Evaluatie NAFIN storing

Tweede Kamer der Staten-Generaal2Vergaderjaar 2024–202536 592Defensienota 2024 – Sterk, slim en samenNr. 14 BRIEF VAN DE STAATSSECRETARIS VAN DEFENSIE Aan de Voorzitter van de Tweede Kamer der Staten-GeneraalDen Haag, 31 maart 2025In de nacht van 27 op 28 augustus 2024 heeft een technische storingplaatsgevonden op het Netherlands Armed Forces Integrated Network(NAFIN). De Minister van Defensie heeft uw Kamer hierover geïnformeerd(Kamerstuk 26 642, nr. 1214) en toegezegd de storing en weerbaarheidvan de betreffende IT-systemen met alle betrokkenen te evalueren en uwKamer hierover te informeren. Defensie heeft het COT Instituut voorVeiligheids- en Crisismanagement (hierna: COT) en het adviesbureauStrict1 gevraagd een evaluatie naar de NAFIN-storing uit te voeren en eengezamenlijke oplegger aan te leveren. In deze brief reageer ik, medenamens de Minister van Defensie, op de belangrijkste aanbevelingen vanCOT en Strict en licht ik toe welke maatregelen ik tref. Beide rapporten ende gezamenlijke oplegger zijn vanwege het belang van NAFIN vertrou-welijk en worden in die vorm aangeboden aan uw Kamer2. Defensieerkent ook het maatschappelijk belang van de digitale weerbaarheid vanNAFIN, en zal tot zover mogelijk te bevindingen en de actiepunten diehierop volgen delen met u.De afhankelijkheid van IT is de afgelopen jaren exponentieel toegenomen.In een steeds meer gedigitaliseerde wereld is technologie essentieelgeworden voor het waarborgen van de nationale veiligheid, het uitvoerenvan militaire operaties en het effectief communiceren tussen verschillendeoverheidsinstanties en internationale partners. Het is dan ook van vitaalbelang dat de digitale infrastructuur robuust, veilig en continu up-to-dateblijft. IT-storingen zijn echter niet altijd te voorkomen, geen enkel systeemis immers volledig immuun voor technische problemen of onverwachteexterne invloeden. Het is wel cruciaal om goed voorbereid te zijn enmaatregelen te nemen om de impact van deze storingen te minimaliseren.1Strict is een Nederlands onafhankelijk adviesbureau gespecialiseerd in borgen van debedrijfscontinuïteit en vergroten wendbaarheid bij organisatie die een essentiële rol spelen inde samenleving2Ter vertrouwelijke inzage gelegd, alleen voor leden, bij het Centraal informatiepunt TweedeKamer. kst-36592-14ISSN 0921 - 7371’s-Gravenhage 2025Tweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 141 De NAFIN-storing heeft duidelijk gemaakt dat Defensie niet voldoendevoorbereid was op een grootschalige verstoring. De resultaten van deonderzoeken leveren waardevolle lessen en bieden Defensie concretehandvatten om de digitale weerbaarheid te versterken.AchtergrondOp dinsdagavond 27 augustus 2024 veroorzaakte een softwarefout hetwegvallen van de routering in NAFIN. Dit leidde tot grote verstoringen bijonder meer de Koninklijke Marechaussee, de Kustwacht, EindhovenAirport, meldkamercommunicatie en bij Defensie in het eigen Mulannetwerk. Ook de Haagse Ring ondervond de volgende ochtend hinder inde bedrijfsvoering, waardoor de daarop aangesloten organisaties metuitval van diensten te maken kregen. Gedurende de nacht van 27 op28 augustus is gestart met het organiseren van het systeemherstel. NAFINfunctioneerde weer in de loop van de ochtend van 28 augustus 2024.ConclusiesHieronder behandel ik, vanwege de vertrouwelijkheid op hoofdlijnen, debelangrijkste conclusies en aanbevelingen uit beide rapporten. Daarbijgeef ik aan hoe ik invulling geef aan het opvolgen van de aanbevelingen.Ik herken de conclusies in de rapporten van COT en Strict en neem deaanbevelingen over.COT en Strict concluderen dat ondanks de bestaande preventievemaatregelen die Defensie heeft genomen, deze storing niet had kunnenworden voorkomen. Dit incident benadrukt de complexiteit van onzeIT-omgeving en de uitdagingen die gepaard gaan met het waarborgen vanrobuuste en veerkrachtige systemen.In deze storing en de opvolging hiervan liggen waardevolle lessen voorDefensie, die kunnen helpen bij het verbeteren van de digitaleweerbaarheid. Onderstaande zijn de zes belangrijkste conclusies van COTen Strict:•Defensie was onvoldoende voorbereid op een dergelijke verstoring.Defensie moet werken aan betere voorbereidende maatregelen enplannen om de impact van storingen, incidenten of rampen teminimaliseren om de continuïteit te garanderen.