Mededeling (uitstel antwoord) : Uitstel beantwoording vragen van de leden Kathmann en Stultiens over het bericht ‘Paniek over veiligheid pensioenen APG: kritisch rapport legt problemen bloot’

Mededeling van Minister Van Hijum (Sociale Zaken en Werkgelegenheid) (ontvangen 14 oktober
2024).

Vraag 1

Bent u bekend met de berichtgeving over de kwetsbaarheid van de ICT bij APG en het
Schuberg Phyllis-onderzoek waar dit uit bleek?1

Vraag 2

Is het bij u bekend of andere kritieke instellingen met zulke kwetsbaarheden te maken
hebben?

Vraag 3

Deelt u de opvatting dat het veilighouden van álle kritische ICT-infrastructuur waar
mensen afhankelijk van zijn, bijvoorbeeld voor hun pensioen, gezondheid of inkomen,
een overheidstaak is?

Vraag 4

Hoe bent u betrokken bij het oplossen van de kwetsbaarheden bij APG, gezien het essentiële
belang van deze instelling voor het uitkeren van pensioenen?

Vraag 5

Heeft De Nederlandsche Bank (DNB) als toezichthouder eerder deze kwetsbaarheden aangetroffen?
Zo nee, hoe kan de toezichthouder beter in staat worden gesteld om op de ICT toe te
zien?

Vraag 6

Welk aandeel van het toezicht van de DNB wordt besteed aan cyberveiligheid van pensioenfondsen?
Is dit toereikend om structurele kwetsbaarheden grondig te onderzoeken?

Vraag 7

Hoe zorgt u ervoor dat andere kritieke instellingen zo goed mogelijk lessen trekken
uit het Schuberg Phyllis-onderzoek en de stappen die APG zet ter verbetering?

Vraag 8

Bent u bereid andere kritieke instellingen aan te moedigen al dan niet financieel
te ondersteunen bij het uitvoeren van diepgravende analyses van hun ICT-kwetsbaarheden?

Vraag 9

Welke voorzieningen staan er in de Cyberveiligheidswet die nog naar de Kamer komt,
die onmisbare (publieke én private) instellingen als het APG zouden helpen?

Vraag 10

Erkent u evenals bronnen uit het artikel dat het versterken van de ICT-kennis in de
besturen van grote instellingen direct bijdraagt aan de cyberveiligheid van die organisaties?

Vraag 11

Op welke manier gaat u ervoor zorgen dat er meer ICT-kennis komt aan de top van kritieke
instellingen? Is het versterken van de rol van de functionaris gegevensbescherming
hiervoor voldoende? Kan er desnoods vanuit het Rijk bijgesprongen worden met ICT-expertise
als die expertise aan de bestuurstafel mist?

Vraag 12

Kunt u deze vragen afzonderlijk van elkaar beantwoorden?

Mededeling

Hierbij deel ik u mede dat de beantwoording van de Kamervragen van de leden Kathmann
en Stultiens (GroenLinks/PvdA) over het bericht «Paniek over veiligheid pensioenen
APG: kritisch rapport legt problemen bloot» niet binnen de gestelde termijn van drie
weken mogelijk is, omdat nader overleg nodig is met betrokken organisaties. Dit is
niet mogelijk binnen de gebruikelijke termijnen van beantwoording van Kamervragen.

Ik zal u zo spoedig mogelijk de antwoorden op deze Kamervragen doen toekomen.