Auditdienst Rijk
Ministerie van Financien

Rapport van bevindingen
gebruikers CIOT 2018 NVWA-IOD, ILT-IOD,
Rijksrecherche
DefinitIef

Colofon
Titel

Rapport van bevindingen gebruikers CIS 2018 NVWA
IOD, ILT-tOD, Rijksrecherche

Uitgebracht aan

Mw. mr. J.G. Vegter

Datum

1 Oktober 2019

Kenmerk

2019-0000148025

Inlichtingen
Auditdienst Rijk
070-342 7700

Inhoud

Aanlelding opdracht—4
1

Rechtmatigheid van de CIOT bevi-agingen moet beter—5

1.1
1.2

Aanwijzing van gebruikers door bevoegd gezag niet expliciet—5
Externen hebben geen toegang tot dS, alle gebruikers hebben een passende
opleiding gevolgd, 806 middel niet door bevrager opgemaakt—5
5 van de 54 bevraglngen in de deelwaarnerning voldoen niet aan alle criteria van
rechtmatigheld—5
Ondertekening op processen-verbaal Is niet altijd herleidbaar naar een bevoegde
autoriteit—6
Bij twee diensten kan de vastiegging en dossiervorming van de bevragingen beter—

1.3
1.4
1.5

6

1.6

Periodieke controle wordt deels uitgevoerd, de aanpak en de wijze van vastlegging
varieert—?

2

Afspraken inzake de (toegangs)beveiliging zijn passend gemaakt bij de
eigen organisatîe—8
Inrichting van de werkplekken bij alle drie naar eigen inzicht—8
De geheimhoudirigsverklaring bij lndiensttreding als ambtenaar van kracht—8
Bij twee diensten is de vertrouwelijkheid geborgd passend bij het eigen proces—8
De incidentprocedure is bij één dienst beschreven, twee diensten hebben
mondelinge (interne) afspraken—9

2.1
2.2
2.3
2.4

3

3.1
3.2
3.3

De diensten hebben het gebruikersbeheer ingericht op basis van
aangeleverde informatie—lO
De drie diensten hebben een passend gebruikersbeheer ingericht—lO
Blokkeren van toegang bij verandering van functie of vertrek van een medewerker
gebeurt op basis van informatie van de 180 Servlcedesk—1O
Niet persoonsgebonden accounts komen niet voor—il

4.2
4.3
4.4
4.5

Processen z’jn deels beschreven, de detaillering varieert sterk en
procedures zijn voor een beperkt deel formeel vastgesteld.—12
Eén van de drie diensten heeft een formeel vastgestelde procedure met een
passende detaillering—12
Beschikbaar materiaal kan eenvoudig worden verwerkt tot formele procedures—12
Eén dienst heeft een formeel vastgestelde toegangsprocedure—12
De inrichting rondom spoedbevragingen en calamiteiten verschilt sterk—13
De no-hit procedure is deels beschreven maar wordt niet gebruikt—13

5
5.1
5.2
5.3

Verantwoording onderzoek—14
Werkzaamheden en afbakening—14
Gehanteerde Standaard—14
Verspreiding rapport—iS

6

Ondertekening—16

4
4.1

Bijlage 1 Managementreactie van de opdrachtgever—17
Bijlage 2 Normenkader dS afnemers 2018—19

Aanleiding opdracht

De minister van Justitie en Veiligheid is conform artikel
8 tweede lid van het Besluit
Verstrekking Gegevens Telecommunicatie gehouden
“jaarlijks een verslag op te
stellen van een audit naar de goede uitvoering van
het besluit door aanbieders van
openbare telecommunicatiediensten of van openbare
telecommunicatienetwerken,
het Informatiepunt, de arrondissementsparkette
n en de politiekorpsen, of andere
opsporingsdiensten.”
De Auditdienst Rijk (ADR) is gevraagd over 2018
een onderzoek uit te voeren naar de
maatregelen die afnemers hebben getroffen om
tegemoet te komen aan de gemaakte
afspraken in de DNO’ en DAP
, waaronder de rechtmatigheid van de bevrag
2
ingen bij
drie (bijzondere) opsparingsdiensten. De opsporingsdie
nsten zijn gebruiker van het
geautomatiseerde CIOT informatiesysteem (CIS).
Het onderzoek is uitgevoerd bij: de
Nederlandse Voedsel en Warenautoriteit (NVWA),
de Inspectie Leefomgeving
Transport (ILT) en de Rijksrecherche (RR). De rijksre
cherche Is een opsporingsdienst
In de zin van de politlewet 2012. De NVWA en ILT
zijn bijzondere opsporingsdiensten
In de zin van artikel 2, onderdeel b, van de Wet
bijzondere opsporingsdiensten.
De opdrachtgever Is de directeur-generaal Rechtsplegin
g en Rechtshandhaving, mw.
mr J.G. Vegter. De gedelegeerd opdrachtgever
en dagelijks contactpersoon bij DGRR
is de heer). Dobbelaar van de Directie Rechtshandha
ving en Criminaliteitsbestrijding
(DRC).
Opdrachtnemer namens de ADR is de accountdirect
eur BZK/3enV.
De gemaakte afspraken in de DNO en DAP zijn opgeno
men in een normenkader
(bijlage 2). Het normenkader is voorafgaand aan
het onderzoek met de
opdrachtgever afgestemd. De normen stellen eisen
aan de bij de diensten getroffen
maatregelen.
Leeswijzer:
In de vier hoofdstukken die hierna volgen zijn de
feitelijke bevindingen van ons
onderzoek die niet herleidbaar naar de diensten is
beschreven. Hoofdstuk 1 beschrijft
de bevindingen van de normen die betrekking hebben
op de rechtmatigheid van de
bevraging. In hoofdstuk 2 staan de bevindingen voor
de (toegangs) beveiliging,
hoofdstuk 3 bevat de bevindingen over beheer en
monitoring en hoofdstuk 4
beschrijft bevindingen van (geformaliseerde) proces
sen. De verantwoording van het
onderzoek volgt in hoofdstuk 5. Hierna Is de ondert
ekening in hoofdstuk 6 en zijn 3
bijlagen opgenomen: de reactie van de opdrachtgeve
r, het normenkader en een
overzicht van de geïnterviewden.