•Er is laat intern geëscaleerd van de technische naar de bestuurlijkelaag.De escalatie van de technische laag naar de bestuurlijke laag heeft langgeduurd. Het tijdstip waarop de storing optrad speelt hierbij eenbelangrijke rol, aangezien de storing plaats vond buiten kantoortijden.Zodra de escalatie naar de bestuurlijke laag werd doorgezet, werd hierdirect op gereageerd. De technische oorzaak van de verstoring isbinnen 13 uur opgelost. Dit is ruim langer dan het streven van 4 uurdat hiervoor is afgesproken. Dit had dus sneller gemoeten.•Defensie heeft de crisis klein gehouden en mag groter denken over debestuurlijke implicaties van een verstoring als deze.De storing is door Defensie voornamelijk als interne aangelegenheidbeschouwd, waardoor onvoldoende aandacht was voor bredemaatschappelijke implicaties en partijen die op NAFIN zijn aangeslo-ten.•Bij het afhandelen van de verstoring is er te laat en onvoldoendeaandacht geweest voor de cyberrisico’s.Binnen Defensie worden IT-incidenten en cyber-incidenten alstwee aparte storingen behandeld. Cybersecurity expertise is wel in eenvroeg stadium ingeschakeld, maar de nadruk lag op het oplossen vanhet IT incident. Hierdoor werd het cyberonderzoek bemoeilijkt.Tweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 142 •De communicatie is zowel binnen Defensie als naar externe partnersniet goed verlopen.Er was onduidelijkheid over de richtlijnen voor communicatie. Deinterne informatiestroom kwam daardoor moeizaam op gang, wat ookde communicatie naar buiten bemoeilijkt heeft. Daarbij trof de storingook bepaalde reguliere communicatielijnen. Beschikbare informatiekwam hierdoor niet altijd op tijd bij de juiste partijen terecht.•De prioritering van systemen voor opschalen na verstoring is nogonvoldoende geborgd.Het is nog onvoldoende duidelijk wat de prioritering is voor hetherstellen van systemen na grootschalige uitval van IT. Dit is nodigvoor het waarborgen van de bedrijfscontinuïteit en het verderminimaliseren van de impact op de organisatie.Aanbevelingen en maatregelenDe NAFIN storing is veroorzaakt door een fout in de tijdsynchronisatie. Ditis een technisch mankement dat niet voorzien had kunnen worden. Dezestoring heeft veel impact gehad. Daarom is het van belang dat snel wordtgehandeld om een dergelijke storing op te lossen wanneer die zichvoordoet. De evaluaties geven aan dat dat sneller had gekund. Om diereden neemt Defensie een aantal maatregelen zodat een volgende storingbeter is voorbereid en sneller kan worden gehandeld.Voor een snellere afhandeling van een mogelijk volgende storing zijncontinuïteitsplannen belangrijk. Deze plannen beschrijven welkeinstructies en procedures moeten worden gevolgd tijdens een verstoring,zodat Defensie kan blijven opereren. Naast het op zeer korte termijninzetten op de implementatie van reeds uitgewerkte technische verbete-ringen, is Defensie gestart met het grondig herzien van de continuïteits-plannen.Bij het herzien van de continuïteitsplannen staan drie elementen centraal.Ten eerste is specifiek aandacht voor de uitgangspunten waarop deprioritering van (uitgevallen) systemen tijdens een dergelijke storingwordt bepaald. Defensie stelt hiervoor een lijst op van kritieke processenen de daaraan verbonden IT systemen. Op basis van deze lijst wordtbepaald met welke prioriteit systemen hersteld worden na storingen. Tentweede zal Defensie in de toekomst in de beginfase van een dergelijkestoring geen onderscheid meer maken tussen een IT-incident en cyberse-curityincident. Op moment van de storing kenden deze incidenten eigenwerkwijzen en procedures. De evaluaties leren ons dat het sneller eneffectiever is om hiervoor één werkwijze op te stellen. Daarom zijn beidewerkwijzen en procedures voor de beginfase van storingen inmiddelssamengevoegd. De komende tijd wordt dit beproefd, bijvoorbeeld doormiddel van oefeningen in Q3 2025. Ten derde zorgt Defensie voor eenduidelijk opschalingskader bij storingen, dat voor alle partijen aangeslotenop