Verslag van een commissiedebat, gehouden op 27 november 2024, over Datalek bij de politie

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202529 628PolitieNr. 1242 VERSLAG VAN EEN COMMISSIEDEBATVastgesteld 9 januari 2025 De vaste commissie voor Justitie en Veiligheid heeft op 27 november 2024overleg gevoerd met de heer Van Weel, Minister van Justitie en Veiligheid,over:–de brief van de Minister van Justitie en Veiligheid d.d. 27 sep-tember 2024 inzake datalek politie (Kamerstuk 29 628, nr.1221);–de brief van de Minister van Justitie en Veiligheid d.d. 2 okto-ber 2024 inzake nadere informatie over hack bij de politie(Kamerstuk 29 628, nr. 1222);–de brief van de Minister van Justitie en Veiligheid d.d. 9 okto-ber 2024 inzake update over hack bij de politie (Kamerstuk29 628, nr. 1223);–de brief van de Minister van Justitie en Veiligheid d.d.8 november 2024 inzake update hack bij de politie (Kamerstuk29 628, nr. 1236).Van dit overleg brengt de commissie bijgaand geredigeerd woordelijkverslag uit.De voorzitter van de commissie,PoolDe griffier van de commissie,Brood kst-29628-1242ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12421 Voorzitter: PoolGriffier: Van TilburgAanwezig zijn acht leden der Kamer, te weten: Aardema, Helder, Michon-Derkzen, Mutluer, Van Nispen, Pool, Six Dijkstra en Van der Werf,en de heer Van Weel, Minister van Justitie en Veiligheid.Aanvang 16.01 uur.De voorzitter:Dames en heren, hartelijk welkom bij het commissiedebat Datalek bij depolitie. Allereerst een hartelijk woord van welkom aan de Minister. Fijn datu bij ons bent. Een woord van welkom aan de leden en aan ons publiek opde tribune. We hebben hier vandaag tot 19.00 uur de tijd. De spreektijdenstaan op vier minuten, met drie interrupties in deze eerste termijn. Ikvraag u gezien de tijd kort en bondig te interrumperen. Dan geef ik nu alseerste het woord aan mevrouw Van der Werf.Mevrouw Van der Werf (D66):Dank, voorzitter. Politieagenten zetten zich elke dag in voor een veiligNederland. Ze draaien daarbij lange dienstem, geven hun weekenden open maken veel mee waar je niet altijd vrolijk van wordt. Dat doen zeallemaal om onze veiligheid te garanderen. Het is pijnlijk dat juist zij hetslachtoffer zijn geworden van dit lek.Voorzitter. Ik stoor me dan ook aan de communicatie naar agenten toe nahet ontdekken van het lek. Sommige politiemensen moesten in de krantlezen dat hun gegevens op straat lagen. De Kamer en de media wisten hetnieuws hierover soms eerder dan de mensen om wie het ging. Uit depraktijk hoor ik nu gelukkig dat die updates een stuk beter verlopen.Daarom complimenten dat dat goed wordt opgepakt. Wel vraag ik deMinister hoe dit nou in het vervolg beter kan gaan.Voorzitter. Hoogstwaarschijnlijk is een statelijke actor verantwoordelijkvoor deze hack, maar verder is er weinig informatie beschikbaar. De voorde hand liggende vraag is: is dit datalek onderdeel van een groter geheel,een digitale oorlogsvoering? Kan de Minister hier iets over zeggen? In deKamerbrief staat dat de korpschef werd geïnformeerd door de AIVD en deMIVD, maar er is niet gedeeld hoe zij die hack op het spoor zijn gekomen.Kwamen ze die gegevens ergens tegen of hebben ze direct doorgehad dathet account was gehackt? Kan de Minister uitleggen hoe ze precies achterdit lek zijn gekomen en wanneer dit heeft plaatsgevonden?Voorzitter. Dan het punt waar ik mij het meest over verbaas. De Ministerzegt in de beantwoording van onze vragen erg stellig dat er geenveiligheidsrisico is voor onze agenten. Ik vraag mij af waar die stelligheidvandaan komt. Hoe kan een Minister zo goed weten dat een statelijkeactor geen kwade bedoelingen heeft? En dat er nu geen risico is, betekenttoch niet dat het risico er niet gaat komen? Is de Minister dat met mijeens? Gegevens van politiemensen zijn kostbaar en kwetsbaar. Er zijnpartijen die veel geld overhebben voor deze informatie. Foto’s en anderegegevens kunnen ook gebruikt worden voor bijvoorbeeld gezichtsher-kenning. Het wordt makkelijk om bijvoorbeeld agenten te chanteren metactiviteiten in hun vrije tijd. Al deze personen, maar liefst 62.000 mensen,kunnen misschien wel nooit meer worden ingezet als undercoveragent.Deze dienders hebben recht op het hele verhaal. Ik hoor dan ook graagwelke risico’s zich in de toekomst kunnen voordoen als gevolg van ditdatalek, waaronder de risico’s voor gezichtsherkenning, de risico’s bij deinzet van nieuwe undercoveragenten en de risico’s in de aanloop naarbijvoorbeeld de NAVO-top.Voorzitter. De politie is hard aan het werk om haar digitale bewustzijn tevergroten. De eenheid Amsterdam werkt bijvoorbeeld aan een regionaleTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12422 digitale vakdag. Zouden dit soort dagen niet veel meer overheidsbreedgeorganiseerd kunnen worden?Voorzitter. Tot slot. Eén keer in de zoveel tijd laait deze discussie weer op.Sommige agenten zouden graag anoniem onder een nummer willenwerken, in plaats van onder hun naam. Dat is best te begrijpen, want hoemakkelijk maken we het kwaadwillende criminelen die nog een appeltje teschillen hebben als de gegevens van een agent op straat liggen. InEngeland wordt momenteel al gewerkt met zo’n dienstnummer. Ik benbenieuwd of de Minister in Nederland deze mogelijkheid ook als optie ziet.De voorzitter:Ik dank u hartelijk voor uw bijdrage en ik geef het woord aan de heerAardema.De heer Aardema (PVV):Dank u wel, voorzitter. Eind september werd de politie geconfronteerd meteen hack, een inbraak in het systeem, waarbij gegevens over politie-mensen werden buitgemaakt. Dat is op zich al opmerkelijk omdat je er alspolitieambtenaar op mag vertrouwen dat dergelijke gegevens veiligachter slot en grendel zitten. Dit had natuurlijk nooit mogen plaatsvinden.Mensen die ons land veilig moeten houden, mogen niet zelf het slacht-offer worden. Dat mag zeker niet als je een bijzondere functie hebt,bijvoorbeeld als je werkt onder een dekmantel of bij een observatieteam.Dan mag het niet zo zijn dat je gegevens zomaar worden buitgemaakt. Datkan voor die functiecategorieën vergaande gevolgen hebben voor dewerkzaamheden en de eigen veiligheid. Mijn vraag aan de Minister is danook of politiemensen echt in gevaar zijn geweest en wat de genomenmaatregelen waren. Ik snap dat het lastig is om daarover in het openbaaruitspraken te doen. Als de Minister daar nu op antwoordt dat hij daarmeer over kan zeggen, maar niet in het openbaar, dan ga ik via hetprocedureoverleg hierover een besloten gesprek aanvragen. Opmerkelijkis dat de hack al uitgebreid werd gecommuniceerd met de buitenwereld,terwijl de betreffende politiemensen pas drie dagen later via een mailtjewerden geïnformeerd. Ik wil graag weten wat de overwegingen waren omhier zo lang mee te wachten.In de jaarverslagen van de AIVD en MIVD werd al langer gewaarschuwdvoor offensieve cyberactiviteiten. Wat is er met die signalen gedaan? Watgaat er nu concreet gebeuren om dergelijke hacks in de toekomst tevoorkomen? In de laatste brief van de Minister zegt hij dat er is geblekendat er sprake was van een pass-the-cookieaanval. Als je even zoekt opinternet, blijkt dat dit niet echt hogere krijgskunde is maar redelijk simpelte doen. Je kunt ook simpele tegenmaatregelen nemen, zoals eenmultifactorauthenticatie bij het inloggen. Dat zou toch heel gemakkelijkkunnen met de persoonlijk op naam uitgereikte diensttelefoons? Was dezeer, en is dat nu beter geregeld? Er is ook een ISO 27001-certificering die degaten kan dichten. Dat is een internationale standaard voor informatiebe-veiliging. Is die er nu en was die er toen ook? Misschien kan de Ministerdaar nog wat meer over zeggen.Ten slotte wil ik opmerken dat veiligheid voor de PVV topprioriteit heeft,niet alleen voor onze burgers, maar zeker ook voor onze politiemensen enandere hulpverleners.Dank u wel.De voorzitter:U bedankt. Mevrouw Helder, aan u het woord.Mevrouw Helder (BBB):Dank u wel, voorzitter. «Op 26 september ben ik door de korpschefgeïnformeerd dat een politieaccount is gehackt», aldus de Minister in zijnbrief van 26 september jongstleden. Het gevolg is dat werkgerelateerdeTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12423 contactgegevens van alle, alle politiemedewerkers zijn buitgemaakt. Dateen account gehackt kon worden, is al ernstig; daar kom ik dadelijk nog opterug. Wat ook ernstig is en wat BBB betreft ook verwijtbaar, is dat nietalle politiemedewerkers als eersten zijn geïnformeerd, maar de Ministeren de media. Agenten moesten het nieuws via de media horen.Gedurende het proces bleek dat ook privégegevens zijn buitgemaakt, enook e-mailadressen van een aantal ketenpartners. Tot zover het proces.Voorzitter. Dan de inhoud. Een dergelijke hack met deze immensegevolgen had natuurlijk nooit mogen gebeuren. Ik ga ervan uit dat deMinister dat met BBB eens is. Voor de goede orde: ik mis die scherpebewoordingen in de drie brieven die de Minister hierover naar de Kamerheeft gestuurd. Er is de afgelopen jaren veel geïnvesteerd in cyberse-curity, dus de vraag hoe dit heeft kunnen gebeuren, is des te dringender.Anno 2024 kan het excuus echt niet meer zijn dat de knappe IT-koppenallemaal bij het bedrijfsleven zitten en niet bij de overheid. De vraag isdus: hebben de mensen aan de knoppen wel voldoende deskundigheid?Voorzitter. Als de informatie die ik heb, juist is, zijn de ter zake verantwoor-delijken wel degelijk gewaarschuwd en zijn er signalen geweest met alskern: waarom staan deze velden in Outlook open? Met andere woorden:die hadden dus dichtgezet moeten worden. Dan was deze hack nietmogelijk geweest. In ieder geval zouden de gevolgen niet zo groot zijngeweest. Is de Minister het met BBB eens dat de eindverantwoordelijkemet IV of ICT – ik weet niet hoe de naam daar luidt – in zijn portefeuilleaan een functie elders moet gaan denken? Het kan toch niet zo zijn dat hetnegeren van deze signalen met deze gevolgen zonder gevolg blijft en datde korpschef hiervoor de klappen moet opvangen? Niet alleen allepolitieagenten, maar ook de korpsleiding en de samenleving moeten eropkunnen vertrouwen dat een dergelijke situatie niet meer zal kunnengebeuren. Daarom moeten ter zake deskundige personen aan de knoppenzitten en moet degene die eindverantwoordelijk is, vervangen worden.Voorzitter. Ik verwijs naar een artikel in de NRC van 11 oktober jongstledenmet de veelzeggende titel «Politiehack: als een stagiair of een vrijwilligerde schuld krijgt, is er echt iets mis met de IT». Een citaat uit dat artikel:«Een hack is zelden de schuld van een individuele medewerker, tenzijiemand bewust de boel saboteert. Belangrijker is: wie heeft bedacht dathet een goed idee is dat een politievrijwilliger bij het hele adresboek vanalle medewerkers kan?» Ik zal echt niet beweren dat de eindverantwoorde-lijke dat een goed idee vond, maar wel dat duidelijke signalen hieroverniet zijn opgevolgd. Dat is toch echt onacceptabel. Wat gaat de Ministerop dat punt doen?In de laatste brief, van 8 november jongstleden, schrijft de Minister dat dedaders vermoedelijk gebruik hebben gemaakt van een zogenoemdepass-the-cookieaanval en dat het vrij zeker is dat er niet meer gegevenszijn gestolen dan nu bekend is. Ik heb begrepen dat dit een vrij standaardaanval is; de vorige spreker zei dit ook al. Ik heb echter twee vragen. Hoelang heeft deze aanvaller zich opgehouden in het netwerk? Hoe weet menzo zeker dat er niet meer gegevens zijn gestolen? Ik sluit me aan bij devorige woordvoerders en hun vragen over het gevaar voor met nameagenten bij werken onder dekmantel, nu en in de toekomst.Dank u wel.De voorzitter:U bedankt. Het woord is aan mevrouw Mutluer.Mevrouw Mutluer (GroenLinks-PvdA):U hoort heel veel eensgezindheid, voorzitter. Gegevens, tot aan privége-gevens toe, worden door derden gekaapt. Alleen al dat is verschrikkelijken al helemaal als het gaat om mensen in gevoelige functies, zoalspolitiemensen. Ik moet zeggen dat ik me ook kapot geschrokken ben vandeze hack die onze politieorganisatie met ruim 62.000 medewerkers isTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12424 overkomen. Dat had nooit mogen gebeuren. Het maakt ons gewoonenorm kwetsbaar. Ik weet dat het onderzoek nog in volle gang is, maar uitde eerste berichten maken we al op dat het om een pass-the-cookieaanvalzou gaan, waardoor de dader toegang kreeg tot in ieder geval deOutlookadressen van alle politiemensen en ook de privégegevens en extracontacten.Ik hoop dat we zo snel mogelijk het antwoord op die vraag krijgen. Mijneerste vraag is dan ook: wanneer kunnen we die verwachten? Was ersprake van een kwetsbaarheid in het systeem, een lek dat de politie nogniet kende, maar de dader wel, zodat hij deze kennis kon uitbuiten? Wasde kwetsbaarheid wel al bekend en was de oplossing daarvoor, de patch,nog niet gedraaid? Zeker in dat laatste geval moet de politie snellerreageren op de door de softwareleverancier gemelde kwetsbaarheden.Worden de systemen van de politie gemonitord op het stelen van sessioncookies? Hoe weet de Minister dat er naast de gegevens uit de lijst vanadressen van Outlook geen andere adressen zijn buitgemaakt? Ik denk datdat ook de grootste zorg was van menig politieagent. Want waaromzouden de hackers niet ook de mails van de politiemensen ingezienkunnen hebben en daaruit meer vertrouwelijke gegevens kunnen vissen?Een nieuwe aanval moet voorkomen worden, ook al weet ik dat mense-lijke fouten nooit zijn uit te sluiten. Dat laat echter onverlet dat hetsysteem zelf zo veilig mogelijk moet zijn. We hebben eerder inspectierap-porten gezien waarin werd gemeld dat de ICT van onze justitiële partnerste wensen overliet. Het vraagt echt om versnelling en prioritering om ditzo snel mogelijk voor elkaar te krijgen. Ik doel dan ook op de wijze waaroponze justitiële partners met elkaar communiceren.Voorzitter. Daarbij zou ik ook willen stellen dat er alarmbellen moetenafgaan als in één keer een enorme hoop persoonsgegevens van allepolitiemensen wordt gekaapt. Daarom vraag ik de Minister ook of er welmonitoringstools waren die alarm konden slaan als er signalen werdengevonden die wezen op een veiligheidsprobleem? Waarom is het nodigdat politiemensen bij de persoonsgegevens van ál hun collega’s kunnen?Kan dat inderdaad onder een nummer worden geschaard?Voorzitter. Tot zover een beetje de technische kant van het probleem.Digitale onzorgvuldigheid van mensen kan een minstens zo groot risicozijn. Dat zien we overal om ons heen. Daarom vind ik het heel ergbelangrijk dat onze politiemedewerkers ook op de gevaren wordengewezen. Zij moeten getraind worden om hiermee om te gaan. Daar wil ikgraag een reactie op van de Minister. Ook wil ik dat de Minister ingaat opde kwetsbaarheden van andere schakels van de justitiële keten, zoals hetOpenbaar Ministerie, de rechters en ook het gevangeniswezen, datgevoelige gegevens heeft over hoe en waar criminelen opgesloten zitten,die niet misbruikt mogen worden om ze te laten ontsnappen. Ik wil van deMinister weten of hij bereid is om de ICT van al deze justitiële partnersdoor te lichten, zodat we kunnen kijken of daar zo snel mogelijk verbete-ringen in moeten worden doorgevoerd.Dan kom ik op de menselijke kant, namelijk die van de politiemedewerkersvan wie privégegevens in verkeerde handen zijn gekomen. De communi-catie liet echt te wensen over. Dat moet in de toekomst veel, veel en veelbeter. Zijn er nu signalen dat hun gegevens door externen misbruiktworden? Wat is er gedaan om schade te voorkomen om deze mensen tebeschermen? Hebben ze bijvoorbeeld nieuwe e-mailadressen en nieuwetelefoonnummers gekregen? Dat wil ik gewoon graag weten.Voorzitter. Ik rond af. We krijgen bericht over de stand van zaken van hetstrafrechtelijk onderzoek naar de daders. Als je kijkt naar de rapportagevan de AIVD en de MIVD, dan zie je dat er waarschijnlijk statelijke actorenzaten achter de hack. Dat vind ik heel erg zorgelijk, ook in het licht van deNAVO-top die er aankomt. Graag ook daar een reactie op, voor zover datkan.