De Voorzitter van de Tweede Kamer der Staten-Generaal Binnenhof AA DEN HAAG

Transcriptie

1 > Retouradres Postbus EK Den Haag De Voorzitter van de Tweede Kamer der Staten-Generaal Binnenhof AA DEN HAAG Bureau Bestuursraad Bezoekadres Bezuidenhoutseweg AC Den Haag Postadres Postbus EK Den Haag Factuuradres Postbus BD Den Haag Overheidsidentificatienr Datum 6 juli 2016 Betreft Beantwoording vragen over het gebruik van een privé adres voor werkaangelegenheden door de minister van Economische Zaken Geachte Voorzitter, T (algemeen) Uw kenmerk 2016Z09582 en 2016Z09581 Hierbij stuur ik u, mede namens de minister-president, de minister van Veiligheid en Justitie en de minister voor Wonen en Rijksdienst, de antwoorden op de vragen die zijn gesteld door de leden Gesthuizen (SP) en Van Tongeren (GroenLinks) over het gebruik van een privé adres voor werkaangelegenheden, op 18 mei 2016, onder nummer 2016Z09582, en de antwoorden op de vragen die zijn gesteld door het lid Verhoeven (D66) over het bericht de minister van Economische Zaken gaat door met het gebruik van Gmail voor communicatie met ambtenaren, op 18 mei 2016, onder nummer 2016Z De Kamer heeft vragen gesteld over het gebruik van mijn privé account voor werk gerelateerde s. Over de context waarbinnen dat gebeurde wil ik het volgende opmerken. De afgelopen jaren heb ik voor mijn werk gerelateerde verkeer gebruik gemaakt van een privé account naast mijn zakelijke account. Het gebruik van mijn privé account voor werk gerelateerd verkeer heb ik inmiddels beëindigd en op mijn verzoek zijn de s uit mijn privé account verwijderd en afzonderlijk opgeslagen. Ik werk voor het belangrijkste deel van mijn werkzaamheden niet digitaal, maar op papier. In de regel worden stukken op papier aan mij aangeleverd. Mijn reacties hierop gaan in de regel in de vorm van aantekeningen op het schriftelijke stuk, of korte notities op papier. De afgelopen jaren heb ik voor overige werk gerelateerde communicatie naast een zakelijke account ook frequent gebruik gemaakt van een privé account. De reden voor het gebruik van het privé account, naast mijn zakelijke account, was dat de mogelijkheid om op een locatie buiten het ministerie te werken via mijn zakelijke account door mij als omslachtig en niet als gebruiksvriendelijk werd ervaren. Hoewel het gebruik van een privé account voor zakelijke s niet tegen de regels is, moet terughoudend en bewust gebruik worden gemaakt van privé accounts. Ik realiseer mij dat het frequent voeren van zakelijke communicatie via mijn privé account niet Pagina 1 van 8

2 de aangewezen werkwijze was. Ik ben mij er daarbij onvoldoende bewust van geweest dat, gezien de aard van mijn werkzaamheden, de door mij gebruikte privé dienst minder geschikt was. Wat betreft de aard van de informatie die op mijn privé account aanwezig was, heb ik niet het beeld dat het staatsgeheim gerubriceerde informatie betrof. Ik vind het echter van belang om te kunnen vaststellen of informatie met die rubricering op mijn privé account aanwezig was. Ik heb daarom de Auditdienst Rijk (ADR) opdracht gegeven onderzoek te doen naar de vraag of documenten met de rubriceringen Departementaal Vertrouwelijk, Staatsgeheim Confidentieel, Staatsgeheim Geheim of Staatsgeheim Zeer Geheim zoals bedoeld in het Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIR-BI) op mijn privé account aanwezig waren, en welke informatie uit welke periode dat eventueel betrof. De ADR voert als onafhankelijke auditdienst regelmatig ICT-audits uit binnen de Rijksdienst, en is eveneens toegerust om onderzoek te doen waarbij mogelijk als staatsgeheim gerubriceerde informatie is betrokken. Ik verwacht u na het zomerreces te kunnen informeren over de bevindingen van de ADR. 2016Z Kunt u een reactie geven op het item Minister Kamp ontving werkmail op privémail tegen de regels in? 1 Hiervoor verwijs ik u naar bovenstaande. 2 Welke regels zijn vastgelegd omtrent het gebruik van een privé- adres voor bewindspersonen in de Baseline Informatie Beveiliging Rijksdienst 2012 en eventuele andere regelgeving? Voor de Rijksdienst gelden het Beveiligingsvoorschrift Rijksdienst (BVR), het Voorschrift Informatiebeveiliging Rijksdienst (VIR), het Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIR-BI) en de Baseline Informatievoorziening Rijksoverheid (BIR). In het VIR-BI zijn regels opgenomen over de omgang met bijzondere informatie (hierna ook: gerubriceerde informatie). Bijzondere informatie is informatie waarvan kennisname door niet geautoriseerden nadelige gevolgen kan hebben voor de belangen van de staat, van zijn bondgenoten of van één of meer ministeries. Het gaat dan om informatie met de rubricering Departementaal Vertrouwelijk, Staatsgeheim Confidentieel, Staatsgeheim Geheim of Staatsgeheim Zeer Geheim. 1 Nos.nl, 12 mei Pagina 2 van 8