1 Oienst
2

niveau overeenkomst
Dossier Afspraken en Procedures

4 van 21 1 gebrukecs CIOT 2018 NVWA•100, ILT-IO

D, RIjksrecherchE

Rechtmatigheid van de CIOT bevragingen moet
beter

1.1

Aanwijzing van gebruikers ioor bevoegd gezag niet exp’iciet
De norm eist dat alle gebruikers (zowel lokale beheerder als bevrager) door bevoegd
gezag zijn aangewezen.

Wij hebben de volgende bevindingen:
Bij één van de drie diensten Is beschreven dat gebruikers van het CtS worden
aangewezen. Bij deze dienst is voor één van de vier geautoriseerden in 2018 de
aanwijzing aanwezig in de vorm van het aanvraagformulier dat door de
portefeuillehouder Is getekend.
Bij één van de drie diensten is een specifieke functiegroep aangewezen als gebruiker
van het CIS. Deze maatregel is niet opgenomen in de handleiding en blijkt ook niet
uit MT besluitvorming. Tijdens het locatiebezoek hebben we van een aantal
geautoriseerden vastgesteld dat zij tot deze functiegroep behoren.
Bij één dienst zijn geen maatregelen voor de aanwijzing van medewerkers getroffen.
1.2

Externen hebben geen toegang tot CIS, alle gebruikers hebben een passende
opleiding gevolgd, BOS middel niet door bevrager opgemaakt
De norm eist dat externen die in aanraking komen met het CIS moeten zijn
gescreend. En dat gebruikers van het dS moeten een daartoe passende opleiding
hebben gevolgd en als hij/zij het BOB middel opmaken aangewezen zijn als OA of
BOA.
Wij hebben de volgende bevindingen:
Bij geen van de diensten hebben externen toegang tot CIS. Toegang is voorbehouden
aan medewerkers in dienst. Bij alle drie de diensten worden potentiële gebruikers of
. Het account met een geldig
3
beheerders aangemeld voor de opleiding bij 1B0
certificaat wordt na de opleiding aangevraagd. Bij geen van de drie diensten wordt
4 middel door de ds bevrager opgemaakt.
het BOB

1.3

5 van de 54 bevragingen in de deelwaarneming voldoen niet aan alle criteria
van rechtmatigheid
De norm eist dat een bevraging rechtmatig is als deze door een geautoriseerde
gebruiker is uitgevoerd en een bevel in de vorm van een proces-verbaal aanwezig is,
getekend door een bevoegde autoriteit op basis van een geldige grondslag
(wetsartikel en periode).
Wij hebben een deelwaarneming uitgevoerd op totaal 54 CIS bevragingen in de
periode van 1-1-2018 tot 31-12-2018. Bij één dienst zijn in 2018 vier bevragingen
gedaan. Bij deze dienst hebben we alle bevragingen in de deelwaarneming
betrokken. Bij de andere twee zijn conform de opdrachtbevestiging 25 willekeurige
bevragingen gekozen.
Wij hebben de volgende bevindingen:
alle bevragingen zijn uitgevoerd door geautoriseerde medewerkers;
bij vijf bevragingen kon de rechtmatigheid van de bevraging niet worden
aangetoond:
-

-

‘

informatiepunt Bijzondere Opsporingsonderzoeken
Bijzondere Opsporingsbevoegdheden

5 van 21) gebruikers CIOT 2018 NVWA-IOD, ILT-lOD, Rijksrecherche

C)

o
o

o

in twee gevallen komt de handtekening niet overeen met de naam
van de Officier van Justitie op het document, en is de naam en
functie
van de ondertekenaar niet bekend;
in één geval was de geldigheidstermijn van het proces-verba
al
verstreken;
In één geval kon geen getekend proces-verbaal worden getoon
d;
in één geval komt de registratie van het strafvorderlijk artikel
opgenomen in dS niet overeen met de onderliggende vorder
ing.

Alle drie de diensten geven aan dat voorafgaand aan de bevrag
ing een controle wordt
uitgevoerd. Bij één van de drie Is de controle aantoonbaar
doordat de dienst een
checklist gebruikt waarop de verschillende aspecten en de uitgev
oerde controle zijn
vastgelegd. De andere twee leggen de controle niet vast.
1.4

Ondertekenin

g op processen-verbaal is niet aftijd herleid
baar naar een
bevoegde autoriteit
Eén van de eisen voor een geldig procesverbaal is dat het bevel
door een daartoe
bevoegde autoriteit is.

Wij hebben de volgende bevindingen:
In onze deelwaarneming zijn we bij 3 van de 25 bevrag
ingen verschillende wijze
van ondertekening van het proces-verbaal tegen gekomen.
In één geval kon de
handtekening door de medewerkers worden herleid naar een
daartoe bevoegde
autoriteit. De twee andere bevragingen zijn aangemerkt als
niet aantoonbaar
rechtmatig (zie 1.3) De voorkomende varianten zijn:
Getekend ‘voor deze’ zonder vermelding van de functies van
de
ondertekenaar;
2. Een handtekening die niet overeenkomt met de naam die staat
vermeld,
zonder een vermelding in welke hoedanigheid het document
wordt getekend;
3. Getekend door iemand waarvan de naam niet te herlelden
is.
1.

