval en op basis van de omstandig-heden van dat geval moet worden beoordeeld. Ook vraagt zo’n eventuelesamenloop om een kritische periodieke evaluatie naar de houdbaarheiddaarvan, waarbij actief eventuele signalen ten aanzien van de samenloopen informatiepositie worden meegenomen.De ADR merkt op dat de NCTV aan een signaal van een NRC-journalist dietijdens een interview met de Nationaal Coördinator aangaf dat debetrokken medewerker een eigen harde schijf mee naar huis zou nemengeen opvolging heeft gegeven. Deze constatering verdient nuancering. Debewuste medewerker had toestemming voor het gebruik van een beperktaantal specifieke datadragers die vanuit de werkgever waren verstrekt. Dejournalist in kwestie stelde tijdens het interview echter dat er sprake zouzijn van het gebruik van een eigen harde schijf. Het gebruik van eenprivéschijf zou een veiligheidsincident zijn. Dit is zorgvuldig uitgelopen.Geconcludeerd is dat er geen sprake was van het gebruik van eenprivéschijf. Dat misbruik van datadragers in zijn algemeenheid nadereaandacht had verdiend, onderschrijf ik. Om deze reden wordendatadragers alleen nog beperkt in noodzakelijke gevallen en ondertoezicht uitgegeven.Verder constateert de ADR dat signalen niet altijd als zodanig werdenherkend of doorgegeven. Daardoor kwamen mogelijke signalen niet op deplek waar het mogelijk tot maatregelen had geleid. Om dit te verbeterenzijn per organisatie maatregelen getroffen, zoals eerder in deze brieftoegelicht. Bij nevenfuncties is het ook van belang dat bij signalen ookaandacht is voor de mogelijke noodzaak tot het leggen van contact met decounterpart bij de andere organisatie om te toetsen of daar ook signalenzijn. Dat moet onderdeel zijn van het maatwerk dat nodig is in deopvolging van signalen en moet op het juiste niveau worden gewogen.Tot slotHet is van belang dat onze informatiebeveiliging, en zeker die vanbijzondere informatie, niets te wensen overlaat. De daadwerkelijkebeveiliging valt of staat met de implementatie en naleving van proceduresen regels. Tegelijkertijd valt niet volledig uit te sluiten dat iemand metberoepshalve gerechtvaardigde toegang daar niet goed mee omgaat.7Kamerstukken, 2023–24, 36 410-VI, nr. 16Tweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1238 Voor dat aspect is ook meer aandacht nodig. Het is goed en waardevol datde ADR dit inzichtelijk heeft gemaakt, en zoals aangegeven in deze brief,zijn daar stevige stappen op gezet. Ik heb waardering voor onze mensendie zich inzetten voor onze veiligheid en ik heb ervaren dat de onderzochteorganisaties de urgentie voelen en de aanbevelingen van de ADRadequaat hebben opgepakt.Voor de komende tijd is het belangrijk de vinger aan de pols te houden. Ikheb de ADR gevraagd om een aanvullend onderzoek te doen bij de NCTVnaar de opvolging van de aanbevelingen en waar nodig aanvullendeaanbevelingen te doen. Ik merk daarbij op dat informatiebeveiliging eencyclisch proces is, en daarmee dus nooit af. Door continu de stappen tedoorlopen komen ook continu verbeterpunten naar boven. De ADR heeftaangegeven hiertoe bereid te zijn en te verwachten na 12 maanden eengoed beeld van te kunnen geven. De politie gaat de aanbevelingenopnemen in de interne auditcyclus en zal aan de ADR rapporteren over devoortgang. Uw Kamer zal vanzelfsprekend over de uitkomsten wordengeïnformeerd.De Minister van Justitie en Veiligheid,D.M. van WeelTweede Kamer, vergaderjaar 2024–2025, 36 600 VI, nr. 1239