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12425 De voorzitter:Dank u wel voor uw bijdrage. Dan de heer Six Dijkstra.De heer Six Dijkstra (NSC):Dank, voorzitter. Het is goed dat we dit debat met elkaar voeren. Eencyberaanval van vermoedelijk een statelijke actor op onze politie, waarbijde gegevens van politiemensen en ketenpartners op straat komen teliggen, heeft een grote impact op alle betrokkenen. Ik begrijp heel goeddat politiemedewerkers hier last van hebben. Ik zie ook het risico dat, alsmeer datalekken als dit plaats zouden vinden, dit ook de aangiftebe-reidheid van burgers zou kunnen schaden. De veiligheid van onzepolitiesystemen is in dat licht van het hoogste belang. Ik sluit me dan ookgraag aan bij de zorgen die eerder gedeeld zijn door mijn voorgangers.Ik heb een aantal verduidelijkende en inhoudelijke vragen over deinformatie die de Minister heeft aangeleverd. Uit de kabinetsbrieven blijktdat er een politieaccount is gehackt, maar het valt me in de brieven op dater nog onzekerheid is over de initiële toegang. De toegang kan bijvoor-beeld door phishing komen, zegt de Minister, maar naar ik begrijp is daarnog geen uitsluitsel over. Verwacht de Minister hier later meer duide-lijkheid over te krijgen of zijn de logbestanden daarvoor ontoereikend?Zijn de detectiecapaciteiten van de politie toereikend om de initiëletoegang bij dergelijke aanvallen in principe vast te stellen? Waar en hoekunnen deze capaciteiten nog versterkt worden? Heeft het NCSC in hetkader van het Nationaal Detectie Netwerk hier bijvoorbeeld duidelijkestandaarden voor. Zijn die in dit geval ook nageleefd?Voorzitter. Na een succesvolle aanval kan malware worden geïnstalleerdvoor exfiltratie van data, kunnen we lezen in de brief. Dat staat wederombeschreven als mogelijkheid en niet als zekerheid. Kan de Minister albevestigen of dit daadwerkelijk is gebeurd? Zo ja, kan de Minister dan ookiets delen over de gebruikte malware? Is dat het type malware datgeneriek en breed beschikbaar is of wijst de malware naar een specifiekeactor of een specifiek land? Begrijp ik de Minister goed dat via malwaresession cookies zijn verzameld en geëxfiltreerd of bestaat ook de kans datdeze cookies op een andere wijze verkregen zijn? Kan de Minister delen ofde aanvallers ook malware hebben geplaatst voor persistente toegang oflaterale beweging binnen het netwerk? Is inmiddels zeker dat alle malwareuit het systeem is of bestaat het risico dat de actor nog steeds toegangheeft? Wederom stel ik de vraag in welke hier sprake is van dekkend zicht.Zo nee, hoe komen we daar?Waarschijnlijk was er sprake van een statelijke actor. Als het gaat omstaatsgeheime informatie, dan begrijp ik dat de Minister niet zomaar alleskan delen, maar ik wil wel graag een dringend appel doen dat het, zodradit kan, ook wel zinvol zou zijn om publiekelijk te attribueren. Bij eeneerdere casus, de hack op een Defensiesysteem, heeft de regeringChinese actoren publiekelijk geattribueerd. Dat vond ik een krachtigsignaal. Ziet de Minister mogelijkheden voor de uitbreiding van het beleidomtrent publieke attributie van cyberaanvallen? Zijn er duidelijkeafspraken? Wie staat daar in Nederland voor aan de lat?Tot slot wil ik het nog graag hebben over de vervolgstappen. Nu lijkt deomvang van de hack op basis van de aan de Kamer verstrekte informatiegelukkig beperkt te zijn tot de mailomgeving, maar de samenleving moetwel kunnen vertrouwen op de weerbaarheid van het politieapparaat. Indat kader wilde ik het onderwerp aanstippen dat eerder bij het monde-linge vragenuur aan de orde is geweest, namelijk de langetermijnopslagvan politiegegevens ten behoeve van cold cases en PTSS-behandeling. DeMinister gaat daarmee aan de slag. Er komt nieuwe wetgeving aan. Datzullen we zeker aanmoedigen. De Autoriteit Persoonsgegevens heeft in demedia echter al wel zorgen geuit over de manier waarop gegevens zeerlang worden opgeslagen. Als deze data door een hack op straat komen teliggen, kunnen de gevolgen daarvan desastreus zijn, zowel voor deTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12426 nabestaanden als voor de getuigen en voor de politiemensen zelf. Daaromvraag ik de Minister of hij bereid is om de AP om een nader te advies tevragen over de veiligheid van het regime waarmee informatie tenbehoeve van cold cases voor zeer lange termijn opgeslagen is. Daarbijheb ik het dus niet over wat wettelijk mag, want we weten dat dewetgeving in gebreke is en er nieuwe in de maak is. Ik heb het danconcreet over de manier waarop de gegevens afgeschermd en toegan-kelijk zijn.Voorzitter, dat was het van mijn kant. Dank u wel.De voorzitter:Dank u wel. U heeft nog een vraag van de heer Van Nispen.De heer Van Nispen (SP):Dan wordt dit toch nog een beetje een debat, misschien, al is dit meer eenverhelderende vraag dan een scherpe politieke, zo realiseer ik mij. De heerSix Dijkstra doet eigenlijk een appel op de Minister om, zodra dat kan,bekend te maken om welke statelijke actor het gaat. Daar kan ik me vanalles bij voorstellen. Ik heb daar echter nog over nagedacht. Ten eerstemoet je dat dan wel heel zeker weten en kan het niet zomaar eenverdenking zijn. Je moet het dus heel zeker weten. Ten tweede ga ik deheer Six Dijkstra toch ook de vraag stellen welke gevolgen hij daar danaan verbindt. Ik kan me er van alles bij voorstellen. Je wilt het graagweten, maar wat doe je daar dan mee? Waarom vindt de heer Six Dijkstradat zo belangrijk?De heer Six Dijkstra (NSC):Ik denk dat dit een terechte vraag is. Ik sluit me natuurlijk helemaal aan bijhet standpunt van de heer Van Nispen dat je het wel zeker moet weten.Het moet meer zijn dan een aanleiding en daarom moeten we volgens mijheel terughoudend zijn met die stap. Ik vraag daarom niet aan de Ministerom het nu kenbaar te maken, maar ik vraag wel wanneer dat kan, zekeromdat dit in het verleden ook heeft plaatsgevonden. Ik denk dat ermeerdere signalen van uitgaan, ook een signaal richting de burger,namelijk dat we niet naïef moeten zijn over de intenties van bepaaldestatelijke actoren. Verder draagt het ook bij aan de geloofwaardigheid vande informatie van de regering dat bepaalde landen een offensief cyberpro-gramma richting Nederland hebben. Andere landen doen dit veelproactiever. Een land als Amerika doet daadwerkelijk een aanklacht tegeneen ander land. Ik weet niet of we zo ver moeten gaan, maar ik denk dathet wel een pad is om uit te lopen om te kijken wat de verschillendemogelijkheden zijn. In het kader van transparantie, zeker omdat het gaatover een strafrechtelijk onderzoek, denk ik dat het in sommige gevallenwel nuttig zou kunnen zijn.De voorzitter:Is dit voldoende, meneer Van Nispen? Ja. Dan heeft de heer Aardema ooknog een interruptie voor u.De heer Aardema (PVV):Ik heb een vraag in het vervolg hiervan. De wat-alsvraag is altijd lastig tebeantwoorden, maar zou het misschien in een besloten deel plaatskunnen vinden, als we weten wie het is?De heer Six Dijkstra (NSC):Ik denk dat dat afhankelijk is van een aantal factoren waaronderwaarschijnlijk de zekerheid van de verdenking. Het liefst gebeurt hetnatuurlijk zo openbaar mogelijk. Wat mij betreft doen we het openbaar alshet openbaar kan. Maar ik kan mij voorstellen dat met enige mitsen enmaren, die bij een onderzoek als dit beschikbaar zijn en waarbij sommigeTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12427 dingen ook onzeker zullen blijven, er maatwerk geleverd moet worden,ook richting ons als Kamer.De voorzitter:Dank u wel. Dan is nu het woord aan de heer Van Nispen voor zijninbreng.De heer Van Nispen (SP):Dank u wel, voorzitter. Er werd kort na het lek steeds meer duidelijk overdat datalek bij de politie: dat er veel gegevens zijn gestolen, zelfsprivégegevens, dat er waarschijnlijk een ander land achter zit. Maardaarna werd het wat stiller. We weten ook nog heel veel niet: wat isprecies de impact van deze datadiefstal, hoe kan die bijvoorbeeld tegenons gebruikt worden? Zijn die analyses al gemaakt en wat kan er dan vangedeeld worden? Een van de zorgen is dat als hackers zicht hebben opmailinglijsten, er mogelijk ook zaken te zien zijn als welke agentenonderzoek doen naar een bepaalde criminele organisatie, welke politie-mensen belast zijn met de beveiliging van een bedreigde politicus ofrechter en wie er deel uitmaken van het Team Internationale Misdrijven.De Minister schreef dat de werkgerelateerde gegevens van undercover-agenten afgeschermd zijn. Die gegevens zijn dus niet buitgemaakt, maarde gegevens van alle andere politiemedewerkers wel. Dat maakt de vraagdie ik net stelde volgens mij wel een gerechtvaardigde vraag. Ik hoop dusdat daar antwoord op kan komen.Wat precies de gevolgen van het datalek zijn voor de agenten en deorganisatie is nog niet helemaal duidelijk. Wat wel duidelijk is, is dat depolitie erdoor in het hart getroffen is, in het hart van de organisatie en vanal die mensen die dag in, dag uit zorgen voor onze veiligheid. Zij zijn nuzelf het slachtoffer, met alle onzekerheid van dien. Dat doet natuurlijk ietsmet die mensen; verschillende sprekers hebben daar terecht al opgewezen. Het is heel belangrijk dat we agenten en ook hun familiesduidelijkheid en veiligheid bieden. Welke maatregelen worden ergetroffen om de agenten te beveiligen of te beschermen, en hoe wordtbeoordeeld of dat nodig is?Ik sluit mij aan bij de vraag die mevrouw Van der Werf ook al stelde overhet werken onder nummer als wens vaker mogelijk te maken. Want nu ernamen en gegevens naar buiten zijn gegaan, is er nog meer zorg datdaders naam en achternaam lezen in het proces-verbaal. Dat maakt diewens begrijpelijk. Ik ben benieuwd naar de reactie van de Minister hierop.Wat ten slotte ook nog niet duidelijk is wat ons betreft – het is een opendeur – is hoe ervoor wordt gezorgd dat het hierbij blijft, dus eens maarnooit weer. Ik vrees dat de Minister dat niet kan beloven, hoe graag hij datook zou willen. Maar het zou natuurlijk eigenlijk wel moeten. Deskundigenzeggen ook dat de aandacht voor en urgentie van cyberbeveiliging veelhoger zou moeten. Worden er passende maatregelen getroffen om depolitie en andere diensten ook digitaal beter te beveiligen? Hoe wordtdataopslag veiliggesteld? Wordt de datahuishouding doorgelicht engeanalyseerd op kwetsbaarheden, ook richting de NAVO-top straks?Kortom, welke lessen worden hiervan geleerd en wordt hier welvoldoende in geïnvesteerd?Voorzitter. Ten slotte een wat ongemakkelijke vraag: als dit zelfs bij depolitie kan gebeuren, waar dan allemaal nog meer?Dank u wel.De voorzitter:U bedankt. Dan is tot slot het woord aan mevrouw Michon-Derkzen.Mevrouw Michon-Derkzen (VVD):Voorzitter. Het is juist de politie die dag in, dag uit voor onze veiligheidzorgt. Deze mannen en vrouwen waren slachtoffer van een datalekTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12428 waardoor niet alleen hun werkgerelateerde informatie maar soms zelfsook hun privégegevens op straat kwamen te liggen. Hierdoor hebben zijmaar ook hun naasten, hun familie, direct last van hun werk. We moetendus met alles wat we in ons hebben zien te voorkomen dat zij risico lopen.We moeten ervoor zorgen dat zij hun werk veilig kunnen doen.Ik heb dus heel veel begrip voor de bezorgdheid en de verwarring bij aldie politiemedewerkers. De eerste reactie van de korpsleiding vond ikabsoluut onder de maat. Collega’s hebben dit hier al gezegd en ik sluit mijdaarbij aan. Ik hoop dat de Minister er ook een reflectie op kan geven. Alsklap op de vuurpijl kwam daar de politievrijwilliger bij, die werd neergezetals degene die iets verkeerd zou hebben gedaan. Ook dat vind ik echtongepast. Het feit dat je dit dus kán doen, wie er dan ook achter decomputer zat, is natuurlijk al een gotspe en zou niet moeten kunnen enmogen.Criminelen en andere kwaadwillenden kunnen met dit soort gegevens aande haal. Is het niet nu dan misschien, morgen, of volgende maand of overeen halfjaar. Het risico op doxing en op bedreiging neemt toe, zeker inteams die met zware criminaliteit te maken hebben. Graag een reactiehierop. Hoe