Onlineveiligheid en cybersecurity

De voorzitter:

Ik open deze vergadering en heet u allen van harte welkom bij de vaste commissie voor Digitale Zaken. Ik heet de minister van harte welkom, de Kamerleden en de toehoorders thuis en op de publieke tribune. Aan de orde is het commissiedebat Onlineveiligheid en cybersecurity. U heeft allen vier minuten spreektijd. Ik ga u daar ongeveer aan proberen te houden. Ik ben misschien iets flexibel, omdat dit ook mijn eerste debat is als voorzitter van deze commissie. Stel dat vertrouwen niet teleur, beste mensen. Ik geef allereerst het woord aan mevrouw Van Weerdenburg. Zij spreekt namens de PVV.

Mevrouw Van Weerdenburg (PVV):

Dank u wel, voorzitter. Ik spreek vandaag ook namens BVNL. Ik ga mijn best doen.

Voorzitter. Er staan vandaag een aantal stukken op de agenda, maar de vragen en opmerkingen die ik over die stukken had of heb, zal ik meenemen naar een volgend debat met deze minister. Er is vandaag namelijk helaas een veel urgenter bespreekpunt waar ik de schamele vier minuten spreektijd die we hebben, aan ga wijden. Dat is de weigering van de minister van JenV om de aangenomen motie-Van Ginneken c.s. over encryptie uit te voeren. Een zeer ruime meerderheid van deze Kamer, van uiterst links tot uiterst rechts, heeft gezegd dat client-side scanning geen onderdeel mag zijn van de Europese verordening die nu in de maak is om onlinekindermisbruik aan te kunnen pakken. Van links tot rechts wordt klip-en-klaar gezegd: niet doen. Dat zegt niet alleen deze Tweede Kamer, maar dat zeggen ook zo'n beetje alle juristen in Brussel. De juridische bureaus van de Europese Commissie, de Europese Raad en van het Europees Parlement hebben allemaal gezegd: dit conceptvoorstel is niet proportioneel; het zal niet standhouden voor een rechter. Mensenrechtenorganisaties zeggen: niet doen; encryptie verzwakken is niet de manier. Grote techbedrijven die deze verordening straks moeten gaan uitvoeren, zeggen: "Niet doen; dit kan niet zo. Dit is niet de manier." Client-side scanning is niet compatible met end-to-endencryptie, aldus het moederbedrijf van WhatsApp, Meta. Dat is niet zomaar een bedrijf.

Voorzitter. Apple heeft zelfs zo'n systeem van client-side scanning en hashing algoritmes uitgetest voor misbruikmateriaal, en moest erop terugkomen. Ik heb een voorbeeld meegenomen. Ik weet dat het niet gebruikelijk is, voorzitter. Het zal ook niet voor iedereen te zien zijn, maar Apple had in een bètaversie van iOS zo'n hashing algoritme. In no time, ik geloof binnen een maand, was het iemand gelukt om te zorgen dat twee totaal verschillende foto's eenzelfde hash kregen. Die werden dus door het systeem als een en dezelfde foto beschouwd. Dat was binnen een maand of twee maanden. Het is dus gekraakt. Ze noemen dat een "collision". Dan kun je je voorstellen dat dat de weg openlegt voor misbruik. Je zou zomaar een onschuldig plaatje naar iemand kunnen sturen dat eenzelfde hash heeft als bekend materiaal. Dan wordt diegene geflagd. Wat betreft false positives is het dus ook niet 100% veilig. Het bleek dus onbetrouwbaar. Gelukkig heeft Apple dit plan in de prullenbak gegooid en het over een andere boeg gegooid. Hoezo, vraag ik de minister, vindt u dit wel betrouwbaar genoeg om iedereen aan bloot te stellen?

Voorzitter. Nogmaals, iedereen zegt: doe dit niet; ga deze weg niet op met deze verordening. Je zou verwachten dat, bij zo'n enorme tegenstand vanuit politiek, samenleving, maatschappij en bedrijfsleven, de onderbouwing van het kabinet om het tóch te doen wat meer body zou hebben. Je zou verwachten dat extra onderbouwd zou zijn met uitgebreide redenen, cijfers en rapporten waarom ze dit toch wil doorzetten. Ik ben oprecht stomverbaasd dat we wederom een brief krijgen van deze minister met dezelfde loze argumenten die we eerder hebben gehad. Het zijn ook emotionele argumenten. Ik vraag haar daarom met klem: heroverweeg dit standpunt en kom met een nieuwe brief met onderbouwing, met feiten en met cijfers, en graag in zakelijke taal. Het spijt me dat te moeten zeggen, want het is voor iedereen die hierover spreekt, een gevoelig en emotioneel onderwerp — absoluut. We willen het allemaal aanpakken. Maar de taal en de bewoordingen in deze brief ademen alleen maar emotie. Het gaat over duizelingwekkende aantallen, maar die zijn niet gestaafd door enige cijfers, onderbouwing of redelijke argumenten. Daar kun je dus geen discussie over voeren. Geef dus een feitelijke onderbouwing van de beweringen in de brief. Uit welke cijfers blijkt bijvoorbeeld dat vooral berichtenapplicaties in toenemende mate worden gebruikt voor de verspreiding van misbruikmateriaal? Hoe kunnen we dat überhaupt weten, want alles is toch end-to-end encrypted? Waar blijkt dit uit?

Voorzitter. Er staat nog wel iets op het spel. We gaan de richting op van massasurveillance, van meekijken met ieders berichtenverkeer. Ik zie onvoldoende onderbouwd worden waarom dit gerechtvaardigd is. Ik vraag de minister dus om dit alsnog te doen. Ik wil ook weten of zij gesprekken heeft gevoerd met bijvoorbeeld onderzoekers die de hashingtechnologie hebben geanalyseerd. Zij noemt die in de brief "in hoge mate betrouwbaar". Heeft ze zich erin verdiept hoe het systeem faalde in de bètaversie van iOS bij Apple? Heeft zij gesproken met cryptografie-experts? We hebben er een aantal op bezoek gehad in de Kamer tijdens een symposium over kwantumveiligheid. Die kunnen dat heel goed vertellen en heel begrijpelijk uitleggen. Ik zou de minister willen vragen of zij nu alsnog een soort afkoelingsperiode in acht wil nemen en om met echte experts te gaan praten voor, nogmaals, een second opinion. Misschien kan een ander ondersteuningsteam met een frisse blik kijken naar dit geheel en kan zij nog eens tot een brief komen met meer onderbouwing en wellicht een wat redelijkere argumentatie.

Dank u wel.

