Ruben Brekelmans

Cyberstrategie Defensie

Minister Brekelmans: Dank, voorzitter, en dank aan de leden voor alle goede vragen. Ik zal eerst even aangeven welke categorieën we hanteren. Ik begin met de Defensie Cyberstrategie en wat algemene vragen daaromtrent. Daarna zal ik in wat meer algemene zin stilstaan bij het thema soevereiniteit, waar meerdere vragen over zijn gesteld. Dan komt het kopje internationaal en internationale samenwerking. Daarna taken en verantwoordelijkheden, zowel binnen Defensie als daarbuiten. Dan wetgeving, waarover ook een aantal vragen zijn gesteld. Ik eindig met het onderwerp AI. De staatssecretaris zal spreken over personeel. Hij zal ook specifieker ingaan op soevereiniteit en het afbouwen van specifieke afhankelijkheden. Hij zal iets zeggen over inkoop en over industrie. Ik sluit niet uit dat we allebei nog een categorie overig hebben, maar dit zijn de hoofdonderwerpen. Voorzitter. Ik hoop dat u mij toestaat nog even iets algemeens te zeggen voordat ik begin en specifiek op cyber inga. De afgelopen dagen hebben de uitspraken van president Trump veel losgemaakt binnen Defensie en ook breder, binnen de veteranengemeenschap. Dat betrof in het bijzonder de opmerking dat militairen uit andere landen niet in de frontlinie zouden staan en niet bereid zouden zijn om daar verantwoordelijkheid in te dragen. Ik heb daar direct een reactie op gegeven in de media. Ik heb gezegd dat ik deze opmerkingen ongepast en ook incorrect vond. Ik vind het ook belangrijk om hier, in het eerste debat dat ik daarna heb, in het hart van de democratie, nog iets daarover te zeggen. In de afgelopen anderhalf jaar dat ik minister was, hebben juist de verhalen uit Afghanistan, over wat onze militairen en veteranen daar hebben meegemaakt, mij het meest gegrepen. We zitten hier met de staatssecretaris, die uit eigen ervaring van alles kan vertellen over hoe onze militairen daar gevaar hebben gelopen en hun leven hebben geriskeerd, alles in de strijd tegen terrorisme, om ervoor te zorgen dat de mensen in Nederland en Europa, maar ook in de Verenigde Staten minder gevaar lopen als het gaat om terroristische dreigingen. De uitspraken die de Amerikaanse president daarover heeft gedaan, zijn apert onjuist en ook kwetsend. Ik vind het respectloos. Die uitspraken doen geen recht aan de belangrijke bijdrage die onze militairen daar hebben geleverd. Aankomende maandag is het twintig jaar geleden dat het parlement de missie in Uruzgan heeft goedgekeurd. Wij hebben een breed mandaat gegeven, ook politiek, aan onze militairen en zij hebben daar gestreden voor onze vrijheid en veiligheid. Onze CDS heeft het heel mooi gezegd: onze militairen en veteranen verdienen geen ontkenning, maar erkenning voor wat er is gebeurd. Als minister van Defensie zal ik er altijd voor staan dat we die erkenning geven en dat we onze waardering en eerbied uitspreken voor wat onze militairen voor ons hebben gedaan. Ik vind het heel goed dat de Amerikaanse ambassadeur heeft gezegd dat de uitspraken van president Trump niet op Nederland van toepassing waren. Ik vind het ook goed dat de president in ieder geval voor de Britse militairen zijn uitspraken heeft gecorrigeerd. Het zou hem sieren als hij dat breder zou doen en specifiek de Nederlandse militairen zou noemen. Tot het moment dat dat is gebeurd, zal ik in ieder geval bij de Amerikaanse regering steeds onder de aandacht brengen dat wij wel degelijk in de frontlinie hebben gestaan en onze verantwoordelijkheid hebben genomen. Ik vond het belangrijk om dat voorafgaand aan het debat in de Kamer te zeggen. Dan ga ik over naar het onderwerp van het debat: cyber. Ik begin met de eerste categorie, namelijk met een aantal algemene opmerkingen over