Antwoord schriftelijke vragen : Antwoord op vragen van de leden Michon-Derkzen, Brekelmans en Van Eijk over het bericht ‘Kabinet moet alerter zijn op spionage met Chinese scanners bij douane’

Antwoord van Staatssecretaris De Vries (Financiën – Toeslagen en Douane), mede namens
de Ministers van Buitenlandse Zaken, van Justitie en Veiligheid en van Binnenlandse
Zaken en Koninkrijksrelaties (ontvangen 17 april 2024). Zie ook Aanhangsel Handelingen,
vergaderjaar 2023–2024, nr. 1055.

Vraag 1

Bent u bekend met bovenstaand bericht? Zo ja, hoe beoordeelt u bovenstaand bericht?1

Antwoord 1

Ik ben bekend met het bericht. Niet alle stellingen en conclusies in het bericht kunnen
worden onderschreven. Uw Kamer is in september vorig jaar geïnformeerd over de scanapparatuur
bij de Douane. Daarbij is onder meer aangegeven dat in 2022 onderzoek heeft plaatsgevonden
onder regie van TNO met betrokkenheid van de veiligheidsketen. Hieruit volgt dat de
Douane scanapparatuur met de huidige inrichting, welke sindsdien niet is gewijzigd,
op dit moment kan blijven inzetten zonder dat de nationale veiligheid in gevaar komt.2 Dit geldt ook voor de apparatuur van Nuctech.

Ondermijnende drugscriminaliteit is een groot maatschappelijk probleem en het kabinet
geeft hoge prioriteit aan de aanpak daarvan. De inzet van de Douane bij het opsporen
en tegengaan van drugssmokkel is daarbij een onmisbare schakel, waardoor het ook van
belang is dat de Douane kwalitatief hoogwaardige scanapparatuur kan inzetten. Tegelijkertijd
moeten we constant alert zijn op de risico’s en dreigingen die uit kunnen gaan van
landen met een offensief cyberprogramma tegen Nederlandse belangen. Om die reden zijn
verschillende zaken in gang gezet om de veiligheid van scan- en detectieapparatuur
bij de Douane te toetsen en te verbeteren.

Zo past de Douane bij aanbestedingen sinds 2021 de Quickscan nationale veiligheid
toe. Dit is een instrument om in kaart te brengen of een aanbesteding raakt aan nationale
veiligheid en te bepalen welke maatregelen kunnen worden getroffen om bijbehorende
risico’s te beheersen. Bij nieuwe aanbestedingen worden daarnaast aangescherpte eisen
ten aanzien van informatiebeveiliging als uitgangspunt genomen. Als een leverancier
niet aan deze eisen kan voldoen, vindt er geen verdere beoordeling plaats van de inschrijving
en wordt de leverancier uitgesloten van verdere deelname aan de aanbesteding.

Daarnaast is de veiligheid van scan- en detectiesystemen bij de Douane onderzocht.
In 2021 heeft PwC onderzoek gedaan naar de informatiebeveiliging van scan- en detectiesystemen
in gebruik bij de Douane en aanbevelingen gedaan om het beveiligingsniveau te verbeteren.
Deze aanbevelingen zijn door de Douane opgepakt. Daarnaast heeft, zoals hierboven
genoemd, onder regie van TNO in 2022 onderzoek plaatsgevonden naar mogelijke risico’s
voor de nationale veiligheid, ook vanuit het perspectief van statelijke dreiging.
Bij dat onderzoek was de veiligheidsketen betrokken. In dat onderzoek wordt geconstateerd
dat de centrale scan- en detectienetwerken gescheiden zijn van het netwerk dat in
gebruik is bij de Douane. Scanapparatuur bevat zelf geen informatie die omwille van
de nationale veiligheid vertrouwelijk moet blijven, en kan door deze scheiding ook
geen opstap vormen naar vertrouwelijke informatie. Op basis van dit onderzoek is geconcludeerd
dat de Douane scanapparatuur met de huidige inrichting, welke sindsdien niet is gewijzigd,
op dit moment kan blijven inzetten zonder dat de nationale veiligheid in gevaar komt3.