1.5

Bij twee diensten kan de vastiegging en dossiervormi
ng van de bevragingen
beter
De norm eist dat een bevraging herleidbaar Is naar het onderl
iggende (straf)dossier
op basis van een Identificerend kenmerk. En dat de geauto
riseerde ambtenaar een
dossier houdt, zodat te allen tijde de rechtmatigheid van
de uitgevoerde bevraging
tot op dosslerniveau kan worden aangetoond.

Wij hebben de volgende bevindingen:
Bij alle drie de diensten wordt een identificerend kenmerk gebrui
kt dle wordt
opgenomen in het ds. Bij één dienst was de gehanteerde
systematlek niet
eenduidig. Dit bemoeilijkt het leggen van een relatie tussen
dossier en bevraging en
daarmee dus ook de controle. Het ophalen van de onderliggend
e bevelen heeft hier
ook meer tijd gekost dan bij de twee andere diensten.
Bij alle drie de diensten worden de onderliggende documenten
voor de uitgevoerde
bevraging bewaard. Twee van de drie hebben dit beschreven.
Bij één dienst zijn voor alle 25 bevragingen de onderliggend
e documenten conform
de werkwijze in Summit opgenomen.
Bij de deelwaarneming komen bij 2 van de 3 diensten de onderl
iggende documenten
in tegenstelling tot de gemaakte afspraken van meerdere digital
e locaties.
Bij één kwam dit voor bij 8 van de 25 bevragingen. Hier was de
dossiervorming reeds
In 2018 onderkend als verbeterpunt en heeft men in werkoveriegge
n aandacht
besteed aan het maken van afspraken voor het dossier van de
bevragingen. Bij de
andere dienst kwam dit voor bij 2 van de 4 bevragingen.
systeem dat diensten gebruiken voor de opsporing
6 ven 21 1 gebruikers CIOT 2018 NVWA-100, ILT-tOD, Rijksrecherc

he

Periodiele ntro1e wordt ee1s uotz de aanpak en de wïjze van

v1gng varieert
De norm eist dat de beheerder periodiek en aantoonbaar controleert dt de
uitgevoerde bevragingen alleen door de juiste personen met een rechtmatige
vordering toegang hebben tot het dS en hierover aan het bevoegd gezag en IBO
rapporteert.
Wij hebben de volgende bevindingen:
Bij één dienst is In 2018 het merendeel van de bevragingen door de beheerder zelf
uitgevoerd. Een controle achteraf heeft daarom niet plaatsgevonden over 2018. Bij
deze dienst Is de controle voorafgaand aan het doen van de bevraging vastgelegd In
een checklist.
Bij de tweede dienst konden we Inzicht krijgen In de door de beheerder uitgevoerde
controle over 2018. We konden dit vaststellen omdat naar aanleiding van de controle
notities waren vastgelegd om herstelacties te kunnen monitoren. Als de herstelactie
is uitgevoerd, wordt de controlebevinding verwijderd. Tijdens het locatiebezoek
hebben we gezien dat opmerkingen lang open blijven staan, in mei 2019 waren
opmerkingen van begin 2018 nog niet alle opgelost. Bij deze dienst wordt geen
rapportage opgesteld over de controle en de bevindingen. De uitkomsten worden
indien nodig mondeling gedeeld met de plaatsvervangend portefeuillehouder en
leidinggevenden. Er is geen formele rapportage aan het bevoegd gezag.
Bij de derde dienst zijn op uitgevoerde bevragingen geen controles uitgevoerd. En is
In de werkinstructie hierover niets beschreven.

7 van 21 1 gebruikers CIOT 2018 NVWA-IOD, ILT-IOD, Rijksrecherche

2

Afspraken inzake de (toegangs)beveiliging zijn
passend gemaakt bij de eigen organisatie

2.1

Inrichting van de werkplekken bij alle drIe

iaar eigen inzicht
De norm eist dat de BOD ingerichte werkplekken waarop
het CIS wordt benaderd in
een ruimte moeten staan die is geciassificeerd als
kritische 6
ruimte deze ruimte mag
,
alleen toegankelijk zijn voor bevoegd personeel en
al CIS via een andere locatie te
benaderen is, zijn daarvoor maatregelen getroffen.

Wij hebben de volgende bevindingen:
Alle drie de diensten hebben voor het inrichten van
de werkplek waarop het CIS
wordt benaderd een andere invulling gegeven aan
de kwalificatie “kritische ruimte.”
Bij één dienst wordt gebruikt gemaakt van een stand
alone pc met een dedicated lijn
naar het CIS. Deze pc is geplaatst achter een tweede
toegangszone voor
geautoriseerde medewerkers met specIfieke werkzaamhed
en.
Bij de andere twee diensten is dS te benaderen via
de werkplek.
Bij één dienst Is sprake van vier locaties waar CtS
bevragingen worden uitgevoerd.
Van deze dienst hebben wij één locatie bezocht. Bij
twee diensten wordt op één
locatie CIS bevragingeri gedaan.
Bij alle drie bezochte locaties is de ruimte waar dS
benaderd kan worden ook
toegankelijk voor directe collega’s anders dan geauto
riseerde gebruikers.
Bij één dienst is de werkplek van de beheerders in
een afgesloten ruimte waartoe
collega’s van de afdeling toegang hebben. De bevrag
ers hebben geen werkplek In een
afgesloten ruimte. Bij de andere dienst is de werkplek
een aparte afsluitbare ruImte
en wordt gebruik gemaakt van specifiek beveiligde
pc’s.
Het benaderen van dS van een andere locatie dan
het kantoor is bij twee van de drie
niet mogelijk. Bij de dienst waar dit technisch wel mogel
ijk is, zijn afspraken gemaakt
over tijd en plaats afhankelijk werken (TPAW). Medew
erkers kunnen hierover met de
teamleider individuele afspraken maken.
2.2

