Kabinet legt beheer diplomatieke communicatie buiten de EU: Kamerleden en experts verbaasd
British Telecom gaat communicatiediensten leveren aan Nederlandse ambassades en consulaten in 120 landen. Daarmee belandt het diplomatieke netwerk, waarover vertrouwelijke data worden uitgewisseld, niet alleen in buitenlandse handen maar ook buiten de EU. Tweede Kamerleden en digitale experts zijn verbaasd.
De gunning aan BT - met KPN als onderaannemer - is het gevolg van een Europese aanbesteding. De Tweede Kamer is over de uitkomst niet ingelicht. Lokke Moerel, die ict-recht aan Tilburg University doceert en lid is van de Cybersecurity Raad, is verbaasd over het gebrek aan transparantie. Zonder goede uitleg is dit ‘vanuit het perspectief van digitale soevereiniteit’ een onbegrijpelijk besluit. ‘Het Verenigd Koninkrijk is geen lid meer van de Europese Unie en vaart echt een eigen koers. Er is trouwens geen land ter wereld dat dit soort opdrachten niet primair aan een nationale operator gunt.’
Kamer niet ingelicht
Ook in de Kamer leven grote vragen bij de gunning en bij het feit dat de Tweede Kamer niet is ingelicht. Kamerlid Kees Verhoeven van regeringspartij D66 zegt dat het ‘eigenlijk niet hoort’ dat hij zulke berichten via media verneemt.
‘Waarom niet een brief aan de Kamer?’ Nederland moet beter gaan nadenken over de geopolitieke gevolgen van dergelijke aanbestedingen, meent hij. ‘Het is ondenkbaar dat China of de Verenigde Staten het bouwen van zulke infrastructuur uitbesteedt aan andere landen. En als we dat als Nederland al doen, moeten er goede eisen komen voor de toegang van British Telecom tot systemen.’
Ook GroenLinks-Kamerlid Van Ojik had hierover geïnformeerd willen worden. ‘We hebben de afgelopen jaren geleerd - onder andere in de discussie omtrent Huawei en 5G - dat dit geen neutrale technische kwesties zijn.’
Beleid om niet te communiceren
Volgens Buitenlandse Zaken is het ‘staand beleid’ dat over een gunning als deze, na een Europese aanbesteding, niet wordt gecommuniceerd. De buitenwacht hoeft zich volgens het ministerie geen zorgen te maken: ‘Voor het verwerken van vertrouwelijke informatie hanteert Buitenlandse Zaken extra oplossingen die niet in beheer van BT zijn en/of komen. Deze oplossingen zijn en blijven in beheer van Nederlandse partijen.’
Het Nationaal Bureau voor Verbindingsbeveiliging (NBV) van de AIVD heeft vooraf geadviseerd aan Buitenlandse Zaken, maar had geen rol in de aanbesteding zelf. Over het netwerk wordt zogeheten laag-gerubriceerde informatie gestuurd, vertrouwelijke documenten en EU- en Navo-stukken. Het NBV zal na oplevering controleren of het netwerk aan de gestelde vereisten voldoet.
Maar volgens Moerel is digitale soevereiniteit meer dan alleen de cyberveiligheid van de systemen zelf. Waar de Nederlandse staat afhankelijk is van buitenlandse marktpartijen brengt dit ook afhankelijkheden van andere landen mee die andere spelregels hanteren wat betreft spionage, sabotage, privacy en afgifte van data. Als de covidpandemie iets heeft laten zien, is dat buitenlandse partijen in geval van een crisis eerst de eigen overheid te hulp schieten. ‘Dat is voor kritische functies zoals ons diplomatieke berichtenverkeer onacceptabel.’
Bespioneren
Beveiligingsexpert Matthijs Koot van Secura is het daar mee eens: ‘Als land wil je grip hebben op de betrouwbaarheid en privacy van communicatie met je eigen ambassades. Het is bekend dat landen elkaar via ambassades bespioneren. Je wilt dat risico voor eigen ambassades zoveel mogelijk beperken.’
Voor Nederland als kennisland is communicatietechnologie essentieel, zegt Moerel. ‘Elk ministerie beslist nu telkens voor zich wat aan welke partij wordt uitbesteed. Als we de inkoopkracht van de overheid niet snel gaan bundelen en proactief een industriebeleid gaan voeren, ondermijnen we onze toekomstige industriële capaciteiten.’
Dat de zorgen bestaan - bij de Kamer en bij experts - komt volgens Moerel mede door het gebrek aan transparantie bij dit soort besluiten. ‘Zolang niet meer informatie beschikbaar is, is het onmogelijk om de mogelijke kwetsbaarheden bij de gekozen oplossing te kunnen beoordelen.’ Koot: ‘Een vraag is of er maatregelen genomen zijn tegen verkeersanalyse: de inhoud van communicatie is ongetwijfeld versleuteld, maar iemand met toegang tot de netwerkverbinding kan ook uit alleen tijdstippen en volumes tactische informatie afleiden.’
British Telecom maakte vorige week zelf wereldkundig dat het een EU-brede tender had gewonnen ter grootte van 33 miljoen euro om voor vier jaar (met mogelijke verlenging tot negen jaar) communicatiediensten te leveren aan de ambassades en consulaten van het ministerie die in 120 landen zijn gevestigd. BT neemt het contract over van Orange.