staat de korpsleiding al deze mensen ook nu, vandaag de dagnog bij? Heeft het datalek ook implicaties voor lopende onderzoeken enwat doen we daaraan?Het gaat in mijn optiek ook over de mate waarin de politie haar eigenICT-systeem heeft beveiligd; dat hoorden we ook eerder. Natuurlijk zit ereen deel geautomatiseerde beveiliging in, maar er zit altijd een menselijkekant aan. Hoe werken die samen en hoe zorgen we ervoor dat we hetoptimaal veilig houden? Juist deze hack laat weer zien dat we de vitaleinfrastructuur – ik vind ook onze politie-ICT vitale infrastructuur – moetenbeschermen tegen allerlei dreigingen. Die opgave wordt natuurlijk steedscomplexer en die dreiging wordt steeds intenser, maar de impact wordtook steeds groter. Ik hoor graag van de Minister hoe we nu en in detoekomst bestand zijn tegen gerichte aanvallen op het politiesysteem, nietin de laatste plaats omdat we juist de ICT bij de politie zo hard nodighebben om efficiënt en effectief te kunnen optreden. Er is juist heel veelmeer ICT nodig om ervoor te zorgen dat de politieagent op straat directkan optreden. Graag een reactie van de Minister hoe het nu staat met deinnovatieve kant van de ICT-ontwikkeling en met, waar we het ook heelvaak in de Kamer over hebben gehad, de basis op orde qua ICT van depolitie. Kunnen zij op een voldoende manier met elkaar werken?Voorzitter, dank u wel.De voorzitter:U bedankt. U heeft nog een interruptie van mevrouw Mutluer.Mevrouw Mutluer (GroenLinks-PvdA):Toen wij als rapporteurs de parlementaire verkenning deden naar devastgelopen strafrechtketen, was een van de conclusies die we trokken datde ICT niet goed was bij onze justitiële partners, dat ze daarin achterlopenen dat daar enorm in moet worden geïnvesteerd. Is mijn collega het metmij eens – ik noemde het ook in mijn eigen bijdrage – dat het belangrijk isom opnieuw met het OM, de politie en de rechtspraak te kijken waar dekwetsbaarheden zitten? Ik noem dat dan doorlichting; we kunnen hetanders noemen. Staat mijn collega daar ook welwillend tegenover? Weweten ook dat ICT-projecten heel lang kunnen duren.Mevrouw Michon-Derkzen (VVD):Dank aan mevrouw Mutluer voor haar vraag. In mijn optiek is zelfs de ICTbij de politie nog niet eens op orde, laat staan dat de ICT-systemen in destrafrechtketen met elkaar kunnen werken en op elkaar zijn aangepast. Ikvrees dat we nog heel ver weg zijn van een goedwerkend ICT-systeemvoor de strafrechtketen. Het zou goed zijn om in dit debat een reactie vanTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 12429 de Minister daarop te horen. We steken wel enorm veel geld in de ICTpolitie. Ik vind het overigens niet te veel geld. ICT is de basis vanpolitiezorg, dus ik zou zeggen: geef aan wat nodig is en dan hebben wehier de discussie erover of we dat er ook voor vrijmaken. Ik heb eerdergezegd dat er nog steeds 13% van het totale budget naar ICT gaat. Ik hebgeen idee of dat niet een beetje omhoog zou moeten, omdat het een veelmeer ICT-gedreven organisatie wordt. Maar ik zou vooral willen dat depolitie het zichzelf minder moeilijk maakt – laat ik het zo zeggen – enervoor zorgt dat de basis aan ICT op orde is, opdat dat het begin is ombeter te kunnen samenwerken in de strafrechtketen.Mevrouw Mutluer (GroenLinks-PvdA):Ik hoor mijn collega zeggen dat we in beeld moeten brengen waar depolitie maar denk ik ook het OM en de rechtspraak tegen aanlopen. Als wedat in beeld hebben, moeten we prioriteren en daar voldoende ininvesteren om ze voor de korte termijn zo hackproof mogelijk te maken envoor de langere termijn de basis veel meer op orde te hebben. Ik ben daarzelf een groot voorstander van en hoor mijn collega hetzelfde zeggen. Ikben dus ook benieuwd naar de antwoorden van de Minister op dat vlak.De voorzitter:Nog een reactie van mevrouw Michon-Derkzen? Is het voldoende zo?Mevrouw Michon-Derkzen (VVD):Ik denk dat het goed is dat de Minister in dit debat een toelichting geeft opde stand van zaken ICT politie. Ik ben het ermee eens dat wij de vinger aande pols moeten houden, maar volgens mij doen we dat hier ook in dereguliere commissiedebatten over de politie.De voorzitter:Goed. Dan zijn we daarmee aan het einde van de eerste termijn van deKamer. Ik kijk naar de Minister hoelang hij... U kunt gelijk door? Helemaalgoed. Dan is het woord aan de Minister voor zijn beantwoording in eerstetermijn.Minister Van Weel:Dank, voorzitter. Ik ga in één keer door, omdat ik boven op dit onderwerpzit. Ik laat me daar regelmatig over informeren sinds 26 september.Daarom zijn de vragen die u heeft gesteld voor mij geen verrassing. Datzijn de vragen die ik mezelf ook heb gesteld en waarop ik dus antwoordenheb gekregen. Ik zal die hier zo goed als mogelijk geven. Daarbij maak ikéén disclaimer. Er zijn ook zaken die ik hier niet kan zeggen omdatonderzoeken nog lopen of omdat het karakter van de informatie zich nietverhoudt tot het openbare karakter van deze meeting. Wanneer dat zo is,zal ik dat eerlijk aangeven. Dan weet u in ieder geval waarom ik daar geenantwoord op kan geven.Deze episode begon voor mij met een telefoontje, laat op 26 september,van de korpschef. Als de korpschef belt na negen uur ’s avonds, dan is datmeestal geen goed nieuws, en dat was het nu ook niet. Ik ken dezetelefoontjes wel. Ik was bij de NAVO verantwoordelijk voor cybersecurityen was dus ook degene die als eindverantwoordelijke werd gebeld, als erergens in de organisatie sprake was van een hack of een lek. Dat zijn helevervelende telefoontjes, want je weet dat het meteen impact heeft opmensen en op een organisatie. En je weet in zo’n eerste telefoontje nietwat de impact is. Hoe groot is dit? Komen we ervan af? Komen weerachter of we ervan afkomen? Hoe zijn we erachter gekomen? Het begintaltijd met duizenden vragen en nog heel weinig antwoorden. Tegelijkertijdvoel je meteen de druk dat dit naar buiten moet. Je kunt mensen nietverrassen hiermee. Het gaat over informatie, mogelijk persoonsgegevens.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124210 Je weet nog niet tot welke diepte, maar je hebt een verplichting om jepersoneel in te lichten over dit soort zaken.Dat alles heeft geleid tot het briefje en de communicatie die u een daglater, dus op 27 september, heeft gekregen en die de medewerkers toenook hebben gekregen. Dat is dus niet via de media gegaan. Tegendiegenen die zeggen dat sommige agenten of vele agenten dat wel via demedia hebben moeten lezen, zeg ik dat het begon met een bericht op hetintranet. Ik zit ook niet permanent op het intranet, dus de kans was grootgeweest dat ik het ook via de media had gelezen en niet op het intranet.Dat is iets waar we lering uit kunnen trekken. Er is later ook meer gerichtecommunicatie geweest aan medewerkers, onder andere via de e-mail, omze daar nadrukkelijker op te wijzen.Wat zet je dan in de eerste communicatie? Altijd minder dan je zou willen,gewoon omdat je nog niet precies weet wat de omvang van het lek is. Deeerste communicatie bevatte alleen informatie die we op dat momenthadden; daarom heeft u nog twee of drie aanvullende stukken gekregen.Het nadeel daarvan is dat je weet dat het een open einde bevat, dat jeweet dat mensen op basis van de informatie die je dan kunt geven geenvolledige zekerheid hebben over: wat is er nu buitgemaakt, wat is er nuweg? Dat creëert onrust in de organisatie. Dat is een afweging die je danmaakt als eindverantwoordelijke tussen de verplichting om je personeelen de Autoriteit Persoonsgegevens te informeren over een hack en alsgevolg van een hack een lek en de zekerheid die je kunt geven over: wat isnu de impact op mijn veiligheid? Alle begrip voor de onrust die dat in deorganisatie heeft opgeleverd.Ik ben wel blij dat ik kan constateren dat we in de weken die daarnavolgden uiteindelijk meer zekerheid hebben gekregen over de omvangvan de gelekte data. Het is geen gegeven bij een hack, zeg ik u, dat je dieinformatie nog zo goed terug kunt halen, maar in dit geval hebben we welenige mate van zekerheid kunnen krijgen over welke informatie isverdwenen.Een aantal zaken moeten meteen gebeuren en wel nog voordat je naarbuiten gaat. Eén. Weten we zeker dat dit...De voorzitter:U had nog een interruptie van mevrouw Mutluer.Mevrouw Mutluer (GroenLinks-PvdA):Het ging met name om de communicatie. Ik vond zelf dat de communi-catie te wensen overliet. Er werd pas een paar dagen later een meldpuntin het leven geroepen waar politieagenten zich konden melden. Wehoorden van bijvoorbeeld criminologen die met politieagenten samen-werken dat zij niks hadden gehoord en dat hun gegevens ook in diesystemen staan, en eventueel een aantal officieren van justitie. We kunnenhet nu niet terugdraaien, maar stel dat een calamiteit als deze zich weerzou voordoen. Dan moeten de protocollen en de communicatiestrategierichting je mensen toch al klaar zijn, zodat je dit soort onrust zo veel alsmogelijk kunt beperken? Ik vind echt dat dat een gemiste kans is geweest.De voorzitter:Hartelijk dank. En voor de duidelijkheid: we hebben de schorsingovergeslagen, dus ik zou graag vier interrupties aan de leden willengunnen. Dan weet u dat u dat kunt doen. De Minister.Minister Van Weel:Ik vertelde over de communicatie dat je een afweging maakt tussen hoevolledig je kunt zijn op dat moment en de plicht die je voelt om jemedewerkers te informeren. In dit geval hebben we ervoor gekozen omde medewerkers te informeren de dag nadat ik werd geïnformeerd doorde korpschef. Dat kon omdat we wisten dat het lek inmiddels was gedicht.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124211 Als dat niet zo is, dan moet je nog heel erg oppassen met communicerennaar je medewerkers of naar buiten. Je kan iemand die dan nog in jesysteem zit juist de gelegenheid bieden om grote hoeveelheden data wegte trekken voordat je «m uit het systeem hebt. Dat is één. Ik ga nietcommuniceren op het moment dat dat lek er nog is, maar we wisten nudat dat niet het geval was.Twee. Je probeert medewerkers dan zo gericht mogelijk te vertellen wat eraan de hand is. Wij wisten in die eerste dagen wel dat het te maken hadmet het Outlookadressenbestand, maar de volledige omvang daarvan wasnog niet duidelijk. Toch hebben we ervoor gekozen om ermee naar buitente gaan. U vraagt: had dat dan niet beter gekund richting ketenpartners etcetera? Dat is informatie die in de dagen daarna langzaam naar bovenkwam. Toen kwamen we erachter dat in dat Outlookadressenbestand ookmailinglisten zaten en dat er in die mailinglisten ook e-mailadressenvoorkwamen van externe ketenpartners. Langzaam vervolmaakte datbeeld zich dus. Dat geldt ook voor privégegevens. In eerste instantiedachten we bij Outlook niet aan privégegevens, maar wat bleek? Er warenwel degelijk mensen geweest die zelf in Outlook een privénummer of eenprofielfoto hadden toegevoegd. U zult hier in de Tweede Kamer ookmensen hebben die dat hebben gedaan.De ongemakkelijkheid dat je communiceert en weet dat je niet volledigbent, voelde ik dus vanaf het begin. Die voel ik ook met u mee. Ik heb welde afweging gemaakt om het op deze manier te doen, om in ieder gevalniet achteraf verweten te kunnen worden dat we de medewerkers niettijdig in staat hebben gesteld om kennis te nemen van de betreffendedata. Dat heeft zeker onrust met zich meegebracht. Had dat meldpunteerder in het leven geroepen kunnen worden? Dat is een les die we zekermeenemen voor een volgende keer, net als het idee om in plaats van ietste plaatsen op intranet, wellicht een e-mail te sturen naar het helebestand, zodat mensen eerder en persoonlijk op de hoogte wordengesteld. Zo leren we continu van dit soort afhandelingen.De voorzitter:De heer Aardema had eerst nog een vervolgvraag.De heer Aardema (PVV):De Minister schetst nu een heel mooi tijdpad van wanneer hij dingen heeftgehoord en gedaan. Volgens mij zitten er enkele dagen tussen, tenminstevoordat de algemene mail naar alle medewerkers ging. Dat was pas opzaterdagmiddag om iets over tweeën, meen ik. Heeft de Minister in dedagen meteen nadat hij het te weten kwam, bijzondere maatregelengenomen ten voor bijzondere diensten binnen de politie?Minister Van Weel:Zeker. Op basis van de informatie die er was, zeg ik daar wel bij. Wehebben natuurlijk elke keer gekeken welke informatie er weg was en watwe moesten doen. Je gaat daarbij uit van het ergste scenario. We wistenwel vrij snel dat het beperkt was gebleven tot de Outlookomgeving. Danga je dus kijken welke informatie daar dan te vinden is. Een van de eerstevragen die natuurlijk extern maar ook bij ons intern speelde, was: hoe zithet met mensen die werken onder een dekmantel? Dat is de meestkwetsbare groep. Ik moet eerlijk zeggen dat ik al hoopte dat die niet ondereen naam in het systeem zouden staan. Dat bleek gelukkig ook niet hetgeval te zijn. Daarmee was dus het acute gevaar voor die operatiesgeweken.Ten tweede hebben we gekeken wat je als statelijke actor met dezeinformatie ... Ik bedoel als actor, want we wisten natuurlijk nog niet dat heteen statelijke actor was. Wat zou je als actor nou met die informatiekunnen doen? Wat brengt die informatie? Dan ga je nadenken: als jenamen en e-mailadressen hebt, is het dus eenvoudiger geworden omTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124212 bijvoorbeeld een hele gerichte phishingmail te sturen. Je kunt je danimmers voordoen als iemand anders van wie je het e-mailadres en defunctie hebt. Als ik aan u een e-mail stuur die lijkt te komen van David vanWeel terwijl ik dat niet ben, bent u eerder geneigd om daarop in te gaandan op een mail van iemand anders. Vandaar dat een van de eerstemaatregelen die we hebben getroffen, is dat we iedereen erop wijzen dathet risico op phishing mogelijk is toegenomen doordat deze informatie inverkeerde handen is gevallen. Zo hebben we elke keer gekeken wat deaard van de informatie die weg was, betekent voor het mogelijke risicodat mensen lopen.Daar kwam vervolgens de vraag vandaan, van velen van u, over defysieke veiligheid. Waarom hebben we die nou ingeschat als laag? Dat