de Cyberstrategie. Een aantal leden hebben gevraagd naar de proactieve inzet, gericht op niet alleen defensieve, maar ook offensieve activiteiten. Dat is denk ik een van de grotere veranderingen in vergelijking met de Cyberstrategie van een aantal jaar geleden. Wij erkennen die noodzaak namelijk en benoemen die ook expliciet zo. Dat is deels, moet ik zeggen, ook al eerder in het debat met de Kamer ter sprake gekomen. We hebben het eerder over het onderwerp cyber gehad, voordat deze strategie er lag. Er was een duidelijke wens van meerdere fracties om te kijken of we hier als krijgsmacht offensiever in zouden kunnen opereren, gegeven alle dreigingen die op ons afkomen. Dat hebben wij ter harte gekomen en verwerkt in de strategie. Wat houdt dat dan concreet in? Dat houdt concreet in dat je zowel aan de contra-inlichtingenkant als aan de militaire kant iets hoger druk zet, zoals mevrouw Nanninga dat noemde. Dat betekent dat je mogelijke cyberdreigingen eerder probeert te onderkennen en daar mogelijk ook bepaalde posities voor inneemt, en dat je oefent en traint voor de militaire inzet van cybercapaciteit, zodat je in staat bent die toe te passen als dat nodig is. Een aantal leden benoemden dat het daadwerkelijk overgaan tot een cyberaanval, wat een groot effect zou hebben, wel een militaire activiteit is. Voordat je daartoe overgaat, hoort daar de gebruikelijke parlementaire besluitvorming bij zoals die bij iedere militaire activiteit nodig is. Over de inlichtingenkant en wat de MIVD en de AIVD daar precies in doen kan ik, zoals u weet, niet in het openbaar spreken. Daarover leggen we in de CIVD, de commissie voor de Inlichtingen- en Veiligheidsdiensten, aan de Kamer verantwoording af. Dat is niet iets waar we openlijk over spreken. Maar dat zijn dus manieren waarop we concrete invulling geven aan die meer offensieve inzet: dreigingen eerder onderkennen, in staat zijn om offensieve acties uit te voeren, en waar nodig al eerder posities innemen om die zaken te kunnen waarnemen. Daarbij gaan we dus niet de grens over naar een cyberaanval, wat als een militaire offensieve actie zou kunnen worden gezien. Voor zo'n actie is inderdaad een legitimiteit nodig en in sommige gevallen, afhankelijk van de context, is ook een mandaat vanuit de Kamer gewenst. Dan was er een vraag over de strategie. Welke middelen zijn daarvoor nodig? Mevrouw Nanninga vroeg dat, maar anderen ook. Deze strategie is opgesteld binnen de huidige financiële kaders. Als dat niet zo was, zou het ministerie van Financiën, en specifiek de minister van Financiën, mij aan de kraag trekken om te zeggen dat we geen strategieën naar de Kamer sturen waar geen dekking voor is. Deze strategie is dus uitvoerbaar binnen de financiële kaders die we hebben. Natuurlijk zitten er in die strategie ook een aantal ambities verscholen, namelijk capaciteiten die we verder willen uitbouwen en verstevigen en waar we meer in willen investeren. De mate waarin we dat kunnen doen, zal natuurlijk ook afhangen van de financiële middelen die een nieuw kabinet daarvoor vrijmaakt. Wanneer we met een nieuw kabinet richting de 3,5% zouden gaan, wat zou leiden tot een hoger budget voor Defensie, zou een deel van deze strategie dus ook meteen vertaald zijn. Een deel van dat budget wordt namelijk ook gebruikt om te investeren in onze capaciteiten om ze verder te versterken en uit te breiden. Hoeveel is dat dan concreet precies? Ik kan daar op dit moment geen geldbedrag aan hangen, zo van: dat is zoveel miljoen of miljard. We zullen dat verder gaan uitwerken. Het is ook afhankelijk van de mate waarin het budget toeneemt en natuurlijk van hoe dat past binnen de bredere prioriteiten die we als Defensie hebben. Maar goed, zodra die