Mevrouw Van Weerdenburg (PVV):

Dank voor die vraag. Ik ben druk aan het zoeken, maar: ja. Ik vermoed wel van een aantal cijfers dat die ten grondslag liggen aan de beweringen in de brief, maar het is niet zo zuiver om te zeggen: o, dat komt waarschijnlijk daaruit. Maar we hebben het er natuurlijk al vaker over gehad dat Nederland bovenaan de lijstjes prijkt van onlinemisbruikmateriaal. Het gaat om enorme hoeveelheden. Je kan de vraag stellen of dat helemaal eerlijk is, of dat het juist zo is dat wij in Nederland vooroplopen met het signaleren en het opsporen van dat materiaal, en dat we daarom veel meer meldingen hebben. Misschien zijn wij gewoon beter dan wie dan ook in het opsporen en signaleren daarvan. Dan is dat wel een vertekening van de cijfers.

Nogmaals, elke foto die online staat, is er een te veel. We moeten de discussie niet elke keer, zoals in het verleden gedaan is, trekken naar: o, u wil niet genoeg doen om het op te sporen. Dat is geenszins zo. Maar waar soms wel naar wordt verwezen in Kamerbrieven of door onderzoekers, zijn de jaarrapporten van het EOKM. Dat zegt zelf ook, bijvoorbeeld in het rapport van 2020: er zijn heel veel meldingen, maar dat vertekent het beeld een beetje, want we waren toen bezig met een inhaalslag. Nogmaals, ik praat niks goed, maar we moeten wel zuiver kijken waar we mee te maken hebben als we het hebben over de proportionaliteitsvraag. Is zo'n draconische maatregel, namelijk client-side scanning — dat is eigenlijk gewoon massasurveillance — echt gerechtvaardigd voor het probleem?

Mevrouw Dekker-Abdulaziz (D66):

Dank, voorzitter. Ik ga door op het onderwerp van mevrouw Van Weerdenburg.

Voorzitter. Vandaag spreken we over cybersecurity. Gisteren is de brief van de minister verstuurd over het niet uitvoeren van de motie van mijn collega. Dat is een aangenomen motie, waarin wij vragen niet in te stemmen met een Europese verordening met een detectiebevel, bijvoorbeeld met client-side scanning. Natuurlijk wil D66 kinderpornografisch materiaal opsporen en de verspreiders vervolgen. Dat gebeurt ook al in grote mate. Maar deze voorgestelde maatregel komt in feite neer op massasurveillance. Dat is in strijd met grondrechten. Helaas schrijft de minister dat ze onze aangenomen motie niet zal uitvoeren.

Voorzitter. In haar brief geeft de minister aan dat ze ons standpunt deelt dat het huidige voorstel grondrechten schaadt en er een grote kans is op het benadelen van onschuldige burgers. Een greep uit de partijen met ernstige juridische bezwaren: de juridische dienst van de Europese Raad, het Europees Comité voor gegevensbescherming, het Expertisebureau Online Kindermisbruik, de European Data Protection Supervisor, Amnesty International, Bits of Freedom. Zo kan ik nog wel even doorgaan. Ik zou van de minister graag een garantie horen dat Nederland de verordening in de oorspronkelijke vorm niet zal ondertekenen. Graag een toezegging.

Voorzitter. De minister beschrijft onder welke voorwaarden een detectiebevel volgens haar wél een goed idee is. Ze erkent dat de inbreuk op grondrechten blijft, maar dit vindt ze gerechtvaardigd, indachtig alle voorwaarden. De enige voorwaarde die ik lees, is dat het een last resort moet zijn en dat ze de voorkeur geeft aan de zogenaamde hashtechnologie. Daarmee weegt ze nut en noodzaak af. Even over dat nut en die noodzaak. Hoe kijkt de minister naar het standpunt van het Expertisebureau Online Kindermisbruik, dat stelt dat het internet met een detectiebevel niet veiliger wordt, maar juist onveiliger? Hoe kijkt de minister naar de factcheck van de TU Delft, waaruit blijkt dat de verspreiding van CSAM-materiaal niet verschuift naar chatdiensten? Hoe kijkt de minister naar het onderzoek van het Expertisebureau Online Kindermisbruik, waaruit blijkt dat de hoeveelheid gehost CSAM-materiaal niet voortkomt uit een gebrek aan regels in Nederland, maar door het feit dat we een internetknooppunt zijn? Bovendien is de huidige Nederlandse aanpak effectief. Er is namelijk een forse afname in meldingen. Dat komt doordat de foute hosters vaak al in beeld zijn. Ook kan er bij een redelijke verdenking van betrokkenheid een telefoon gevorderd of gehackt worden. Kan de minister toezeggen dat zij de zogenaamde KvI-aanpak ook op chatdiensten en chatplatforms toepast? Kan de minister toezeggen dat er haast wordt gemaakt met de oprichting van een autoriteit terrorisme en kinderpornografisch materiaal? In plaats van massasurveillance zet zo'n autoriteit immers in op preventie, opsporing en beboeten.

Kortom, aan nut en noodzaak wordt nogal getwijfeld. Het is niet proportioneel en niet bewezen effectief. D66 wil meer waarborgen. Laat ik de minister een handje helpen. Kan zij de volgende drie waarborgen aan D66 toezeggen: een detectiebevel kan alleen bij een onderbouwde en gerede verdenking; een toetsing vooraf van de rechter-commissaris; en gericht, dus bijvoorbeeld bij specifieke chatgroepen en niet voor een heel platform, en voor een specifieke tijdsduur? Graag een toezegging.

Tot slot. Met deze verordening staat de veiligheid van het gehele internet op het spel. Voor D66 weegt dat heel zwaar. Daarom vraagt D66 om een behandelvoorbehoud bij deze verordening. Graag een toezegging.

Dank u wel.

Mevrouw Dekker-Abdulaziz (D66):

Dank voor de vraag. Ik heb ook gezegd in mijn betoog dat wij vinden dat dit niet bewezen effectief is. Waarom vinden wij dat? Omdat het meeste materiaal nog steeds via websites wordt gehost, terwijl dat helemaal niet wordt aangepakt met dit voorstel. Daarnaast vinden wij het ook niet proportioneel. Wij hebben de minister dan ook gevraagd om waarborgen in te bouwen zodat het proportioneler is. Het lijkt heel erg op een telefoontap, dus moet het voldoen aan dezelfde voorwaarden als een telefoontap.

De heer Slootweg (CDA):

Dank u wel, voorzitter. Ik begin toch heel anders, want ik wil beginnen met het complimenteren van de minister met haar brief van gisteren, waarin ze een moedige en terechte afweging heeft gemaakt inzake enerzijds het beschermen van grondrechten van kinderen en anderzijds het beschermen van het communicatiegeheim.