Wel wordt in het TNO-onderzoek aanbevolen deze conclusies opnieuw tegen het licht
te houden als bijvoorbeeld de wijze van inzet van scanapparatuur bij de Douane verandert.
De Douane werkt inmiddels aan slimme techniek (algoritmiek) waarvoor een koppeling
nodig kan zijn tussen scanapparatuur en het netwerk van de Douane en scanapparatuur
dus op een andere wijze wordt ingezet. Momenteel wordt onder regie van TNO, met betrokkenheid
van de veiligheidsketen, onderzocht of dit veilig en verantwoord kan, en als dat zou
kunnen, welke maatregelen er eventueel aanvullend getroffen zouden moeten worden om
veiligheidsrisico’s zoveel mogelijk te beperken. Aan de hand van de conclusies van
deze hertoets zal dus ook opnieuw worden geoordeeld of scanapparatuur bij de Douane
ook in de beoogde toekomstige situatie veilig ingezet kan worden. De uitkomsten van
dit onderzoek worden rond het aankomende zomerreces verwacht en zullen ook met uw
Kamer worden gedeeld.

Vraag 2

Hoeveel Nuctech veiligheidsscanners worden momenteel ingezet door de Nederlandse douane?

Antwoord 2

De Douane heeft momenteel ruim 120 scanners waarvan er ruim 80 van Nuctech zijn. Ruim
70 van die scanners worden op dit moment ook daadwerkelijk ingezet. Het gaat daarbij
om verschillende soorten scanners – groot en klein – die worden ingezet op verschillende
locaties. Zo werkt de Douane met acht grote scans in de mainports Rotterdam (7) en
Schiphol (1), die in zeer korte tijd een hele container voor zee- of luchtvracht in
beeld kunnen brengen. Hiermee kunnen dus snel veel controles worden uitgevoerd. Van
de acht grote scans is de helft afkomstig van Nuctech.

Vraag 3

Hoe beoordeelt u het feit dat na de Verenigde Staten, Australië en Canada, recenter
ook België heeft besloten om Nuctech douanescanningsapparatuur in de ban te doen vanuit
(nationale) veiligheidsoverwegingen? Hoe reflecteert u op dit besluit?

Antwoord 3

In België is bij recente aanschaf van scanapparatuur besloten om Nuctech niet uit
te nodigen om een inschrijving te doen op basis van een rapport van de Belgische veiligheidsdiensten.
Daarbij is meegewogen dat de Belgische douane het voornemen heeft om deze scanapparatuur
niet meer in een stand alone-situatie te gebruiken, maar op te nemen in een meer omvattend netwerk. Tot het moment
dat nieuwe scanapparatuur in gebruik wordt genomen, blijft de Belgische douane de
huidige scanners (ook Nuctech) gebruiken.

Zoals aangegeven in antwoord op vraag 1 zijn bij de Nederlandse Douane de centrale
scan- en detectienetwerken gescheiden van het netwerk dat in gebruik is bij de Douane,
vergelijkbaar met de Belgische stand-alonesituatie. Mede daardoor is geconcludeerd dat de Douane scanapparatuur in de huidige
situatie kan blijven inzetten zonder dat de nationale veiligheid in gevaar komt. De
Nederlandse Douane werkt aan slimme techniek (algoritmiek) waarvoor een koppeling
nodig kan zijn tussen scanapparatuur en het netwerk van de Douane. Momenteel wordt
onder regie van TNO, met betrokkenheid van de veiligheidsketen, onderzocht of en hoe
dit veilig en verantwoord kan.

Vraag 4

Eerder heeft u aangegeven de risico’s en dreigingen die uit kunnen gaan van landen
met een offensief cyberprogramma, zoals China, wel degelijk te zien; hoe verhoudt
dit inzicht zich tot het besluit om door te gaan met de Nederlandse inzet van Nuctech
douanescanningsapparatuur?

Antwoord 4

Het kabinet heeft inderdaad oog voor de genoemde risico’s en dreigingen, zoals blijkt
uit het Dreigingsbeeld Statelijke Actoren4 en ten aanzien van China uit de Kamerbrief over ontwikkelingen in het China-beleid5. Zoals aangegeven in antwoord op vraag 1 is eerder, op basis van de huidige technische
inrichting van scanapparatuur, geconcludeerd dat de Douane scanapparatuur op dit moment
kan blijven inzetten zonder dat de nationale veiligheid in gevaar komt. In dat onderzoek
– onder regie van TNO – zijn statelijke dreigingen specifiek meegewogen. Daarnaast
heeft PwC onderzoek gedaan naar de informatiebeveiliging van scan- en detectiesystemen.
Omdat de Douane onderzoekt of ten behoeve van algoritmiek een koppeling kan worden
gemaakt tussen scanapparatuur en het netwerk van de Douane vindt nu een hertoets plaats
van het onderzoek onder regie van TNO. Aan de hand van de conclusies van deze hertoets
zal dan ook opnieuw worden geoordeeld of scanapparatuur bij de Douane ook in de beoogde
toekomstige situatie veilig ingezet kan worden.