3 De BIR uit 2012 stelt het volgende. Voor het doorsturen van informatie naar privé-mail geldt: de medewerker bepaalt dan per geval of de betreffende informatie doorgestuurd kan worden. Automatische doorzending van alle mail naar een privé-adres of andere onveilige omgeving wordt dan ook niet toegestaan omdat dan niet per bericht door de medewerker beoordeeld kan worden of de informatie naar een onvoldoende veilige omgeving kan worden gestuurd. 3 Zijn deze regels door u overtreden? Zo ja, met welke redenen heeft u dit gedaan? Zoals uit de BIR volgt, is het niet zo dat het gebruik van een privé account voor zakelijke s niet is toegestaan. Wel moet terughoudend en bewust gebruik worden gemaakt van privé accounts. Voor de redenen voor het gebruik van het privé account verwijs ik naar bovenstaande Hoe lang en met welke frequentie heeft u gebruik gemaakt van uw privé- adres voor werkaangelegenheden? Om wat voor verkeer ging het toen u uw privéadres gebruikte? Waarom was het gebruik van dit adres "gemakkelijker" voor u? Hiervoor verwijs ik u naar bovenstaande. 6 Bent u bereid om de s ter vertrouwelijke inzage aan de Kamer ter beschikking te stellen? Zo nee, bent u bereid deze s voor te leggen aan de Raad van State? Ik heb de ADR opdracht gegeven om onderzoek te doen naar de vraag of gerubriceerde informatie zoals bedoeld in het VIR-BI, op mijn privé account aanwezig was, en welke informatie uit welke periode het eventueel betrof. Ik informeer uw Kamer over de bevindingen van het onderzoek van de ADR. 7 Is de Rijksbeveiligingsambtenaar op de hoogte gesteld van het gebruik van uw privé- adres voor werkaangelegenheden? Zo nee, waarom niet? Ja. Pagina 3 van 8

4 8 Op basis van welke verdenkingen is in de zomer van 2014 een strafrechtelijk onderzoek ingesteld naar computervredebreuk en op basis waarvan is tot seponering overgegaan? Op 9 juli 2014 constateerde ik dat er berichten waren verzonden vanuit mijn privé account, die niet persoonlijk door mij waren verzonden. Er is vervolgens, namens mij, aangifte gedaan bij de Landelijke Eenheid van de Nationale Politie van een vermoeden van computervredebreuk. Dit betreft het opzettelijk en wederrechtelijk binnendringen in een geautomatiseerd werk of in een deel daarvan. De politie is onder leiding van het Openbaar Ministerie (OM) een opsporingsonderzoek gestart, met als doelstelling vast te stellen of, en zo ja door wie, mijn privé account was gehackt. Het OM heeft mij laten weten dat een ongerichte phishingaanval aannemelijk was, en dat geen vervolg is gegeven aan het strafrechtelijk onderzoek, onder andere omdat er onvoldoende onderzoeksindicaties waren. 9 Waarom is ondanks het sepot een Bestuurlijke Rapportage geschreven en waarom is deze niet gedeeld met de Kamer? Het Landelijk Parket van het OM en de Landelijke Eenheid van de Nationale Politie hebben een bestuurlijk advies aangeboden aan de minister van Veiligheid en Justitie om aandacht te vragen voor de risico s van zakelijk gebruik van privé e- mail door medewerkers en bewindspersonen van ministeries in het kader van het specifiek (op dat moment nog lopend) strafrechtelijk onderzoek naar de hack van mijn privé account. Dergelijke interne advisering aan een beleidsverantwoordelijke bewindspersoon wordt in de regel niet gedeeld met uw Kamer. 10 Is er aanleiding om aan te nemen dat meerdere mensen naast uzelf beschikken over inloggegevens van uw privé- account? Direct na de aangifte in juli 2014 zijn de inloggegevens van mijn privé e- mailaccount aangepast. Ik heb geen aanleiding te veronderstellen dat andere mensen dan mijn echtgenote en ik, beschikken over de inloggegevens van het privé account. 11 Bestaat er een koppeling van uw privé- account en uw werk- account. Zo ja, op welke wijze is deze vormgegeven? Pagina 4 van 8

