David van Weel

Wetgevingsoverleg over de Jaarverslagen en Slotwetten 2025 van de ministeries EZ, BZK en JenV voor zover het onderwerpen betreft die zien op digitalisering

Minister Van Weel: Voorzitter, die zal danig op de proef gesteld worden. Nee, ik had slechts enkele vragen en de collega's boden mij met heel veel collegialiteit aan om als eerste te gaan. Ik zal dus de aan mij gestelde vragen beantwoorden en als u mij toestaat, zou ik daarna het overleg graag verlaten. Het goede nieuws is dat er steeds minder vragen op mijn bordje komen in dit overleg. Dat betekent dat de nieuwe structuur zoals we die hebben in het kabinet ook daadwerkelijk zorgt voor een meer gebalanceerde verdeling in de digitale portefeuille. Ik denk dat dat een enorme winst is en dat het zorgt voor meer aandacht voor het onderwerp, ook meer gericht vanuit met name EZK maar ook BZK. Laat ik beginnen met een algemene vraag van de heer Verkuijlen. Hij vroeg: hoe gaan we om met al die incidenten op dit moment? Zien we tekortkomingen? Wat moeten we nog meer doen? Zijn we eigenlijk wel in beweging? Het korte antwoord daarop is: ja. We zien dat landschap enorm snel veranderen en we hebben natuurlijk een cybersecuritystrategie die loopt van 2022 tot 2028. Als je nu terugkijkt naar 2022, dan herken je eigenlijk niets meer terug van het landschap dat daarin geschetst wordt. Dat betekent dat we, los van het feit dat we die langetermijnstrategieën hebben, wel elk jaar de thermometer erin moeten stoppen. Dat doen we in de jaarlijkse voortgangsrapportage. Die komt dit jaar in november, en dat is het moment waarop we zeggen: wat hebben we in de afgelopen twaalf maanden gezien? Wat betekent dat voor de aanscherping van de strategie? Welke dingen moeten we niet meer doen? Daarover kunnen we dan weer het gesprek met elkaar aangaan. Maar er is natuurlijk ook een meer acute leercycle, en die is meer belegd bij het NCSC en het CSIRT. Die kijken naar elk individueel incident en of daar lessen uit te leren zijn die relevant zijn voor de bredere IT-gemeenschap in Nederland. Daar brengen ze dan adviesproducten over uit. Het meest recente advies is dat over het Anthropics AI frontiermodel. Daarmee kan dus gelijk de hele gemeenschap de cybersecurity naar een hoger niveau trekken, en dat is wel de snelheid die we nodig hebben. We zien immers allemaal hoe snel het gaat met de diverse ontwikkelingen, met name nu met AI, zeg ik daar maar bij. Dat gaat hele grote consequenties hebben, ook voor cybersecurity. En niet noodzakelijkerwijs negatief, zeg ik daar ook bij. Mevrouw Zwinkels vroeg naar de ketenproblemen voor de rechtsstaat. Ja, ik keek gisteren met mijn vrouw vooruit naar de komende zomervakantie en toen dachten we terug aan de vorige zomervakantie. Die stond grotendeels in het teken van het OM en de hack die daar toen gaande was, en de ingrijpende maatregelen die wij hebben moeten nemen om zeker te stellen dat er geen gevoelige informatie zou weglekken. We hebben daarbij gezien dat het moment waarop het OM stil kwam te liggen, direct effect had op de hele keten van politie tot rechtsspraak en DJI. Men is nog steeds bezig met het inlopen van de achterstanden die toen zijn opgedaan. Dat was voor mij ook de reden om een commissie in te stellen om te gaan kijken naar die samenhang. Ten eerste gaat die kijken hoe dit heeft kunnen gebeuren, maar ten tweede gaat die ook kijken naar de onderlinge afhankelijkheden in de strafrechtketen. Die commissie staat onder leiding van Jaap Smit en ik verwacht dat die deze maand of uiterlijk begin volgende maand komt met conclusies over hoe daarmee om te gaan. Dat nemen we dan ook graag mee in het verdere traject. Vooruitlopend op dat verdere traject hebben we al wel geconstateerd dat het OM nu gewoon te maken heeft met achterstallig onderhoud aan de IT, en dat die dringend toe is aan modernisering. Daarom hebben we 50 miljoen structureel gereserveerd in het coalitieakkoord om het OM daar op de rails te kunnen zetten. Ook heeft mevrouw Mutluer in haar motie gevraagd om te kijken — nog één zin en dan ben ik klaar met dit onderwerp — of we meer centrale regie kunnen hebben op de ICT van de justitiële keten. Ja. Daar ben ik nadrukkelijk mee bezig. Zodra ik het advies heb van de heer Smit, zal ik ook bekijken of en op welke wijze we daaraan invulling moeten geven. Ik realiseer me dat deze systemen aan alle organisaties raken, terwijl die verder wel individueel verantwoordelijk zijn, maar natuurlijk ook afhankelijk van elkaar om dat goed te laten functioneren. Ik zie daarin dus wel degelijk een rol voor mij als beheersverantwoordelijke voor die hele keten.