Voorzitter. Nederland staat al jarenlang op nummer één als het gaat om het hosten en verspreiden van onlinemateriaal van seksueel kindermisbruik in de Europese Unie. 68% van al het materiaal in Europa wordt in Nederland gehost. Het gaat daarbij met name om beelden van meisjes tussen 3 en 13 jaar. Ik kan mij niet voorstellen dat deze cijfers iemand onberoerd laten. Ik wil van de minister graag horen wat zij nodig heeft om te komen tot effectieve bestrijding van seksueel kindermisbruik en de hosting en verspreiding van dit gruwelijke materiaal. Nog even: ik heb het dan over koude woorden als "materiaal", "beelden" en "video's", maar dit gaat over zeer jonge mensen, bijna altijd meisjes, van wie later velen moeite krijgen met het opbouwen van relaties, niet meer vrij kunnen genieten van seks en sommigen zichzelf zelfs op zeer jonge leeftijd het leven benemen. Welke maatregelen gaat de minister nemen om ons van die eerste plek op dit beschamende lijstje te halen? Het gaat mij daarbij niet om de plek, maar met name om de vraag hoe wij het misbruik zelf, de productie, hosting en verspreiding effectief kunnen aanpakken.

De minister heeft begin juni het wetsvoorstel Wet bestuursrechtelijke aanpak online kinderpornografisch materiaal naar de Kamer gestuurd. Dit voorstel voorziet in extra bestuursrechtelijke mogelijkheden, maar zijn er ook geen aanpassingen nodig in het Wetboek van Strafvordering om onze aanpak en opsporing van hosting en verspreiding van seksueel kindermisbruik effectiever te maken en, zo ja, welke?

Voorzitter. Tijdens het tweeminutendebat over de motie-Van Raan heb ik ervoor gepleit om artikel 126m in het Wetboek van Strafvordering zodanig aan te passen dat bijvoorbeeld WhatsApp en Signal er ook onder zouden kunnen vallen. De minister gaf aan dat dit haaks stond op het kabinetsstandpunt uit 2016 van het kabinet-Rutte/Asscher. Maar dit standpunt begint wel als volgt: "Het kabinet onderstreept hierbij de noodzaak tot rechtmatige toegang tot gegevens en communicatie." En even verderop: "Het kabinet is van mening dat het op dit moment niet wenselijk is om beperkende wettelijke maatregelen te nemen." Het CDA vraagt zich met het oog op de grote schaal waarop in Nederland hosting en verspreiding van online seksueel misbruik plaatsvindt, af wanneer dat moment wel komt. Moet Nederland dan binnen de EU 95% van het materiaal hosten voordat dat moment is aangebroken? Op welke wijze verlenen WhatsApp en Signal op dit moment medewerking aan de noodzakelijke rechtmatige toegang tot gegevens en communicatie?

In het Verenigd Koninkrijk komt er een wet die berichtendiensten verplicht om berichten te scannen op content met kindermisbruik. Hoe beoordeelt de minister de dreigementen van WhatsApp, Signal en Apple om het Verenigd Koninkrijk te verlaten wanneer encryptie gebroken wordt? Klopt het dat Signal hiermee ook gedreigd heeft als de Europese Unie een dergelijke wet aanneemt? Is de minister het met het CDA eens dat dit gedrag van techbedrijven laat zien dat wanneer deze bedrijven zich meer gelegen laten liggen aan hun verdienmodel dan aan een democratische uitkomst, ze strenger gereguleerd moeten worden?

Voorzitter. Iets totaal anders. Onlinefraude als phishing en …

De heer Slootweg (CDA):

Dank u wel voor deze vraag. U noemt het een "emotioneel betoog", maar ik denk dat het heel moeilijk is om niet emotioneel te worden als je deze cijfers ziet. De rationale aanpak die deze verordening meegeeft, vind ik echt proportioneel als het gaat om de omvang van dit vraagstuk.

De heer Slootweg (CDA):

Uit het schriftelijk overleg over de motie-Van Raan blijkt dat de opsporingsdiensten grote problemen te hebben bij de opsporing vanwege encryptie. In mijn eigen bijdrage wil ik de koppeling maken met artikel 126m. Dat is helemaal niet zo gek, want in dat artikel gaat het over communicatie en misdrijven zoals online seksueel misbruik.

De heer Slootweg (CDA):

Ik hoor in ieder geval heel veel "misschiens" bij mevrouw Van Weerdenburg: "misschien zijn wij bezig". Dan zou ik heel graag onderbouwd willen zien dat men er in andere landen een potje van maakt. U bent degene die aangeeft "misschien zijn we in Nederland beter daarin", dus dan moet u met de feiten komen. Dat allereerst. Kunt u de tweede vraag nog even herhalen?

De heer Slootweg (CDA):

Ik denk dat de minister daarin een heel moedig besluit heeft genomen. Natuurlijk is het niet-uitvoeren van moties niet iets wat usance moet wezen, maar als de minister als lid van het kabinet te maken heeft met verschillende grondrechten die ze moet afwegen, moet ze op een gegeven moment ook een eigen afweging kunnen maken.

De heer Slootweg (CDA):

Op zich hoor ik inderdaad geen vraag en volgens mij heb ik ook duidelijk aangegeven dat dit nooit de gewoonte kan zijn. Ik heb ook niet bij het kabinet gezien dat het gebruikelijk is om moties naast zich neer te leggen, maar men heeft een eigen afweging te maken als een aantal dingen tegenover elkaar staan. Ik ben blij dat het kabinet dat ook doet.

Ik begrijp dat ik verder kan gaan met mijn betoog. Ik was gebleven bij phishing en spoofing. Onlinefraude als phishing en spoofing zorgde in 2021 voor 250 miljoen aan schade. De zogenaamde "phishinglinks" gaan er echter steeds professioneler uitzien. We zien dat oplichters hierbij dankbaar gebruikmaken van kunstmatige intelligentie. Shell verplicht zijn werknemers tot het volgen van cursussen. Heeft dit het juiste effect en, zo ja, kunnen we bedrijven dan stimuleren om de methode van Shell na te volgen? Wil de staatssecretaris zich hiervoor inspannen? Hoe kijkt de staatssecretaris naar de resultaten van het Digital Trust Center? Vergroot dat de digitale weerbaarheid van het mkb voldoende? Hoe wordt de weerbaarheid van het mkb vergroot wanneer men in 2023 300.000 bezoeken brengt aan de webpagina van het DTC in plaats van 200.000 keer? Dit lijken mij heel rare KPI's.

Ik denk dat ik door mijn tijd heen ben, voorzitter.