De geheimhoudirigsverklaring bij indiensttredin
g als ambtenaar van kracht
De norm eist dat alle gebruikers dle in aanraking komen
met CIS een
geheimhoudingsverklaring hebben getekend.
Wij hebben de volgende bevindIngen:
Bij geen van de diensten Is er een separate geheim
houdingsverklaring voor
geautoriseerden in dS in gebruik. De generieke gehelm
houdingspassage in de
eed/belofte van de Rijksoverheid, aangevuld met
een opsporingsbevoegdheid of een
veiligheidsonderzoek is bij alle drie als maatregel ingeric
ht.
Bij alle drie de diensten hebben wij de getekende eed
of belofteformulieren van
tenminste één gebruiker en één beheerder ingezien.

2.3

Bij twee diensten is

de vertrouwelijkheid geborgd passend bij
het eigen
proces
De norm eist dat in geval informatie wordt uitgewisseld
bij spoedbevragingen of bij
een calamiteiten procedure (zie ook paragraaf 4.4)
moet de vertrouwelijkheid van de
gegevens zijn gewaarborgd.

DAP 8 jIne 1fl Ranslu voo,w

8 van 211 gebruIkers CICT 2018 NVWA-IOD, !LT-IO

çden Çbijzondere) opspnrrns en nIchtIngen dienSten

O, Rijksrecherche

Wij hebben de volgende bevindingen:
Bij geen van de drie diensten zijn specifieke maatregelen ingericht om de
vertrouwelijkheld van de gegevens bij de spoedprocedure of de
calamiteltenprocedure te waarborgen. Bij twee van de drie diensten vindt de
uitwisseling van gegevens met een andere Bijzondere Opsporingsdienst (BOD) plaats
via het netwerk dat geschikt is voor het delen van gerubriceerde Informatie. BIJ één
dienst voor het uitwisselen bij calamiteiten bij de andere dienst voor
spoedbevragingen. Bij de derde dienst was niet bekend welke maatregelen voor de
uitwisseling van de informatie zijn getroffen.
2.4

De mncidentprocedurc is bij één dienst beschreven, twee diensten hebben
mondelinge (interne) afspraken
De norm eist dat de dienst afspraken In een (incidenten)procedure moet opnemen
over het melden en afhandelen van incidenten. De beheerder registreert, meldt en
monitort incidenten t.a.v. CIS.
Wij hebben de volgende bevindingen:
Bij één dienst zijn maatregelen beschreven voor het afhandelen van issues met IBO.
De lokale beheerder speelt hierbij een rol. In geval van bijzonderheden wordt de
portefeuillehouder door de beheerder geinformeerd. Niet beschreven is of van
incidenten een registratie wordt bijgehouden. In de praktijk verlopen meldingen via
de mail.
Twee diensten hebben geen maatregelen beschreven. Eén van de diensten die geen
maatregelen heeft beschreven, geeft aan dat incidenten die door IBO Servicedesk
worden gemeld, indien nodig aan de gebruikers op locatie worden gecommuniceerd.
Hiervan wordt geen regIstratie bijgehouden. Voor zover geïnterviewden zich konden
herinneren, hebben zIch In 2018 geen incidenten voorgedaan.
De andere dienst die geen maatregelen heeft beschreven, geeft aan dat
voorkomende incidenten t.a.v. dS worden afgehandeld conform een mondelinge
interne werkwijze. Incidenten worden gemeld bij de privacyfunctionaris. Deze dienst
heeft een openstaand incident ten aanzien het installeren van een certificaat,

9 van 211 gebruikers cior 2018 NVWA-IOD, ILT-TOD, Rijksrecherche

3

De diensten hebben het gebruikersbeheer
ingericht op basis van aangeleverde informatie

31

De drie diensten hebben -een passend gebruikersbebeer
ingericht
De norm eist dat de dienst een certificaten beheerproces
moet hebben, waarbij de
beheerder het gebruik van de certificaten monitort en
toezicht houdt op het
installeren van certificaat.

Wij hebben de volgende bevindingen:
De drie onderzochte diensten hebben alle een beperkte groep
bevragers waaronder
enkele beheerders. Het gebruikersbeheerproces is daarom
zeer eenvoudig ingericht.

c
Tabel 1: overzicht per onderzochte dienst van aantal gebrui
kers, beheerder en bevragingen in 2018