Minister Van Weel: Ik stuur brieven altijd aan de Tweede Kamer. Hoe ze verder terechtkomen bij commissies is ook aan uw Kamer zelf. Ik denk dat de commissie JenV er ook over zal willen spreken, omdat daar de strafrechtketenverantwoordelijkheid als zodanig zit. Maar niets houdt u tegen om diezelfde brief met hetzelfde oogmerk, maar dan door een digitale bril gezien, ook te agenderen voor een volgend overleg over Digitale Zaken. Ik zie daar geen bezwaar tegen. En ik ga daar ook niet over, trouwens.

Minister Van Weel: Zoals ik zei, kan ik me daar van alles bij voorstellen. Ik stuur geen brieven naar commissies. Ik stuur brieven naar de Tweede Kamer, naar de Voorzitter. Daarbinnen zal die dus ook door u ingezien kunnen worden en is het aan uw commissie om te bezien of u het de moeite waard vindt om daarover het overleg met mij aan te gaan. Ik laat dat helemaal bij de Kamer.

Minister Van Weel: Wij hebben ook het Adviescollege ICT-toetsing, AcICT. Dat heeft ook een advies uitgebracht met betrekking tot het Wetboek van Strafvordering. Dat raakt natuurlijk zijdelings ook aan het onderwerp dat we net hebben besproken, namelijk hoe het staat met de ICT van het OM. Het AcICT heeft daar risico's en mogelijke vertragingen voor de invoering geïdentificeerd. Daar kijk ik op dit moment naar, samen met de staatssecretaris, want wij delen natuurlijk de verantwoordelijkheid voor de hele strafrechtketen en het Wetboek van Strafvordering. Wij komen dus met een beleidsreactie, en die verwachten we nog deze maand naar de Kamer te kunnen sturen. Daaruit zal dan ook duidelijk worden of we die vertraging inderdaad zien aankomen, of die nog te mitigeren valt en wat de effecten zijn als dat niet zo is voor de invoering van het nieuwe wetboek. De heer Verkuijlen vroeg ook nog naar het voorbeeld van het bevolkingsonderzoek. Wat doet het met het vertrouwen van de mensen in de overheid als informatie die jij vrijwillig aan de overheid hebt gegeven, uiteindelijk, op welke manier dan ook, via een hack op straat komt te liggen? Ik kan mij voorstellen dat dat zeker wat doet met het vertrouwen van burgers. In zekere zin is dat ook goed. Denk aan het gemak waarmee burgers soms gewoon hun bsn-nummer, paspoortkopieën of wat dan ook weggeven aan commerciële partijen, zonder goed nagedacht te hebben of dat wel nodig is en of het risico's met zich meebrengt. In die zin doen hacks wel degelijk iets voor de alertheid. Aan de andere kant is het natuurlijk niet de bedoeling dat de burger dat wantrouwen ook jegens de overheid gaat hebben, omdat er geen vertrouwen is in de manier waarop wij met die systemen omgaan. Ik denk dat we het alleen maar redden door alert te reageren op het moment dat zoiets gebeurt en ook te zorgen voor duidelijke informatievoorziening en een goede afhandeling van dit soort zaken, ook richting de burger. Er wordt wel onderzoek gedaan naar hoe groot dat vertrouwen is, ook in de digitale overheid. Dat doet het SCP met enige regelmaat. Er is ook een monitor Online Veiligheid en Criminaliteit van het CBS, die ook kijkt naar de bereidheid van burgers om privacygevoelige informatie te delen, in bredere zin online, maar ook specifiek met de overheid. Die verwacht ik begin volgend jaar en die gaat ons ook inzicht geven in de ontwikkelingen daarin.

