Brief regering : Update cyberbeveiligingsincident

36 800
IX
Vaststelling van de begrotingsstaat van het Ministerie van Financiën (IXB) en de
begrotingsstaat van Nationale Schuld (IXA) voor het jaar 2026

Nr. 1533
BRIEF VAN DE MINISTER VAN FINANCIËN

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 18 juni 2026

Zoals ik schreef in mijn brief van 30 maart jl.1 heeft het Ministerie van Financiën op 19 maart jl. vastgesteld dat ongeautoriseerde
toegang is verkregen tot een deel van de ICT-systemen. Bij de procedurevergadering
van de commissie Financiën van 9 april jl. is verzocht om een vervolgbrief over de
stand van zaken van dit incident. Met deze brief kom ik tegemoet aan dit verzoek van
de Kamer.

Sinds de ontdekking van het cyberincident is er achter de schermen onverminderd hard
gewerkt aan het weer veilig openstellen van onze systemen. Al snel konden we vaststellen
dat de impact zich beperkte tot de systemen van het beleidsdepartement en dat de dienstverlening
van de Belastingdienst, Douane en Toeslagen niet was geraakt. Inmiddels zijn de laatste
restricties rond de systemen van het beleidsdepartement opgeheven en zijn alle systemen
weer online en toegankelijk voor iedereen.

Ook kan ik melden dat belangrijke primaire processen van het ministerie, zoals de
voorjaarsbesluitvorming, ondanks het incident doorgang hebben kunnen vinden. Dit is
te danken aan onze (ICT-)medewerkers, het Security Operations Center (SOC), de ADR
en getroffen directies, experts van Belastingdienst, SSC-ICT en de betrokken leverancier
die samen hard hebben gewerkt om dit mogelijk te maken. In deze brief ga ik in op
wat er is gebeurd, hoe het ministerie daarmee om is gegaan en wat dat betekent voor
de toekomst, voor zover dit deelbaar is vanuit veiligheidsoverwegingen.

Wat is er gebeurd?

We hebben inmiddels duidelijkheid over hoe de digitale inbraak is verlopen. Het ministerie
heeft een eigen SOC, wat fungeert als centrale digitale alarmcentrale. Dit team van
beveiligingsexperts bewaakt, detecteert en analyseert continu cyberdreigingen en IT-incidenten
om de ICT-omgeving veilig te houden. Op 19 maart detecteerde het SOC vreemd gebruikersgedrag
binnen het netwerk van het ministerie.

Net als andere departementen werkt het ministerie voor diverse digitale processen
met externe leveranciers. Het was vrij snel duidelijk dat het incident een relatie
had met de systemen die voor Financiën draaien bij een specifieke leverancier. In
overleg met het SOC heeft de leverancier dezelfde dag mitigerende maatregelen genomen
en bepaalde voorzieningen dichtgezet.

Na verder onderzoek bleek het om een geavanceerde inbraak te gaan. De actor heeft
een zero-day kwetsbaarheid in de software die toegang tot de werkplekomgeving regelt misbruikt.
Dit betekent dat de actor toegang had tot een kwetsbaarheid die tot dat moment nog
onbekend was en waarvoor nog geen beveiligingsupdates bestonden. Met deze kennis heeft
de leverancier van de getroffen software inmiddels maatregelen getroffen en op 27 maart
al zijn klanten hierover geïnformeerd.

De inbraak heeft, mede doordat er tijdig mitigerende maatregelen zijn getroffen, geen
schade aan de systemen tot gevolg gehad. Wel is het aannemelijk dat er door de inbraak
gegevensdiefstal heeft plaatsgevonden. De betrokken medewerkers zijn hierover geïnformeerd
en begeleid om de impact van het lek zo veel mogelijk te mitigeren. Het is naar verwachting
niet te reconstrueren om welke bestanden het exact gaat. Daarnaast heeft de aangetaste
integriteit van het systeem, vanwege de toegang van de actor, voor overlast gezorgd
bij medewerkers en externe partners omdat systemen tijdelijk (en uit voorzorg) niet
beschikbaar waren.

Hoe zijn we ermee omgegaan?