Bij één dienst Is een procedure aanwezig voor de beheerder
om het gebruikersbeheer
uit te voeren. Het verlengen van accounts en certificaten, toezich
t en monitoring van
accounts zijn hierin niet opgenomen. De andere twee dienste
n hebben geen
procedure beschreven omdat het verloop beperkt is en men
gebruik maakt van
beschikbare informatie uit de 150-cursus waardoor een
beschreven procedure niet
nodig gevonden wordt.
Het toezicht op het gebruik van geldige certificaten vindt bij
de drie diensten plaats.
BIJ alle diensten wordt op basis van de periodieke informatie
die door de 150
Servlcedesk wordt toegestuurd, Inzicht verkregen In de geldig
heid van de certificaten
en allen kunnen hierop actie ondernemen als het gaat over het
intrekken of
verlengen van het certificaat. De diensten voeren geen
andere (pro)actieve
beheeractiviteiten uit voor certificaten.
Voor de Installatie van het certificaat maken beheerders
gebruik van de in CIS
beschikbare beschrijving. Alle 3 hebben hun eigen werkw
ijze voor het installeren van
certificaten.
Bij één dienst worden bevragingen op vier locaties uitgevoerd.
Hiervoor wordt
installatie van certificaten op afstand begeleid.
Bij één dienst wordt het certificaat door de icr dienstverlener
uitgevoerd en
verbonden aan het persoonlijke profiel van de medewerker.
Bij één dienst geeft de
beheerder aan aanwezig te zijn bij de installatie van het
certificaat.
3.2

Blokkeren van toegang bij verandering van functie
of vertrek van een
medewerker gebeurt op basis van informatie van de
180 Servicedesk
De norm eist dat bij het verlaten van de dienst of wijziging
van de werkzaamheden
van een bevrager de lokale beheerder zorgdragen dat via
IBO toegang tot het CIS
wordt beëindigd.

Wij hebben de volgende bevindingen:
Eén dienst heeft het beëindigen van de toegang tot CIS beschr
even.
Bij geen van de drie diensten wordt actief de toegang beëind
igd bij het verlaten van
de dienst of bij wijziging van de werkzaamheden. Inform
atie van de 150 Servicedesk
is aanleiding om accounts te blokkeren.

10 van 211 gebruikers CIOT 2018 NVWA-IOD, rLT-IOO, Rjksre

cherche

Bij één dienst geven beheerders aan dat zij accounts Inactief hebben gemaakt.
Echter, uit het overzicht van actieve accounts in CIS blijkt dat er vier accounts op
staan van medewerkers die geen beheerder/bevrager meer zijn en waarvan het
account niet Is gedeactiveerd. Deze accounts komen niet voor op het overzicht van
geldige certificaten dat wordt gebruikt bij de controie. Deze accounts kunnen door
het ontbreken van een geidig certificaat niet worden gebruikt.
3.3

Niet ersoonsgebonden accounis lwmen niet voor
De norm eist dat een account en het certificaat persoonsgebonden moeten zijn.
Wij hebben de volgende bevindingen:
Tijdens het locatiebezoek is vastgesteld dat accounts en certificaten
persoonsgebonden zijn. Aile drie diensten geven aan dat dit ook zo wordt gebruikt. In
het CIOT rapport Overzicht bevragers over 2018 komen bij de drie onderzochte
diensten niet persoongebonden accounts niet voor.

11 van 21 i gebruikers CIOT 2018 NVWA-IOD, ILT-lOD, Rijksrecherche

4

Processen zijn deels beschreven, de detaillering
varieert sterk en procedures zijn voor een
beperkt deel formeel vastgesteld.

4.1

Eén van de drie diensten heeft een formeel vastg
estelde procedure met een
passende detaillering
De norm vereist dat een BOD een geformaliseerd proces
moet hebben waarin de
afspraken conform de DNO’ en DAP
8 betreffende CIOT Informatlesysteem zijn
opgenomen.

WIJ hebben de volgende bevindingen:
BIJ één dienst is er een in 2018 geformaliseerde proced
ure aanwezig, de mate van
detaillering sluit aan bij gestelde eisen en het proces
is conform de beschrijving
ingericht.
Bij twee diensten blijkt niet of de aanwezige beschrijvingen
door het management
zijn geformaliseerd.
Van deze twee zijn bij één niet alle afspraken opgenomen.
Bovendien dateert de
beschrijving van vér voor de DNO en DAP van 2018 nameli
jk uit 2014. In 2018 heeft
hebben zij aandacht geschonken aan dossiervorming door
separate afspraken te
maken met de gebruikers van dS. Deze zijn opgenomen
In de notulen van hun
reguliere overleg.
Bij de andere dienst is deze beschrijving een werkinstructi
e die summier een aantal
onderwerpen beschrijft. Daarbij is het verloop van een
aanvraag voor een bevraging
in een stroomdiagram opgenomen. Dit diagram is niet
volledig en bevat te weinig
detail om af te leiden welke actlvtelt wordt uitgevoerd,
op welke wijze en hoe de
activiteit wordt vastgelegd. Deze dienst heeft In 2018
een selfassesment ontwIkkeld,
met als doel Inzicht te verkrijgen In de stand van zaken
ten aanzien van processen
rondom dS bevragingen.
4.2

Beschikbaar materiaal kan eenvoudig worden verw
erkt tot formele
procedures
Bij een aantal normen wordt de eis gesteld dat er geform
aliseerde procedures zijn.
Bij het onderzoek hebben wij gezien dat voor een aantal
processen en
(beheers)activiteiten door alle drie diensten gebruik wordt
gemaakt van door 180
beschikbaar gestelde Informatie. Bijvoorbeeld in de vorm
van cursusmateriaal, een
gebruikershandreiklng CIOT informatlesysteem of informatie
ten behoeve van de
periodieke controle van certificaten. In deze informatie
is een aantal van de
afspraken In de overeengekomen met de normen (en dus
met DNO en DAP
afspraken) opgenomen. Met een beperkte aanpassing van
voor de dienst specifieke
maatregelen en een akkoord van de leiding, kan de reeds
beschikbare Informatie
gebruikt worden als voor de dienst hanteerbare, proced
ures.