De heer Slootweg (CDA):

Een heel klein blokje dan. Ik merk grote onrust over de NIS2-richtlijn, bijvoorbeeld over de scope en de focus en de gevolgen voor medeoverheden en bedrijven. Zij zullen meer maatregelen moeten nemen om cybersecurityrisico's te beheersen. Klopt het dat de deadline voor de implementatie van 18 oktober 2024 eigenlijk te strak is, mede met het oog op de moeilijkheden die medeoverheden en bedrijven ervaren om voldoende vakbekwaam personeel te werven voor de implementatie van de richtlijn?

Dank u wel voor uw coulance.

Mevrouw Rajkowski (VVD):

Dank, voorzitter. Ik wil me aansluiten bij de complimenten aan deze minister. We hebben het vandaag over onlineveiligheid en cybersecurity en er staan veel nieuwe plannen op de agenda, zoals het Landelijk Crisisplan Digitaal en de versterkte aanpak. Daar is de VVD zeer content mee. Er zijn veel stappen gezet de afgelopen twee jaar, maar het kan natuurlijk altijd beter en daar gaat mijn spreektekst over.

Voorzitter. Sinds de uitvinding van het internet zijn we in Nederland in toenemende mate het internet ook gaan gebruiken. Dat is logisch, want waarom zou je handmatig een brug openen als je dat ook op afstand kan doen en waarom zou je continu cashgeld bij je moeten hebben als je bijvoorbeeld wilt tanken als je ook in één seconde kan betalen met je telefoon, je pinpas of je horloge? Digitalisering is gemak, efficiëntie en ook welvaartsverhogend voor ons allemaal. Het brengt dus veel voordelen met zich mee, maar tegelijkertijd ook een aantal risico's waar we heel scherp op moeten zijn. Want door het internet is alles digitaal met elkaar verweven en verbonden. Een aanval op één bedrijf, één organisatie, één overheidsdienst kan ervoor zorgen dat een hele keten plat komt te liggen. Dit is de keerzijde van digitalisering.

De Wetenschappelijke Raad voor het Regeringsbeleid waarschuwde hier in 2019 al voor, vier jaar geleden dus. Zij waarschuwden dat wij als land zo digitaal zijn geworden, dat we geen plan B hebben als het internet uitvalt. Vrijwel al onze vitale processen en diensten, zoals betalingsverkeer, drinkwater en elektriciteit, zijn inmiddels volledig afhankelijk van het internet. Omdat analoge alternatieven bijna helemaal verdwenen zijn en ook terugvalopties ontbreken, is de afhankelijkheid van gedigitaliseerde processen en systemen zo groot geworden dat de aantasting hiervan zelfs kan leiden tot maatschappij-ontwrichtende schade. Dat is een zorgelijk signaal dat we heel serieus moeten nemen. Afgelopen dinsdag was er weer een artikel van de WRR hierover in NRC. Zeker als we kijken naar de huidige dreigingen in het digitale domein, moeten we vaststellen dat we dagelijks worden aangevallen door sluwe cybercriminelen en landen die we niet tot onze vriendenkring rekenen. Maar niet alleen een doelbewuste aanval kan onze samenleving stilleggen, het kan ook een onschuldige storing of een fout zijn. Juist vanwege de toenemende dreiging van sabotage, spionage en uitval is het zo belangrijk dat we die versterkte aanpak vitaal hebben gekregen.

Ik wil het hebben over het versterken van vitale processen en het voorkomen van digitale ontwrichting. Eerst het versterken van digitale processen. De VVD en de PVV hebben het kabinet in een motie gevraagd om onze vitale sector te scannen op apparaten en software uit landen met een tegen Nederland gerichte offensieve cyberagenda, zoals China, Rusland en Iran. Ter uitvoering van deze motie is de NCTV aan de slag gegaan met alle ministeries met een zogeheten "cyclus vitaal". Volgens mij is dat een concrete tool waarmee we stappen kunnen zetten, maar voor de VVD is niet duidelijk of we met deze tool ook de huidige dreiging gericht gaan aanpakken. Kan de minister toelichten of er binnen de cyclus vitaal concreet wordt gescand op diensten of producten uit landen met een offensieve cyberagenda? Deze richting hebben we immers niet voor niets meegegeven aan het kabinet. Zelfs de AIVD heeft voor deze landen gewaarschuwd. Daarnaast gaat TNO in opdracht van het ministerie een aantal vitale sectoren nader onderzoeken, maar ons is niet duidelijk welke vitale sectoren dat zijn. Juist vanuit veiligheidsoogpunt — als de een wordt aangevallen, kan de ander daar ook last van hebben — hebben we een volledige screening nodig, zoals we in de motie ook vragen. Kan de minister hier nader op ingaan?

Voorzitter. Dan het tweede punt: digitale ontwrichting. In een eerder debat heeft de VVD gevraagd om bij een landelijke crisisbeheersing ook offline terugvalopties expliciet mee te nemen. Als de NS en ProRail volledig gedigitaliseerd zijn en ze kennis van handmatig werken niet meer in huis hebben, staat Nederland letterlijk stil bij een succesvolle cyberaanval. Dit is geen onrealistisch scenario. Er zijn wel verplichtingen voor vitale aanbieders om passende maatregelen te nemen, maar er zijn geen verplichtingen om offline terugvalopties te hebben. Idealiter zijn die er wel als de digitale pleuris uitbreekt. We begrijpen dat maatwerk geboden is en juist in crisistijd moeten we ook kijken naar wat haalbaar en proportioneel is, maar tegelijkertijd hebben de WRR en de NCTV deze waarschuwing niet voor niets gegeven. Is het kabinet bereid om met vitale aanbieders te werken volgens het principe "analoog, tenzij", dus analoge terugvalopties waar dat maar kan?

Dank u wel.

Mevrouw Rajkowski (VVD):

Vanochtend is er in het EP gestemd over een hele set waarborgen. Ik zou eerst dat hele voorstel moeten doornemen. Vandaag heb ik me vooral geconcentreerd op het debat en de stukken die voorliggen, maar ik ben zeker bereid om naar die waarborgen te kijken. Ik denk dat D66 de VVD aan haar zijde vindt als zij stelt dat die waarborgen altijd belangrijk zijn.

Mevrouw Rajkowski (VVD):

Ik denk dat het leven in een land als China toch echt wel iets anders behelst dan het voorstel dat nu in de Europese Unie op tafel ligt. Dat wil ik verre van mij werpen en daar ga ik zeker ook niet in mee. Als de vraag gaat over end-to-endencryptie: ja, de VVD vindt nog steeds dat we end-to-endencryptie in stand moeten houden. Tegelijkertijd — volgens mij hoeft dat elkaar niet te bijten en ik ben benieuwd wat er uiteindelijk in het proposal komt te staan waarover vanochtend is gestemd — moeten we ook kijken naar het aanpakken van kinderporno. Nederland staat bovenaan het lijstje als het gaat om het hosten daarvan. We hebben in verschillende debatten en mondelinge vragen ook suggesties gedaan over het strafbaar stellen van hosters die bewust niet meewerken aan het voorkomen van dit soort walgelijke troep online. Volgens mij is de minister op dit moment een balanceeract aan het uitvoeren om beide in stand te houden in Europa en ook nog iets binnen te halen voor Nederland. Die balanceeract begrijp ik.

