Reactie op het rapport ‘De kracht en kwetsbaarheid van het digitale krijgsmachtnetwerk NAFIN’ van de Algemene Rekenkamer

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202536 592Defensienota 2024 – Sterk, slim en samenNr. 8 BRIEF VAN DE MINISTER EN STAATSSECRETARIS VANDEFENSIE Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 3 december 2024Op 21 november 2024 heeft uw Kamer ons verzocht schriftelijk tereageren op het rapport van de Algemene Rekenkamer «De kracht enkwetsbaarheid van het digitale krijgsmachtnetwerk NAFIN» (Kamerstuk36 592, nr. 6). In deze brief reageren wij op de conclusies en aanbeve-lingen van de Algemene Rekenkamer en lichten toe welke maatregeleninmiddels zijn getroffen. Zoals ook vermeld in onze bestuurlijke reactie,welke is opgenomen in het rapport, willen we benadrukken dat de storingvan 28 augustus 2024 geen relatie heeft met de geconstateerde bevin-dingen. Het rapport van de Algemene Rekenkamer richtte zich namelijkniet op de digitale werking van het netwerk, maar op de fysieke bevei-liging en positionering van het netwerk.De Algemene Rekenkamer heeft onderzocht hoe Nederland haar vitaleinfrastructuur beschermt tegen de risico’s van uitval, verstoring ofmisbruik van IT-systemen. In dit kader heeft de Algemene Rekenkamerspecifiek gekeken naar de beveiliging van het Netwerk van de Neder-landse Krijgsmacht (NAFIN). In haar rapport presenteert de AlgemeneRekenkamer bevindingen, conclusies en aanbevelingen met betrekking totde kwetsbaarheden van dit belangrijke netwerk.De Algemene Rekenkamer concludeert in haar rapport dat het NAFIN-netwerk technisch goed is opgezet en voldoet aan de laatste standaarden,maar dat de fysieke beveiliging onvoldoende is. De Algemene Reken-kamer heeft drie belangrijke conclusies geformuleerd:•Strategie en visie: Defensie heeft geen strategie en visie voor de rol entoekomst van NAFIN. Gezien de veranderende veiligheidssituatie is hetnoodzakelijk dat Defensie de toekomst van het NAFIN-netwerkheroverweegt.•Fysieke beveiliging: De fysieke beveiliging van de NAFIN-locaties isonvoldoende, wat ook werd vastgesteld bij de beveiliging van militaireobjecten in 2022 en 2023.•Militaire regie en controle: Defensie heeft beperkte regie en controleover het netwerk. Defensie moet meer eigenaarschap tonen en toezichthouden op de naleving van de contractuele afspraken met KPN overABDO-autorisatie. kst-36592-8ISSN 0921 - 7371’s-Gravenhage 2024Tweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 81 De Algemene Rekenkamer doet op basis van bovengenoemde conclusiesdrie aanbevelingen. Wij nemen de aanbevelingen over, hieronder lichtenwe de aanbevelingen en de genomen maatregelen toe.De Algemene Rekenkamer beveelt aan om een strategische visie teontwikkelen voor de rol van het NAFIN netwerk in de Nederlandsesamenleving. Door bezuinigingen op de defensiebegroting in eerderejaren heeft Defensie de kosten van NAFIN proberen te dekken door hetnetwerk open te stellen voor andere gebruikers van de rijksoverheid. Hethuidige op kostenefficiëntie gerichte beleid, zal worden herzien, metnadruk op de vernieuwde focus op hoofdtaak 1. Dit zal in overleg met dehuidige medegebruikers van NAFIN gebeuren. Gezien de essentiële rolvan het NAFIN-netwerk in de Nederlandse samenleving, zal Defensieonderzoeken of het netwerk moet worden aangemerkt als vitale infra-structuur. Daarnaast zal Defensie ook een strategische visie voor NAFINopstellen. Het onderzoek en de strategische visie worden voor de zomervan 2025 afgerond, waarna wij uw Kamer hierover zullen informeren.Daarnaast adviseert de Algemene Rekenkamer maatregelen te nemenvoor betere detectie en respons op ongeoorloofde toegang tot hetnetwerk, waaronder continue monitoring door Defensie op sabotage enspionage, verhoging van het veiligheidsbewustzijn van betrokkenmedewerkers en periodieke fysieke en digitale tests van de beveiligingvan NAFIN-netwerkruimtes. In dit kader hebben wij de volgende maatre-gelen genomen:1.De detectie van ongeoorloofde toegang tot het netwerk en hetdigitaal testen zijn opgenomen in een monitoringtool. Het ITOperations Center (ITOC), onderdeel van het Commando Materieel enIT (COMMIT), is inmiddels gestart met verbeteringen in de monito-ring en digitale bewaking van het NAFIN-netwerk.2.Daarnaast is de respons op ongeoorloofde toegang tot het netwerk,het veiligheidsbewustzijn van defensiemedewerkers en het standaardperiodiek fysiek testen van de beveiliging van netwerkruimtesonderdeel geworden van de aanpak van het project onvolkomenheidbeveiliging militaire objecten. Dit project is inmiddels gestart.3.Defensie zal, als opdrachtgever, KPN dit jaar nog per brief verzoekenmaatregelen te nemen om het veiligheidsbewustzijn van betrokkenmedewerkers en onderaannemers te verbeteren. Hierover zalDefensie in gesprek blijven met KPN.De Algemene Rekenkamer doet tot slot de aanbeveling om het werk aanhet NAFIN-netwerk minder uit te besteden en beter toezicht te houden opde uitvoering door KPN van de beveiligingsmaatregelen enABDO-autorisaties. KPN draagt zelf de verantwoordelijkheid voor hetaanvragen van ABDO-autorisaties. In de brief die Defensie dit jaar aanKPN zal stuurt, wordt zij gewezen op deze verantwoordelijkheid en wordtgevraagd om verbeteringen door te voeren in de naleving van debeveiligingsmaatregelen en ABDO-autorisaties. Tevens zal Defensie KPNverzoeken om het aantal (onder)onderaannemers te verminderen.Daarnaast zal Defensie de Auditdienst Rijk (ADR) verzoeken om audits uitte voeren naar de naleving van de Baseline InformatiebeveiligingOverheid (BIO) door medegebruikers van het NAFIN. Afhankelijk van deuitkomsten van deze audits zal worden beoordeeld of de afspraken in deService Level Agreements (SLA) met het Ministerie van BinnenlandseZaken en Koninkrijksrelaties op dit punt voldoende zijn. Ik ga in overlegmet de ADR over het moment van de start van de audits. Uw Kamerinformeer ik na de afronding van de audits en de gesprekken.Het NAFIN-netwerk is van essentieel belang voor zowel Defensie als derijksoverheid, waarbij de veiligheid en beschikbaarheid van het netwerkeen hoge prioriteit heeft. Gezien de huidige geopolitieke situatie isDefensie zeer terughoudend om informatie over kwetsbaarheiden engebruik van onze hoog-gerubriceerde systemen, processen en netwerkenTweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 82 te delen. In deze brief bent u daarom op hoofdlijnen geïnformeerd over deopvolging van de aanbevelingen van de Algemene Rekenkamer.De aanbevelingen van de Algemene Rekenkamer zijn waardevol voor hetwaarborgen van de continuïteit en weerbaarheid van het NAFIN-netwerk.Met de reeds genomen maatregelen zijn wij van mening dat we stappenzetten in de verbetering van de veiligheid van het NAFIN.De Minister van Defensie,R.P. BrekelmansDe Staatssecretaris van Defensie,G.P. TuinmanTweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 83