Binnen het ministerie werd de interne crisisorganisatie geactiveerd waarbij we ons
organiseerden in een overleg met technische experts, evenals een bestuurlijke tafel
die dagelijks bijeen kwam en regie voerde. Vanaf het begin werd hierbij samen opgetrokken
met de leverancier, met externe beveiligingsexperts en met het Nationaal Cyber Security
Centrum (NCSC).

De CISO en CIO (Chief Information Security Officer, Chief Information Officer) Rijk
werden ingelicht, en er is melding gemaakt van het incident bij de Autoriteit Persoonsgegevens
(AP). De datalekmelding bij de AP is binnen 72 uur na ontdekking van het incident
gemaakt en daarmee binnen de wettelijke termijn uit de Algemene Verordening Gegevensbescherming
(AVG). Er is regelmatig contact geweest met de AP om toelichting te geven of vragen
te beantwoorden. Ook heeft het ministerie contact opgenomen met Team High Tech Crime
(THTC) van de politie en is er aangifte gedaan.

Het NCSC heeft het Ministerie van Financiën en diens leverancier en beveiligingsexperts
geadviseerd over mogelijke maatregelen, heeft ondersteuning geboden in het forensisch
onderzoek en heeft daarnaast zijn netwerk ingezet om onderzoek te coördineren tussen
verschillende partijen. Bovendien kon het NCSC met behulp van de gedeelde inzichten
zowel nationale als internationale partners en organisaties geanonimiseerd informeren
over de aanval, om de brede digitale weerbaarheid te verhogen.

In het kader van responsible disclosure2 is als eerste de eigenaar van het kwetsbare systeem op een verantwoorde manier op
de hoogte gesteld.

Er is vanuit veiligheidsoverwegingen extern beknopt gepubliceerd over het incident
op het ministerie.

Qua mitigerende maatregelen zijn onder meer zo snel mogelijk bepaalde voorzieningen
dichtgezet om het risico op schade te beperken. Door het besluit om verbindingen naar
bepaalde applicaties uit te zetten, konden medewerkers en externe partners tijdelijk
niet meer inloggen bij voorzieningen zoals schatkistbankieren. Na forensisch onderzoek
en controle op de data-integriteit bleek dat er geen indicatoren waren om aan te nemen
dat de applicaties aangetast waren en dat deze met extra beveiligingschecks weer in
gebruik genomen konden worden. Hierdoor konden de geraakte werkprocessen grotendeels
weer doorgang vinden. Een andere maatregel die we hebben getroffen is dat de wachtwoorden
van alle medewerkers van het beleidsdepartement preventief zijn gereset. Hierover
zijn medewerkers op het intranet geïnformeerd.

Wat betekent dit voor de toekomst?

Op basis van het beschikbare forensisch materiaal kan geen uitsluitsel gegeven worden
over de actor en de buitgemaakte gegevens. Bij dergelijke geavanceerde inbraken is
het zelden mogelijk om erachter te komen wie of welke partij ervoor verantwoordelijk
is.

Het ministerie evalueert het incident en verwerkt de inzichten in de continuïteits-
en crisisplannen. Hoewel concrete maatregelen niet publiekelijk deelbaar zijn, heeft
het incident ons veel geleerd over hoe we ons willen organiseren bij incidenten in
de toekomst. De multidisciplinaire samenwerking tussen informatiebeveiligingsexperts,
medewerkers met kennis van de primaire processen en externe specialisten was een aanpak
die goed heeft gewerkt.

Bewustzijn van digitale veiligheid heeft continu aandacht binnen het Ministerie van
Financiën. Daarom zetten wij in op digitale weerbaarheid van ambtenaren, processen
én systemen. Hiermee zijn dit soort inbraken echter nooit geheel te voorkomen. Dit
incident benadrukt het belang van deze trajecten.

We richten ons de komende tijd op de verdere uitbouw en professionalisering van het
team dat verantwoordelijk is voor het monitoren, detecteren, loggen en afhandelen
van digitale dreigingen en incidenten. Daarnaast worden ter bevordering van onze digitale
weerbaarheid periodiek penetratietesten, crisisoefeningen en kwetsbaarheidsonderzoeken
uitgevoerd.

Mocht uw commissie aanvullende vragen hebben over het incident, dan is het alsnog
mogelijk om een aanvullende vertrouwelijke technische briefing te organiseren.

De Minister van Financiën,
E. Heinen