Vraag 5

Kunt u aangeven in hoeverre nationale veiligheidsoverwegingen worden meegewogen bij
de inkoop en aanbesteding van douanescanningsapparatuur van Nuctech, wetende dat de
Chinese overheid wettelijk toegang heeft tot de data van Nuctech apparatuur conform
de geldende Chinese cyberveiligheidswet? Hoe verhoudt zich dit tot de bestaande inzet
van het kabinet om risicovolle strategische afhankelijkheden binnen de vitale infrastructuur
te verminderen?

Antwoord 5

De Douane volgt overheidsbeleid bij inkoop en aanbesteding van scanapparatuur. Overheidsbeleid
schrijft voor dat nationale veiligheidsoverwegingen worden meegewogen bij de inkoop
en aanbesteding van producten en diensten.6 Volgens dit beleid dient bij de aanschaf en implementatie van apparatuur rekening
gehouden te worden met zowel eventuele risico’s in relatie tot de leverancier, als
met het concrete gebruik van de systemen, bijvoorbeeld waar het gaat om toegang tot
systemen door derden. Een belangrijk middel ter ondersteuning van dit beleid is het
in 2018 ontwikkelde en in 2024 herijkte instrumentarium (de Quickscan nationale veiligheid)
om nationale veiligheidsrisico’s bij inkoopopdrachten en aanbestedingen te identificeren
en mitigeren.

Zoals aangegeven in antwoord op vraag 1 past de Douane bij aanbestedingen sinds 2021
dit instrumentarium toe. Daarnaast worden bij nieuwe aanbestedingen aangescherpte
eisen ten aanzien van informatiebeveiliging als uitgangspunt genomen. Als een leverancier
niet aan deze eisen kan voldoen, vindt er geen verdere beoordeling plaats van de inschrijving
en wordt de leverancier uitgesloten van verdere deelname aan de aanbesteding.

Over de kabinetsaanpak van risicovolle strategische afhankelijkheden en de voortgang
daarvan bent u geïnformeerd bij brief van respectievelijk 12 mei 20237 en 15 december 2023.8 In deze kabinetsaanpak wordt onder meer geschetst wanneer sprake kan zijn van een
risicovolle strategische afhankelijkheid.

Vraag 6

Kunt u aangeven wat de laatste stand van zaken is van het toegezegde overleg met de
Minister van Economische Zaken om mogelijkheden te verkennen om de afhankelijkheid
van een enkele leverancier te verminderen? Welke mogelijkheden zijn ter sprake gekomen?

Antwoord 6

Met de Minister van Economische Zaken is besproken dat het verminderen van de afhankelijkheid
van één leverancier voor scanapparatuur bij de Douane een relevante en gezamenlijke
uitdaging is. Uit het overleg zijn geen mogelijkheden gekomen die de Douane al op
korte termijn in aanbestedingen kan inzetten om afhankelijkheid te verminderen. Wel
zijn er perspectieven besproken die op de langere termijn kunnen helpen om minder
afhankelijk te zijn van één leverancier. Daarbij is bijvoorbeeld gesproken over manieren
om de markt voor scanapparatuur verder te ontwikkelen, onder meer door het verkennen
van een gezamenlijke strategie met andere Europese douane-organisaties. Deze perspectieven
voor de langere termijn worden de komende periode in gezamenlijkheid verder uitgewerkt.

Vraag 7

Hoe beoordeelt u de conclusie van het TNO-onderzoek dat de nationale veiligheid op
dit moment niet in gevaar komt als de vertrouwelijkheid, integriteit of beschikbaarheid
van scan- en detectie- processen van de Douane worden aangetast in het licht van recente
bevindingen van onze inlichtingen- en veiligheidsdiensten dat China de grootste bedreiging
vormt voor de economische veiligheid en in zekere mate ook de nationale veiligheid
van Nederland?

Antwoord 7

Zoals aangegeven in antwoord op vraag 4 heeft het kabinet oog voor de genoemde risico’s
en dreigingen en is het van belang om daar alert op te reageren. Met de huidige technische
inrichting van scanapparatuur bij de Douane, waarin de centrale scan- en detectienetwerken
zijn gescheiden van het netwerk dat in gebruik is bij de Douane, is geoordeeld dat
de nationale veiligheid op dit moment niet in gevaar komt. Er is op dit moment geen
reden om van die conclusie af te wijken. Momenteel vindt opnieuw onderzoek plaats
naar mogelijke risico’s voor de nationale veiligheid vanwege de wens van de Douane
om scanapparatuur in een andere technische inrichting in te zetten.

