Datalek bij de politie

De heer Six Dijkstra (NSC): Dank, voorzitter. Het is goed dat we dit debat met elkaar voeren. Een cyberaanval van vermoedelijk een statelijke actor op onze politie, waarbij de gegevens van politiemensen en ketenpartners op straat komen te liggen, heeft een grote impact op alle betrokkenen. Ik begrijp heel goed dat politiemedewerkers hier last van hebben. Ik zie ook het risico dat, als meer datalekken als dit plaats zouden vinden, dit ook de aangiftebereidheid van burgers zou kunnen schaden. De veiligheid van onze politiesystemen is in dat licht van het hoogste belang. Ik sluit me dan ook graag aan bij de zorgen die eerder gedeeld zijn door mijn voorgangers. Ik heb een aantal verduidelijkende en inhoudelijke vragen over de informatie die de minister heeft aangeleverd. Uit de kabinetsbrieven blijkt dat er een politieaccount is gehackt, maar het valt me in de brieven op dat er nog onzekerheid is over de initiële toegang. De toegang kan bijvoorbeeld door phishing komen, zegt de minister, maar naar ik begrijp is daar nog geen uitsluitsel over. Verwacht de minister hier later meer duidelijkheid over te krijgen of zijn de logbestanden daarvoor ontoereikend? Zijn de detectiecapaciteiten van de politie toereikend om de initiële toegang bij dergelijke aanvallen in principe vast te stellen? Waar en hoe kunnen deze capaciteiten nog versterkt worden? Heeft het NCSC in het kader van het Nationaal Detectie Netwerk hier bijvoorbeeld duidelijke standaarden voor. Zijn die in dit geval ook nageleefd? Voorzitter. Na een succesvolle aanval kan malware worden geïnstalleerd voor exfiltratie van data, kunnen we lezen in de brief. Dat staat wederom beschreven als mogelijkheid en niet als zekerheid. Kan de minister al bevestigen of dit daadwerkelijk is gebeurd? Zo ja, kan de minister dan ook iets delen over de gebruikte malware? Is dat het type malware dat generiek en breed beschikbaar is of wijst de malware naar een specifieke actor of een specifiek land? Begrijp ik de minister goed dat via malware session cookies zijn verzameld en geëxfiltreerd of bestaat ook de kans dat deze cookies op een andere wijze verkregen zijn? Kan de minister delen of de aanvallers ook malware hebben geplaatst voor persistente toegang of laterale beweging binnen het netwerk? Is inmiddels zeker dat alle malware uit het systeem is of bestaat het risico dat de actor nog steeds toegang heeft? Wederom stel ik de vraag in welke hier sprake is van dekkend zicht. Zo nee, hoe komen we daar? Waarschijnlijk was er sprake van een statelijke actor. Als het gaat om staatsgeheime informatie, dan begrijp ik dat de minister niet zomaar alles kan delen, maar ik wil wel graag een dringend appel doen dat het, zodra dit kan, ook wel zinvol zou zijn om publiekelijk te attribueren. Bij een eerdere casus, de hack op een Defensiesysteem, heeft de regering Chinese actoren publiekelijk geattribueerd. Dat vond ik een krachtig signaal. Ziet de minister mogelijkheden voor de uitbreiding van het beleid omtrent publieke attributie van cyberaanvallen? Zijn er duidelijke afspraken? Wie staat daar in Nederland voor aan de lat? Tot slot wil ik het nog graag hebben over de vervolgstappen. Nu lijkt de omvang van de hack op basis van de aan de Kamer verstrekte informatie gelukkig beperkt te zijn tot de mailomgeving, maar de samenleving moet wel kunnen vertrouwen op de weerbaarheid van het politieapparaat. In dat kader wilde ik het onderwerp aanstippen dat eerder bij het mondelinge vragenuur aan de orde is geweest, namelijk de langetermijnopslag van politiegegevens ten behoeve van cold cases en PTSS-behandeling. De minister gaat daarmee aan de slag. Er komt nieuwe wetgeving aan. Dat zullen we zeker aanmoedigen. De Autoriteit Persoonsgegevens heeft in de media echter al wel zorgen geuit over de manier waarop gegevens zeer lang worden opgeslagen. Als deze data door een hack op straat komen te liggen, kunnen de gevolgen daarvan desastreus zijn, zowel voor de nabestaanden als voor de getuigen en voor de politiemensen zelf. Daarom vraag ik de minister of hij bereid is om de AP om een nader te advies te vragen over de veiligheid van het regime waarmee informatie ten behoeve van cold cases voor zeer lange termijn opgeslagen is. Daarbij heb ik het dus niet over wat wettelijk mag, want we weten dat de wetgeving in gebreke is en er nieuwe in de maak is. Ik heb het dan concreet over de manier waarop de gegevens afgeschermd en toegankelijk zijn. Voorzitter, dat was het van mijn kant. Dank u wel.