isomdat er uiteindelijk geen privéadressen of Facebookpagina’s met foto’svan familieleden et cetera buitgemaakt zijn. Dat soort informatie, die echtwijst naar de privéomgeving van een agent, is hiermee niet buitgemaakt.Het betreft informatie die je ook hier in de Tweede Kamer kunt vinden opeen visitekaartje in Outlook. Dat geeft niet onmiddellijk aanleiding vooreen dreiging voor de fysieke veiligheid van agenten. Vandaar dat we datrisico lager hebben ingeschat, in combinatie met het feit dat we op eengegeven moment met vrij grote zekerheid wisten dat het een statelijkeactor betrof en geen criminele. Ook dan speelt mee wat waarschijnlijk deintentie geweest is van het vergaren van informatie. Die intentie iswaarschijnlijk geweest om grotere toegang te krijgen via deze eerste hack.De voorzitter:Dank u wel. Mevrouw Michon-Derkzen heeft eerst nog een interruptie.Mevrouw Michon-Derkzen (VVD):Ik kan de Minister goed volgen, maar ik begrijp hem niet. De toon waaropgezegd wordt «het was nu via intranet en volgende keer zou het beterkunnen» vind ik niet oké. Ik zou heel erg denken dat op dit soort kwestiesis geoefend, dat het in draaiboeken zit en dat we vooraf met elkaarhebben afgesproken hoe je ervoor zorgt dat iedereen zo snel mogelijk opde hoogte is en hoe je ervoor zorgt dat risico’s geminimaliseerd worden.Ik snap dat je van elk incident leert, maar nu lijkt het alsof we eigenlijkdoor dit incident procedures gaan aanscherpen of wellicht gaan maken.Dat kan toch niet de bedoeling zijn? Ik zou verwachten dat we in alarmfase1 zitten als er zoiets gebeurt, wat een direct risico is voor het werk van eenagent, en dat we daar zo alert op zijn dat je de kans minimaliseert op defouten die na de hack en het lek in deze communicatie zijn gemaakt. Magik daar een reflectie op van de Minister?Minister Van Weel:Elke hack, elk lek, is anders, zo ook deze. Het feit dat met deze gerichtehack alle medewerkers van de politie werden geraakt, is vrij ongekend. Erzijn heel veel hacks en datalekken, bij heel veel organisaties. Daar zijn ookdraaiboeken voor. Bij een vrij gericht lek van informatie krijg je daargewoon een standaard informerend bericht over. U heeft hemongetwijfeld ook weleens gehad van bol.com of andere bedrijven. Dit lekraakte alle politiemedewerkers. In het begin was ook nog niet helemaalduidelijk op welke wijze zij werden geraakt. Dat maakte dit uniek. Wehebben daarin keuzes gemaakt, waarbij een aantal makkelijk via hetdraaiboek zijn af te werken, namelijk het dichten van het lek en het nemenvan digitale maatregelen om te voorkomen dat het nog een keer zo gaatplaatsvinden. Die technische kant staat helemaal vast in draaiboeken omhet systeem zo snel mogelijk weer veilig te maken. De personele kant washier uniek. Daar hebben we zeker van geleerd. Hoe bereik je nu 62.000mensen op zo’n manier dat er geen paniek uitbreekt, maar dat er welurgentie doorklinkt? Hoe geef je handelingsperspectief aan mensen?Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124213 Mevrouw Michon-Derkzen (VVD):Waarom kwam het bericht op intranet, als men op donderdagavond ofvrijdagochtend wist dat het iedereen betrof? Er hebben ongetwijfeld ookmensen naar gekeken in de uren dat andere mensen sliepen. Waaromkwam er pas zaterdagmiddag een mail? Waarom ging dan pas zondag dehelpdesk open? Daar zit toch geen enkel begin van urgentie in? Gelukkigis er niets gebeurd, maar als de hack nou echt gericht was op het schadenvan individuele agenten en je als agent even met andere dingen bezigwas, dan had je tot maandag niet geweten wat er aan de hand was. Datvind ik echt heel zorgelijk. Ik begrijp dat de Minister zegt dat dit uniek is,maar dit en ook de risico’s van al die cyberaanvallen wetende – ik hoor deMinister daar ook vaak over en hij heeft de urgentie daarvan op zijnnetvlies staan – moeten we toch als de wiedeweerga aan de gang om eensneller en beter handelingsperspectief richting personeel op te zetten?Minister Van Weel:Ik heb hier al gezegd dat het bericht op intranet wat mij betreft volgendekeer gewoon een directe mail aan iedereen is. Dat hebben we hiervangeleerd. Hadden we dat van tevoren kunnen bedenken? Mogelijk. Ik hadgraag gewild dat er iemand was geweest in het crisisteam waarin wezaten die had gezegd: misschien moeten we gewoon een directe mailsturen aan iedereen. Dan hadden we dat gedaan. Daar was natuurlijk niksop tegen. Nu hebben we dat reactief gedaan, omdat we erachter kwamendat intranet te vrijblijvend was. Daarom is er zaterdag meteen ter correctieeen mail uitgegaan naar alle medewerkers en is in reactie op de vraag«waar moet ik dan heen?» op zondag de helpdesk ingesteld. Men vondnamelijk dat men via de eigen lijn niet snel genoeg informatie verkreeg,wat aanvankelijk wél het idee was. Ik denk dus dat er elke keer gereageerdis. Hadden we dit allemaal in één keer beter willen doen? Heel graag!Hebben hiervan geleerd? Zeker! Zouden we het een volgende keer, diehopelijk nooit meer komt, anders doen? Absoluut!De voorzitter:Dank u wel. Voldoende zo? Mevrouw Van der Werf heeft nog een vraag.Mevrouw Van der Werf (D66):Ja, voorzitter, omdat ik echt verbaasd ben over de antwoorden van deMinister. Hij geeft aan dat hij vanuit zijn eerdere functie en positie ervaringheeft met dit soort hacks. Dan begrijp ik echt niet waarom de Minister zichgeen zorgen maakt over de gegevens die nu gestolen zijn. Ik weet niet of uhet boek Het is oorlog maar niemand die het ziet van Huib Modderkolkkent, maar daarin gaat het veelvuldig over het verrijken van datasets doorinlichtingendiensten. Dan gaat het dus niet alleen maar om blokjes data,maar gaat het erom een compleet beeld te krijgen van mensen inbepaalde landen. Een statelijke actor maakt dus per definitie helemaal nietminder kwetsbaar dan een groep criminelen. Ik begrijp dus niet dat deMinister dat aangeeft.Wat ik ook niet goed begrijp, is het volgende. Het gaat niet om deFacebookpagina van mensen; het gaat erom dat de identiteit van bijna alonze politiemensen nu in handen is van een statelijke actor die het demoeite waard vond om deze gegevens van ons te stelen. Ik zou dus welvan de Minister een ietwat minder optimistische afdronk willen horen dandat dit in de toekomst niets voor de veiligheid van deze mensen zoubetekenen. Want die opmerking begrijp ik echt niet.Minister Van Weel:Ik snap de vragen van mevrouw Van der Werf. Maar ik denk dat het juistmijn kennis en mijn ervaring zijn en wat ik op dit moment weet van dezehack waardoor ik ook een werkgeversverantwoordelijkheid heb ommensen niet onnodig ongerust te maken. Als ik aanleiding had omTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124214 ongeruster te zijn dan ik nu overkom, zou ik die ongerustheid ook uiten. Ikben hier helemaal niet om zaken te downplayen of om ze mooier te latenlijken for the sake of it. Ik probeer het echte verhaal neer te zetten. Wat ik uvertel, is het echte verhaal, op basis van de risicoanalyses die we hebbengemaakt op basis van de informatie waarvan we weten dat die weg is enhet risico dat mensen daar mogelijk door lopen. En zoals ik al zei, achtenwij het risico voor de fysieke veiligheid klein. Dat is ons oordeel. Dat isniet om het mooier te laten lijken; dat is het professionele oordeel dat wijaan deze hack geven.Mevrouw Van der Werf (D66):Met het risico dat dit een ingewikkeld debat wordt, want ik kan mijvoorstellen dat de Minister op dit punt niet het achterste van zijn tong kanlaten zien, waar ik alle begrip voor heb, toch nog een vraag. Ook al zou deMinister aanleiding hebben om te zeggen dat het op dit moment geengevaar betekent, die gegevens zijn wel weg. Die zouden in combinatie metandere gegevens, die online vindbaar zijn, of die al in het bezit zijn van diestatelijke actor wel voor een gevaarlijke situatie kunnen zorgen in detoekomst. Deze mensen hebben niet in een keer een andere naam ofandere basisgegevens dan die nu buit zijn gemaakt. Als die gegevens nietde moeite waard zouden zijn, begrijp ik sowieso niet waarom ze dangestolen zijn, maar dat terzijde. Kan de Minister hier niet iets meer oververtellen, waardoor hij de Kamer geruststelt dat dit niets voor deveiligheid van deze mensen betekent?Minister Van Weel:Voor zover ik dat kan doen, ga ik proberen om dat te doen. Ten eerste. Ja,we gaan ervan uit dat deze informatie in handen is van deze statelijkeactor, maar zoals we ook aangeven in de Kamerbrief in antwoord opvragen van u, monitoren wij erg goed of de informatie daar ook blijft. Wijspeuren dus continu op alle plekken waar we denken dat dat zou kunnen,of deze informatie ergens opduikt. Want natuurlijk zou dat op dat momentwel kunnen leiden tot een andere risico-inschatting. Tot op heden – ik hebdit vandaag nog met de korpschef besproken – is die informatie nognergens aangetroffen, waardoor wij ervan uitgaan dat die nog in handenis van de statelijke actor.Als we kijken naar de intentie van de statelijke actor, is het vermoeden,kijkend naar de modus operandi van dit soort statelijke actoren, dat hethier gaat om informatievergaring en dus niet om het direct lastigvallenvan individuen in de organisatie. Daar komt dat idee vandaan.Als u mij vraagt – maar dan ga ik deels speculeren – waarom men danzo’n adreslijst pakt: precies om wat ik zojuist zei, het is een fantastischegelegenheid om op basis van die informatie te proberen om veel gerichterzo’n organisatie binnen te komen. Daarom zagen we ook echt als hetgrootste risico dat specifiek met phishing, doordat men zich voordoet alscollega, de informatie verrijkt kon worden op basis van deze gegevens.Daarom hebben we dat ook als het hoogste risico aangemerkt en daar ookmaatregelen tegen genomen, door mensen alert te maken en decyberbeveiliging nog verder op te schroeven om er zo beter zicht op tehebben.Als je kijkt naar de informatie die is buitgemaakt, dan zie je dat het nietgaat om politiedata. Dat hoorde ik wel in een paar vragen. Het gaat nietom onderzoeksdata. Het gaat niet om data uit strafrechtelijke processen.Die zijn echt op een andere manier beveiligd. Het gaat hier echt om deOutlookadreslijst. Niet alleen in de politieorganisatie, maar in de meesteorganisaties is die vrij makkelijk toegankelijk. Waarom? Omdat je metelkaar moet kunnen communiceren. Dat zeg ik ook tegen de mensen dievroegen waarom elke medewerker toegang heeft tot die gegevens. Dat isomdat je in de organisatie waar je werkt, mensen wilt kunnen opzoeken.Dat kun je hier in de Tweede Kamer ook doen. Als ik de heer Aardema wilTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124215 mailen, en ik weet zijn e-mailadres niet, dan typ ik «aa» in in Outlook endan ben ik blij dat de heer Aardema daarin opduikt. Als ik wil weten of hetde goede is, omdat er vier Aardema’s staan, dan klik ik met mijn rechter-muisknop en ga ik naar properties. Dan zie ik dat de heer Aardema,Tweede Kamerlid voor de PVV, de goede is. Zo voorkom je dus ook dat ercommunicatie in verkeerde handen komt. Deze informatie is geenhooggerubriceerde informatie en is echt wat anders dan politie-informatie. Dat wil ik hier toch nog een keer markeren.Naar aanleiding hiervan heeft de politie gekeken naar het schonen van dieinformatie om te voorkomen dat daar onnodig privéinformatie bij zit enom te voorkomen dat er onnodig foto’s in staan. Voor sommige mensen iseen foto deel van hun werk. Als wijkagent wil je niet onder een nummerbekend staan, maar juist als Jan de wijkagent, want je wilt dat mensen jeherkennen en je weten te bereiken. Maar als je in een wat meerafgeschermde omgeving werkt, dan is dat natuurlijk heel anders.Enkelen vroegen hoe het zit met werken onder nummer en vroegen of wedat ook kunnen uitbreiden. In het hoofdlijnenakkoord staat dat we gaankijken hoe we dat kunnen uitbreiden, zeker in de strafrechtelijke onder-zoeken. Het OM gaat bepalen waar ruimte ligt om dit voor mensenmogelijk te maken, om te voorkomen dat ze privé worden aangesprokenop het werk dat ze in alle neutraliteit doen.De voorzitter:Mevrouw Van der Werf, had u nog een vervolgvraag?Mevrouw Van der Werf (D66):Politieagent zijn is gewoon een gevoelig beroep. Ik begrijp het punt dat deMinister maakt over die Outlooklijst wel, maar dit is wel wat anders dande Outlooklijst van de Albert Heijn. Volgens mij zit daar precies degevoeligheid. Dat maakt die informatie interessant. Ook al zitten mensenniet meteen in een functie waarbij de operatie in gevaar komt, dan wil datniet zeggen dat het niet buitengewoon interessant is om te weten welke62.000 Nederlanders bij de politie werken. Ik denk dat heel veel landen enpartijen dat zouden willen weten. Dat maakt dat die informatie ook geldwaard is. De Minister suggereert hier net dat wij erbovenop zitten enzouden kunnen zien wanneer die informatie verschuift of beweegt. Ik denkdat we nooit weten wat we niet weten of niet kunnen zien. Misschien isdie informatie inmiddels wel bij een derde partij terechtgekomen die daarbelangstelling voor heeft of wiens dataset daarmee verrijkt zou kunnenworden. Ik wil de Minister dus toch nog een keer vragen hoe hij deveiligheid van mensen kan garanderen, ook als zij in de toekomst bij depolitie met iets aan de slag willen, waardoor het gevoelig is dat zij daarwerken.Minister Van Weel:Even kijken hoe ik deze vraag op een goede manier beantwoord. Wekijken op een bepaalde manier – ik kan niet zeggen op welke manieren,maar op internet – of deze informatie ergens beschikbaar komt. Je zou jekunnen voorstellen dat er marktplaatsen zijn waar je dit soort informatiekunt verkopen. Criminelen of statelijke actoren kunnen elkaar daar vindenom dit soort data aan elkaar te verkopen, of het nou gaat om data die bijAlbert Heijn, bij Bol.com of anderszins is buitgemaakt. Datahacks endatalekken zijn aan de orde van de dag in onze maatschappij en daar isgewoon een business voor.De politie weet waar dit soort marktplaatsen, deze zwarte markten, zijn.Dus die hangt daar ook rond, net als we op echte zwarte marktenproberen present te zijn en kijken naar de contrabande die daar rondgaat.Op