Brief regering : Resultaten extra uitvraag naar de uitfasering van Kaspersky antivirussoftware bij de Rijksoverheid

26 643 Informatie- en communicatietechnologie (ICT)

Nr. 117 BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 18 september 2020

Met deze brief informeer ik uw Kamer, mede namens de Minister van Justitie en Veiligheid,
over de uitfasering van de antivirussoftware van Kaspersky bij de zelfstandige bestuursorganen
(zbo’s) en de Hoge Colleges van Staat.

Aanleiding

Bij brief van 23 maart 20201 heb ik uw Kamer bericht dat alle ministeries gemeld hebben dat de betreffende software
bij geen van de onder die ministeries ressorterende dienstonderdelen (meer) in gebruik
is. Ik heb u tevens geïnformeerd dat nog onvoldoende zicht bestond op het eventuele
gebruik bij zelfstandige bestuursorganen en Hoge Colleges van Staat die aangesloten
zijn op Rijksoverheidsnetwerken en dat ik daarom nog een extra uitvraag zou doen.
Met deze brief informeer ik uw Kamer over de uitkomst van deze extra uitvraag.

Resultaten extra uitvraag

Op basis van de extra uitvraag kan ik u melden dat de antivirussoftware van Kaspersky
alleen nog in gebruik is bij de Waarderingskamer, een zbo van het Ministerie van Financiën.
De Waarderingskamer is een project gestart voor de toepassing van een vervangend product
en rondt dit voor het einde van 2020 af. Direct uitfaseren is risicovol. Een vervangend
product is noodzakelijk omdat bescherming tegen computervirussen en andere kwaadaardige
software een onmisbaar onderdeel is in het geheel aan beveiligingsmaatregelen.

Aandachtspunten

• In de brief van 23 maart 2020 kondigde ik ook aan dat onderzocht wordt of het risico
van gebruik van deze software door externe ICT-leveranciers ondervangen kan worden
binnen de bestaande ICT-inkoopvoorwaarden. Dit onderzoek is nog gaande en ik streef
ernaar de resultaten voor de zomer van 2021 met uw Kamer delen.

• Ik constateer dat het maken van een Rijksbrede rapportage over informatiebeveiliging,
zoals deze over Kaspersky, veel tijd kost. Dit is onwenselijk voor de feitelijke informatiebeveiliging,
waarbij er sprake kan zijn van grote urgentie. In overleg met de departementen zal
ik de afspraken en het proces hieromtrent verbeteren.

Dit wordt een onderdeel van de herziening van het Informatiestatuut dat is aangekondigd
in de Kabinetsreactie op het WRR-rapport «Voorbereiden op digitale ontwrichting»2, waarbij tevens gebruik is gemaakt van de ervaringen die begin 2020 zijn opgedaan
bij de Citrix-crisis.

Ik zal, waar aangewezen in afstemming met de Minister van JenV, nauwgezet de uitfasering
van Kaspersky antivirussoftware bij de Waarderingskamer volgen. Daarnaast zal ik,
in afstemming met mijn collega van JenV, sturen op de genoemde procesverbetering.
Tegelijkertijd blijf ik sturen op de verhoging van de feitelijke veiligheid en de
digitale weerbaarheid. De verbetermaatregelen hiervoor kunt u vinden in de update
van de Strategische I-Agenda Rijksdienst 2019–2021, die ik op 26 mei 2020 naar uw
Kamer heb verstuurd3.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
R.W. Knops