Vraag 8

Hoe verklaart u dat België er in is geslaagd Nuctech scanapparatuur uit te sluiten
van aanbestedingen, ondanks eerdere argumenten van het kabinet dat dit juridisch niet
mogelijk zou zijn? In hoeverre hebben andere Europese lidstaten soortgelijke stappen
ondernomen om Nuctech uit te sluiten van aanbestedingen? Welke lidstaten hebben soortgelijke
stappen ondernomen? Welke alternatieven gebruiken andere landen zoals de Verenigde
Staten?

Antwoord 8

Zoals aangegeven in antwoord op vraag 3 heeft België bij recente aanschaf van scanapparatuur
besloten om Nuctech niet uit te nodigen om een inschrijving te doen op basis van een
rapport van de Belgische veiligheidsdiensten. Daarbij is meegewogen dat de Belgische
Douane het voornemen heeft om deze scanapparatuur niet meer in een stand alone-situatie te gebruiken, maar op te nemen in een meer omvattend netwerk. Dat besluit
is dus genomen op basis van een situatie die niet vergelijkbaar is met hoe de Nederlandse
Douane scanapparatuur op dit moment inzet. Na het onderzoek van TNO, met betrokkenheid
van de veiligheidsketen, is op basis van de manier van inzet van scanapparatuur door
de Nederlandse Douane geoordeeld dat op dit moment de nationale veiligheid niet in
gevaar komt.

Met betrekking tot andere Europese lidstaten is bij de Douane bekend dat België en
Litouwen stappen hebben ondernomen om Nuctech uit te sluiten van bepaalde aanbestedingen
en deels apparatuur van andere leveranciers inzetten. Er is een klein aantal, van
oorsprong Amerikaanse en Britse bedrijven dat doorgaans inschrijft op aanbestedingen.

Deze bedrijven leveren ook de gangbare alternatieven voor Nuctech-apparatuur die door
andere Douane-organisaties worden ingezet. Het kabinet heeft geen totaaloverzicht
van beleid van derde landen ten aanzien van douanescanners. Het is aan landen zelf
om invulling te geven aan het mitigeren van nationale veiligheidsrisico’s.

Scanapparatuur wordt door de Douane aangeschaft via wettelijk voorgeschreven inkoopprocedures
op grond van nationale aanbestedingswetgeving. Hierbij wordt gebruik gemaakt van de
Quickscan nationale veiligheid. Opdrachten worden conform wetgeving gegund op basis
van een combinatie van prijs en kwaliteit. Bij een aantal Nederlandse aanbestedingen
voor scanapparatuur zijn scanners van de hierboven genoemde leveranciers als beste
uit een procedure gekomen, terwijl in andere aanbestedingen juist Nuctech als beste
leverancier naar voren kwam.

Op basis van de Aanbestedingswet 2012 is het in principe niet mogelijk om een (in
de Europese Unie gevestigde) leverancier, die wel aan de gestelde eisen en voorwaarden
voldoet, uit te sluiten. Indien er sprake is van een risico voor de nationale veiligheid,
dan kan een gedeelte van de Aanbestedingswet 2012 niet van toepassing zijn en kan
er worden gekozen voor het rechtstreeks uitnodigen van leveranciers. Deze maatregel
is niet getroffen omdat na onderzoek van TNO is geconcludeerd dat de nationale veiligheid
op dit moment niet in gevaar komt.

Vraag 9

Gelet op de evidente veiligheidsrisico’s en eerdere bevindingen en adviezen van cyberexperts,
de AIVD en de NCTV met betrekking tot de inzet van Nuctech douanescanningsapparatuur,
bent u het met de VVD eens dat het gebruik van Nuctech-scanners een risico vormt voor
de Nederlandse economische en nationale veiligheid en derhalve dient te worden heroverwogen?

Antwoord 9

Het kabinet vindt het belangrijk om continu oog te hebben voor geopolitieke en technische
ontwikkelingen en daar alert op te reageren. Dat gebeurt ook ten aanzien van de scanapparatuur
van de Douane. In dat kader is relevant dat op dit moment de scanapparatuur van de
Douane ingezet kan worden zonder dat de nationale veiligheid in gevaar komt. Omdat
de Douane onderzoekt of ten behoeve van algoritmiek een koppeling kan worden gemaakt
tussen scanapparatuur en het netwerk van de Douane vindt nu een hertoets plaats om
mogelijke risico’s voor de nationale veiligheid opnieuw te beoordelen. Bij dat onderzoek
is de veiligheidsketen betrokken. Aan de hand van de conclusies van deze hertoets
zal dan ook opnieuw worden geoordeeld of scanapparatuur bij de Douane ook in de beoogde
toekomstige situatie veilig ingezet kan worden.