4.3

Eén dienst heeft een formeel vastgestelde toeg
angsprocedure
De norm vereist dat er een geformaliseerde procedure is
voor het verkrijgen van
toegang tot het CIS die alle stappen in het proces beschr
ijft.
Wij hebben de volgende bevindingen:

DiensnIveau averecnkomt

Dc,ssier Afspraken en Procedures

12 van 21 1 gebruikers CIOT 2018 NVWA-IOD, ILT-TOD, Rijksre

cherche

Bij één dienst Is er een geformaliseerde toegangsprocedure aanwezig die alle stappen
beschrijft. De twee andere diensten hebben de te volgen stappen niet volledig
beschreven. Onderdelen die wel beschreven zijn, zijn niet formeel vastgesteld.
4.4

De inrichtïr,g rondom spaedbevrag1neii en alamiteiten verschilt sterl
De norm vereist dat de dienst een calamiteltenprocedure heeft bij onverwachte
interruptie van het dS en een procedure voor spoedbevragingen.

Wij hebben de volgende bevindingen:
Een inrichting van spoedbevragingen
9 en calamiteiten’° is niet bij alle drie diensten
aanwezig. Eén dienst hanteert beide procedures, één dienst heeft geen
calamiteitenprocedure en één dienst heeft geen spoedprocedure omdat volgens deze
dienst spoedbevragingen niet voorkomen.
De dienst die beide procedures hanteert, heeft zowel voor bevragingen bij
calamiteiten als in geval van spoedbevragingen maatregelen beschreven en
afspraken gemaakt. Bij alamItelten is in 2018 bij deze dienst gebruik gemaakt van
de afspraken met de collega BOD. Bij bevragingen die een collega BOD uitvoert, is
deze collega BOD verantwoordelijk. In de logging informatie is zichtbaar om welke
bevragingen het gaat. Door de registratie van alle binnengekomen vragen in een
1 is er bij deze dienst inzicht in de bevragingen die naar de collega BOD zijn
checkllst’
toegestuurd.
De dienst die alleen spoedbevragingen onderscheidt, heeft de afspraken daarover
zodanig vastgelegd dat deze tegemoet komen aan cie afspraken met 180.
De dienst dle geen spoedbevragingen doet, maar wel een calamiteitenprocedure
heeft, heeft daarover afspraken met de FIOD. Deze afspraken zijn niet beschreven.
Uit de bevragingen in de deelwaarneming kon niet worden afgeleid of sprake was van
een spoedbevraging.
4.5

De no-hit procedure is deels beschreven maar wordt niet gebruikt
De norm vereist dat voor ‘No hits’ de dienst een speciale procedure voor registratie
en verdere behandeling moet hebben geïmplementeerd.

Wij hebben de volgende bevindingen:
Twee van de drie diensten hebben een no-hit procedure beschreven, De diensten
geven aan dat deze niet wordt gebruikt. De derde dienst heeft geen no-hit procedure.
In de deeiviaarneming is In één geval een ingevuld no hit formulier aangetroffen,
maar was de no-hit bevraging niet uitgevoerd. Deze dienst geeft aan dat ook andere
Informatlebronnen worden geraadpleegd om informatie te verkrijgen voor de
onderzoeken.

Spoedbevraging : aevraging die z.s.m. wordt uitgevoerd, het onderliggend dossier wordt later
in orde gebracht.
10
Calamiteitenprocedure Voorziening om bevragingen te kunnen doen eis de eigen verbinding
met dS niet functioneert.
op de checkiist worden de eisen dat het bevel van daartoe bevoegde autoriteit afkomstig is
en de basis van de grondslag geregistreerd
13 van 21 1 gebruikers CIOT 2018 NVWA-IOD, ILT-IOD, Rijksrecherche

5

Verantwoording onderzoek

5,3.

Werkzaamheden en afbakening

De met de opdrachtgever overeengekomen werkzaamhed
en zijn uitgevoerd conform
de opdrachtbevestiglng 2019-0000008110 d.d. 15 januari
2019.
Het onderzoek heeft zich gericht op de opzet en bestaan
In 2018 van gemaakte
afspraken In de ONO en DAP voor zover die betrekking
hebben op het doen van CIS
bevrag Ingen.
Voor het onderzoek hebben wij één locatie van de geselec
teerde diensten bezocht.
Voorafgaand aan het bezoek hebben wij een prepar
ed by dient lijst opgemaakt. Deze
hebben wij gebruikt als leidraad voor het bezoek. Vooraf
gaand aan het locatiebezoek
bij de drie diensten in april 2019 hebben we een deel van
de gevraagde documentatie
ontvangen en hebben we deze bestudeerd.
Op de locatie heeft bij elke dienst een gesprek plaatsg
evonden met de
verantwoordelijke portefeuillehouder en de beheerder.
Bij één dienst was op het
moment van het onderzoek geen actieve bevrager aanwe
zig, de beheerder kon hier
de noodzakelijke informatie geven. Bij de twee andere
diensten Is gesproken met een
beheerder, bij één heeft deze in 2018 ook bevragingen
uitgevoerd.
Na het voeren van de gesprekken in de eerste helft van
de dag, Is de tweede helft
van de dag besteed aan het uitvoeren van een deelwa
arneming van 25 bevragingen
In de periode van 1-1-2018 tot en met 31-12-2018.
Bij één dienst zijn In 2018 4
bevragingen gedaan. Deze zijn allen in de deelwaarnemi
ng betrokken. Hierdoor Is het
totaal aantal bevragingen in de deelwaarneming 54.
Het onderzoek heeft geen betrekking gehad op informatiebev
elligingsmaatregelen
van het CIS of de dienst zelf noch op (wettelijke) privacy
vereisten bij het gebruik
van het CIS door de dienst.
Op basis van documentenanalyse, Interviews en waarne
mingen is per norm de
bevinding in een matrix opgenomen. Hieraan is per
norm een evaluatie van de
Inrichting van de maatregel vermeld. De evaluatie van
de deelwaarnemlng is
eveneens onderdeel van deze matrix. De matrix Is in
het kader van hoor en
wederhoor met de diensten afgestemd ten aanzien van
feitelijke onjuistheden in mei
2019 en is na vet-werking van de opmerkingen In juni 2019
voor akkoord
aangeboden. De goedgekeurde matrix is de basis voor
de concept rapportage aan de
(gedelegeerd) opdrachtgever.
De conceptrapportage is op 9 juli 2019 aangeboden en
besproken met de
(gedelegeerd) opdrachtgever, Deze draagt zorg voor afstem
ming met de onderzochte
diensten en een reactie dle Integraal is opgenomen in
de rapportage (zie bijlage 1)
Het onderzoek is uitgevoerd door mw. mr. J.T.N. Tjin
A Tsoi RE en dhr. ing H.). de
Beuze RE. De opdrachtgerichte kwaliteitsbeoordeling
is uitgevoerd door dhr. G. van
Huuksloot RE RA.
5.2

