Inbreng verslag schriftelijk overleg : Inbreng verslag van een schriftelijk overleg over het Fiche: Aanbeveling opbouw Joint Cyber Unit (Kamerstuk 22112-3182)

Binnen de vaste commissie voor Digitale Zaken hebben enkele fracties de behoefte om
enkele vragen en opmerkingen voor te leggen aan de Minister van Justitie en Veiligheid
over het fiche: Aanbeveling opbouw Joint Cyber Unit (Kamerstuk 22 112, nr. 3182).

De fungerend voorzitter van de commissie, Leijten

De adjunct-griffier van de commissie, Van Tilburg

Inhoudsopgave

blz.

I

Vragen en opmerkingen vanuit de fracties

2

Vragen en opmerkingen van de leden van de VVD-fractie

2

Vragen en opmerkingen van de leden van de D66-fractie

3

Vragen en opmerkingen van de leden van de CDA-fractie

4

Vragen en opmerkingen van de leden van de Volt-fractie

5

II

Antwoord / Reactie van de Minister

I Vragen en opmerkingen vanuit de fracties

Vragen en opmerkingen van de leden van de VVD-fractie

De leden van de VVD-fractie hebben kennisgenomen van het voorstel tot oprichting van
een Joint Cyber Unit (JCU), maar hebben nog enkele vragen en opmerkingen met betrekking
tot de meerwaarde van het op te richten platform.

De leden van de VVD-fractie lezen dat de Joint Cyber Unit geen nieuwe instantie zal
worden, maar een virtueel en fysiek platform zal betreffen voor het versterken van
de samenwerking tussen de in de aanbeveling geïdentificeerde operationele en ondersteunende
deelnemers. Deze leden vragen dan ook welke (nieuwe) rol het JCU zal gaan vervullen
in het digitaal veilig houden van lidstaten. Welk mandaat zal het JCU precies krijgen?
Op basis van welke probleemanalyse is men tot dit mandaat gekomen?

De leden van de VVD-fractie constateren voorts dat het JCU zich onder andere zal gaan
bezighouden met het delen van informatie afkomstig uit verschillende cybersecuritygemeenschappen.
Welke bevoegdheden zijn hierbij voorzien voor het JCU om ook deze informatie te kunnen
ophalen en delen met andere partijen? Wordt hierbij een wettelijke grondslag voor
informatiedeling tussen het JCU en andere organisaties geborgd? Zo nee, hoe zal het
JCU dan in de praktijk dreigingsinformatie kunnen ophalen en delen? Kan de Minister
ook toelichten wat wordt beoogd met cybersecuritygemeenschappen? Betreft het hier
nationale samenwerkingsverbanden, waarbij bijvoorbeeld ook het Nederlandse Nationaal
Cyber Security Centrum in de praktijk informatie kan gaan delen met het JCU of transnationale
samenwerkingsverbanden? De Europese Unie kent meerdere reeds bestaande cybersecurityinitiatieven
zoals het Agentschap van de Europese Unie voor cyberbeveiliging (ENISA) en CERT-EU
(Computer Emergency Response Team voor de EU). Wat zijn precies hun taken? Welke knelpunten
worden geïdentificeerd bij het uitvoeren van deze taken? In hoeverre is het voorzien
dat het JCU op deze knelpunten acteert? Met andere woorden: hoe zal het JCU zich gaan
verhouden qua takenpakket tot de bestaande initiatieven zoals ENISA en CERT-EU?

De leden van de VVD-fractie lezen dat een van de doelstellingen van de JCU is om te
zorgen voor een gecoördineerde reactie binnen de Europese Unie op grootschalige cyberdreigingen
en dat de Europese Commissie voorstelt om EU Cybersecurity Rapid Reaction Teams op
te richten om de inzet te coördineren. Overwegende dat de NAVO al in 2012 een Rapid
Reaction Team heeft opgezet om cyberaanvallen af te wenden, hoe zal het JCU zich gaan
verhouden tot het Rapid Reaction Team van de NAVO? Hoe vaak is het Rapid Reaction
Team tot nu toe ingezet? In hoeverre zijn er mogelijkheden om de JCU te laten samenwerken
met het Rapid Reaction Team van de NAVO om cyberaanvallen op lidstaten tegen te gaan?
Ook is het voor deze leden nog onduidelijk welke kosten komen kijken bij het oprichten
van het JCU. Wat is de begroting die hoort bij het oprichten van het JCU? Kan er een
inschatting worden gemaakt in hoeverre deze kosten budgettaire gevolgen zullen hebben
voor Nederland?