Mevrouw Rajkowski (VVD):

Weet u, we kunnen allemaal heel uitgebreid hierop ingaan met elkaar. Even voor de luisteraars, vandaag staat op de debatagenda: preventie cybercrime voor het mkb, Landelijk Crisisplan Digitaal, de motie over de scan, cybersecuritystrategie Nederland, versterkte aanpak bescherming vitale infrastructuur. Ik sta tot uw dienst om het ook over end-to-endencryptie te hebben, graag zelfs. Niet voor niets staat in het coalitieakkoord dat vertrouwelijke communicatie versterkt en aangescherpt moet worden. De VVD doet ook regelmatig voorstellen om het niet over end-to-endencryptie te hebben als we onze communicatie willen beveiligen, maar juist over kwantum. Maar als de PVV en D66 mij nu tot op detail proberen te vragen naar iets wat vanochtend is aangenomen in het EP, dan zeg ik: dan moet u mij ook de tijd geven om dat rustig te lezen. Dan kunnen we daar misschien een ander debat over voeren. Maar dit is de algemene reactie die u nu van mij krijgt. Verder heb ik het over de stukken die voorliggen.

Mevrouw Kathmann (PvdA):

Dank, voorzitter. Als Nederlandse internetgebruiker kun je ervan uitgaan dat jouw data op straat ligt, want we zijn zo massaal digitaal dat een zwakte in één schakel van het ingewikkelde systeem een heel groot risico is. Maar ook de overheid zelf is geen engel. Ik noem een datalek bij de GGD door de corona-app, persoonsgegevens die gestolen worden van gemeentes en een aanval op het Citrixsysteem van de overheid. Boetes lossen die problemen niet op. Wat de Autoriteit Persoonsgegevens zegt, is heel erg belangrijk. Dit debat gaat niet alleen maar over grote datalekken bij grote organisaties. Het gaat ook over jou als burger en hoe cybercriminaliteit jouw data raakt. In het jaarverslag over datalekken van de Autoriteit Persoonsgegevens zien we dat 23% van de lekken gebeurt in het openbaar bestuur. Het hart van ons land is kwetsbaar. We lezen bijvoorbeeld deze week in de NRC over die stokoude IT bij de Belastingdienst. Dan vraag je je echt af: hoe kwetsbaar zijn onze overheidssystemen? Waar liggen nu de grootste veiligheidsrisico's in de overheidssystemen? Wat gaan we daaraan doen? Dat blijven wat de Partij van de Arbeid betreft ook de prangende vragen als we over cybersecurity praten.

Maar je moet veiligheid ook in handen van Nederlanders zelf leggen. Ik kreeg laatst een hele goede tip. Als je ergens een account aanmaakt, gebruik dan de naam van de webshop in je gebruikersnaam. Stel dat ik later een rare spammail krijg waarin ik word aangehaald als BarbaraZalandomann, dan weet ik gelijk waar het datalek zich heeft bevonden. Dat is eigenlijk tip één om een onlinedeurstrip aan te leggen. De vraag is dan ook gelijk wat de overheid doet om gelekte informatie actief op te sporen en te verwijderen van het internet. Ik vind het belangrijk om altijd die aandacht te blijven vragen voor cybersecurity van burgers en mensen zelf.

Ik vind het heel goed dat mevrouw Rajkowski even opsomde wat we allemaal aan stukken hebben liggen om vandaag over te praten. Dat zijn er heel veel, maar soms verliezen we de kleine uitdagingen die burgers zelf hebben een beetje uit het oog. Daarom heb ik de vorige keer al aangekondigd te komen met een basispakket digitale veiligheid. Dat heb ik nu hier bij me. Het is zeker nog niet af. We gaan hier zeker nog vaker over spreken. Mevrouw Rajkowski van de VVD werd vorige keer een beetje zenuwachtig. Moet de overheid dit dan gaan maken en helemaal betalen? Nee. We gaan hier nog vaker over spreken met elkaar. Ik zal het iedereen digitaal doen toekomen, omdat de onlineveiligheid van burgers ongelofelijk belangrijk is. Ik vond het belangrijk om het vandaag even te zeggen, want de staatssecretaris was wel enthousiast. Nu we hier vandaag de minister van JenV in huis hebben, zal ik deze uitgeprinte versie zo meteen aan haar doen toekomen.

Dan heb ik nog een aantal gerichte vragen over de Nederlandse cybersecuritystrategie. Kan de minister aangeven wanneer in het najaar van 2023 de eerste voortgangsrapportage van de Nederlandse cybersecuritystrategie verschijnt? Is de minister voornemens om in de eerste voortgangsrapportage van de Nederlandse cybersecuritystrategie in te gaan op de inzet en uitputting van beschikbare middelen per pijler en actie? Kan de minister in een brief uitgebreid toelichten wat de aanleiding is voor het willen aanpassen van de governancestructuur van de Cyber Security Raad? Welke mogelijkheden bestaan hiervoor, inclusief voor- en nadelen? Welke variant behelst de voorkeur van de minister?

Toen ik net binnenkwam — helaas zat ik eerst in een ander debat, want het is nogal een debattencircus voor iedereen de laatste weken voor het reces — viel ik volgens mij in een debatje over de motie van D66, over de end-to-endencryptie. Ik denk dat ik me bij die vragen wil aansluiten. Ik denk dat het erover is gegaan dat de minister de motie naast zich neerlegt en over de balanceeract, zoals de VVD dat noemt. Daar ben ik heel benieuwd naar. Ook wil ik aansluiten bij een aantal vragen over het landelijk crisisplan van de VVD, want ik ben altijd blij dat de VVD daar uitgebreid aandacht voor vraagt, omdat het vaak nog niet genoeg op de radar staat.

De voorzitter:

Ik geef direct het woord aan de minister van Justitie en Veiligheid.

Minister Yeşilgöz-Zegerius:

Dank u wel, voorzitter. Eind vorig jaar hebben wij gesproken over de Nederlandse cybersecuritystrategie. Met elkaar constateerden wij dat het een ambitieuze strategie is. Het belang van een voortvarende implementatie is benadrukt, net als de stevige regie die daarop nodig is. Dat is precies waar we op dit moment mee bezig zijn en wat we op dit moment vormgeven. Ik heb uw Kamer er onlangs over geïnformeerd hoe gestuurd wordt op een voortvarende implementatie van de Nederlandse cybersecuritystrategie. Er wordt in publiek en privaat verband hard gewerkt aan de implementatie van de concrete acties die opgenomen zijn in deze strategie. Ik noem graag heel kort een aantal voorbeelden.