5 Nee. 12 Hoe veilig beoordeelt u de door u gebruikte privé- dienst en welke verschillen bestaan er tussen de door u gebruikte dienst en de door uw departement gebruikte dienst? Hiervoor verwijs ik u naar bovenstaande. 13 Is er op basis van wetgeving in de Verenigde Staten aanleiding om aan te nemen dat de Amerikaanse overheid beschikt over Nederlandse overheidsinformatie? Zo ja, om welke informatie uit welke perioden als bewindspersoon gaat dit? Welke posten in de regering bekleedde u tijdens die perioden? De Amerikaanse wetgeving bevat waarborgen voor het op rechtstatelijke wijze kennisnemen van informatie. Er kan echter in zijn algemeenheid niet worden uitgesloten dat die Amerikaanse wetgeving een zodanige werking heeft dat bedrijven die een (hoofd)vestiging in de Verenigde Staten hebben verplicht kunnen worden tot het verstrekken van gegevens die door hen worden verwerkt, of waarover zij anderszins de beschikking hebben, ongeacht waar die gegevens zich bevinden. In dit specifieke geval heb ik geen aanwijzing dat een dergelijke verplichting voor mijn privé account is opgelegd. Het onderzoek van de ADR zal uitwijzen of gerubriceerde informatie zoals bedoeld in het VIR-BI, op mijn privé account aanwezig was, en welke informatie uit welke periode het eventueel betrof. 2016Z Kent u het bericht Minister Kamp gaat door met gebruik Gmail voor communicatie met ambtenaren? 2 Ja. 2 Kunt u uitsluiten dat er gevoelige of staatsgeheime informatie naar het privé e- mailaccount van de minister van Economische Zaken is gestuurd? Zo nee, bent u bereid hier nader onderzoek naar te doen? 2 Pagina 5 van 8

6 Hiervoor verwijs ik naar bovenstaande. 3 Kunt u uitsluiten dat er gevoelige of staatsgeheime informatie in handen van derden is gekomen? Op dit moment heb ik geen aanleiding om aan te nemen dat als staatsgeheim gerubriceerde informatie in handen van derden is gekomen. De ADR is opdracht gegeven om onderzoek te doen naar de vraag of gerubriceerde informatie zoals bedoeld in het Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIR-BI), op mijn privé account aanwezig was, en welke informatie uit welke periode het eventueel betrof. 4 Is het waar dat de minister slachtoffer is geworden van phishing en daardoor derden toegang hadden tot zijn account? In juli 2014 is, namens mij, aangifte gedaan van een vermoeden van computervredebreuk. Tijdens het daaropvolgende onderzoek is vastgesteld dat een ongerichte phishingaanval waarmee toegang tot het account werd verkregen, aannemelijk was. 5 Is het waar dat het gebruik van een privé account niet is toegestaan volgens relevante richtlijnen van de Rijksoverheid, zoals de richtlijn Baseline Informatiebeveiliging Rijksdienst (BIR 2012)? Nee. Het is niet zo dat het gebruik van een privé account voor zakelijke s niet is toegestaan. Voor de Rijksdienst gelden het Beveiligingsvoorschrift Rijksdienst (BVR), het Voorschrift Informatiebeveiliging Rijksdienst (VIR), het Voorschrift Informatiebeveiliging Rijksdienst Bijzondere Informatie (VIR-BI) en de Baseline Informatievoorziening Rijksoverheid (BIR). In het VIR-BI zijn regels opgenomen over de omgang met bijzondere informatie. Bijzondere informatie is informatie waarvan kennisname door niet geautoriseerden nadelige gevolgen kan hebben voor de belangen van de staat, van zijn bondgenoten of van één of meer ministeries. Het gaat dan om informatie met de rubricering Departementaal Vertrouwelijk, Staatsgeheim Confidentieel, Staatsgeheim Geheim of Staatsgeheim Zeer Geheim. Pagina 6 van 8