De leden van de VVD-fractie menen dat de oprichting van de JCU louter (financieel)
te rechtvaardigen is wanneer de JCU daadwerkelijk een toevoeging vormt op de bestaande
bevoegdheden en taakstellingen van eerdergenoemde bestaande diensten en daarmee van
toegevoegde waarde is in het tegengaan van cyberaanvallen op lidstaten. Deelt de Minister
deze mening? Zo ja, is de Minister bereid dit onder de aandacht te brengen bij de
onderhandelingen? Zo nee, waarom niet?

Vragen en opmerkingen van de leden van de D66-fractie

De leden van de D66-fractie hebben met interesse kennisgenomen van de BNC-fiches met
betrekking tot de Europese Joint Cyber Unit. Deze leden hebben kennisgenomen van de
inzet van het kabinet op meer Europese samenwerking tussen bestaande organisaties
die niet hoeft te leiden tot extra schakels maar tot effectievere samenwerking. Deze
leden hebben nog enkele vragen.

De leden van de D66-fractie lezen dat de Europese cybereenheid uiterlijk 30 juni 2022
de operationele fase moet ingaan. Deze leden vragen de Minister toe te lichten welke
volgende stappen vanuit het kabinet ondernomen zullen worden met betrekking tot de
uitwerking van de Joint Cyber Unit. Deze leden lezen dat de noodzaak en urgentie van
een Europese cybereenheid wordt ondersteund, maar wel bewaakt zal worden dat lidstaten
zelf primair verantwoordelijk blijven voor het reageren op grote cyberveiligheidsincidenten
en crises. De leden vragen de Minister toe te lichten wat de competentieverdeling
zal zijn tussen de Europese Unie en de lidstaten in het geval van een cyberaanval.
Onder welke omstandigheden zal Nederland zelf handelen? Welke maatstaf zal de Europese
Commissie gebruiken voor de definitie van grote incidenten?

De leden van de D66-fractie constateren dat er via een Joint Cyber Unit veel kennis
en tools gedeeld zullen worden binnen de Europese Unie. De leden vragen de Minister
toe te lichten hoe er gewaarborgd zal worden dat belangrijke informatie beschermd
zal blijven, bijvoorbeeld van externe mogendheden. Kan de Minister toelichten hoe
het kabinet zal toezien op een hoog niveau van beveiliging van dit virtuele en fysieke
platform? Deze leden vragen de Minister of er nog afwegingen gemaakt worden tussen
welke lidstaten er wel of niet gedeeld wordt. Krijgen lidstaten die niet actief bijdragen
aan de Joint Cyber Unit ook toegang tot alle kennis en tools die andere lidstaten
delen?

De leden van de D66-fractie constateren dat middels de Europese cybereenheid, belangrijke
informatie en kennis van Nederlandse organisaties richting het coördinatiepunt zal
gaan. Deze leden vragen de Minister te specifiëren welke Nederlandse organisaties
verbonden zullen zijn aan dit Europese netwerk.

De leden van de D66-fractie lezen dat de aanbeveling van de Joint Cyber Unit onderdeel
is van een grotere EU Cybersecuritystrategie, onder andere een Europese wet op de
cyberweerbaarheid. De leden vragen de Minister toe te lichten of er eventuele raakpunten
of conflicten zijn tussen deze wetsvoorstellen en de Nederlandse wetten rondom cyberveiligheid,
en welke uitdagingen hij hier ziet.

De leden van de D66-fractie lezen dat uit de IOB Cybersecurity evaluatie van juni
2021 blijkt dat ambtenaren van het Ministerie van Buitenlandse Zaken vaak werken met
verouderde en onveilige middelen, waardoor de communicatie niet goed verloopt. Welke
stappen zijn er sindsdien genomen om dit recht te zetten? Deze leden concluderen dat
het voorstel vooral gaat om het delen van kennis en tools binnen de Europese Unie.
Deze leden vragen de Minister of deze Europese Cybereenheid ook zal samenwerken met
landen die geen lidstaat zijn, en welke extra kansen een sterkere Europese samenwerking
biedt tot meer mondiale samenwerking. Deze leden horen specifiek graag van de Minister
op welke manier dit voorstel samenkomt en een aanvulling vormt met het door de Europese
Commissie aangekondigde Cyber Resilience Act en daarnaast met de door de Verenigde
Staten aangekondigde verbond tegen ransomware, het Counter-Ransomware Initiative.

