Brief regering : Impact strafrechtketen informatiebeveiliging OM

Nr. 1379
BRIEF VAN DE MINISTER EN STAATSSECRETARIS VAN JUSTITIE EN VEILIGHEID

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 12 augustus 2025

Op 3 augustus jl. informeerde de Minister van Justitie en Veiligheid u dat het Openbaar
Ministerie (OM) weer stapsgewijs werd aangesloten op het internet, na een periode
waarin alle systemen van het OM waren losgekoppeld van het internet.1 Met deze brief informeren wij u, mede namens de Minister van Asiel en Migratie, over
de impact van de offlinegang van het OM op de organisaties in en rondom de strafrechtketen.

Op 23 juli jl. informeerde de Minister van Justitie en Veiligheid u al over de oproep
van het Nationaal Cyber Security Centrum (NSCS) aan alle organisaties die bepaalde
Citrix systemen gebruiken, om onderzoek te doen.2 Middels deze brief informeren wij u over een onderzoek dat in dat kader is verricht
bij de Justitiële ICT-organisatie (JIO).3

Impact offlinegang OM

Wij staan hieronder stil bij de impact die de afsluiting van het OM van het internet
heeft gehad op het OM en al zijn partners en tijdens de gefaseerde opstart nog kan
hebben. Door alle betrokkenen is en wordt dagelijks hard gewerkt om de ontstane knelpunten
en effecten zoveel mogelijk op te lossen, met als doel de impact zoveel mogelijk beperken
en risico’s mitigeren. Gedurende deze dynamische periode hebben wij met behulp van
het OM en de partners in en rondom de strafrechtketen een breed beeld van de situatie
tot nu toe gekregen. In deze brief gaan wij in op prangende knelpunten en effecten
waar gedurende het offline zijn van de systemen van het OM geen volledige of niet
onmiddellijk afdoende oplossingen voor beschikbaar zijn gebleken. De gefaseerde livegang
van het OM zorgt niet onmiddellijk voor deze oplossingen, maar biedt uiteraard wel
perspectief. Het OM volgt bij de gefaseerde livegang primair de volgorde van het strafproces.
Daarnaast heeft de Minister van Justitie en Veiligheid het OM verzocht bij de gefaseerde
livegang in afstemming met de ketenpartners en het ministerie te bezien welke essentiële
processen met prioriteit weer (gedigitaliseerd) doorgang moeten vinden.

Knelpunten en effecten

In de periode dat het OM geheel offline was kon er geen enkele informatie gedigitaliseerd
(en soms geautomatiseerd) van en naar het OM worden gestuurd. Het OM en partners in
en rondom de strafrechtketen hebben werkprocessen vastgesteld om proces(stukken) per
post, fysiek of door andere organisaties dan het OM aan te leveren. Daarnaast heeft
het OM speciale aandacht voor het informeren van slachtoffers en hun gemachtigden.
Dit alles toont de inventiviteit, enorme inzet en bereidheid om samen te werken van
alle betrokkenen.

Voornoemde heeft echter niet kunnen voorkomen dat de situatie heeft geleid tot onder
meer extra werklast en oplopende voorraden bij het OM en partners, en vertragingen
in processen en communicatie. De komende periode zullen er extra inspanningen moeten
worden geleverd door het OM en ketenpartners. Voorts hebben wij kennisgenomen van
de signalen – van onder meer de advocatuur, slachtofferorganisaties waaronder Slachtofferhulp
Nederland, en de Dienst Terugkeer en Vertrek – die tijdige en volledige informatievoorziening
en telefonische bereikbaarheid van het OM als aandachtspunten en soms als onvoldoende
toereikend aanmerkten. In dit verband is een eerste en noodzakelijke stap gezet door
het hervatten van e-mailverkeer tussen OM-medewerkers en de buitenwereld sinds eind
vorige week.

Actuele gegevens Justitiële Documentatie Systeem

Een prangend knelpunt als gevolg van de offlinegang van het OM betreft het ontbreken
van informatie van na 17 juli jl. vanuit het OM voor de Justitiële Informatiedienst
(Justid) ten behoeve van het Justitiële Documentatie Systeem (JDS). Het JDS is het
officiële register waarin wordt bijgehouden wie op welk moment werd verdacht van een
strafbaar feit en de afloop daarvan (sepot, vrijspraak of veroordeling). Het ontbreken
van actuele gegevens van het OM in het JDS heeft tot gevolg dat partners in en rondom
de strafrechtketen, burgers, gemeenten en lidstaten geen actuele informatie vanuit
het OM ontvangen. Het OM en partners hebben werkafspraken gemaakt om de risico’s hiervan
te mitigeren, maar deze risico’s zijn (nog) niet geheel uitgesloten. Het proces van
versturen van informatie vanuit het OM naar JDS is als prioriteit aangemerkt gedurende
de gefaseerde livegang van het OM. Daarnaast zal het OM zorgdragen voor een update
van de informatie in JDS die door het offline zijn van het OM niet beschikbaar was.