budgettaire kaders beschikbaar zijn, is de wens natuurlijk om op relatief korte termijn verdere invulling te geven aan de uitwerking daarvan. We willen als Defensie namelijk volop doorgaan met zowel het laten groeien als het moderniseren van onze krijgsmacht. Dan ga ik naar de tweede categorie, die hiermee samenhangt. Dat is soevereiniteit. Natuurlijk werken wij samen met private partners en maken wij ook gebruik van software en hardware die van private partners komen. Gegeven alle ontwikkelingen die er in de wereld zijn — leden hebben daar verschillende voorbeelden van genoemd — bekijken wij natuurlijk steeds kritischer of we voldoende soeverein zijn, of er geen kwetsbare afhankelijkheden zijn en, als die er wel zijn, in welke mate en met welke snelheid we in staat zijn om die af te bouwen. Vanuit Defensie zijn wij daar, denk ik, in vergelijking met heel veel andere organisaties, sowieso al voorzichtig in geweest, zou je kunnen zeggen. We hebben een eigen IT-organisatie die zorgt dat we ook zelf systemen en software beheren en dat we die afhankelijkheden beheersbaar houden. In specifieke contracten worden ook altijd elementen opgenomen die ervoor zorgen dat we niet tot het einde der tijden afhankelijk zijn van die leverancier, maar dat er ook altijd de mogelijkheid is om over te stappen op een ander of om het eventueel zelf te doen. We zorgen er ook voor dat we daar de kennis, de kunde en de capaciteit voor in huis houden. Er zijn verder nog een aantal zaken die we specifiek doen. We kijken kritisch naar ons cloudbeleid en brengen daar verdere aanscherpingen in aan. De staatssecretaris kan daar zo meteen in meer detail op ingaan. Bij onze IT-inkoop stellen we ook voorwaarden aan de leveranciers en de afhankelijkheden daarvan. We maken ook zo veel mogelijk gebruik van open standaarden, want dan kun je andere software of andere aanbieders daarop inklikken en ben je in staat om het eventueel ook zelf over te nemen. Dat vermindert dus de afhankelijkheid. En we investeren natuurlijk in onze eigen kennis en capaciteit, zodat we niet afhankelijk zijn van de kennis en expertise van een specifieke leverancier. Maar goed, de staatssecretaris zal op de specifiekere vragen ingaan. Er zijn bijvoorbeeld vragen gesteld over Palantir. Daar zal de staatssecretaris verder op ingaan. Dan kreeg ik de vraag hoe we internationaal samenwerken. Op het gebied van cyber is de lijst samenwerkingsverbanden en samenwerkingsinitiatieven heel erg lang en breed. Ik zal die dus niet allemaal opnoemen. Binnen de NAVO voeren we ook gezamenlijk oefeningen uit, specifiek op het gebied van cyberveiligheid en cyberweerbaarheid. Zo nemen we jaarlijks deel aan de NAVO-oefeningen Locked Shields en Cyber Coalition, waarin dat soort zaken worden gedaan. Daarnaast maakt cyber ook van steeds meer NAVO-oefeningen een prominent onderdeel uit. Dus wat je dan oefent, is dat je aan de ene kant een fysiek effect bereikt of een fysiek scenario oefent, maar dat daar ook een cyberelement in verweven zit. Het is dus niet zo dat cyber altijd losstaat; je probeert dat natuurlijk zo veel mogelijk in een multidomeinoefening te verwerken. Waar het gaat om samenwerking, proberen we ook om andere landen waarvan de cybercapaciteiten minder op orde zijn te helpen met training en ondersteuning. Die training en ondersteuning vinden deels via de NAVO plaats en ook via de EU. In sommige gevallen zijn die ook bilateraal. Verder kijken we ook in NAVO-verband naar hoe we de samenwerking tussen de cybereenheden van verschillende landen kunnen verbeteren. Er zijn ook verschillende mechanismen om ervoor te zorgen dat we elkaar niet in de weg zitten en dat we dat synchroniseren en afstemmen, zodat we daar ook meer gezamenlijk