die manier en op andere manieren proberen we daar zicht op tehouden en op de vraag of deze data ergens opduiken. En als dat zo is, watgaan we daar dan mee doen en wat zijn de risico’s? Ik kan dus geenTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124216 garanties geven dat die data nergens opduiken, maar ik hoop wel dat weer zicht op hebben op het moment dat dit zou gebeuren. Het is overigensde vraag of dit het doel van een statelijke actor zou zijn. Ik kan dat niethonderd procent uitsluiten. Het zou niet de meest logische stap zijn, maarik zou ze ook zeker niet op ideeën willen brengen door het debat dat wehier nu hebben. Dat is één.Twee is de aard van de data en wat dit betekent voor de veiligheid vanmensen. De data vertellen inderdaad welke namen er werken bij depolitie. Dat kan gevoelig zijn; daar wil ik absoluut niet voor weglopen.Tegelijkertijd is er ook niet méér informatie te vinden dan dat iemandwerkt bij de politie en mogelijk op welke plek in de politie. Wat je daarmeezou kunnen doen, is die informatie gebruiken om een verder beeld vaniemand op te bouwen, als je dat zou willen. Dat is het risico dat agentensowieso lopen, ook als ze op straat lopen met hun naamkaartje en gefilmdworden.In deze wereld, waarin met facial recognition mensen gevonden wordenen waarin socialmedia-accounts worden gecombineerd, is dit in algemenezin een uitdaging voor agenten. Ik merk dat ook. U noemde zelf al de wensom te werken onder nummer. Mensen die in de frontlinie staan en gefilmdworden bij al het werk dat ze doen, moeten al enorm uitkijken met hoe zeverder digitaal, online, vindbaar zijn, omdat er mensen zijn die hen willenbenaderen. Daar zou ook deze informatie aan kunnen bijdragen als die inhanden van de verkeerde mensen valt. Dat risico zie ik dus zeker.De voorzitter:Dit is uw laatste interruptie, mevrouw Van der Werf.Mevrouw Van der Werf (D66):Dat is zeer spijtig, maar volgens mij is dit wel de kern van waar het debatover gaat. Ik ga die laatste mogelijkheid dus toch gebruiken. De Ministerzegt net dat er altijd een risico voor agenten is dat hun identiteit bekendwordt, maar dat is natuurlijk iets heel anders dan dat een statelijke actornu hun gegevens van ons heeft gestolen. Dat is natuurlijk iets heel andersdan dat ze zomaar op straat lopen en altijd het risico lopen dat iemandhun naam vindt. Ik vind het dus wel echt kwalijk dat de Minister dit zobagatelliseert, want dat is hoe ik dat hoor.Ik vind het ook interessant dat de Minister op 3 oktober aangaf dat hetveiligheidsrisico werd ingeschat als «heel gering» en dat hij net zei dat hijnatuurlijk geen garanties kan geven dat die statelijke actor er niets meedoet. Dat lijkt mij het eerlijke verhaal, want die garanties hebben wenatuurlijk helemaal niet. Die statelijke actor is ook niet gek. Natuurlijk gaatdie niet op de zwarte marktplaats zitten waarvan hij weet dat onzeinlichtingendiensten daar gaan checken of zij de gegevens doorverkopen.Wij weten natuurlijk niet wat daarmee gebeurt op het moment dat zij diegegevens toch op een andere manier gaan gebruiken.De Minister kan ook helemaal niet garanderen dat dit in de toekomst nietgebeurt. Dus wat is zijn boodschap aan de 62.000 politiemensen om wiedit gaat? Wat zouden zij met deze wetenschap moeten doen en wat gaatde Minister eraan doen om ons hiervan goed op de hoogte te houden?Want het eerder door hem geschetste veiligheidsrisico is in mijn ogengewoon niet realistisch.Minister Van Weel:Mijn appreciatie verandert niet. Het zou vreemd zijn als ik daar nu in éénkeer een andere inschatting van zou hebben. Ik acht de kans dus nogsteeds zeer gering dat er uiteindelijk een fysiek veiligheidsrisico ontstaatvoor agenten op basis van de informatie die hier gestolen is en door wiedie is gestolen. Dat is het geheel. Het enige wat ik nu probeer te doen inhet debat met u, is afpellen.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124217 Eén. Hoe zit het met die actor, wat is daar het risico en welke mitigerendemaatregelen hebben we daar om eventueel zicht te krijgen op waar dieinformatie heen gaat? Een ander deel van de puzzel is: als die informatiein handen is van mensen die kwaad zouden willen, wat zouden zij dan metdie informatie kunnen doen? Zo kwamen we op het construct. Ik pel hetdus zover af als ik kan om inzicht te geven: als er risico’s zouden zijn, watzouden die dan zijn? De overallconclusie blijft dezelfde. Daarmeebagatelliseer ik helemaal niks.Ik vind het ontzettend vervelend dat deze informatie is buitgemaakt en ikzou willen dat we dit debat niet hadden gehad, maar dat is niet derealiteit. Maar daarbinnen ga ik mensen ook niet onnodig ongerust makenalsof ze nu op hun thuisadres in één keer ongewenst bezoek kunnenverwachten op basis van deze hack. Ze lopen dus een zeer gering risico ophun veiligheid. Dat zeg ik dus wel in deze brief en dat herhaal ik in ditdebat.De heer Aardema (PVV):Mevrouw Van der Werf schetst de ernst van de hack op het gebied vanOutlook. Kan de Minister mij garanderen dat er geen doorstap is gemaaktnaar de salarisadministratie, waarbij waarschijnlijk wel privéadressenkunnen worden buitgemaakt, of naar SUMMIT, waarin recherchepro-cessen staan, weliswaar geschot maar toch. Kan de Minister garanderendat dat niet het geval is?Minister Van Weel:Dat kan ik met aan zekerheid grenzende waarschijnlijkheid doen. Dat zegik u omdat we een redelijk zicht hebben kunnen krijgen op de exfiltratievan data. Zonder al te technisch te worden: je kunt in loggegevens welzien wat er over netwerken heen gaat. Wij weten dus vrijwel zeker dat ditis wat er weg is. En met «dit» bedoel ik dus de hele global address list enalles wat daaraan hangt. Het zijn dus geen andere systemen, zoals depolitiedata zelf of salarisadministratiesystemen.Mevrouw Helder (BBB):De Minister heeft heel in het begin van zijn beantwoording gezegd: wemonitoren of buitgemaakte gegevens ergens opduiken. Dat blijkt tot opheden niet het geval te zijn. Hoelang blijven we dat dan monitoren? Ik zoubijna zeggen: permanent. Dan regeert de Minister dus wel een beetje overzijn graf heen. Dat is natuurlijk heel flauw om te zeggen want de Ministerzit er net, maar we moeten dit natuurlijk wel blijven monitoren.Minister Van Weel:Ja, absoluut. Overigens zijn dit plekken die de politie sowieso graagmonitort, maar waar zij nu natuurlijk extra alerts op heeft gezet waar hetgaat om deze informatie. Regeer ik daarmee over mijn graf heen? Ja,maar dat doe ik met de volle zekerheid dat wie er ook na mij komt, dat nietanders zal willen. Uiteindelijk gaat dit immers om de veiligheid van demedewerkers. We willen daar dus gewoon zicht op houden.Mevrouw Helder (BBB):Dan nog een andere vraag, die ook voortkomt uit een antwoord van deMinister. Hij had het over de personele kant, en hij zei dat van 62.000agenten de gegevens in één keer buitgemaakt zijn. Dat willen we dus gaanvoorkomen. Ik heb ook gevraagd waarom al deze velden in Outlookopenstaan. Een van de antwoorden van de Minister was: nou goed, dandoen we het misschien niet meer via intranet maar via een directe mailaan iedereen. Nou ben ik jurist en geen ICT-deskundige, maar als je metéén mail iedereen bereikt, betekent dat dan niet dat die velden nog steedsopenstaan? Dat is dan weliswaar vanuit de andere kant, vanuit deorganisatie zelf, maar dat is dan toch ook niet handig?Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124218 Minister Van Weel:In de tijd dat ik bij Defensie werkte, had je in de global address list nogeen all user account. Ongeveer één keer in het jaar was er iemand diegrappig dacht te zijn bij zijn afscheid of zijn pensioen, en in dat accountzei: nou, tot ziens. En dan waren er altijd weer een paar duizend mensendie daaroverheen dan weer grappig wilden antwoorden. Die mogelijk-heden kennen de meeste bedrijven al niet meer. Je kunt als werkgeverdus wel separatie aanbrengen terwijl je daarachter toch één bestand hebtwaar het allemaal in staat. Daardoor kun je dus wel individuen zoeken,maar kun je alleen als dat moet, bijvoorbeeld als ik dat als Minister zouwillen, een mail naar de hele organisatie sturen. Niet iedere medewerkerkan meteen iedereen met één e-mail bereiken.Dan de velden die openstonden. Dat ging dus met name over het kunneninvullen van die privéinformatie. We zijn er dus achter gekomen dat datniet wenselijk is en dat je dus als werkgever verantwoordelijkheid wilnemen in welke informatie mensen daadwerkelijk kunnen toevoegen aanzakelijke Outlookadressen. Dat bedoelde ik met het opschonen van datbestand, om te voorkomen dat mensen extra kwetsbaar zijn vanwege deinformatie die daarin staat.Mevrouw Helder (BBB):Dat leidt dan bijna tot de vraag: dan zit het lek toch ook daar? Die vraagplopte tegelijkertijd bij mij en bij de heer Aardema op. Misschien stel ikdie dus mede namens hem. Het zit dan dus niet bij de vrijwilliger.Minister Van Weel:Waar het lek zit ... Ik wijs hier helemaal niemand aan als schuldige en hetonderzoek loopt nog, maar er is via een device toegang verkregen via deberuchte pass-the-cookiemethode. Wat betekent dat? We klikken allemaalmeerdere malen per dag op cookieverzoeken, die je nu eenmaal krijgt. Ikklik dan meestal op «ik ga akkoord», vrees ik. Die cookies hebben eenbepaalde geldigheidsduur. Als jij dus binnen tien minuten op dezelfdewebsite terugkomt, hoe je niet opnieuw «ik ga akkoord» aan te klikken.Van die geldigheidsduur kun je dus gebruikmaken op het moment dat jezo’n bestand weet te krijgen, om in dit geval dus toegang te krijgen totOutlook en daarmee die address list te krijgen. Dat is de manier waarophet gegaan is. Dat kan via phishing zijn gebeurd. Dat kan ook op anderemanieren gebeurd zijn. Het kan dus zo zijn dat er geklikt is door eenmedewerker. Het kan ook op een andere manier gebeurd zijn. Datonderzoek loopt nog. Daar kan ik nu verder nog niks over vertellen. Datkomt hopelijk als dat onderzoek is afgerond.De voorzitter:Voldoende zo, mevrouw Helder?De heer Six Dijkstra (NSC):Misschien komt de Minister er nog op terug, maar ik ben benieuwd naarhet volgende. In zijn brief benoemt hij expliciet phishing, waarbij hij zegtdat het dat niet hoeft te zijn, maar dat het een manier kan zijn. Ik kan nogwel twintig andere manieren verzinnen; het kan ook malware zijn.Waarom heeft hij in zijn bewoordingen zo’n specifiek scenario uitgewerktterwijl er nog veel onzeker is?Minister Van Weel:Omdat het vanaf het begin wel daarop lijkt. Nogmaals, omdat hetonderzoek nog loopt, kan ik er nog niet conclusief over zijn, maar dat is dereden dat het is opgenomen in die beantwoording en die brief.De voorzitter:Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124219 Duidelijk zo? Zijn er op dit moment nog vragen van de leden op dit punt?Nee. Gaat u dan vooral verder met uw beantwoording.Minister Van Weel:Dan waren er een aantal vragen over de statelijke actor. Er werd gezegddat diensten hier al vaker op hebben gewezen. Hebben we daar dan nieteerder maatregelen op kunnen nemen? Hoe gaan we om met de attributievan deze statelijke actor? Het is absoluut bekend dat de AIVD en de MIVDmaar ook andere organisaties al langer waarschuwen voor de dreiging dieuitgaat van statelijke actoren wat betreft cyberaanvallen. Zoals ik zei, hebik er ook in mijn tijd bij de NAVO vele van meegemaakt. Er zijn eentoenemend aantal statelijke actoren, zou ik willen zeggen, bezig toegangte verkrijgen tot onze systemen. Dan gaat het niet alleen om politiesys-temen of Defensiesystemen, maar ook om vitale infrastructuur en toegangverkrijgen tot de telecomsector en tot drinkwatervoorzieningen. Devoorbeelden zoals ze naar buiten zijn gekomen, zijn er te over. Datdreigingsbeeld staat dus, en daar moeten we ons tot verhouden. Op basisvan dat algemene dreigingsbeeld zijn er maatregelen genomen enmonitoren de diensten delen van ons netwerk.Uiteindelijk zijn het de diensten geweest die de politie hebben kunnenalerteren op deze hack. Het goede nieuws is dus dat die hack gedetecteerdis. Het slechte nieuws is dat er wel gehackt is en informatie is buitge-maakt. Zodra daar meer helderheid over was, is die informatie via hetNCSC doorgegeven aan hun doelgroepen om te voorkomen dat anderenop dezelfde manier door deze actor zouden kunnen worden gehackt. Inalgemene zin, los van deze hack, gaat het erom dat je als verantwoorde-lijke voor cybersecurity het feit dat een organisatie gehackt wordt uit deschaamte haalt. Door heel snel te acteren en snel bekendheid te kunnengeven over hoe dat gebeurd is, help je namelijk te voorkomen dat anderenkunnen worden gehackt. Je maakt het een actor moeilijk door zo snelmogelijk zijn modus operandi te verspreiden en iedereen zich te latenwapenen. Ik denk dat we dat alleen maar meer moeten gaan doennaarmate de dreiging toeneemt.Op dit moment loopt het strafrechtelijk onderzoek naar de dader nog.Hangende dat onderzoek zal er geen attributie worden gedaan. Datonderzoek zal dus eerst worden voltooid, maar wij denken wel degelijk naover publieke attributie. We moeten alleen kijken – dat doen wij op eencase-by-casebasis, ook in het geval van de Chinese hack – wanneer datopportuun is, wie we meenemen in deze attributie, wat het betekent voorde informatiepositie van de diensten et cetera. Dat wegen we allemaalmee in de afweging omtrent wanneer we ermee naar buiten gaan en opwelke manier. Ik geloof in publieke attributie, omdat het niet alleen voordie landen – die weten wel wat ze gedaan hebben – maar ook voor onzeeigen bevolkingen heel erg inzichtelijk maakt wat hier gebeurt en wie datdoet.De voorzitter:Er is een vraag van de heer Six Dijkstra.De heer Six Dijkstra (NSC):Het is mooi dat de Minister dat onderschrijft. Ik had nog één vraag overhet vorige punt. Ik snap dat de Minister niet bij alles in detail kan treden,maar hij zei in ieder geval dat er monitoring plaatsvindt op delen van hetnetwerk. Eerder gaf hij aan: uit exfiltratie hebben wij kunnen opmaken dater niet meer gedeeld is dan enkel dat adresboek. Uit de bewoording«delen van het netwerk» maak ik op dat er