Gehanteerde Standaard
Deze opdracht is uitgevoerd overeenkomstig NORE
A Richtlijn 4401 “Opdrachten tot
het verrichten van overeengekomen specifieke werkza
amheden met betrekking tot
informatietechnologie.
In dit rapport wordt geen zekerheid verschaft, omdat er
geen assurance-opdracht is
uitgevoerd. Indien aanvullende werkzaamheden zouden
zijn verricht of indien er een
assurance-opdracht zou zijn uitgevoerd, zouden wellich
t andere onderwerpen zijn
geconstateerd en gerapporteerd.

14 van 21 1 gebruikers CIOT 2018 NVWA-IOD,

ILT-lOD, Rijksrecherche

Tevens verwijzen wij naar het Audit Charter van de ADR die de algemene
uitgangspunten bevat voor de uitoefening van de interne auditfunctie bij de
rijksdienst.
53

Verspreiding rapport
De opdrachtgever, mw. mr J.G. Vegter, dgRR Directeur generaal Rechtspleging en
Rechtshandhaving is eigenaar van dit rapport.
De ADR Is de Interne auditdienst van het Rijk. Dit rapport is primair bestemd voor de
opdrachtgever met wie wij deze opdracht zijn overeengekomen. In de ministerraad is
besloten dat het opdrachtgevende ministerie waarvoor de ADR een rapport heeft
geschreven, het rapport binnen zes weken op de website van de rijksoverheid
plaatst, tenzij daarvoor een uitzondering geldt. De minister van Financiën stuurt elk
halfjaar een overzicht naar de Tweede Kamer met de titels van door de ADR
uitgebrachte rapporten en plaatst dit overzicht op de website.

15 van 21 1 gebruikers COT 2018 NVWA-lOO, ILT-lOD, Rijksrecherche

6

Ondertekening

Den Haag, 1 oktober 2019

16 van 21 1 gebnJkers CIOT 2018 NVWA-IOD, ILT-JOD, Rijksrecherche

Bijlage 1 Managementreactie van de
opdrachtgever

17 van 21

gebruikers CIOT 201B NVWA-IOD, ILT-IOD, Rijksrecherche

18 van 21 1 gebruikers Cl Or 2018 NVWA-100, ILT-JOD,

Rijksrecherche

Ministerie van Justitie en Veiligheid

RelolJradres POSIbIJC 20301 2500 Fl4 Den Haeg
l4initer Vsi, Justitie en
ur d

D

Veiligheid
1

.a.v

Posb 20201
2500 EE Der r1a

DGRR DCGC
Turfmarkt 147
2511 OP Dn Hae
Poelbus 20301
2500 CH Den Huug
wi.e njksOvCrhid ei ev
Contsctpersoon

T 070 370 68 89
F 070 370 79 39

Datum
25 september 2019
Onderwerp Managementreactie op audit CIOT afnemers 2018

Ons kenmerk
268839]

8 beantw ordIng de danjrri
en one kenrner vurmeidn
Wilg, sftchts ede uek
brief behendelen

Geachte
De minister van Justitie en Veiligheid is conform artikel 8 tweede lid van het
Besluit Verstrekking Gegevens Telecommunicatie gehouden jaarlijks een verslag
op te stellen van een audit naar de goede uitvoering van het besluit door
aanbieders van openbare teleconimunicatiediensten of netwerken, het
informatiepunt, de arrondissementsparketten en de politiekorpsen, of andere
opsporingsdieristen. Ik heb u derhalve gevraagd onderzoek te doen naar de
rechtmatigheid van de bevraging bij de afnemers Rijksrecherche, ILT-IOD en
N’iJWA-IOD.
Ik heb kennisgenomen van het concept Rapport van bevindingen gebruikers
CIOT 2018 NVWA-IOD, ILT-IOD, Rijksrecherche. Ik stel vast dat u met succes
inzicht heeft kunnen verschaffen in de rechtmatigheid van de bevragingen. De
door u onderzochte afnemers hebben mij meegedeeld zich in de bevindingen te
herkennen en mogelijke verbeteringen ter hand te zullen nemen.
Uw bevindingen uit dit onderzoek zullen betrokken worden bij het brede verslag
dat opgesteld zal worden naar aanleiding van dit onderzoeksrapport, waarin
tevens de bevindingen uit de overige lopende onderzoeken, zoals naar CIOT
beheer, betrokken zullen worden, opdat een integrale beoordeling gemaakt kar
worden.
Met vriendeli)ke groet,