in kunnen opereren. Dan had de heer Boon van de PVV nog de vraag waar Nederland nu in het cyberdomein staat ten opzichte van andere landen. Het is moeilijk om daar een score aan te hangen — zo eenvoudig is het niet — maar over het algemeen kun je zeggen dat er een groep landen is die hierin vooroploopt en dat Nederland een van die landen is. We hebben specifieke dingen waar we sterk in zijn en er zijn ook dingen waar andere landen weer sterker in zijn, maar over het algemeen doen we goed mee, denk ik. Tegelijkertijd gaan de ontwikkelingen zo snel dat dat ook continue investeringen en natuurlijk continue aandacht vraagt; een vooraanstaande positie behoud je niet zomaar. Daarom heeft het opbouwen van kennis en vaardigheden en het aantrekken van mensen ook zo'n prominente plek in de strategie. Voorzitter. Dan ga ik naar taken en verantwoordelijkheden. Binnen Defensie wordt er aangestuurd binnen de bestaande militaire lijnen. We hebben het CEMA-bataljon opgericht binnen de landmacht en dat opereert ook binnen de landmacht. Dat is juist omdat je, zoals ik net zei, multidomein wilt kunnen opereren. Je wilt dus in staat zijn om een bepaalde actie uit te voeren en het opereren via bijvoorbeeld het landdomein of via het luchtdomein mogelijk te maken door via een cyberaanval systemen van de tegenstander uit te schakelen of door de elektriciteit van de tegenstander uit te schakelen. Op die manier wordt er dus ook geopereerd. Het is volgens mij dus verstandig om niet alle eenheden in een soort van losse cyberkolom te laten maar om dat juist ook dicht bij de verschillende eenheden te organiseren. Natuurlijk werken we dwars daarop wel aan het versterken van onze cybercapaciteit, dus zodat die onderlinge samenwerking plaatsvindt. We hebben een ontzettend goede CIO die daar een belangrijke rol in vervult — we werken dus ook op die manier aan onze capaciteitsopbouw — zodat niet iedere eenheid of ieder team dat daarmee bezig is zelf het wiel moet uitvinden. Wie heeft de regie als er een digitale aanval plaatsvindt en de kritieke infrastructuur onder druk staat? In eerste instantie zijn dat de NCTV en Justitie en Veiligheid, omdat de coördinatie op het gebied van cyberveiligheid daar ligt. Wanneer er sprake zou zijn van een cyberaanval die dusdanig zwaar is dat je zou kunnen spreken van een militaire daad en je zelfs aan artikel 5 zou kunnen denken, komen we in een ander scenario terecht en kunnen ook de rollen en verantwoordelijkheden veranderen, maar dan zit je in een militair conflict. Tot die tijd is het de NCTV die de coördinatie doet en de regie voert over de crisis en de mogelijke gevolgen daarvan. Wij als Defensie zijn natuurlijk nauw daarop aangehaakt en ondersteunen daarin waar nodig. We hebben onze Cyberstrategie in nauwe samenwerking met Justitie en Veiligheid en met andere partners opgesteld, zodat ook geldt dat de samenwerking tussen de verschillende ministeries en tussen de verschillende organisaties die zich met cyber bezighouden, voldoende op elkaar aansluit. Dan nog een vraag over samenwerking. Het Defensie Cyber Commando werkt bijvoorbeeld nauw samen met de MIVD en ze werken ook in gezamenlijke teams. Dat leidt ertoe dat als de MIVD werkt onder de Wiv en bepaalde activiteiten daarin uitvoert, ook vanuit DCC ondersteuning kan worden geboden met de capaciteiten die zij hebben. Je ziet steeds vaker dat ook DCC daarin onder de vlag van de Wiv opereert. Ik denk dat ik daarmee alle vragen heb beantwoord. Er is natuurlijk ook nog samenwerking met de private sector. Daarvoor geldt dat die in eerste instantie vooral ligt bij Justitie en Veiligheid als het gaat om de cyberweerbaarheid van bedrijven, banken en dergelijke. Maar ook daarin werken wij natuurlijk