vast ook delen van het netwerkzullen zijn waar dat niet zo is. Kan de Minister zoals hij eerder aangaf metaan zekerheid grenzende waarschijnlijkheid te kunnen zeggen dat het nietzo is, zeggen dat het niet mogelijk is dat er delen van het politienetwerkbestaan waarlangs een statelijke actor een separaat exfiltratiekanaal heeft,Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124220 waar dan andere gevoelige data gedeeld kan worden? Kan hij ons datcomfort bieden?Minister Van Weel:Dat is een vraag met een hoop lagen erin. Zonder al te technisch te willenworden, wil ik het volgende zeggen. De informatie waar nu toegang toe isverkregen, is de laagdrempeligste informatie die binnen de politieorgani-satie beschikbaar is. Het betreft namelijk de Outlookinformatie waartoeiedereen die een e-mailadres van de politie heeft, uiteindelijk toegangheeft. Daar is de beveiligingsdrempel lager en zitten er minder lagentussen dan als je daadwerkelijk in de politiedatabases zou willen komen.In die zin is het wel logisch dat als je dan een hack vindt, dat op deze plekgebeurt, omdat dat nu eenmaal de plek van de minste weerstand is.Desondanks is het ook daar opgemerkt. We hebben achteraf construerenddus kunnen zien welke data zijn verdwenen en waarheen. Dat laatste kanaltijd met terugwerkende kracht, want je kunt gewoon je logs teruglezen,als dat niet te lang geleden is, om te kijken wat voor data eroverheengegaan is. Op dat detecteren kan ik niet al te diep ingaan, maar daar zittenonze diensten wel bovenop.De voorzitter:Ja. Helder zo. Gaat u dan vooral verder met uw beantwoording.Minister Van Weel:Tegen mevrouw Mutluer zeg ik dus ook dat dit niet te maken had metpatching, maar meer met de wijze van toegang verkrijgen. Daaromhebben we ook zo snel mogelijk daarna die informatie gedeeld metandere diensten, om te voorkomen dat anderen daar ook slachtoffer vanzouden kunnen worden.Geldt die kwetsbaarheid dan ook voor andere overheidsdiensten? Nou, ikhoop dus niet meer, niet van deze actor en niet op deze manier. Inalgemene zin zijn we, denk ik, allemaal kwetsbaar voor hacks. Er zijn eenhoop dingen die we kunnen doen om dat makkelijker te maken. Patchingis daar een van. Het is belangrijk dat organisaties dat gewoon meteendoen bij elke software-update. Een tweede ding dat helpt, is logging, dusback-ups maken van je systemen. We hebben het nu bijvoorbeeld welkunnen zien. We hebben met honderd procent zekerheid kunnen zeggen:het lek is dicht. Maar er zijn ook hacks waarbij je niet weet hoe diep dehacker zit. Dan rest je uiteindelijk niets anders dan je hele systeemopnieuw opbouwen. Als je dan een back-up hebt van 24 uur geleden, dankun je vrij snel je operatie hervatten. Heb je die niet en moet je een jaarterug, dan kun je je voorstellen dat het bij een organisatie als de politie ofhet OM enorme impact heeft. Dat is dus nog iets wat je kunt doen.De heer Aardema noemde al de multifactor authentication. De politieheeft ook daarnaar gekeken en in een aantal gevallen de policy daaropaangescherpt, dus dat je wel multifactorauthenticatie nodig hebt. Ik hebmij ook weleens laten bezoeken door hackers die gingen kijken of ze mijnpasswords konden raden. Dat is in alle gevallen gelukt. Dus ook op datvlak maak ik hier toch maar weer van de gelegenheid gebruik om, via u,voorzitter, tegen iedereen te zeggen: de naam van je kinderen, hungeboortejaren, de eerste letters van iedereen in de familie en jehuwelijksdag; het is allemaal vrij eenvoudig te achterhalen, dus werk echtmet goede passwords.De voorzitter:Mevrouw Mutluer, had u nog een interruptie?Mevrouw Mutluer (GroenLinks-PvdA):Ja, juist omdat de Minister een aantal maatregelen noemt. Wellicht ga ikhiermee weer terug naar de eerste discussie, over het beschermen vanTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124221 onze politiemensen. Want ik ben het met u eens: het is gewoon eengegeven dat die 62.000 gegevens ergens liggen. We kunnen het niet tothet einde der jaren blijven monitoren. Die moeten ergens opduikenvoordat we er daadwerkelijk acties op kunnen ondernemen. Ik hoor deMinister met een aantal maatregelen komen die de risico’s dat onzeagenten in een onveilige situatie kunnen komen, kunnen verminderen.Volgens mij kunnen we daar allerlei beelden bij hebben en scenario’s overuittekenen. De concrete vraag die ik heb, is de volgende. Ik weet niet of deMinister daarop kan antwoorden, maar wordt er ook verder nagedacht? Iknoemde zelf als voorbeeld andere e-mailadressen en andere nummers.Over dat werken onder nummer heeft de Minister al wat antwoordengegeven. Ze gaan dat uitbreiden. Daar ben ik een groot voorstander van.Welke concrete acties worden er, naast de acties die zojuist door deMinister zijn genoemd, genomen om die risico’s zo veel mogelijk tebeperken?Minister Van Weel:Dat is een hele heldere vraag. Deels kan ik daar antwoord op geven endeels doe ik dat niet, ook omdat de maatregelen die wij nemen, inzichtbieden voor diegenen die kwaad willen met die informatie. Dan heb ik hetover wat wij ertegen hebben gedaan. Daarin wil ik hen natuurlijk nietwijzer maken. Ik noemde al de awarenessmaatregelen. We hebbenmensen ervan bewust gemaakt dat ze juist op dit moment alert moetenzijn op e-mails van «collega’s» van anderen, die mogelijk dus niet vancollega’s zijn. Daarbij is de boodschap dus ook: klik niet op links op hetmoment dat je twijfelt. Dat is in het algemeen een hele goede tip voor onsallemaal, maar die is nu natuurlijk des te belangrijker.Ik vertelde al dat er gekeken is naar het opschonen van de Outlookinfor-matie. Er is dus echt bekeken welke informatie daarin moet zitten, welkeinformatie daar niet in moet zitten en hoe we ervoor kunnen zorgen datdaarmee het risico op een lek van bijvoorbeeld privéinformatie zo kleinmogelijk is. Er zijn een aantal monitoringsmaatregelen ingesteld – daar gaik hier niet al te diep op in – om vast te kunnen stellen wat er gebeurt oponze netwerken. Ik noemde al de tweefactorauthenticatie. Ik kan u ookzeggen dat deze maatregelen allemaal zijn genomen binnen de politieor-ganisatie, onder andere in consultatie met het NCSC. Er wordt op ditmoment ook nog gevalideerd door een derde partij of we hiermee echtalle maatregelen hebben genomen die zij kunnen bedenken. Dus op diemanier is de politieorganisatie hiermee omgegaan.De voorzitter:Dank. Dat is voldoende voor nu. Continueert u.Minister Van Weel:Voorzitter. Ik zit even te kijken welke vragen ik nog heb openstaan. De heerSix Dijkstra vroeg naar de coldcase-informatie. Hij vroeg of de AP daarnader onderzoek naar moet doen. Nogmaals, in dit geval is er geentoegang geweest tot politiedata, tot politiesystemen zelf. Dat geldt ookvoor de data die gebruikt worden voor cold cases. Daar zit een poortwach-tersfunctie op – dat heb ik ook in het vragenuur met uw Kamer gewisseld– die gewoon met menselijke interventie bepaalt wie toegang mag krijgentot die data. Daarbij is een hack dus niet eens mogelijk. Daar zit gewooneen persoon tussen, die bepaalt of iemand een bepaalde navraag magdoen in die data. We weten dat de Autoriteit Persoonsgegevens zich alheeft uitgelaten over het bewaren van deze informatie. Dat gaat dus nietover de wijze waarop, maar over het bewaren an sich. We zijn inderdaadbezig met nadere wetgeving, die hopelijk snel naar de Raad van Stategaat, om die lacune te dichten.Voorzitter. Ik denk dat ik daarmee de meeste vragen heb beantwoord,maar ik zie er nog een paar openstaan.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124222 De voorzitter:Ik maak even een ronde langs de velden om de onbeantwoorde vragen bijde leden op te halen. Allereerst mevrouw Van der Werf.Mevrouw Van der Werf (D66):Wat betreft de langetermijnrisico’s heb ik de Minister gevraagd omspecifiek in te gaan op de risico’s voor gezichtsherkenning, de inzet vannieuwe undercoveragenten die misschien uit deze groep zouden komenen de risico’s in aanloop naar de NAVO-top.De voorzitter:Dank u wel. Ik haal ze allemaal even op. De heer Aardema. Nee? MevrouwHelder.Mevrouw Helder (BBB):Ik heb de Minister gevraagd: hebben de mensen aan de knoppen welvoldoende deskundigheid? Dat zeg ik met alle respect. Ik ben zelf geendeskundige, maar ik zit daar dan ook niet. Ik had ook gevraagd: wie heeftbedacht dat het een goed idee is dat een politievrijwilliger bij hetadressenboek van medewerkers kan? Duidelijke signalen hierover zijnblijkbaar niet opgevolgd. Dat vind ik wel een hele belangrijke vraag. Daarwil ik graag een antwoord op. En ik had ook gevraagd: hoelang heeft dezeaanvaller zich opgehouden in het netwerk?Mevrouw Mutluer (GroenLinks-PvdA):Ik vraag de Minister graag om nog even in te gaan op de vragen over deNAVO-top. Ik had zelf nog een onbeantwoorde vraag – die is wellicht deelsbeantwoord – over de inspectie. Die heeft eerder aangegeven dat de ICTbij de justitiële partners niet op orde is en dat dat prioritering en inves-tering behoeft. Ik hoop dat we nog meer wakker zijn geworden door diepolitiehack. Welke acties mogen we ook van deze Minister op dat vlakverwachten, zodat we de basis op orde kunnen krijgen?De heer Six Dijkstra (NSC):Ik denk dat mijn vragen beantwoord zijn, voor zover de Minister die konbeantwoorden, omdat hij op sommige dingen natuurlijk wat terug-houdend is. Op zijn laatste punt had ik nog wel een vervolgvraag. Dangebruik ik even een interruptie, met uw toestemming, voorzitter. Dat gaatom de coldcase-informatie. Begrijp ik de Minister goed dat het echt gaatom een fysieke persoon? Ik bedoel dat die systemen niet digitaal metelkaar verbonden zijn, maar dat er altijd iemand tussen moet zitten? Kanhij garanderen dat het niet via het internet toegankelijk is?De voorzitter:Dan beantwoorden we die even met de rest, als u dat goedvindt. De heerVan Nispen. Niet? Mevrouw Michon-Derkzen.Mevrouw Michon-Derkzen (VVD):Ik had nog gevraagd naar de stand van de huidige ICT binnen de politie ennaar innovatieve ontwikkelingen binnen de ICT, die zo hard nodig zijn.De voorzitter:Dank u wel. Het woord is aan de Minister voor de onbeantwoorde vragen.Minister Van Weel:Ja. Excuses dat ik die niet allemaal heb meegenomen in mijn eerstebeantwoording. Dat krijg je als je je ambtenarenapparaat buitenspel zet enspontaan doorgaat.De risico’s. Laat ik beginnen met de NAVO-top, want daar is door eentweetal van u naar gevraagd. Wij zijn absoluut alert op wat wij kunnenTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124223 gaan meemaken, niet alleen tijdens de NAVO-top, maar ook in de aanloopdaarnaartoe. We weten dat er op dit moment al sprake is van hybrideaanvallen en cyberaanvallen op alle NAVO-lidstaten. We hebben vorigeweek nog de kabelbreuk gehad tussen Duitsland en Finland, waarover wede conclusies nog te weten moeten komen. Maar het duidt wel op hybrideaanvallen. Zo kan ik nog wel twintig voorbeelden noemen van hetafgelopen jaar in Europese landen.Het feit dat de NAVO-top naar Nederland komt, gaat ons meer in het vizierbrengen, vermoedelijk voornamelijk bij Rusland. Daar moeten we dus opvoorbereid zijn, niet alleen in de fysieke wereld, maar ook in het digitaledomein. Daar bereiden we ons dus ook op voor. Wat dat betreft is dezehack dus ook een heel goede wake-upcall, zeg ik tegen degenen die datnoemden, om te zorgen dat we daar volop op voorbereid zijn. We nemenook extra maatregelen in het licht van de NAVO-top, maar daar kan ik indit gremium dan weer geen uitspraken over doen.De risico’s op gezichtsherkenning. Als u dat in algemene zin vraagt, denkik dat dat een enorme uitdaging wordt voor de toekomst, niet alleen voorpolitieagenten. Het gaat grote impact hebben op velen van ons, het feitdat je met vrij eenvoudige software en grote scans van grote datasetsmensen kunt matchen en daardoor een extra biometrische laag aanboortdie ineens voor iedereen beschikbaar is. Het gaat ook dingen oplossen.Zoals met alle technologie zal het voor het goede worden gebruikt en voorhet slechte. Dus we zullen cold cases oplossen op basis van gezichtsher-kenningstechnologie. Mensen zullen lang verloren familieleden terug-vinden door middel van deze technologie, omdat je door heel grotedatasets met mensen heen kunt gaan. Maar we gaan ook krijgen datmensen die niet gevonden willen worden, om goede redenen of omdat zein een getuigenbeschermingsregeling zitten of zo, ook risico lopen dat zedoor deze technologie ergens opduiken via een vakantiefoto van iemand.Datzelfde geldt voor agenten.U kunt zich voorstellen dat alle eisen die nu worden gesteld aan biometrieen paspoorten al een uitdaging zijn voor inlichtingendiensten als het gaatom het proberen om mensen onder een andere identiteit te latenrondlopen. Dus de goede dingen die deze technologieën brengen,brengen ook een uitdaging voor het werk dat we doen. Ik denk dat dat ookzo zal zijn voor mensen die undercover werken. Dus we moeten er goedover nadenken hoe we dat mitigeren en welke wettelijke beperkingen wewillen opleggen aan het gebruik van die technologieën. Dat geldt voorartificial intelligence – daarbij zijn we al een stap verder, denk ik, met deEuropese AI Act – maar ook zeker voor gezichtsherkenning. Als het gaatom deze specifieke data, betreft het overwegend emailadressen enfunctiebenamingen. Maar wat betreft diegenen die een profielfoto erinhadden zitten: dat is fotomateriaal, dus in die zin zou je daar wat meekunnen als het gaat om gezichtsherkenning.Is er voldoende deskundigheid bij de politieorganisatie, vroeg mevrouwHelder. Ik denk het wel. Dat baseer ik op mijn ervaringen tussen hetondervinden en onderkennen van de hack en de maatregelen die ergenomen zijn. Ik denk dat de grootste lessen die ik voor mezelf hieruittrek, gaan over de communicatie richting de medewerkers en hoe we datdoen. Dat kan ik de deskundigen niet aanrekenen. Ik zou niet willenzeggen dat dat überhaupt niet in hun competentieprofiel hoort, maar hetis uiteindelijk natuurlijk aan de korpsleiding en aan mij om die communi-catie op een goede manier te doen. Maar als ik kijk naar de mitigerendemaatregelen die zijn genomen na het ondervinden van de hack – dat zie ikdan maar als de deskundigen die daar zitten – dan denk ik dat dat op eengoede manier is gebeurd. Het geeft mij in ieder geval vertrouwen.De voorzitter:Er is toch nog een vervolgvraag van mevrouw Helder.