SCHRIFTELIJKE VRAAG P-0780/03

van Elly Plooij-van Gorsel (ELDR) aan de Commissie

(7 maart 2003)

Betreft: Bevoegdheden President Bush tot cyberaanvallen

Tot voor kort was de aandacht voor mogelijke cyberaanvallen en de gevolgen daarvan minimaal. Zo werd in Europa, ook door het Europees Parlement, de primaire verantwoordelijkheid ten aanzien van computerkwetsbaarheid bij het bedrijfsleven en organisaties zelf gelegd. Sinds de terroristische aanvallen in de Verenigde Staten van 11 september 2001 en de aanhoudende waarschuwingen voor mogelijke cyberaanvallen is de aandacht voor beveiliging sterk toegenomen.

Daarbij moeten we niet alleen vrezen voor schade door cyberaanvallen door Irak of islamitische groeperingen zoals Unix Security Guards of Anti-India Crew. In de strijd tegen internetterrorisme, heeft President Bush een half jaar geleden zijn handtekening gezet onder een speciale wet, die het hem mogelijk maakt zelf cyberaanvallen uit te voeren. Deze aanvallen hoeven niet alleen gericht te zijn tegen Irak, maar kunnen ook het totale functioneren van het World Wide Web betreffen. Met andere woorden: Bush mag het net volledig platleggen als hij dat wil. Gesteld wordt dat alleen doelen die militair relevant zijn mogen worden aangevallen. Het grote probleem met online aanvallen is dat er veel collateral damage kan vallen. Door de sterke verwevenheid van het internet kunnen ook andere landen en bedrijven last krijgen van zo'n actie. Een denial-of-service-aanval, een klassieke manier om een netwerk onderuit te halen, heeft ook gevolgen voor de netwerken die tussen de aanvaller en het doel liggen.

1. Is de Commissie op de hoogte van deze nieuwe wet die President Bush de bevoegdheid geeft cyberaanvallen uit te voeren en, zo ja, wat vindt de Commissie hiervan?

2. Hoe is de Commissie van plan de Europese burgers en bedrijven tegen dergelijke aanvallen en de gevolgen daarvan te beschermen?

3. Wie dient volgens de Commissie de schade te betalen die dergelijke aanvallen met zich mee kunnen brengen en hoe is deze te verhalen?

Antwoord van de heer Liikanen namens de Commissie

(7 april 2003)

De Commissie is bekend met een artikel in de Washington Post van 7 februari 2003 waarin wordt beweerd dat volgens overheidsambtenaren van de Verenigde Staten, President Bush in juli 2002 een geheim bevel heeft ondertekend, bekend als National Security Presidential Directive 16. Volgens de Washington Post wordt met dit bevel aan de regering van de Verenigde Staten de opdracht gegeven richtsnoeren op nationaal niveau te ontwikkelen om te bepalen wanneer en hoe de Verenigde Staten cyberaanvallen kunnen uitvoeren tegen vijandelijke computernetwerken. Naar verluidt denken de militaire planners eraan om computerdeskundigen te laten inbreken in vijandelijke elektronische netwerken, bijvoorbeeld om radars stil te leggen, elektrische installaties onklaar te maken of telefoondiensten te onderbreken.

De Commissie is niet op de hoogte van enige publicatie of officiële bevestiging van dit bevel door de regering van de Verenigde Staten.

Maatregelen tegen cyberoorlogvoering hebben elementen die gelijkenis vertonen met die ter bevordering van cyberveiligheid en ter bestrijding van computercriminaliteit, en de Commissie is zeer actief geweest in het ontwikkelen van beleid op deze gebieden.

Zo keurde de Commissie op 26 januari 2001 een mededeling goed met de titel De informatiemaatschappij veiliger maken door de informatie-infrastructuur beter te beveiligen en computercriminaliteit te bestrijden(1), waarin het belang van informatie- en communicatie-infrastructuur, met inbegrip van het Internet, als kritisch onderdeel van onze economie wordt erkend en specifieke maatregelen worden voorgesteld.

Op 19 april 2002 keurde de Commissie, zoals voorgesteld in de mededeling, een voorstel goed voor een kaderbesluit van de Raad over aanvallen op informatiesystemen(2). In het voorstel worden de lidstaten verplicht om in hun nationale wetgeving als strafbare delicten op te nemen: onwettige toegang tot een informatiesysteem en onwettige verstoring van een informatiesysteem. Het voorstel bevat ook bepalingen inzake strafmaatregelen, regels voor de aansprakelijkheid van rechtspersonen en daarmee samenhangende straffen, regels inzake jurisdictie en de verplichting voor de lidstaten om zich aan te sluiten bij het bestaande netwerk van operationele contactpunten inzake high-tech criminaliteit dat 24 uur per dag en 7 dagen per week bereikbaar is. Het Parlement gaf zijn advies over het ontwerp van kaderbesluit in oktober 2002(3) en de Raad bereikte een politiek akkoord over de tekst van de belangrijkste artikelen op 28 februari 2003.

Het actieplan eEuropa 2005 beoogt veiligheidsdiensten te stimuleren en zo bij te dragen tot het beveiligen van de informatie-infrastructuur. Ook eerdere eEuropa-actieplannen waren prioritair toegespitst op het verbeteren van de cyberveiligheid.

In februari 2003 heeft de Commissie een Europees Agentschap voor netwerk- en informatiebeveiliging voorgesteld(4). Dat Agentschap moet dienen als een expertisecentrum waar zowel de lidstaten als de Commissie terechtkunnen voor advies over netwerkbeveiliging. Het Agentschap zal ook hulp bieden aan autoriteiten van de lidstaten, ondermeer de diverse Computer Emergency Response Teams (CERTS).

Voorts is de Commissie zopas gestart met het 6e kaderprogramma van onderzoek & technologische ontwikkeling (OTO), waarin O & O op het gebied van veiligheids- en betrouwbaarheidstechnologieën een essentiële component is van de prioriteit Technologieën van de informatiemaatschappij (IST). Ook in het 5e kaderprogramma is ruime aandacht besteed aan veiligheidstechnologieën en betrouwbaarheid van de informatie-infrastructuur, waaronder onderzoek naar onderlinge afhankelijkheid.

Op grond van het burgerlijk recht en het strafrecht in de lidstaten zou de aanvaller aansprakelijk zijn voor de meeste aanvallen tegen informatiesystemen. Na de tenuitvoerlegging van het kaderbesluit over aanvallen op informatiesystemen zullen de aanvallen die strafrechtelijke gevolgen hebben worden uitgebreid met ondermeer denial-of-service-aanvallen in alle lidstaten.

In het geval van handelingen die worden uitgevoerd door of namens een buitenlandse staat (met inbegrip van oorlogshandelingen) kan de vraag rijzen of deze staat voor dergelijke handelingen immuniteit van rechtsvervolging door andere staten zou genieten. Een antwoord op deze vraag hangt echter af van de precieze staat van de internationale wetgeving op dit snel veranderende gebied en van de specifieke omstandigheden van de desbetreffende handeling.

(1) COM(2000) 890 def.

(2) PB C 203 E van 27.8.2002.

(3) A5-0328/2002 def.

(4) COM(2003) 63 def.