nauw met hen samen. Een onderliggende vraag is steeds hoeveel informatie je daarover met elkaar kunt delen, want soms zijn het onze diensten die een bepaalde dreiging zien en soms zijn het juist eerder financiële instellingen of andere organisaties die dat sneller zien. Je wil dat de samenwerking op dat moment goed is, zodat informatie snel wordt uitgewisseld. Een discussie die we ook nog als onderdeel van de herziening van de Wiv zullen hebben, is in hoeverre je organisaties daartoe kunt verplichten. Ik ben er zelf, zeg ik als voorschot, voorstander van om daar verdere stappen in te zetten, omdat onze tegenstanders op zoek gaan naar de meest zwakke plek. Als je dan afhankelijk bent van een gemeente of een andere organisatie die al dan niet bereid is om mee te werken, maakt dat je heel kwetsbaar. Ik denk dat het heel veel duidelijkheid kan bieden als je heel duidelijke regels opstelt over welke informatie in welke gevallen met de diensten gedeeld moet worden. Uiteindelijk komt dat onze veiligheid ten goede. Maar laten we dat vooral bij de herziening van de Wiv bespreken. Dat biedt een logisch bruggetje naar het kopje wetgeving. Verschillende leden vroegen in hoeverre de Wodg eraan gaat bijdragen dat we in staat zijn om te doen wat nodig is. De Wodg zal daar een belangrijke bijdrage aan leveren. Ik zeg er meteen bij dat die niet de oplossing is voor alles. Op dit moment ligt het wetsvoorstel bij de Raad van State. Zodra het terug is en we het advies hebben verwerkt, zal het uiteraard richting de Kamer gaan. Het huidige wetsvoorstel ziet er vooral op dat we als Defensie ook gebruik kunnen maken van opensource-informatie. Daar zitten op dit moment behoorlijk wat beperkingen aan, terwijl er natuurlijk ontzettend veel opensource-informatie is die nuttig en bruikbaar is voor onze veiligheid. Dat moet natuurlijk allemaal goed worden ingekaderd. Het is niet zo dat we direct zomaar alles kunnen. Maar het zal een belangrijk onderdeel zijn van de Wodg dat we meer in staat zijn om die informatie te gebruiken. Verder is natuurlijk de herziening van de Wiv met betrekking tot toezicht en toetsing op de diensten heel belangrijk. Dat zijn inderdaad twee belangrijke wetgevingstrajecten. In beginsel zijn de wettelijke bevoegdheden, even los van de twee dingen die herziening behoeven, in die zin op orde dat de Cyberstrategie die we nu hebben, uitvoerbaar is met de kaders die er zijn. Ik vind daarbij wel dat als we die wettelijke kaders hebben, we daar ook gebruik van moeten maken. We moeten ook bereid zijn om de ruimte die er is, zo goed mogelijk en waar nodig maximaal te benutten. Dan was er ook nog een vraag over het internationaal recht. Daarvoor geldt dat de cyberstrategie die we nu hebben past binnen de internationale wet- en regelgeving, de internationale juridische kaders en de Europese kaders die daarvoor gelden. Die hebben we daarvoor als uitgangspunt genomen. Ik kom op mijn laatste categorie. Een belangrijke discussie is natuurlijk die over AI. Op dit moment is er geen specifieke internationale wet- en regelgeving op het gebied van AI in het militaire domein. Het is op dit moment ook niet zo dat wij onze bedrijven meer belemmeren of tegenhouden met specifieke wetgeving dan onze tegenstanders dat doen. De reden waarom wij als Nederland het initiatief hebben genomen om het thema AI in het militaire domein op de kaart te zetten, is dat je zou kunnen zeggen dat er nu geen sprake is van specifieke regels en wetgeving op dit terrein en je dus ook niet de mogelijkheid hebt om anderen daarop aan te spreken. We hebben het internationaal recht en het humanitair oorlogsrecht. Daar zitten algemene bepalingen in die ook van toepassing zijn op AI, maar we hebben niet