Een van de speerpunten is dat alle organisaties tijdig de juiste informatie over dreigingen en kwetsbaarheden ontvangen. Om dat te kunnen realiseren en versnippering tegen te gaan, wordt ingezet op de realisatie van één nationale cybersecurityorganisatie. Het kwam net niet echt langs, maar dat is natuurlijk wel een hele mooie stap. Er wordt overigens ook kneiterhard aan gewerkt om dat vorm te geven. Dat betekent dat het Nationaal Cyber Security Centrum, het Digital Trust Center en het Cyber Security Incident Response Team voor digitale serviceproviders gaan samenwerken. Over de transitie naar deze nationale organisatie heb ik uw Kamer onlangs geïnformeerd.

Cyberaanvallen en -incidenten volgen elkaar op. De gevolgen worden steeds ingrijpender. Dat weten we helaas allemaal. De overheid stimuleert dat bij cyberincidenten volledig geïntegreerd wordt gehandeld. De basis daarvan is opgenomen in het Landelijk Crisisplan Digitaal. Ook dat is richting de Kamer gegaan. Het is niet ondenkbaar dat de Nederlandse belangen geraakt kunnen worden bij escalatie van de oorlog in Oekraïne. Met de versterkte aanpak bescherming vitale infrastructuur wordt ook ingezet op een aanpak die robuuster is en beter aansluit bij het veranderende dreigingslandschap om ons heen. Een belangrijk onderdeel hiervan is de implementatie van de Europese richtlijnen Network and Information Security 2, de NIS2, en Critical Entities Resilience, de CER. Met de implementatie van deze richtlijnen stelt de overheid een aantal maatregelen verplicht om de vitale infrastructuur beter te beschermen. Het aantal vitale partijen wordt daarmee ook uitgebreid. Ze moeten in de toekomst verplicht melding maken van significante incidenten waar toezicht op wordt gehouden. Ik wilde dit toch graag in mijn tekst noemen. Ik kan me namelijk voorstellen dat de rest van het debat over een aantal specifieke onderdelen gaat. Dat is ook terecht. Dat is ook helemaal prima, maar er zijn mooie stappen gezet en we zitten er middenin.

Voorzitter. Ik heb drie mapjes. Het eerste is bestrijding en voorkoming van seksueel misbruik. Het tweede is aanpak vitaal. Het laatste is uitvoering Nederlandse cybersecuritystrategie. Het kan zijn dat we af en toe ergens een vraag tussen hebben gezet om het bij drie mapjes te houden. Alles komt dus langs, als het goed is.

Ik begin natuurlijk met het eerste onderwerp, met de vragen van met name PVV en D66 over de zorgen — laat ik het op deze manier samenvatten — betreffende het detectiebevel en onze handeling richting de motie. Laat ik het zo zeggen. De zorgen die in de Kamer over de invoering zijn geuit, zijn ook de mijne. Laat ik dat nog eens benadrukken. In essentie zitten we qua uitgangspunt op dezelfde lijn. Ik begrijp heel goed dat die zorgen er zijn en hier zijn neergelegd. Vervolgens hebben we te maken met de inhoud en het krachtenveld. De kanttekening die ik om te beginnen zou willen plaatsen, is de volgende. Mevrouw Van Weerdenburg zei volgens mij in haar betoog op enig moment dat iedereen tegen is. Maar dat is dus niet zo. Dat is het krachtenveld waarin we zitten. Ik zeg het ook hier: Nederland is een van de meest kritische landen in de EU. Ik denk ook dat dat terecht is, maar het is een feit dat de meeste landen op dit moment voor de verordening zijn zoals die voorligt. Dat is dus een wezenlijk andere situatie dan dat iedereen tegen is.

Zoals ik in mijn brief van gisteren aan uw Kamer duidelijk heb gemaakt, is het kabinet geen voorstander van het detectiebevel in zijn huidige vorm. Nogmaals, dat betekent dat er zorgen bij mij en het kabinet leven over de huidige vorm en er een duidelijk standpunt is. Daar zijn we ook niet van afgeweken. Het opleggen van een detectiebevel waarbij beeldmateriaal van individuele burgers in de privésfeer wordt gescand, heeft uiteraard grote impact op fundamentele grondrechten, waaronder de bescherming van de persoonlijke levenssfeer en het communicatiegeheim. Tijdens de onderhandelingen in Brussel worden deze zorgen ook door ons geuit. De Nederlandse inzet is gericht op het goed borgen van de grondrechten in dit voorstel en het voorkomen dat deze rechten onevenredig worden ingeperkt. Daarmee is Nederland echt uitgesproken kritisch op het voorstel. Tegelijkertijd bestaat de absolute noodzaak om het bestaan en de verspreiding van onlinebeeldmateriaal van seksueel kindermisbruik te voorkomen. Ook daartoe is Nederland verplicht. Het is volgens mij geen emotioneel standpunt om eraan toe te voegen dat de duizelingwekkende aantallen waarin kinderpornografisch materiaal online rondgaat, onze verplichting elke dag weer onderstrepen. Ook dat zijn de feiten. Al deze feiten bestaan naast elkaar. Zoals de heer Slootweg al aangaf, proberen we daarbinnen een balans te vinden.

In het voorstel zie ik geen mogelijkheid voor de detectie van nieuw materiaal en grooming. Dat zit wel in het huidige voorstel. Daar zijn wij geen voorstander van. Dat is ook staand beleid. Dat hebben we eerder dit jaar al gedeeld. Dat bevestig ik hier graag nog een keer. Wat Nederland betreft blijven die, zoals ook in de brief beschreven, buiten de scope van het huidige detectiebevel. Wel zie ik mogelijkheden voor de detectie van bekend materiaal van seksueel kindermisbruik. Ondanks de inbreuk op de grondrechten die dat met zich meebrengt — daar komt de afweging en de balans van de rechten in beeld — meen ik dat dit onder die omstandigheden kan worden gerechtvaardigd. In deze gevallen kan ook technologie worden toegepast met zeer hoge betrouwbaarheid. Wordt het bevel beperkt tot detectie van bekend materiaal en lukt het ons dus om het daar te krijgen, dan wordt binnen de app van de provider waartegen het detectiebevel wordt uitgevaardigd, gekeken of er een-op-een overeenkomst is met bekend strafbaar materiaal van online seksueel kindermisbruik, afkomstig uit bestaande databases.