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124224 Mevrouw Helder (BBB):Dat is aan de achterkant, maar mijn vraag ging erover dat het aan devoorkant überhaupt niet had mogen gebeuren. Daar vloeide de vraag ookuit voort, juist vanwege het feit dat mij ter ore is gekomen dat er weldegelijk voor gewaarschuwd is dat die velden openstonden met dezemogelijke, grote gevolgen. Dan stel ik volgens mij terecht de vraag. Als debetreffende verantwoordelijken gewaarschuwd zijn en blijkbaar nietvoldoende geacteerd hebben – laat ik het voorzichtig zeggen – dan kun jede hack wel onderkennen ... Misschien is dat zelfs door andere mensengedaan en ik vind het fijn dat het onderkend is en er maatregelengenomen zijn. Maar als er gewaarschuwd is, is er dus gezien dat er dingenopenstonden, wat niet had gemogen. Dáár had op geacteerd moetenworden. Dan blijft mijn vraag dus nog steeds overeind.Minister Van Weel:Met het gevaar dat ik ernaast zit omdat ik niet de waarschuwingen hebontvangen die u heeft ontvangen: ik denk dat met de openstaande veldenwerd gedoeld op het feit dat je zelf inhoudelijk je visitekaartje konaanpassen, dus dat dat de openstaande velden waren. Dat heeft ertoegeleid dat mensen privéinformatie hebben toegevoegd, waarvan we nuhebben gezegd: dat moet je dus niet willen. Dat is dus opgeschort. Dat isniet de oorzaak van de hack geweest. Die is niet gekomen doordat dieinformatie kon worden toegevoegd. Er is echt via een andere wegtoegang verkregen tot het systeem, waarmee uiteindelijk die informatie isbuitgemaakt. Ik denk dat het zo zit, maar als het anders zit, hoor ik hetgraag. Dan gaan we erachteraan.De voorzitter:U bent door uw interrupties heen, mevrouw Helder, tenzij het heelbelangrijk is om het nog te verduidelijken. Kort.Mevrouw Helder (BBB):Dan kort, voorzitter. Ik heb van de Minister onder andere begrepen dat eris binnengekomen via «pass the cookie wall», doordat iemand privége-gevens heeft ingevuld. Dat zeg ik als verduidelijking.Minister Van Weel:Nee. Dat strookt niet met mijn beeld over hoe de hack is ontstaan.De voorzitter:Goed. Dan hebben we dat zo uit de wereld geholpen.Minister Van Weel:Dan de vraag naar de inspectie, justitiële partners en de stand van de ICT.Die discussie moeten we zeker voeren. Die moeten we overigensrijksbreed voeren. Daar hebben we ook het overleg Digitale Zaken over,onder andere. Daar moeten we periodiek op terugkomen, wat mij betreftook in de commissiedebatten Politie. Maar het staat voor mij wel los vande cybersecurityhoek, die te maken heeft met hoe deze hack heeft kunnenontstaan.In algemene zin – dan beantwoord ik ook meteen de vraag van mevrouwMichon – gaan we een enorme uitdaging hebben om als overheidup-to-date te blijven met alle snelle ontwikkelingen die er zijn in IT-land.Daar voeg ik dan eufemistisch aan toe: de overheid heeft niet de bestetrackrecord als het gaat om heel grote IT-projecten. Dus dat is een enormeuitdaging. Ik denk dat er wel verbeteringen zijn doorgevoerd, ookrijksbreed, om meer grip te krijgen op aanbestedingen en hoe je voorkomtdat dit soort systemen eindeloos uitlopen in de tijd en tegen de tijd dat zeingevoerd worden alweer achterhaald zijn. Op het moment dat we zehebben, zijn ze zo specialistisch dat we ons een breuk betalen om zeTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124225 allemaal up-to-date te houden, terwijl je eigenlijk ziet dat de buitenwereldveel sneller gaat qua informatie. Dat zijn allemaal lessen die we moetenleren. Die worden geleerd. Maar het strekt wel breder dan dit debat.Als het gaat om innovatie, dan heb ik daar persoonlijk een visie op. Ook inhet kader van de intensiveringen, bijvoorbeeld de 100 miljoen, hebben wedaar geld voor vrijgemaakt om te kijken hoe de politie op een beteremanier kan innoveren. Dat gaat breder dan IT, zeg ik erbij, maar het valt erwel onder. Wat je eigenlijk ziet in de buitenwereld, is dat commerciëletechnologie veel sneller ontwikkeld wordt dan wat welke overheid danook maar doet. Ik noem als voorbeeld SpaceX, dat natuurlijk NASA engevestigde bedrijven op een ongelofelijke manier van de troon heeftgestoten, of Starlink, dat in één keer een communicatiemogelijkheid heeftgeboden die van overheidswege gewoon niet beschikbaar was. Wemoeten dus vertrouwen op de innovatieve kracht die er is en de massavan de markt die uiteindelijk ervoor zorgt dat dit soort enorme projectenook van de grond kunnen komen.Dan moeten we goed kijken naar onszelf als overheid en naar hoe wijonze behoeftestellingsprocessen hebben ingericht, namelijk heel erg lang,hoe we onze aanbestedingsprocedures hebben ingericht, namelijk heelgecompliceerd, en naar hoe die twee werelden zich tot elkaar verhouden.Als we dat niet doen, dan lopen we het risico dat we met de technologievan gister aanlopen achter criminelen die met hun enorm diepe zakkenmet de technologie van morgen aan de haal gaan. Dat is een risico. Ik hebhoop in sommige opzichten. Ik denk dat het kraken van EncroChat enandere diensten een goed voorbeeld is van hoe we de criminelen dicht opde hielen zitten. Maar we hebben ook al uitbraakpogingen met dronesgezien. We gaan te maken krijgen met gezichtsherkenning als uitdaging.Als de kwantumcomputer er komt, gaan we een probleem krijgen metonze gecodeerde communicatiesystemen. Dus er zijn ontzettend veeluitdagingen, waarbij ik geloof dat de beste technologie op de marktaanwezig is. De uitdaging wordt: hoe maken we de politie kundig om datook aan te kunnen pakken?Dan de vraag van de heer Six Dijkstra over de cold case. Daar kom ik opterug, want die was heel technisch, namelijk of er ook fysiek een scheidingis tussen die specifieke informatie en de rest van de systemen. Die vraagbeantwoord ik separaat. Ik zou niet durven speculeren.De voorzitter:En daarmee zijn alle vragen beantwoord. Goed. Dan zijn we daarmee aanhet einde van de eerste termijn van de Minister. We hebben de toezeggingaan de heer Six Dijkstra genoteerd. Daarmee komen we bij de tweedetermijn aan de zijde van de Kamer. We zitten goed in de tijd en het is eenbelangrijk onderwerp, dus ik zou u daarvoor graag twee minuten willengeven, met twee interrupties onderling. Dan hebben we ook nog goed detijd voor de termijn met de Minister. Mevrouw Van der Werf, aan u hetwoord.Mevrouw Van der Werf (D66):Voorzitter, dank u wel. Ik ben een optimistisch mens, maar ik ben hier echtniet gerust op, in ieder geval niet zo gerust als de Minister lijkt te zijn. Datkomt omdat hij toch een aantal voorbeelden aandraagt die mij niet dekern van de zaak lijken. Kijk, ik begrijp dat mensen op Facebook vindbaarzijn, dat je als agent ook op straat of op andere plekken het risico loopt datiemand je beroep kent en dat de kans klein is dat er iemand voor hun deurstaat. Maar daar gaat het nu toch niet om? Laten we ook even eerlijk zijn.Het lijkt mij toch dat we liever niet hadden gehad dat er nu 62.000 namenin handen zijn van een statelijke actor die het de moeite waard vond omdie van ons te stelen. Dat brengt risico’s met zich mee.Ik zou de Minister dus willen vragen om toch nog eens in te gaan op wathij nu gaat doen voor met name de mensen waarvoor het buitengewoonTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124226 onaantrekkelijk is dat hun naam nu bekend is, of dat nou is omdat zebijvoorbeeld in de toekomst bij een undercoveroperatie zouden willenmeedoen of omdat ze al jaren bij de politie werken en erg hun besthebben gedaan om dat in de anonimiteit te doen. De Minister gaf net aandat dit op het gebied van gezichtsherkenning een probleem kan zijn. Ik zouwillen weten wat we gaan doen op het moment dat er wél aanwijzingenzijn dat die datasets op meerdere plekken in handen is en dat diegekoppeld gaan worden. Wat gaat de Minister dan ondernemen? En hoegaan wij daarover als Kamer worden geïnformeerd?De voorzitter:Ik dank u hartelijk. De heer Aardema.De heer Aardema (PVV):Dank u wel, voorzitter. Ik ga mijn hele inleidende tekst niet herhalen, wantdat is al veelvuldig gedaan, ook door anderen, denk ik. De Minister heeftduidelijk gezegd dat de communicatie beter kon en dat dat ook gaatgebeuren in de toekomst, mocht het helaas nog een keer gebeuren; ikhoop niet dat dat zo is. De Minister heeft duidelijke antwoorden gegevenop mijn prangende vragen. Het is ook duidelijk welke maatregelen zijngenomen, ondanks dat hij die niet allemaal kenbaar kan maken ombegrijpelijke reden.Coldcasezaken zijn per definitie niet digitaal, omdat het vaak gaat ommeterslange ordners en verhuisdozen vol met bewijsstukken. Veelrechercheurs zouden willen dat ze digitaal waren, denk ik, want dan ismakkelijker om te zoeken in zo’n berg. Ik heb van de Minister begrependat daar geen doorstap op is geweest en ook niet bij andere bestandendie kunnen leiden naar echte privégegevens van politiemedewerkers. Watdat betreft heeft mij dat dus wel gerustgesteld, maar het blijft natuurlijkaltijd een hele slechte zaak dat datgene wat nu gebeurd is, is gebeurd. Ikhoop dat het niet weer gebeurt.Dank u wel.De voorzitter:U bedankt. Mevrouw Helder.Mevrouw Helder (BBB):Dank u wel, voorzitter. Dank aan de Minister voor de duidelijkeantwoorden. Ik denk dat niemand van mijn collega’s geheel gerustgesteldzal zijn; ik ook niet. De Minister verwijst terecht naar EncroChat, Exclu enal die cryptocommunicatiediensten die door medewerkers van deLandelijke Eenheid en soms door de recherche in Amsterdam zijngekraakt. Hulde voor hun werk. Dat juist hun gegevens op straat komen teliggen, is natuurlijk heel pijnlijk. Die deskundigheid is er dus wel, maar ikhad gevraagd naar de deskundigheid van de eindverantwoordelijken opde betreffende plek.Op dat punt ben ik niet blij met de antwoorden van de Minister. Hij zegt:die informatie heb ik niet. Dat kan. Misschien klopt de informatie die ikheb gekregen niet, maar ik kan dit geen open einde laten zijn. Ik ga geenvertrouwelijke briefing geven – dat klinkt natuurlijk heel raar – maar ik benwel bereid om de Minister wat nader hierover te informeren. Ik zal ook bijdiegene navragen of dat akkoord is, want dit kan ik niet laten lopen. DeMinister kan daar geen antwoord op geven.Ik ben bereid om dan maar als tussenpersoon te fungeren. Ik ben hetnamelijk met collega Aardema eens, en ik denk alle collega’s met mij, datdit in ieder geval niet meer mag gebeuren. Maar dit open einde heb ik nogsteeds. Die deskundigheid is er naar mijn mening nog steeds niet en duskan het nog steeds gebeuren. De Minister zegt dat hij vertrouwen heeft inde deskundigheid gebaseerd op de onderkenning van de hack, maar ik wiltoch echt aan de voorkant terechtkomen.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124227 Dank u wel.De voorzitter:Dank u wel. Mevrouw Mutluer.Mevrouw Mutluer (GroenLinks-PvdA):Dank, voorzitter. De schrik zit er best wel goed in. Het gaat namelijk omruim 62.000 agenten die voor onze veiligheid staan. Als zij kwetsbaar zijn,dan is de samenleving kwetsbaar. Als er een dergelijke hack plaatsvindt,dan verwacht ik dat de communicatie er ligt en dat er een draaiboek ligt.Dan verwacht ik dat er protocollen zijn waar snel op kan worden terugge-vallen, waarin meerdere scenario’s zijn uitgewerkt en waarmee hetallemaal goed gaat, of in ieder geval beter gaat dan nu. Ik wil graag dietoezegging hebben, want dat lijkt mij de meest logische stap binnen zo’ngrote organisatie.Ik ben ook ongerust. Ik maak mij zorgen om de toekomst, om waar en hoedie gehackte informatie straks gaat opduiken en om wat dit eventueel zoukunnen betekenen voor de veiligheid van de agenten. Ik hoor de Ministerduidelijk aangeven: we gaan echt wel een aantal maatregelen nemen. Ikga ervan uit dat de Minister periodieke overleggen heeft met de politieor-ganisatie. Mijn verzoek is dan ook dat deze hack een vast onderwerpwordt bij die overleggen. Mijn verzoek is dat de maatregelen om denegatieve effecten en risico’s te beperken constant worden gemonitord,dat er gekeken wordt wanneer moet worden bijgestuurd en dat demonitoring zolang die risico’s bestaan niet wordt afgeschaald.Ook het hackproof maken van de ICT bij de politie, het OM en justitie staatbij mij nog hoog op de agenda. Daarom denk ik dat ik zelf nog met eentweeminutendebat zou willen komen, voor zover dat nog niet is aange-vraagd, zodat we daar ook wat concretere voorstellen voor kunnenindienen.De voorzitter:Hartelijk dank. Dat is inderdaad het geval, dus we zullen u daar als eerstespreker noteren. De heer Six Dijkstra.De heer Six Dijkstra (NSC):Dank, voorzitter. Ik dank ook de Minister voor zijn beantwoording.Tegelijkertijd deel ik ook de onrust die veel van mijn collega’s al benoemdhebben. Als het gaat om hacks, moeten we natuurlijk altijd voorbereid enwaakzaam zijn. Maar we moeten het ook nooit normaal gaan vinden,zeker niet als het zo’n impact op mensenlevens heeft. Het is goed dat dezeimpact onderkend is, wilde ik zeggen.Ik hoor de Minister zeggen dat dat ook via een onderkenning vanuit dediensten was. Wat dat betreft werkt het systeem. Daar ben ik al heel blijom, want we zien natuurlijk niet wat we niet zien, en als we meer dingenzien, kan dat ook betekenen dat we beter zicht krijgen. Het is wat datbetreft goed dat we daar, waar mogelijk, openlijk over spreken en dat weuit de taboesfeer komen als het gaat om ingrijpende hackoperaties. Ikhoop dan ook dat we als Kamer worden meegenomen wanneer verdereopenbaarwording mogelijk is, zowel als het gaat om de modus operandials de attributie van de actor en de verdere gevolgen van zowel specifiekdeze hacks als soortgelijke hacks.Dank u wel.De voorzitter:U bedankt. De heer Van Nispen.De heer Van Nispen (SP):Dank u wel, voorzitter. Ik begin toch met een korte opmerking over deeerste communicatie. Ik ben het namelijk wel een beetje eens met onderTweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124228 