Tweede Kamer der Staten-Generaal

Vergaderjaar 2021–2022

2

Aanhangsel van de Handelingen

Vragen gesteld door de leden der Kamer, met de daarop door de
regering gegeven antwoorden

1337
Vragen van het lid Rajkowski (VVD) aan de Minister van Justitie en Veiligheid
over het bericht «Banken en overheden zetten software af uit angst voor
hacks» (ingezonden 21 december 2021).
Mededeling van Minister Yeşilgöz-Zegerius (Justitie en Veiligheid)
(ontvangen 14 januari 2022).
Vraag 1
Bent u bekend met het bericht «Banken en overheden zetten software af uit
angst voor hacks»?1
Vraag 2
Kunt u een inschatting maken wat tot nu toe de schade is als gevolg van het
lek bij Apache log4j? Wat is de schatting voor de komende weken?
Vraag 3
Hoeveel gevallen zijn er al bekend waarbij criminele hackers Nederlandse
organisaties aanvallen als gevolg van het lek bij Apache log4j? Met welk doel
worden de betreffende organisaties aangevallen? Om welke organisaties gaat
het en wat zijn de gevolgen van deze hacks?
Vraag 4
In hoeverre zijn organisaties en (vitale) bedrijven die mogelijk gebruik maken
van Apache log4j van dit lek op de hoogte? Wat is de rol van het Nationaal
Cyber Security Centrum (NCSC) en het Digital Trust Center (DTC) hierin?
Hebben zij een regierol hier? Zo ja, wat hebben zij tot nu toe gedaan om de
risico’s van dit grootschalige lek te mitigeren? Hoe is de IT-informatiesessie
van 15 december jl. bevallen?
Vraag 5
In hoeverre zijn organisaties ervan op de hoogte dat er een update van
Apache log4j beschikbaar is en dat ze deze update moeten uitvoeren? Hoe
vaak is deze update uitgevoerd door organisaties? Welke maatregelen

1

ah-tk-20212022-1337
ISSN 0921 - 7398
’s-Gravenhage 2022

Financieel Dagblad, «Banken en overheden zetten software af uit angst voor hacks» (fd.nl/techen-innovatie/1423222/banken-en-overheden-zetten-software-af-uit-angst-voor-hacksknl1ca56jOoK)

Tweede Kamer, vergaderjaar 2021–2022, Aanhangsel

1

worden getroffen om ook de kleinere bedrijven in te lichten over het doen
van deze update?
Vraag 6
Welke overheidsorganisaties maken gebruik van Apache Log4j? Zijn er al
overheidsorganisaties aangevallen door criminele hackers? Welke maatregelen neemt u om de kans zo klein mogelijk te maken dat criminele hackers
succesvolle aanvallen op cruciale overheidsorganisaties kunnen uitvoeren en
hen digitaal kunnen gijzelen?
Vraag 7
Bekend is dat meerdere gemeentes hun systemen gedeeltelijk hebben
afgesloten? Om hoeveel gemeentes gaat dit? Wat doen deze systemen en
hoe lang gaan ze afgesloten blijven? Welke gevolgen heeft het voor de
gemeentes als ze hun systemen tijdelijk gedeeltelijk moeten afsluiten?
Vraag 8
Naast gemeentes hebben ook organisaties in de vitale sectoren zoals banken
hun systemen gedeeltelijk afgesloten. Welke gevolgen heeft dit voor de vitale
sectoren? In hoeverre wordt er via het NCSC ondersteuning geboden en
samengewerkt met vitale sectoren zoals de banken- en telecomsector om de
schade van dit lek te beperken?
Vraag 9
Hoe wordt in andere landen omgegaan met dit lek? Werkt u samen met
andere landen om oplossingen te vinden voor dit lek? Kunnen lessen
getrokken worden uit hoe in het buitenland om wordt gegaan met dit lek?
Vraag 10
Welke gevolgen heeft dit lek voor het gebruik maken van Apache log4j door
de overheid? Zijn er betere alternatieven waar naar gekeken kan worden?
Vraag 11
Deelt u de mening dat het NCSC en DTC proactief lijken te communiceren?
Op welke verschillende manieren proberen zij organisaties te bereiken en van
informatie te voorzien? Wat kan het NCSC en DTC nog beter doen om meer
mensen te bereiken, in begrijpelijke taal en welke informatie zou er nog meer
gedeeld kunnen worden?
Vraag 12
Deelt u de mening dat het afkondigen van een code rood, zoals het Duitse
Ministerie van Binnenlandse Zaken heeft gedaan, een interessante manier kan
zijn om de urgentie van deze kwetsbaarheid aan te geven, er aandacht voor
te vragen en de handelingsbereidheid bij organisaties te vergroten? Zo nee,
waarom niet?
Vraag 13
Het Belgische Ministerie van Defensie lijkt aangevallen te zijn via de
log4j-kwetsbaarheid; Deelt u de mening dat deze kerstperiode voor criminelen
en statelijke actoren een uitgelezen kans zou kunnen zijn om de rijksoverheid
en vitale sectoren aan te vallen? Zo nee, waarom niet? Zo ja, welke voorbereidingen worden getroffen? Staan er extra cyberteams paraat en zijn alle
systemen gecheckt? Is het helder wie bij een crisis de leiding neemt en hoe
cyberteams van de verschillende veiligheidsdiensten zich tot elkaar verhouden? Zo nee, waarom niet? Zo ja, welke rol speelt het Defensie Cyber
Commando?
Mededeling
Hierbij deel ik u mede dat de schriftelijke vragen van het lid Rajkowski (VVD),
van uw Kamer aan de Minister van Justitie en Veiligheid over het bericht
«Banken en overheden zetten software af uit angst voor hacks» (ingezonden
21 december 2021) niet binnen de gebruikelijke termijn kunnen worden
beantwoord, aangezien nog niet alle benodigde informatie is ontvangen.
Ik streef ernaar de vragen zo spoedig mogelijk te beantwoorden.

Tweede Kamer, vergaderjaar 2021–2022, Aanhangsel

2