Ten slotte praat ik natuurlijk in het kader van de lopende onderhandelingen geregeld met andere lidstaten over mogelijkheden om het detectiebevel nader te omkleden met aanvullende waarborgen. Daar kom ik straks wat uitgebreider op terug. Dit alles heeft tot doel dat er helemaal aan het einde van de rit — ik weet dat deze Kamerleden het heel goed beseffen, maar ik zeg ook tegen iedereen die meekijkt dat we midden in de onderhandelingen zitten en daar echt nog niet zijn — een verordening ligt waar Nederland achter kan staan. Ik ben het eens met de Kamerleden dat dat op dit moment niet het geval is. Dit zou dan nog steeds mijn inzet zijn.

Er zijn op dit dossier sowieso heel veel experts met goed onderbouwde ideeën en inzichten. Die kunnen ook uit elkaar liggen. Mevrouw Van Weerdenburg vroeg: spreekt u in ieder geval ook met ze? Jazeker, wij zijn zeker niet zomaar tot dit standpunt gekomen. Ik spreek met de sector, met het NFI, met digitale experts. Dat betekent ook dat we verschillende wetenschappelijke onderzoeken erbij betrekken. Die zijn ook betrokken bij de totstandkoming van dit standpunt. Zoals ik al zei, is niet iedereen tegen. Het zwaartepunt van het krachtenveld in Europa valt juist de andere kant op. De meerderheid is op dit moment nog steeds voorstander van de verordening die voorligt.

Minister Yeşilgöz-Zegerius:

Ik denk dat ik wel heel goed begrijp waar mevrouw Van Weerdenburg naar op zoek is. Zij geeft aan: als we van inzicht verschillen, geef mij dan ook de inhoudelijke onderbouwing mee van hoe of wat. Het gaat bijvoorbeeld ook over een onderzoek van Europol en allerlei wetenschappers. Tegelijkertijd, als ik een brief helemaal met bronnen zou vullen — maar dat is niet wat mevrouw Van Weerdenburg van mij vraagt — dan heb je een proefschrift. Maar ik ben het wel eens met waar zij naar op zoek is, dus wellicht kunnen we het op de volgende manier doen. Ik heb namens het kabinet ons standpunt aangegeven en gezegd hoe we nu met die motie omgaan. Als ik zo meteen inga op de waarborgen en dergelijke, hoop ik dat ik in ieder geval de kaders kan meegeven. Ik kan me voorstellen dat de indieners van de motie zeggen: dat is niet honderd procent wat we wilden. Maar we gaan echt niet honderd procent de andere kant op. We kunnen dus laten zien waar we elkaar wél vinden. Bij een volgende updatebrief — ik zal even vragen hoe dat precies werkt en wanneer die komt — kunnen we meer geven van de informatie en data waarnaar mevrouw Van Weerdenburg vraagt. Dat neem ik dan mee als opdracht voor het vervolg, want dit proces loopt nog wel een hele tijd. Ik begrijp dus goed waar ze naar op zoek is. De Tweede Kamer gaat hier op verschillende momenten dus echt weer over praten. Ik zal die cijfers en onderzoeken erbij betrekken. Terwijl ik dit antwoord even rekte, kreeg ik binnen dat in de tweede helft van dit jaar, dus na de zomer, alweer een volgende update komt. Daarin kan ik het dus verwerken.

Minister Yeşilgöz-Zegerius:

We hebben dit standpunt al een tijdje. Mevrouw Kathmann zei bij haar inbreng: ik sluit me aan bij de opmerkingen die gemaakt zijn over de motie betreffende encryptie. Maar daar gaat deze motie natuurlijk niet over. Toen de eerste motie over encryptie werd ingediend, was ik volgens mij zelf nog Kamerlid op dit dossier. Die motie heb ik ook in deze rol omarmd en onderstreept. Toen kwam die andere motie erbij. We delen al een tijdje informatie, data en analyses met elkaar. Ik heb in de brief van gisteren proberen uit te leggen waarom het kabinet blijft bij het staande beleid, met een onderbouwing daarbij. Ik begrijp dat mevrouw Van Weerdenburg zegt: als dit het pad is en je daar niet van afwijkt, dan wil ik die onderbouwing steviger blijven terugzien. Maar het komt al in de tweede helft van dit jaar. Het is nog twee weken tot het reces. Dat is dus al ongeveer de toezegging waarnaar mevrouw Van Weerdenburg op zoek is. Ik zal zorgen dat het komt in een nieuwe update, zodat ze ook nieuwe aanleiding heeft om over informatie te praten. Dat zal al in oktober zijn. Het lijkt ver, maar voor iedereen die weet wanneer de Kamer met reces gaat, is dat vrij snel. De ambtenaren hebben ook een technische briefing gegeven. Ik stel dus voor dat we onze volgende updatebrief meer laden met data en informatie, niet per se omdat we dan misschien hetzelfde naar het issue gaan kijken, maar wel opdat we over dezelfde feiten praten. Dat lijkt mij alleen maar meerwaarde hebben. Maar dit loopt al een hele tijd, dus dit is natuurlijk niet de enige brief en de enige keer dat we onze input en de onderbouwing hebben gedeeld.

Minister Yeşilgöz-Zegerius:

Laat mij — als u het goedvindt, voorzitter — al in mijn eerste termijn of straks in de tweede termijn terugkomen op de vraag of ik voor eind september al iets naar de Kamer kan sturen, want dat begrijp ik ten behoeve van de JBZ-Raad, en op de bronvermelding van die opmerking.

Minister Yeşilgöz-Zegerius:

Misschien is het goed dat ik dan wel door deze hele stapel van al deze vragen ga. Nogmaals, het gaat hier wel over een balans tussen belangen. Ik heb namens het kabinet een brief geschreven waarvan ik dacht dat ik die het beste kon schrijven. Ik vind het dan niet zo prettig als die brief in een frame belandt als "wat is de volgende stap van massasurveillance?", want daar ben ik niet mee bezig. Ik ben bezig met het bestrijden van kinderporno. Misschien vind ik daar als mens emotioneel iets van, maar ik zit hier als minister. Nu gaan we het wat mij betreft ook zakelijk doen. Ik ben hier niet bezig met het opzetten van manieren om bij iedereen in de telefoon te kijken. We hebben allemaal wel wat beters te doen. Maar het gaat wel over het bestrijden van kinderporno.