andere de kritische vraag van mevrouw Michon-Derkzen. Een draaiboekvoor wat je doet als zoiets zich voordoet, had eigenlijk al klaar moetenliggen. Want nu wordt gezegd: dat zouden we de volgende keer misschienbeter doen door wel direct een mail te sturen. Ik zou toch denken datzoiets al klaar had kunnen of moeten liggen. Misschien is dit iets uit decategorie «achteraf praten is altijd makkelijk», maar hiervan denk ik datdat toch wel gerechtvaardigd is.Vervolgens blijf ik nog wel zitten met de vraag wat er nou echt wordtgedaan om dit in de toekomst te voorkomen. Dat is natuurlijk ook eenverschrikkelijk moeilijke vraag; dat snap ik. Ik geloof niet zozeer dat ik dezeMinister moet aanmoedigen om voldoende aandacht te hebben voorcyberveiligheid. Die urgentie zal er echt zijn. Toch is mij nog niet geheelduidelijk welke echt concrete lessen hier nou van zijn geleerd en of erinderdaad voldoende in wordt geïnvesteerd. Ik weet dat er meer in wordtgeïnvesteerd, maar worden dit soort hacks daar voortaan echt meevoorkomen? Hoe wordt voorkomen dat dit bij de politie of elders nog eenkeer zo kan gebeuren? Misschien is dat ook niet helemaal uit te sluiten –daar moet de Minister dan ook eerlijk over zijn – maar ik ben tochbenieuwd wat hij hierop kan antwoorden.De voorzitter:Dank u wel. Mevrouw Michon-Derkzen.Mevrouw Michon-Derkzen (VVD):Voorzitter. Ik denk dat de korpsleiding van de politie ontzettend blij magzijn met deze Minister, die heel veel verstand heeft van cyberaanvallen envan ICT. Hij legt hier dingen uit en gaat op onze vragen in op een manierdie heel vertrouwenwekkend is. Tegelijkertijd hoop ik dat datzelfde kennis-en expertiseniveau ook bij de politie aanwezig is, tot en met de korps-leiding van de politie.Op mijn vragen over hoe een draaiboek eruitziet als zoiets gebeurt en datdat er niet lijkt te liggen, en over hoe we weten wat er met die data isgebeurd, krijgen we als antwoord: dat houden we in de gaten. Maar ikdenk dus dat cyberveiligheid hét topic van de aankomende jaren is. Hetwordt alleen maar erger. De basis van de ICT is dus eigenlijk nog niet oporde. Ik begrijp de ratio in de antwoorden van de Minister, maar het helepakket stemt wel zorgelijk. Ik denk dat we het hier met elkaar over moetenblijven hebben in commissieverband. Ik zou de Minister willen vragen ofhij ons kan informeren met een soort ICT-agenda van de politie. Wehoeven niet elk systeem mee te ontwikkelen, maar we willen wel zichthouden op waar de ICT-uitdagingen zitten en of de budgetten kloppen,zoals ik ook in eerste termijn vroeg. Zo willen we vinger aan de polshouden bij wat er nodig is voor ICT bij de politie. Dat is essentieel entegelijkertijd moet het voor mensen die daar werken ook veilig zijn, zoalswe aan de actualiteit van dit debat zien.Dank u wel, voorzitter.De voorzitter:Dank u wel. Dat was de tweede termijn van de Kamer. Dan is het woordaan de Minister. We zitten goed in de tijd, dus ik zou u graag drieinterrupties willen geven in de tweede termijn van de Minister.Minister Van Weel:Dank, voorzitter, en wederom dank voor de inbreng in tweede termijn.Laat ik nóg een keer zeggen dat het echt niet mijn bedoeling is om zakente bagatelliseren. Ik had gewild dat ik hier niet had gezeten en dat dezehack niet had plaatsgevonden. Dat was mij veel liever geweest, zeg ik ooktegen alle 62.000 politieagenten. Het enige wat ik hier heb willen doen, isniet onnodig ongerustheid zaaien onder die 62.000 politieagenten. Dat iswaarom ik de duiding heb gegeven zoals ik die in de brief heb gegeven.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124229 Dat neemt niet weg dat de risico’s niet nul zijn, ook dat heb ik hier gezegd.Ik acht ze zeer gering, zeker zolang de data niet elders opduiken, maar zezijn niet nul. Daarom zullen we dat blijven monitoren. Zoals ik al eerdergezegd heb, zal dat ook gebeuren over mijn graf heen. Afhankelijk vanhoe de data opduiken en in welke vorm, zullen we ook mitigerendemaatregelen moeten treffen.Belemmert de informatie die daarin staat mensen om in de toekomstonder dekmantel te gaan werken? Ik denk van niet, want op dat momentverdwijnen ze uit deze database. Dat gebeurt met mensen die we onderdekmantel brengen. Dan zijn ze dus niet meer vindbaar. Wat hun oudeidentiteit ook was, zonder enige aanwijzing dat iemand nu onderdekmantel werkt, zou deze gelekte informatie voor iemand die onderdekmantel gaat werken, geen aanvullend risico moeten opleveren. Het issowieso risicovol werk, maar het zou dus geen aanvúllend risico moetenopleveren. Dat zeg ik in reactie op mevrouw Van der Werf.De voorzitter:Mevrouw Van der Werf heeft nog een interruptie voor u.Mevrouw Van der Werf (D66):Natuurlijk begrijp ik dat de Minister mensen niet onnodig ongerust wilmaken. Dat wil ik ook niet. Ik stel heel kritische vragen en ik kan mevoorstellen dat dat ongemakkelijk is. Ik wil voor de luisteraarsbenadrukken dat het niet mijn intentie is om mensen ongerust te maken,maar ik vind dat wij als parlement hier wel uitermate kritisch op moetenzijn, omdat het niet niks is.Dat gezegd hebbende: het is natuurlijk gewoon heel kwetsbaar dat diegegevens weg zijn, ook als dat betekent dat er niet morgen iemand voorde deur van een agent staat. Het is gewoon heel kwetsbaar dat diegegevens weg zijn. Ik kan me voorstellen dat als je weet dat jouw naamergens bekend is en dat het onduidelijk is of die informatie ooit wordtdoorgegeven of doorverkocht aan derden, je minder snel de stap zet omeen spannendere functie binnen de politie – ik zeg het maar even plat – tegaan doen dan op het moment dat dit niet was gebeurd. Het betekentgewoon wat voor de motivatie van mensen en voor het veiligheidsgevoelvan mensen, ook al is niet meteen te herleiden of je onder dekmantel gaatwerken. Daar wil ik graag een reflectie op van de Minister.Minister Van Weel:We hebben hier te maken met twee dingen. Een: wat zijn de klinischerisico’s en feiten die we zien? En twee: wat betekent de wetenschap datdeze informatie weg is en dat jouw naam en functie daarin voorkomt,voor mensen? Ik heb daar alle begrip voor. Daarom hebben we datmeldpunt ingesteld. Dat hadden we inderdaad eerder moeten doen, zeg iktegen iedereen die dat zei. Het komt ook zeker in de draaiboeken voor detoekomst.Binnen de politie is de openheid om het gesprek aan te gaan met degenendie ongerust zijn er nog steeds. Ik hoorde vorige week voorbeelden vanmensen die niet op vakantie waren gegaan vanwege deze hack. Daarmoeten we het over kunnen blijven hebben. Ik wil de gevoelens vanonveiligheid die mensen hebben helemaal niet wegnemen. We staanervoor open om daar het gesprek over aan te gaan. Dat staat los van deduiding die ik heb geprobeerd te geven over wat ik denk dat er nu metdeze informatie zou kunnen gebeuren. Ik hoop dat die twee naast elkaarkunnen bestaan. Ik hoop dat ik daarmee medewerkers de beste informatiegeef die ik kan bieden.Mevrouw Van der Werf (D66):Toch voel ik een blijvend ongemak – ik kan me voorstellen dat dat ookvoor de politiemedewerkers geldt – omdat ook na dit debat de belang-Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124230 rijkste vraag eigenlijk niet is beantwoord. Dat er nu geen risico is, betekentnamelijk niet dat dat risico zich niet alsnog gaat aandienen, simpelwegomdat je – ook al monitoren we van alles – niet weet wat je niet ziet.Daarom begrijp ik dus ook niet dat de Minister niet wat terughoudenderen voorzichtiger is in zijn beantwoording richting ons en daarmee ookrichting de politie over het feit dat het allemaal wel meevalt. Ik wil deMinister toch nog één keer uitdagen om erop te reflecteren dat hetnatuurlijk heel goed mogelijk is dat we ook níét kunnen weten wat er metdie datasets gebeurt.Minister Van Weel:Dat klopt. Daarom bestaat mijn weging ook uit twee factoren. Eén. Waar isdie informatie en waar weten we of die opduikt? Nou, daar doen we watwe kunnen. Honderd procent zekerheid hebben we daar niet. De anderekant is: als je die informatie hebt, is de vraag welke informatie je dan hebtvan mensen, en wat voor risico je op basis daarvan dan loopt. Als wehadden gedacht dat mensen een heel groot risico lopen op basis van hune-mailadres en hun functienaam, dan had het natuurlijk niet gewoon inOutlook gestaan. Dan was die informatie beter afgeschermd geweest endan had je niet 62.000 medewerkers gehad die daar toegang toe hebben.Dus ik probeer een weging te maken. Als die informatie in verkeerdehanden belandt, welk risico lopen mensen dan? Dat risico is niet nul. Enwat is het risico dat die informatie ergens anders belandt? Dat risico is ookniet nul. Dus die twee balanceer ik. In beide zit een risico, en dat heb ikgeprobeerd te duiden.De voorzitter:Gaat u verder, als u wil.Minister Van Weel:Mevrouw Helder had het over de informatievoorziening. Ik herhaalnogmaals dat ik erg open sta voor die informatie, want dan kan ik die ooknalopen. In welke vorm u dat wilt doen, laat ik aan u, maar dan neem ikdat zeer serieus.Mevrouw Mutluer vroeg om draaiboeken. Ook de heer Van Nispen vroegdaarom. Ja, daar kijken we naar. We kijken zowel naar technische lessendie we hieruit kunnen trekken als naar lessen voor de mensen. Kunnen wemensen dus nog beter opleiden en voorbereiden hierop, om tevoorkomen dat dit gebeurt? Ten derde kijken we natuurlijk ook naar deorganisatie: hebben we de goede organisatie staan, hebben we de goedeverbanden en mechanismen staan? Voor mij was dit ook weer het eersteevent van deze soort in deze baan, dus ook ik heb voor mezelf geleerd.Dus dit gaan we allemaal neerleggen in draaiboeken, zodat we eenvolgende keer beter zijn voorbereid, niet alleen technisch maar ook op deandere aspecten.De heer Six Dijkstra vroeg of we nog terugkomen met meer informatie,dus of we nog meer te horen krijgen. Ja, op een aantal momenten. Heteerste moment is als er informatie komt die we nu niet kennen en dieaanvullend is op alles wat ik u heb gemeld. Dan kom ik bij u terug, zoals ikde afgelopen keren totdat het beeld stabiel werd, ook elke keer naar u benteruggekomen. Dus daarvan kunt u verwachten dat dat onverwijldgebeurt. Als we overgaan tot attributie, dan is dat natuurlijk ook eenmoment waarop we met uw Kamer communiceren. Datzelfde geldt,vermoed ik, voor het OM op het moment dat zij het strafrechtelijkonderzoek hebben afgerond of in een volgende fase willen brengen. Danvermoed ik dat...We hebben een hack!De voorzitter:Het was wat rumoerig, maar de situatie is onder controle.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124231 Minister Van Weel:Een fysieke hack. Oké, dan ga ik verder. Dus er zullen nog momenten zijndat we hierover komen te spreken. Daarbij zeg ik ook: op het moment datwij zouden zien dat er iets gebeurt met die dataset, dan is dat ook eenmoment voor communicatie. Een en ander is natuurlijk afhankelijk van dewijze waarop dat gebeurt en of het dan niet schaadt op het moment datwe daar ruchtbaarheid aan zouden geven. Ik denk dus niet dat we voor hetlaatst met elkaar gesproken hebben hierover.Dan de IT-agenda in bredere zin, zeg ik zowel tegen mevrouw Mutluer alstegen mevrouw Michon. Ik wil wel kijken of we in het volgende halfjaarbe-richt – daarmee bedoel ik niet het halfjaarbericht dat u over een paardagen krijgt, maar het bericht dat voor het zomerreces uw kant op gaat –uitgebreider kunnen stilstaan bij de stand van de IT bij de politieorgani-satie. Ik denk ook dat dat nuttig kan zijn voor het debat dat we met uwKamer over die berichten hebben.Dat waren volgens mij de antwoorden, voorzitter.De voorzitter:Ik dank u hartelijk. Ik kijk nog even of er onbeantwoorde vragen zijn. Deheer Van Nispen?De heer Van Nispen (SP):Nee, voorzitter, ik heb een hele korte aanvullende vraag. Ik hecht altijdheel erg aan informatievoorziening aan de Kamer. Ik ben altijd kritisch alsde Kamer niet tijdig is geïnformeerd. In dit geval zou ik iets anderszeggen. Als de politieagenten bij ontwikkelingen rondom dit datalekeerder dan de Kamer worden geïnformeerd, dan zal ik daar niet overmopperen. Laat ik het zo zeggen. Ik vind dat in dit geval namelijk echtbelangrijker. Ik wil uiteraard wel dat de Kamer daar meteen op volgt, maarik vind dat aspect echt belangrijker. Ik hecht eraan om dat te zeggen.De voorzitter:Waarvan akte. Hartelijk dank daarvoor. Dan zijn we aan het eindegekomen van de tweede termijn van de Minister en daarmee ook aan heteinde van dit debat. Mevrouw Mutluer heeft een tweeminutendebataangevraagd. We gaan dat inplannen en zij zal daar de eerste spreker zijn.We hebben enkele toezeggingen van de Minister die ik graag even met udoorloop om te kijken of we die op deze wijze correct hebben doorge-geven.−De Minister informeert de Kamer blijvend als er nieuwe ontwikkelingenzijn rondom het datalek.Minister Van Weel:Voor zover de veiligheid dat toelaat.De voorzitter:Ja, uiteraard.Minister Van Weel:Dat is het enige voorbehoud dat ik wil maken.De voorzitter:Dat voorbehoud zetten we erbij. Hartelijk dank voor die aanvulling.−De Minister informeert de Kamer naar aanleiding van de vragen vanhet lid Six Dijkstra over de cold cases en de fysieke scheiding tussende systemen.De vraag aan de Minister is nog wanneer dat zal geschieden.Minister Van Weel:Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124232 Dat kan op korte termijn. We proberen dat zelfs al mee te nemen in hethalfjaarbericht. Dat moet niet moeilijk zijn.De voorzitter:Dank. Six Dijkstra is daarmee akkoord. Dan gaan we dat zo noteren.−In het halfjaarbericht politie van zomer 2025 informeert de Minister deKamer over de stand van de ICT bij de politie.De Minister knikt en de Kamerleden ook. Dan zijn dit de toezeggingen.Ik dank de Minister voor zijn komst en voor het inhoudelijke debat dat wijhier hebben kunnen voeren. Hartelijk dank aan de leden. Het is eenbelangrijk onderwerp en het heeft hier ook mooi gewicht gekregen. Dankaan het publiek, natuurlijk onze politieagenten die dit hebben gevolgd enonze ondersteuning.Sluiting 17.58 uur.Tweede Kamer, vergaderjaar 2024–2025, 29 628, nr. 124233