Schriftelijke vragen : Het bericht ‘Exclusief: Interview Citrix CISO, Fermín Sera, waar ging het mis?'

Vraag 1

Heeft u kennisgenomen van het bericht op Techzine.be van 27 januari 2020 «Exclusief:
Interview Citrix CISO, Fermín Sera, waar ging het mis?»?1

Vraag 2

Klopt het dat er op 17 december 2019 een tijdelijke oplossing van het beveiligingslek
beschikbaar werd gesteld door Citrix en dat met deze oplossing, mits goed doorgevoerd,
gebruikers van Citrix beschermd waren geweest tegen het beveiligingslek?

Vraag 3

Indien het klopt wat de CISO van Citrix beschrijft ten aanzien van de tijdelijke oplossing,
waarom is deze oplossing dan niet doorgevoerd bij de overheidsdiensten die gebruik
maken van Citrix?

Vraag 4

Is er sprake geweest van overheidsdiensten of semipublieke organisaties die de tijdelijke
patch die op 17 december 2019 werd gepubliceerd door Citrix onjuist hebben doorgevoerd?
Doet u daar onderzoek naar?

Vraag 5

Kunt u lering trekken uit de wijze waarop andere landen om zijn gegaan met dit beveiligingslek?
Kunt u verklaren waarom met name in Nederland dit beveiligingslek tot grote problemen
heeft geleid?

Vraag 6

Hoe beoordeelt u de ongeschreven regel in de industrie die zegt dat er binnen 90 dagen
nadat een beveiligingslek wordt gemeld, deze niet publiekelijk wordt gemaakt, zodat
een bedrijf het lek kan dichten? Acht u het wenselijk dat een dergelijke periode formeel
wordt vastgelegd, al dan niet op Europees niveau?