___
_____

___

Bijlage 2 Normenkader dS afnemers 2018

rrm

1
-

2

3
4

ALG84
De BOID heeft een geformaliseerd proces waarin de afspraken confor
m de
2 en DAP
DNO’
13 betreffende CIOT Informatiesysteem (CIS) zijn opgenomen.
De door de BOID ingerichte werkplekken waarop het dS wordt benade
rd
voldoet aan de volgende eisen:
-de ruimte Is geclassificeerd als kritische ruimte
14
-alleen bevoegd personeel heeft toegang tot deze ruimte
-als CIS via een andere locatie te benaderen is, zijn daarvoor
maatregelen
getroffen. (bijvoorbeeld thuiswerken Is pas toegestaan als er
een specifiek
certificaat door de medewerker is behaald of alleen met medew
eten van de
leidinggevende is toegestaan).
Er Is een geformaliseerde toegangsprocedure voor het verkrij
gen van toegang
tot het CIS die alle stappen in het proces beschrijft.
De Organisatie heeft een certificaten beheerprocedure.
Beheerder monitort het gebruik van certificaten
-Beheerder houdt toezicht op het installeren van een certificaat met
hoog
beveiligingsnlveau en dat gebruiker een persoonlijk wacl-itwoord toevoe
gt.

5
6

7
8
9

10

[

11

GEBRUIKERS
Alle gebruikers (zowel lokale beheerder als bevrager) zijn door bevoeg
d gezag
aangewezen.
Alle gebruikers van het CIS hebben een daartoe passende opleid
ing gevolgd
en zijn aangewezen DA of BOA, als hij/zij het BOS middel opmaakt.
Externen die in aanraking komen met het CIS zijn gescreend.
Alle gebruikers die in aanraking komen met CIS hebben een
geheimhoudingsverklaring getekend.
Een account en certificaat Is persoonsgebonden en wordt ook zo gebrui
kt.
Het doen van een bevraging in ds ken alleen door daartoe aangew
ezen
gebruikers op basis van een bevel
15 van een daartoe bevoegde autoriteit en
pbasis van een geldige 1
grondslag’
.
Een bevraging heeft altijd een identificerend kenmerk op basis waarva
n een
eenduidiger relatie ken worden gelegd met het onderlïggende (straf)d
ossier.

—

Van een bevraging wordt daamaast in CLS vastgelegd:
•
Bevoegde autoriteit;
•
Kenmerk;
•
Organisatie eenheid! opsporingsteam
•
Rechtsgrondslag
De geautoriseerde ambtenaar houdt dossier, zodat te allen tijde de
rechtmatigheid van de uitgeverde bevi aging tot op dossierniveau kon
worden
aanget
oond.

D,er,stn,veas o”erenkomst
Doslier Af,ilraken en Pracedurs
Oer’ Bijige 1O Aar,sio,tvoor.aaarijrn (brzontiirre) op5parlngs-e
n inlichtingen denstea
Een bevel in een vordering van een beelegde Ouion,te t om
een ver.mek le do-” in het kader ‘aan, een ondemoel van
leleccm,euici:alie, met daarbij bepaald oo irolke ce Fitagmed
lag die bevel toepasa-ng heeft
Het varenak van de bereegde auion,re,t is op pemer (i.i 11Cr, den af fe)
of eieklrori’t, 1, (e-ma,/) bi; de geautoriseerde
ambtenaar be:orgd bijvoorbeeld Proces ve’baai OA raar art ikel
126 na, 126 ua en 125 ii: 0v) voOr arfikl 1 26n 125 in 126
c 126e Wi’S
‘Artikel 126 na, 126 ua 16
126e 12f in 126 ,ien 1 Ezi it’vSr (zie toe .htlng

20 aan 23 1 gebruikers CIOT 2018 rivwA-IoD, JLT 100, Rijkrah

ershe

12
________

13

14

15
16

17

Er is een calamiteltenprocedure voor spoedbevragingen bij onverwachte
Interruptie van het CIS zodat de voor langere tijd niet beschikbaar is. De
vertrouwelijkheid van de gegevens zijn gewaarborgd.
Voor ‘No hits’ is een speciale procedure voor registratie en verdere
behandeling geïmplementeerd.
Lokaal BEHEER
De beheerder heeft een gebruikersbeheerproces voor de CIS, (hierin is
beschreven het aanvragen van gebruikersaccounts en het uitreiken van
accounts /certificaten, installeren en verlengen of intrekken van
accounts/certificaten).
Bij het verlaten van de dienst of wijziging van de werkzaamheden zorgt de
lokale beheerder dat via 180 toegang tot het CIS wordt beëindigd.
De beheerder controleert aantoonbaar en periodiek dat de uitgevoerde
bevragingen alleen door de juiste personen met een rechtmatige vordering
toegang hebben tot het dS en rapporteert hierover aan het bevoegd gezag en
IBO.
De Organisatie heeft afspraken inzake het melden en afhandelen van
Incidenten opgenomen in een (Incideriten)procedure,
De beheerder registreert, meldt en monitort incidenten t.a.v. CIS.

21 van 23 l gebruikers CIOT 2018 NVWA-IOO, ILT-JOD, Rijksrecherche

Auditdienst Rijk
Postbus 20201
2500 EE Den Haag
(070) 342 77 00