4
Vragenuur: Vragen Gesthuizen
Vragen van het lid Gesthuizen aan de minister van Veiligheid en Justitie over de handel in veiligheidslekken en de
antwoorden op eerdere schriftelijke vragen over het gebruik
van omstreden spionagesoftware door de politie.

Mevrouw Gesthuizen (SP):
Voorzitter. Afgelopen zondag en zaterdag berichtten het
radioprogramma Argos en het televisieprogramma
Tegenlicht over de handel in veiligheidslekken. Voor een
heleboel mensen die deze programma's hebben gevolgd,
zal er een wereld open zijn gegaan. Naar aanleiding van
alles wat wij in die reportages te horen hebben gekregen
— wat ook mij bijzonder verontrustte — stellen wij een
aantal vragen aan de minister van Veiligheid en Justitie.
Om met de deur in huis te vallen: heeft het leger zulke lekken? Heeft het leger zulke software? Dat leek men te kunnen
opmaken uit de woorden van kolonel Folmer, die te zien
was in Tegenlicht.
Bestaan die lekken ook bij de politie? Dat meende ik te
kunnen opmaken uit de antwoorden van de minister op
mijn eerdere vragen over FinFischer. Hebben andere diensten deze software? Handelt de Nederlandse overheid in
dit soort lekken? Koopt of verkoopt de Nederlandse overheid
dit soort lekken? Van wie dan en voor hoeveel geld? Kan
de minister reageren op de uitlatingen in de media dat de
Nederlandse overheid op deze manier het internet bewust
onveilig houdt? Er zijn lekken geconstateerd die niet worden
gedicht. De producent van de software wordt niet gewaarschuwd. De overheid gebruikt ze om te kunnen spioneren
of om burgers in de gaten te kunnen houden.
In Tegenlicht kwamen diverse mensen aan het woord die
zeiden dat dit legale handel is. Dit is toch wel curieus. Een
hacker beweerde: als een staat mijn werk inzet om bijvoorbeeld burgers om te brengen, met doden tot gevolg, is dat
niet mijn verantwoordelijkheid. Ik ben het daarmee hartgrondig oneens. Hoe ziet de minister dit? Op basis van deze
redenering zou je ook wapenhandel volledig vrij kunnen
geven, zowel nationaal als internationaal. Zou het wenselijk
zijn om deze handel legaal te laten voortbestaan en ziet de
minister mogelijkheden om dit te reguleren? Dit zou dan
uiteraard internationaal moeten gebeuren. Wordt dit een
onderwerp tijdens de cyberspaceconferentie volgend jaar?
Tot slot, valt dit soort software onder het Wassenaar
Arrangement, omdat het waarschijnlijk om dual-use-zaken
gaat?

Minister Opstelten:
Voorzitter. Ik dank mevrouw Gesthuizen voor de gestelde
vragen. Ik wil graag de antwoorden geven op deze vragen
naar aanleiding van de uitzending. Over de eerste vraag
over defensie kan ik hier geen uitspraken doen, gelet op
mijn verantwoordelijkheden. Ten aanzien van de diensten,
de AIVD en de MIVD, worden daarover in het openbaar ook
geen uitspraken gedaan. Over de politie kan ik nee zeggen.
De politie valt volledig onder mijn verantwoordelijkheid.