NAFIN navolgbaar is. Een opschalingskader is een stappenplan datbepaalt hoe een organisatie reageert als er een groot cyber of IT-probleemis. Aan de hand van dit opschalingskader kunnen IT-incidenten encybersecurityincidenten goed gecoördineerd worden. Bij het opstellen vandit kader betrekt Defensie de NCTV en andere relevante overheidsorgani-saties.Gekoppeld aan deze continuïteitsplannen werkt Defensie ook aan eenupdate van de bestaande crisiscommunicatieplannen, waarbij meeraandacht komt voor cyber- en IT-gerelateerde verstoringen. Hierin wordtvastgelegd welke informatie op welke manier gedeeld wordt tijdensstoringen, zowel met interne als externe partners. Als onderdeel hiervanimplementeert Defensie het Landelijk Crisis Management SysteemTweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 143 (LCMS) voor de landelijke communicatie tijdens crisissituaties. Hierdoorwordt snellere en betere communicatie met partners mogelijk.De evaluatierapporten bevelen aan om vaker te oefenen met incidentenals de NAFIN-storing. Ik omarm deze aanbeveling en neem deze over. Erzijn reeds verschillende oefeningen gepland voor eind 2025. Tijdens dezeoefeningen zullen bovengenoemde maatregelen beproefd worden. Naelke oefening wordt de effectiviteit van de genomen maatregelengeëvalueerd, waarna de maatregelen verder aangescherpt worden.Tijdens deze oefeningen komt ook expliciet aandacht voor het crisiscom-municatieplan. Daarnaast zal ook de rol van Defensie als maatschappelijkepartner en dienstverlener terugkomen in de oefeningen. Door aandacht tebesteden aan de bredere maatschappelijke implicaties in oefeningendraagt Defensie bij aan de digitale weerbaarheid van Nederland.Naast bovengenoemde maatregelen waar nog aan gewerkt wordt, zijn erdirect na de storing ook maatregelen getroffen die inmiddels zijnafgerond. Zo is bijvoorbeeld het aantal analoge middelen vergroot, zoalscomputers en printers die geen internet nodig hebben en papierendocumenten met instructies en contactpersonen. Daarnaast zijn deopleidingen en trainingen voor personeel aangescherpt. Ook zal de ChiefInformation Officer (CIO) voortaan standaard aan tafel zitten bij hetcrisisteam dat verantwoordelijk is voor de bestuurlijke coördinatie van eencrisis. Hierdoor is kennis over cybersecurity en IT voortaan vanaf hetbegin ook op bestuurlijk niveau betrokken.Zoals genoemd in de Reactie op het rapport «De kracht en kwetsbaarheidvan het digitale krijgsmachtnetwerk NAFIN» van de Algemene Reken-kamer (Kamerstuk 36 592-8) onderzoekt Defensie of het netwerk aange-merkt moet worden als vitale infrastructuur. Dit onderzoek wordt voor dezomer van 2025 afgerond.De afspraken over de dienstverlenging omtrent NAFIN zijn beschreven inverschillende documenten zoals een Nadere Overeenkomst (NOK), eendienstbeschrijving en een Service Level Agreement (SLA). Hiernaast heeftDefensie ook afspraken met de leveranciers, KPN, Nokia en Cisco, in kaartgebracht. Op basis van de aanbevelingen van COT en Strict zullen dezeafspraken worden herzien en waar nodig aangevuld. Defensie heeft zichtop alle gebruikers van NAFIN, waaronder gebruikers in de Haagse Ring,meldkamers en het Rijksoverheidnetwerk (RON). Op dit moment is ergeen alternatief voor NAFIN voor deze civiele gebruikers.SlotNAFIN is van essentieel belang voor zowel Defensie als de Rijksoverheid,waarbij de veiligheid en beschikbaarheid van het netwerk een hogeprioriteit heeft. De storing en de evaluaties laten zien dat Defensie hierinnog kan verbeteren. De bevindingen en aanbevelingen uit beide rapportenzijn waardevolle lessen die ik gebruik om te zorgen dat we betervoorbereid zijn op een mogelijk volgende verstoring.Gezien de huidige geopolitieke situatie is Defensie zeer terughoudend ominformatie over kwetsbaarheiden en gebruik van onze hoog-gerubriceerdesystemen, processen en netwerken te delen. In deze brief bent u daaromop hoofdlijnen geïnformeerd.Tweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 144 Ik vertrouw erop uw Kamer hiermee voldoende te hebben geïnformeerden zie uit naar de verdere dialoog hierover.De Staatssecretaris van Defensie,G.P. TuinmanTweede Kamer, vergaderjaar 2024–2025, 36 592, nr. 145