De leden van de D66-fractie lezen dat de Joint Cyber Unit gebaseerd is op inbreng
van lidstaten op vrijwillige basis. Deze leden lezen dat onder andere de inbreng van
een nationaal cybersecurity incident- en crisisresponsplan alleen vrijwillig kan gebeuren.
Acht de Minister het wenselijk dat er eventueel grote verschillen tussen lidstaten
ontstaan met betrekking tot digitale veiligheid?

De leden van de D66-fractie lezen dat het kabinet als prioriteit heeft om vertrouwen
en veilige informatie-wisseling op te bouwen tussen deelnemers. Deze leden vragen
de Minister om voorbeelden van voorstellen om het vertrouwen tussen lidstaten op te
bouwen wat betreft digitale veiligheid. Ziet de Minister kansen om lidstaten aan te
moedigen zich aan te sluiten bij de Europese Cyber Unit? Zo ja, op welke manier gaat
de Minister zich hiervoor inzetten? Deze leden constateren dat het kabinet vervolggesprekken
met alle betrokkenen wenst over uitwerking van randvoorwaarden van informatie-uitwisseling
en het garanderen van de vertrouwelijkheid van informatie. Deze leden vragen de Minister
om toe te lichten wat de inzet is van het kabinet om zoveel mogelijk te waarborgen
dat de informatie vertrouwelijk is en blijft tegenover derde landen.

Vragen en opmerkingen van de leden van de CDA-fractie

De leden van de CDA-fractie hebben met belangstelling kennisgenomen van het fiche
over de Joint Cyber Unit. Deze leden lezen dat het kabinet het uitgangspunt om te
streven naar versterkte informatie-uitwisseling steunt, maar dat over vervolggesprekken
met alle betrokkenen over de uitwerking en randvoorwaarden er nog veel vragen zijn.
Deze leden lezen weinig over de concrete inzet van het kabinet bij deze gesprekken.
Zij hopen dat de Minister daar verder over kan uitweiden. In het bijzonder welke punten
er absoluut onacceptabel zullen zijn.

De leden van de CDA-fractie hebben begrip voor de inzet van het kabinet op behoud
van eigen autonomie waar het gaat om crisisbeheersing. Deze leden merken wel op dat
cyberdreigingen grens overstijgend zijn en dat informatiedeling cruciaal is. Op nationaal
niveau is de informatiedeling ook nog niet waar het zou moeten zijn en in dat kader
vragen deze leden of de Minister wel in Europees verband gaat inzetten op adequate
deling van dreigingsinformatie tussen lidstaten.

De leden van de CDA-fractie vragen naar de uitsluitende verantwoordelijkheid en de
opvatting van het kabinet dat de plannen rondom het JCU daarmee op gespannen voet
kunnen staan. Deze leden vragen welke ideeën de Minister heeft om de samenwerking
te bevorderen. Ook vragen deze leden wat er gedaan kan worden wanneer andere lidstaten
hun cyberveiligheid niet op orde hebben en op welke wijze er dan gehandeld moet worden
door andere lidstaten. Tot slot vragen deze leden op dit punt onder welke omstandigheden
en in welke gevallen Nederland aan zet dient te zijn en in welke gevallen er sprake
zou moeten zijn van een Europese aanpak.

De leden van de CDA-fractie zien een logica in de voorstellen van de Europese Commissie
wat betreft de wijze waarop zij de structuur willen vormgeven. Deze leden vragen naar
de structuur van signalering van cyberdreigingen in eigen land en wat er geleerd kan
worden van de Europese plannen. Functioneert de huidige structuur afdoende. Deze leden
vragen welke organisaties vanuit Nederland verbonden zullen zijn aan de Joint Cyber
Unit.

Vragen en opmerkingen van de leden van de Volt-fractie

De leden van de Volt-fractie hebben met interesse kennisgenomen van het Fiche «aanbeveling
opbouw Joint Cyber Unit» van de demissionair Minister van Buitenlandse Zaken. Deze
leden zijn uiteraard voorstander van betere Europese samenwerking op het gebied van
cyberveiligheid.