7 De BIR uit 2012 stelt het volgende: Voor het doorsturen van informatie naar privé-mail geldt: de medewerker bepaalt dan per geval of de betreffende informatie doorgestuurd kan worden. Automatische doorzending van alle mail naar een privé-adres of andere onveilige omgeving wordt dan ook niet toegestaan omdat dan niet per bericht door de medewerker beoordeeld kan worden of de informatie naar een onvoldoende veilige omgeving kan worden gestuurd. 6 Bent u het ermee eens dat het in het belang van de staatsveiligheid is om te zorgen dat ministers geen privé accounts gebruiken voor gevoelige of staatsgeheime zaken? Ja. 7 Bent u bereid een intern onderzoek te starten naar het gebruik van privé e- mailaccounts onder bewindslieden? Alle bewindspersonen hebben aan de minister-president laten weten dat zij in verschillende mate (en in sommige gevallen geen) gebruik maken van een privé account voor werk gerelateerde s, maar daarbij rekening houden met de aard van de informatie (het betreft geen als staatsgeheim gerubriceerde informatie). 8 Is het waar dat met name ministers een bijzonder doelwit vormen voor hackers uit landen als China, Rusland en Iran, en dat digitale spionage een dreiging voor de nationale veiligheid vormt, en dat overheidsinstellingen hiervan structureel doelwit zijn zoals uit het jaarverslag van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) blijkt? Mij is niet bekend of ministers een bijzonder doelwit vormen voor hackers uit landen als China, Rusland en Iran. In zijn algemeenheid heeft de AIVD in zijn jaarverslag 2015 geconstateerd dat sommige landen geïnteresseerd zijn in de politieke besluitvorming in Nederland. Daarbij ziet de AIVD een toename van digitale spionage gericht op het vergaren van politieke inlichtingen, alsmede economische spionage. In het Cybersecurity Beeld Nederland 2015 is opgemerkt dat de grootste digitale spionagedreiging komt van buitenlandse inlichtingendiensten. 9 Bent u van mening dat ministers, los van bestaande richtlijnen, zich bewust zouden moeten zijn van het feit dat zij een bijzonder doelwit zijn voor Pagina 7 van 8

8 staatshackers en daardoor een additionele verantwoordelijkheid hebben om zorgvuldig om te gaan met gangbare normen omtrent cyberveiligheid? Ik ben van mening dat ministers nadrukkelijk een verantwoordelijkheid hebben om zorgvuldig om te gaan met gangbare normen rond cyberveiligheid. 10 Krijgen ministers en hooggeplaatste ambtenaren speciale training of informatie over best practices op het gebied van cyberveiligheid of cyberhygiëne? Zo nee, waarom niet? In het Handboek voor aantredende bewindspersonen worden bewindspersonen gewezen op het VIR-BI. Departementen geven bij het aantreden van bewindspersonen informatie over cyberveiligheid en hygiëne. Verder leveren zij voldoende veilige faciliteiten voor informatie en communicatie. Voor hooggeplaatste ambtenaren kent de Algemene Bestuursdienst het Ambtelijk Professionaliserings Programma. Daarin zit onder meer een ICT-module. Informatiebeveiliging is hierin één van de onderwerpen, waarbij ook aandacht is voor cyberveiligheid en incidenten op dat vlak. Daarnaast zijn voor ambtenaren en managers workshops en e-learningmodules beschikbaar binnen het programma ibewustzijn Rijk. Per 1 juli 2016 is er één rijksbrede Gedragsregeling voor de digitale werkomgeving met daarin afspraken over digitale gebruiksmogelijkheden, online gedrag en bewuste omgang met risico's. Hiermee worden de tot dan toe in gebruik zijnde internet- en e- mailgedragscodes bij de departementen geharmoniseerd. Organisaties binnen de rijksoverheid kunnen deze nieuwe Gedragsregeling waar nodig nader specificeren en mogen daarbij alleen strikter zijn in hun normering dan de Gedragsregeling als rijksbreed kader aangeeft. Voor verdere interne communicatie wordt het programma ibewustzijn Rijk ingezet. (w.g.) H.G.J. Kamp Minister van Economische Zaken Pagina 8 van 8