Voor de tussenliggende periode zijn een aantal belangrijke werkafspraken gemaakt,
waaronder de volgende:

– Voor de continue screening in de kinderopvang en de taxibranche die wordt verricht
door Justis, is voor de meest gevoelige zaken, vooral ernstige gewelds- en zedendelicten,
inmiddels een noodwerkproces overeengekomen. Er is toestemming verleend aan de politie
om politiegegevens betreffende ernstige gewelds- en zedendelicten te verstrekken aan
de Justid ten behoeve van de continue screening in de kinderopvang en taxibranche.

– Voor de reguliere beoordeling van aanvragen van een Verklaring Omtrent Gedrag (VOG)
door Justis en de screening van adoptieouders, pleeggezinnen en voogdijverzoeken door
de Raad voor de Kinderbescherming (RvdK) wordt gebruik gemaakt van JDS. Voor deze
processen is het daarom ook relevant dat in het JDS geen actuele gegevens vanuit het
OM staan. Justis informeert werkgevers en werknemers daarover en wijst op de mogelijkheid
om (opnieuw) een VOG aan te vragen zodra het JDS weer geactualiseerd is. Voor de Verklaring
Omtrent het Gedrag politiegegevens (VOG P) is geen nadere werkafspraak gemaakt, nu
Justis nog steeds politiegegevens ontvangt. De RvdK wordt direct geïnformeerd zodra
de verstoring is verholpen, zodat de RvdK dan kan bezien welke zaken op korte termijn
geactualiseerd moeten worden.

– Ook de Immigratie- en Naturalisatiedienst (IND) maakt gebruik van JDS bij beslissingen
en wordt zodoende geconfronteerd met dat in het JDS geen actuele gegevens vanuit het
OM staan. IND-medewerkers zijn daarom geadviseerd eventuele risicovolle zaken aan
te houden.

Onderzoek Justitiële ICT-organisatie

Zoals aangegeven in de brief van 23 juli jl., heeft het NSCS aan alle organisaties
die bepaalde Citrix-systemen gebruiken aanbevolen om onderzoek te doen.4 Van het NCSC werd het signaal ontvangen dat – naast bij het OM – ook bij de JIO gebruik
was gemaakt van de kwetsbaarheid in de Citrix-omgeving. De JIO levert IT-dienstverlening
aan een aantal organisaties in het justitiedomein, waaronder de Dienst Justitiële
Inrichtingen (DJI), de DTenV, Justis en de Raad voor de Kinderbescherming (RvdK).
Het signaal van gebruik van de kwetsbaarheid in de Citrix-omgeving van de JIO had
betrekking op het voorportaal dat afnemende organisaties beveiligde toegang geeft
tot hun IT-omgeving.

De JIO heeft overwogen of het afkoppelen van de ICT-omgeving van het internet nodig
was. Er waren op dat moment geen aanwijzingen dat daadwerkelijk misbruik was gemaakt
van de kwetsbaarheid. Daarom en mede gezien de verregaande operationele consequenties
voor de opdrachtgevers is daarom besloten in dit geval niet af te koppelen. Wel is
onmiddellijk de kwetsbaarheid verholpen en een onderzoek ingesteld. Uit dit onderzoek
is geen signaal gekomen van mogelijk misbruik in de achterliggende IT-omgevingen.
Voor extra zekerheid is de monitoring en detectie op de systemen structureel versterkt.

Tot slot

Wij zien en betreuren uiteraard de impact die de volledige offlinegang van het OM
heeft gehad op eenieder. Het is positief dat het OM is gestart met een gefaseerde
livegang van de systemen. Dat biedt perspectief op een normalisatie van de werkprocessen
in en rondom de strafrechtketen. Dat neemt niet weg dat de effecten van het offline
gaan van het OM alsmede het weer online gaan van het OM nog enige tijd voelbaar zullen
zijn in en rondom de keten.

Uw Kamer zal bij belangrijke ontwikkelingen dan wel na volledig herstel van de reguliere
werkprocessen nader worden geïnformeerd.

De Minister van Justitie en Veiligheid,
D.M. van Weel

De Staatssecretaris van Justitie en Veiligheid,
T.H.D. Struycken