Tweede Kamer

Vragenuur: Vragen Gesthuizen

De politie beschikt hier niet over. Op de vraag of andere
diensten deze software hebben, heb ik net al antwoord
gegeven. Over de werkwijze van de AIVD en de MIVD doe
ik, in het belang van de veiligheid, in het openbaar geen
uitspraken. De politie en het OM handelen niet in deze lekken, noch kopen ze. Over de veiligheidsdiensten kan ik
daarover geen uitspraken doen.
Ik denk dat ik in zijn algemeenheid kan zeggen dat wie
technische kennis heeft, kwetsbaarheden in software kan
ontdekken. Kennis als zodanig is van belang om software
veiliger te maken en is als zodanig overdraagbaar. Dit is
legaal. Producenten van software zijn daarom vaak bereid
om voor die kennis te betalen. Dat is duidelijk. De verkoop
van deze kennis is niet verboden, maar is juist nodig om
de digitale wereld veiliger te maken. Ons Nationaal Cyber
Security Centrum werkt hieraan mee. Met betrouwbare
ethische hackers worden combinaties gemaakt, bijvoorbeeld
via bedrijven en soms ook naar gemeenten om die verbanden te leggen.
Waar de handel in kwetsbaarheden zelf niet strafbaar is, is
het treffen van voorbereiding voor het begaan van strafbare
feiten dit wel. Ik wijs vanzelfsprekend — u herkent dat
natuurlijk direct — naar artikel 139 van het Wetboek van
Strafrecht.
De voorzitter:
Dank u wel. Dank u wel.
Minister Opstelten:
Om alle vragen te beantwoorden — het waren er zeven en
die moeten een antwoord krijgen; die radio-uitzending was
trouwens heel wat langer ...
De voorzitter:
U had eigenlijk twee minuten voor deze antwoorden, dus
ik geef nu het woord aan mevrouw Gesthuizen. U kunt de
andere vragen in tweede termijn meenemen.
Minister Opstelten:
Oké. Internet is per definitie internationaal.
De voorzitter:
Ik geef het woord aan mevrouw Gesthuizen.
Mevrouw Gesthuizen (SP):
De minister en ik vinden elkaar op dat laatste punt: internet
is inderdaad per definitie internationaal. Ik ben echter wat
minder te spreken over de andere uitspraken van de
minister. Zo gauw het om cyber, internet, software of lekken
gaat, wordt er gezegd: daar kunnen we niets over zeggen.
Dat vind ik gek. Dat zou hetzelfde zijn als wanneer de
minister van Defensie zou zeggen dat zij ons niet gaat vertellen hoeveel F-16's of tanks Nederland heeft. De minister
slaat hier de plank volledig mis. Ik wil wél weten hoe het
zit. Ik hoef niet te weten wat voor lekken het zijn en ik hoef
ook niet te weten in welke software ze zitten, maar ik wil
weten of de Nederlandse overheid meedoet aan deze handel.

14 oktober 2014
TK 13

13-4-1

Tot slot, want ik moet waarschijnlijk ook alweer afronden,
heb ik nog één punt. De minister zegt dat dit volledig legaal
is. Ik kan me daar van alles bij voorstellen als je als al dan
niet ethische hacker een lek meldt aan de fabrikant van de
software. Maar als je dat niet doet en je probeert er tienduizenden of honderdduizenden euro's voor te vangen op de
internationale markt, dan plaats ik daar op zijn minst
vraagtekens bij. Dat brengt burgers en overheden namelijk
in gevaar. Ik kan me dus voorstellen dat de minister dat
antwoord toch enigszins zou willen herzien.
Minister Opstelten:
Nee, dat niet. Een van de eerste punten geldt ten volle voor
alles, namelijk dat we daar geen mededelingen over doen.
In mijn verantwoordelijkheid voor de politie en het Openbaar Ministerie heb ik gezegd dat het antwoord niet helderder kan. Als je die kennis echter gebruikt om strafbare feiten
voor te bereiden, komt het natuurlijk wel aan de orde en
dan heb je ook met het strafrecht te maken, namelijk met
artikel 125i uit het Wetboek van Strafvordering.
Ik wil toch nog even ingaan op het internationale aspect
van het internet, want daar heeft mevrouw Gesthuizen
vragen over gesteld. Ik vind dit een onderwerp dat in het
brede kader van cyberspace thuishoort, en dus ook internationaal aan de orde is en blijft.
Dan nog even ten aanzien van het Wassenaar Arrangement.
Ik ken verschillende Wassenaar Arrangementen, maar in
dit geval kan ik zeggen dat voor bepaalde vormen van
software, zoals sommige encryptiesoftware, een exportcontroleregime geldt. Kwetsbaarheden vallen in beginsel niet
onder een exportcontroleregime. In die zin heb ik dit
beoordeeld op de heel korte termijn dat ik daar de tijd voor
kreeg.
Mevrouw Gesthuizen (SP):
Volgens mij geeft dit aanleiding tot verdere discussie. Ik
krijg in ieder geval geen antwoord op mijn eerdere vragen.
Ik hecht er zeer aan om daar wel over geïnformeerd te
worden. Ik ben blij dat de minister zegt dat dit wel in het
brede kader omtrent cyberspace past. Ik ga er dus maar
van uit dat dit inderdaad een onderwerp zal zijn op de
cyberspaceconferentie die Nederland volgens mij komend
jaar mag gaan organiseren.
Dan kom ik bij het laatste antwoord van de minister, over
het Wassenaar Arrangement. Ik bedoel uiteraard niet het
Wassenaar Agreement, maar het Wassenaar Arrangement
waarbij landen zich hebben gecommitteerd aan afspraken
over wapenexport en dual-use goederen. Het zou mij zeer
verbazen als dit er niet onder valt. Of je het nu hebt over
software of over lekken in software, als zulke zaken zowel
civiel als militair ingezet kunnen worden, moet je daar volgens mij wel afspraken over maken.
Minister Opstelten:
Dat was de laatste vraag die ik kreeg. Daar verschillen we
dan van mening over. We blijven dat natuurlijk bekijken. In
beginsel valt het niet onder het Wassenaar Arrangement.