De leden van de Volt-fractie merken allereerst in algemene zin op dat het demissionair
kabinet op een groot aantal onderwerpen van het voorstel eerst nadere uitwerking en
duidelijkheid vereist. De demissionair Minister noemt daarbij een aantal onderdelen.
Om welke onderdelen gaat het, anders dan de onderdelen die worden genoemd op pagina
5 van het fiche? Waar gaat de demissionair Minister specifiek op letten bij deze uitwerking?
Hoe gaat de demissionair Minister de verdere uitwerking van een JCU concreet bewaken?
Hoe zal de demissionair Minister bewerkstelligen dat de oprichting en ontwikkeling
van een JCU in een gedegen en gefaseerd proces zal verlopen en er tegelijkertijd op
wordt toegezien dat er geen onnodige vertraging optreedt? Hoe gaat het demissionair
kabinet zich ervoor inzetten dat lidstaten in het gehele proces van verdere uitwerking
en het operationeel maken van een JCU vertegenwoordigd zijn? Op welke momenten en
op welke wijze zal de demissionair Minister deze Kamer daarbij betrekken? Welke gemeenschappelijke
doelen als bedoeld op pagina 5 ziet de demissionair Minister op dit moment voor zich
bij het oprichten van een JCU?

De leden van de Volt-fractie merken op dat de demissionair Minister in de brief noemt
dat het demissionair kabinet zich actief inzet bij de verschillende Europese gremia
die tot doel hebben de digitale weerbaarheid te vergroten. Om welke gremia gaat het
anders dan de organisaties genoemd in voetnoot 15? Op welke manier zet de demissionair
Minister zich in bij deze organisaties? Wat is daarbij de Nederlandse inzet en met
welke andere lidstaten trekt Nederland in dit verband op? Welke andere ministeries
zijn betrokken bij de voorbereiding van een JCU? Op welke manier gaat de demissionair
Minister samenwerken met de andere betrokken ministeries? Welke ministeries dragen
daarbij welke verantwoordelijkheden?

De leden van de Volt-fractie vragen met het oog op de doelstellingen genoemd op pagina
4 van het fiche hoe deze doelstellingen volgens de demissionair Minister zouden moeten
worden uitgewerkt. Op welke manier moet de samenwerking volgens de demissionair Minister
moeten worden vormgegeven? Hoe ziet de demissionair Minister de rol van Nederland
in een JCU?

De leden van de Volt-fractie vragen of de demissionair Minister dan ruimte ziet om
de samenwerking verplicht te stellen, voor zover samenwerking binnen een JCU niet
op vrijwillige basis tot stand komt (zoals genoemd op pagina 5). Zo ja, op welke grond?
Zo nee, waarom niet? De demissionair Minister merkt op dat ten aanzien van een groot
aantal van de cybersecurityincidenten al in de praktijk samenwerking bestaat tussen
de lidstaten binnen reeds bestaande netwerken. Om welke samenwerkingsverbanden gaat
het? Welke landen en organisaties zijn daarbij betrokken en om wat voor samenwerking
gaat het? Voor welke specifieke (categorieën van) cases, waar op dit moment nog onvoldoende
samenwerking tussen de verschillende lidstaten en EU-instellingen tot stand komt,
ziet de demissionair Minister met name meerwaarde voor een JCU? Waar plaatst de demissionair
Minister een JCU ten opzichte van andere cybersecurity samenwerkingsverbanden? Hoe
ziet een «virtueel en fysiek platform», wat het JCU zou moeten worden, er volgens
de demissionair Minister uit? Hoe verschilt een «virtueel en fysiek platform» volgens
de demissionair Minister van een instelling? Hoe gaat de demissionair Minister er
in concrete zin voor zorgen dat duplicatie met bestaande structuren waarbinnen reeds
samenwerking plaatsvindt wordt voorkomen?

De leden van de Volt-fractie vragen op basis waarvan de demissionair Minister verwacht
dat diverse lidstaten aandacht zullen vragen voor de rol en mate van invloed van lidstaten
in het totstandkomingsproces en de activiteiten van een JCU, en de onderdelen van
de aanbeveling die op gespannen voet staan met de uitsluitende verantwoordelijkheid
van de lidstaten op het terrein van nationale veiligheid (als bedoeld op pagina 5).
Om welke onderdelen van de aanbeveling gaat het? Om welke lidstaten gaat het? Met
welke lidstaten heeft de demissionair Minister hierover contact en wat is de inhoud
van dat contact?