specifiek met elkaar afgesproken wat we wel en niet acceptabel vinden. Volgens mij was het de heer Van Lanschot die vroeg: "In hoeverre wil je nou nog menselijke betrokkenheid houden? Wil je een human in the loop hebben en op welke momenten?" Het is goed om eerst internationaal afspraken te maken over dat soort principes en hoe je die verder uitwerkt, zonder daarin naïef te zijn. We weten namelijk ook dat onze tegenstanders zich ongetwijfeld niet aan die afspraken zullen houden, maar dan heb je in ieder geval de mogelijkheid om anderen daarop aan te spreken en mogelijk vervolgens ook sancties en dat soort zaken op te leggen op het moment dat zij zich daar niet aan houden. Ik ben het zeer eens met wat de heer Erkens zei, namelijk dat we daarin realistisch moeten zijn. We moeten geen regels opleggen waarmee we onszelf te veel beperken ten opzichte van onze tegenstanders. Je ziet in die internationale discussie eigenlijk twee uitersten. Je hebt landen die zeggen: AI is eng; laten we ons vooral heel erg beperken. En je hebt landen die zeggen: vrijheid, blijheid, sta alles maar toe. Wij proberen daarin een genuanceerde positie in te nemen: we moeten wel tot gemeenschappelijke kaders komen om anderen aan te spreken, maar die moeten ons niet zodanig in de weg zitten dat we gaan achterlopen op onze tegenstanders. Ik ben er wel trots op dat wij als Nederland de eerste waren die het REAIM-congres hebben georganiseerd. We zitten ook bij de vijf landen die hierin wereldwijd het voortouw nemen. We hebben daarvoor een VN-resolutie ingediend. Samen met Kenia? Nee, met Zuid-Korea. Dus we nemen daarin echt het voortouw en dat is volgens mij ook heel belangrijk. Dat was het, voorzitter.

Minister Brekelmans: We moeten kijken hoe ver we komen. We zijn begonnen met het REAIM-congres in Den Haag. De tweede sessie is vervolgens in Zuid-Korea geweest. Daar was ik vorig jaar ook bij. Volgende week is de derde bijeenkomst in Spanje. Daar zal ik ook aan deelnemen. Daar wordt over die kaders gesproken. Dat heeft zich vertaald in een VN-resolutie die met overgrote meerderheid in de AVVN is aangenomen. Dat is dus heel mooi. Of zich dat ooit kan vertalen in verdere juridische raamwerken moeten we bezien. Zover zijn we op dit moment nog niet, maar het zou wel heel mooi zijn als het lukt om daarover verdere afspraken te maken.

Minister Brekelmans: Ja, ik vind zelf het feit dat we vorig jaar die VN-resolutie met grote meerderheid aangenomen hebben gekregen echt wel een belangrijke stap. De landen die hierin het voortouw nemen zijn geografisch verspreid: Zuid-Korea, Kenia, Singapore en Spanje spelen daarin een rol. We proberen dat met een groepje landen verder vooruit te brengen. Overigens is die groep veel breder dan dat. Natuurlijk zit daar de druk op, maar het is steeds ook weer een afweging: hoe maak je niet alleen voortgang, maar zorg je er ook voor dat je veel landen meekrijgt? Als je te hard gaat, haken er namelijk weer landen af. Dat is zonde. En hoe zorg je ervoor dat je met elkaar afspraken opstelt waarvan je weet dat ze daadwerkelijk iets voorstellen? Het is namelijk heel makkelijk om met een groepje vooruitstrevende landen iets op papier te zetten waarvan je weet dat de spelers die er echt toe doen er verder maling aan hebben. Het moet dus breed genoeg gedragen en realistisch genoeg zijn om het te kunnen gebruiken om anderen er serieus op aan te spreken. Maar het is precies zoals u zegt: de ontwikkelingen gaan zo snel dat dat alleen al de noodzaak geeft om de druk erop te houden. Dat deel ik zeer. Dat is ook de reden dat wij als Nederland niet hebben gezegd dat we het congres één keer organiseren en daarna het stokje overdragen, maar dat we daar het voortouw in blijven nemen.