Minister Van Weel: Voor deze specifieke kan ik dat niet beantwoorden, want die ligt echt op het terrein van de minister van VWS. Wat dat betreft zul je dus bij elke hack moeten bezien: zijn hier nou te veel data verzameld? Er wordt wel onderzoek gedaan, ook door de AP bijvoorbeeld nu, naar aanleiding van het lek bij Odido, om te kijken wat voor informatie daar werd bewaard, of dat allemaal wel nodig was en of het niet te veel was. Dat soort lessen zijn heel belangrijk denk ik. Dat geldt niet alleen voor private partijen. Dat moet ook bij de overheid gedaan worden op het moment dat een datalek wordt geconstateerd.

Minister Van Weel: Dan was er de vraag hoe we omgaan met de motie van mevrouw Rajkowski. Er is ook een motie van mevrouw Kathmann die ongeveer tot hetzelfde oproept, namelijk een handelingskader geven voor slachtoffers van datalekken. Ik zei net al dat voorkomen altijd beter is dan genezen, ook in dit geval. We weten echter dat we niet alles kunnen voorkomen en dus moeten we ook genezen. Ik kan u zeggen dat de staatssecretaris van Justitie en Veiligheid voor het commissiedebat Bescherming persoonsgegevens en grote datalekken — dat is op 25 juni al — een brief zal sturen over de acties die genomen zijn om te komen tot zo'n handelingskader voor slachtoffers van grote datalekken. Het is nu de 18de. Ik verwacht dat die brief u morgen dan wel uiterlijk begin volgende week zal bereiken. Dan heb ik nog twee vragen. Een was de vraag van mevrouw Zwinkels over de uitsplitsing van IT-projecten binnen het ministerie van JenV: wat gaat nou naar nieuwe projecten en wat gaat nou naar legacy? Zo houden we dat niet bij in de IT-portefeuille. We hebben vijf soorten IT-uitgaven die we inzichtelijk maken, waaronder personele inhuur en bijvoorbeeld hardware. Maar wat er dan gaat naar legacy, wat naar digitale weerbaarheid en wat naar leveranciersafhankelijkheid, dat hebben niet zo uitgesplitst. We geven wel meer inzicht in de uitgaven aan ICT via het Rijks ICT-dashboard, in de Jaarrapportage Bedrijfsvoering Rijk en individueel. Ik kan nu bijvoorbeeld de politie als voorbeeld geven. Bij de hervormings- en bezuinigingsopgave die er ligt, wordt nadrukkelijk binnen de IV-portefeuille wel gekeken naar de toekomstbestendigheid en wat dat dan betekent voor het aantal legacysystemen dat er is, überhaupt het aantal systemen dat er is. Dus daar wordt op organisatieniveau natuurlijk wel naar gekeken. Dan was er een vraag naar HackShield. Ik doe een open uitnodiging aan mevrouw Kathmann om de motie in te dienen. Ik zie daar geen enkel beletsel voor. Dan zullen de staatssecretaris van EZK en ik daar gezamenlijk naar gaan kijken. Want u heeft gelijk: de evaluatie is geweest en de resultaten zijn positief. Dat leken mij de twee voorwaarden waarop u 'm heeft aangehouden. Dat waren mijn vragen, voorzitter.

Minister Van Weel: Mij werd verteld dat de staatssecretaris die vraag zou beantwoorden, maar die kijkt nu heel vragend. Dat betekent dat ik daar ook geen antwoord op heb gekregen. Dat neem ik dus mee in een volgende brief die naar u toe gaat. Het is een te belangrijk onderwerp om dat nu even af te raffelen. Excuus voor de verwarring.

Minister Van Weel: Ik had uw vraag gehoord, beide aspecten. Ik vond het ook een interessante vraag. Had ik dit geweten, dan hadden we al wel voor een inhoudelijke beantwoording gezorgd, maar die komt er alsnog aan.