Brief regering : Update hack bij ID-ware

Nr. 936
BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 10 november 2022

Met deze brief wordt uw Kamer geïnformeerd over het afronden van het onderzoek rondom
de hack op ID-ware, een bedrijf dat diensten levert voor de Rijkspasvoorziening en
voor beheer van toegangspassen voor de Eerste Kamer en Tweede Kamer.

Eerder heb ik u per brief geïnformeerd dat de hack heeft plaatsgevonden en dat hierbij
een grote hoeveelheid bestanden zijn buitgemaakt (Kamerstuk 26 643, nr. 921). Om duidelijkheid te verschaffen over de gevolgen van het datalek voor pasgebruikers
en de beveiliging van gebouwen is nader onderzoek uitgevoerd. Ten tijde van de eerste
brief was al duidelijk dat een aantal persoonsgegevens van medewerkers van Rijksoverheid
zijn gelekt. De gegevens zijn via een website op het z.g. darkweb gepubliceerd.

Het onderzoek bij ID-ware is afgerond. De actuele status is als volgt:

• Het aantal van 3500 medewerkers van Rijksoverheid waarvan persoonsgegevens uit de
thuisbezorgservice zijn gelekt is naar beneden bijgesteld tot bijna 3200. Deze medewerkers
zijn geïnformeerd. Het gaat betreft hierbij naam, rijkspasnummer en paraaf van de
getroffen personen.

• Van ongeveer 1300 pasgebruikers van Tweede en/of Eerste Kamer is nu bevestigd dat
hun persoonsgegevens zijn gelekt via logbestanden die op de getroffen opslagserver
stonden. De betreffende pasgebruikers zijn door de Tweede Kamer en/of de Eerste Kamer
persoonlijk geïnformeerd.

• Er zijn uit het onderzoek geen nieuwe feiten naar boven gekomen die gevolgen hebben
voor de beveiliging van gebouwen.

• Het NCSC heeft steekproefsgewijs onderzoek naar de dataset gedaan. Dit onderzoek richtte
zich m.n. naar het type data in de set.

Hoewel de gevolgen van deze datalekken voor de pasgebruikers waarschijnlijk beperkt
zijn, wil ik nogmaals benadrukken dat ik dit incident zeer betreur, en ook de mogelijke
gevolgen voor de betrokken personen.

Maatregelen

Van de datalekken zijn door zowel ID-ware als Rijkspasbeheer, Eerste en Tweede Kamer
een melding gedaan bij de Autoriteit Persoonsgegevens. De personen waarvan bevestigd
is dat hun gegevens betrokken zijn bij dit lek zijn persoonlijk op de hoogte gebracht.

De interne systemen van Rijkspas, Tweede Kamer en Eerste Kamer zijn niet geraakt door
de hack. De verbindingen tussen de systemen en de systemen van ID-ware worden gemonitord.

ID-ware geeft aan dat zij maatregelen heeft getroffen om herhaling te voorkomen en
te monitoren dat dit niet gebeurt en deze aanpak ook gedeeld met de betrokken partijen.
CISO Rijk zal samen met BVA Rijk en Rijkspasbeheer samenwerken om te zich vergewissen
dat de maatregelen en procedures nu en in de toekomst adequaat zijn voor de taak die
ID-ware uitvoert.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
A.C. van Huffelen