Tweede Kamer

Vragenuur: Vragen Gesthuizen

De voorzitter:
Dank u wel voor uw antwoorden. U mag nog even blijven
want ook de volgende mondelinge vraag is voor u. Ook zie
ik dat mevrouw Oosenbrug nog een vervolgvraag heeft.
Mevrouw Oosenbrug (PvdA):
In de veilige digitale wereld die we met z'n allen proberen
te promoten, horen lekken eigenlijk helemaal niet thuis. In
aansluiting daarop hebben we natuurlijk al het een en ander
aan discussie gehad over de Wet computercriminaliteit III.
Ik ben eigenlijk wel benieuwd wanneer we dat wetsvoorstel
in de Kamer kunnen verwachten, want dan kunnen we de
ethische discussie daarover voortzetten. Heeft de minister
daar al zicht op?
Minister Opstelten:
Mevrouw Oosenbrug vraagt naar de stand van zaken
omtrent de Wet computercriminaliteit III. Dat is weer een
ander onderwerp. Ik moet dat even precies nagaan, want
ik heb nu niet de exacte data in mijn hoofd. Wat ons betreft
komt die informatie zo snel mogelijk.
De voorzitter:
Kunt u de exacte data dan op de kortst mogelijke termijn
per brief naar de Kamer sturen?
Minister Opstelten:
Jazeker. Maar ik blijf hier ook voor de volgende vraag, dus
misschien is het wel mogelijk om het antwoord dan al
impliciet te geven.
De voorzitter:
Dat lijkt mij een beetje verwarrend. Als u de antwoorden
deze week schriftelijk kunt toesturen, zijn wij zeer blij.
Minister Opstelten:
Daar komt het antwoord al. Ik dacht het al, maar wilde er
precies in zijn: het zal rond de jaarwisseling zijn, dus eind
dit jaar of begin volgend jaar. Ik heb het kerstreces echt nog
even nodig om er de laatste hand aan te leggen.
De voorzitter:
Dat was een heel precies antwoord. Dank u.
De heer Van Raak (SP):
De minister wil niks zeggen over het functioneren van de
geheime diensten AIVD en MIVD. Dat snap ik en daarom
heb ik een vraag over de wet. Is het de AIVD en MIVD wettelijk verboden om veiligheidslekken te kopen en daarvan
gebruik te maken?
Minister Opstelten:
Het antwoord daarop is "nee". Ik heb dat impliciet ook
gezegd. Het is legaal om dat te doen en dat alles valt ook
binnen de kaders van de wet. Het is kennis en sommige
bedrijven vinden het belangrijk om te weten waar sprake
is van onvolkomenheden. Dat is geld waard; het is een

14 oktober 2014
TK 13

13-4-2

economisch goed. Het is dus niet verboden, maar of je er
gebruik van maakt, is een tweede. Ik kan alleen zeggen dat
de politie er geen gebruik van maakt.

Tweede Kamer

Vragenuur: Vragen Gesthuizen

14 oktober 2014
TK 13

13-4-3