In het verlengde van deze vraag vroegen D66 en PVV aan mij wat de rode lijnen zijn in Brussel, en wat de waarborgen zijn. Daarvoor sluit ik aan bij de vraag die zojuist door mevrouw Dekker-Abdulaziz is gesteld. In de huidige vorm ondersteunen we de verordening niet. Het was al staand beleid dat we die niet steunen. Dat heb ik in twee of drie brieven aangegeven. Ik zeg het hier nog een keer. Dit deel komt niet heel erg over, hoewel ik het niet per se over deze vraag heb, maar Nederland is in Brussel een van de meest kritische landen. Het is goed om dat elke keer toch weer even mee te nemen. Ik zal enkele rode lijnen voor Nederland noemen. Wij zien alleen ruimte voor de detectie van materiaal waarvan al eerder is vastgesteld dat het om kinderpornografisch materiaal gaat, dus niet voor grooming en niet voor nieuw materiaal. Dat wijkt dus echt af van het voorstel waar op dit moment de meerderheid van de landen vóór is. Dat is dus een heel andere stap, en het is een stuk kritischer dan de meeste landen. We ondersteunen absoluut geen voorstellen die end-to-end-encryptie onmogelijk maken. Dat is staand beleid. We hebben dat niet veranderd en het zal ook niet veranderen.

Voor Nederland staat vanzelfsprekend voorop dat de verordening juridisch moet volstaan. Daarom toets ik de verhouding van voorstellen tot de grondrechten in kwestie ook steeds. Daarom neem ik alle juridische adviezen die zijn genoemd — mevrouw Van Weerdenburg noemde er ook een aantal — ook zeer ter harte. Daarna maak je een afweging, want dat is uiteindelijk ook onze taak. Binnen deze harde kaders zoeken we steeds naar de voor Nederland meest gunstige uitgangspositie, waarbij we beide doelen voor ogen hebben, namelijk het bestrijden van kinderporno en het beschermen van de grondrechten van degenen van wie die moeten worden beschermd. Dan gaat het niet alleen om de grondrechten van de kinderen waarover het gaat, maar natuurlijk ook over de privacyrechten. Zoals uw Kamer weet, onderhandelt mijn departement momenteel in Brussel over een verordening van de Europese Unie ter bestrijding van online seksueel kindermisbruik. Daar zit dat detectiebevel nu in. Wij blijven tijdens de onderhandelingen onze zorgen uiten, maar geven die kaders ook heel stevig mee.

Nu heb ik het een beetje door elkaar gedaan, maar we zitten nog steeds in het eerste mapje. De heer Slootweg zei: we staan op plek nummer één op een — dat was volgens mij zijn tekst — "beschamend lijstje". Hij vroeg: wat gaat de minister doen om ons van dat lijstje af te halen? De aanpak van online seksueel kindermisbruik is van groot belang en verdient ook alle inzet. Een integrale aanpak is hierbij noodzakelijk. Zo wordt ingezet op preventie en bewustwording, zowel voor potentiële slachtoffers, maar natuurlijk ook voor de echte slachtoffers en daders. Wij leveren bijvoorbeeld ondersteuning door de jaarlijkse verstrekking van een subsidie aan het Expertisebureau Online Kindermisbruik, onder andere voor haar programma Stop it Now! en Help Wanted. Daarnaast is er een barrièremodel ontwikkeld voor de downloaders van online seksueel kindermisbruik. De strafrechtelijke aanpak richt zich voorts op het ontzetten van slachtoffers uit acute misbruiksituaties. Dat doe je uiteraard door het opsporen en vervolgen van daders, en het verstoren van de netwerken die daarachter zitten. Vanwege het belang staat de aanpak van online seksueel kindermisbruik ook weer als prioriteit in de veiligheidsagenda.

Daarnaast is de inzet gericht op een schoon internet, vrij van beeldmateriaal met daarop seksueel kindermisbruik. Die inzet is echt ongelofelijk van belang. Door mijn ministerie wordt daarvoor jaarlijks een subsidie gegeven aan het Expertisebureau Online Kindermisbruik, voor het Meldpunt Kinderporno. Dit meldpunt kan via het uitsturen van verwijderverzoeken aan internetbedrijven ervoor zorgen dat het strafbare materiaal ook snel van het internet verdwijnt. In aanvulling hierop heb ik op 12 juni het wetsvoorstel Bestuursrechtelijke aanpak online kinderpornografisch materiaal aan de Kamer aangeboden. Dit wetsvoorstel regelt onder meer de bevoegdheid voor de opgerichte Autoriteit Online Terroristisch en Kinderpornografisch Materiaal om aanbieders van hostingdiensten op bestuursrechtelijke basis te verplichten online kinderpornografisch materiaal ontoegankelijk te maken of te verwijderen. Doen ze dat niet, dan kunnen er heel hoge boetes worden opgelegd. Ik ga niet alle waarborgen herhalen, maar in Brussel zetten we ons natuurlijk in om binnen die waarborgen tot een goed bevel te komen.

Dan was er ...

Minister Yeşilgöz-Zegerius:

Ik zal bekijken of er een goede vergelijking is met een land als Duitsland, en ook of ik daar in dit debat nog op kan terugkomen. Wel is onze digitale infrastructuur heel goed georganiseerd. Dat geldt helaas voor verschillende vormen van criminaliteit, maar dus ook hiervoor. Voor mensen die we hier niet willen — dit misbruik willen we uiteraard niet — loont het om van die infrastructuur gebruik te maken. Ons land is daardoor een heel stuk aantrekkelijker voor criminelen. Het werk dat wij te doen hebben, is dus ook een stuk groter. Ik weet dat dit een groot element is. Wij zijn een heel groot internetknooppunt. Dat maakt het moeilijk om te vergelijken. Ik zal bekijken of we, dieper ingezoomd, verschillen met andere landen kunnen zien in de aanpak. Uiteindelijk is de Europese aanpak wel de enige echte aanpak die erbij komt. Als ik daar nog aanvullende informatie over krijg, zal ik zorgen dat ik die er straks in verwerk.

Mevrouw Dekker-Abdulaziz noemde volgens mij drie voorwaarden of waarborgen in haar betoog. We hebben meegeschreven, dus ik zal even checken of ik het goed heb. Zij zei: wilt u er zich in Brussel hard voor maken dat er alleen bij onderbouwde en gerede twijfel wordt gehandeld, alleen met een toetsing door de rechter en met een gerichte inzet, bijvoorbeeld bij specifieke chatgroepen? Ik ga een beetje ingewikkeld antwoorden, omdat het niet zo gangbaar is om je hele inzet te geven tijdens onderhandelingen in Brussel. Dat maakt het altijd een beetje schizofreen hoe je erover praat. Maar er zitten heel duidelijke aanknopingspunten in wat D66 aangeeft. Dat is dus wel de inzet. Het is heel belangrijk dat de rechter een rol heeft bij het uitvaardigen van een detectiebevel. Wij leggen in Brussel neer dat wij dit belangrijk vinden. Ik deel ook de wens dat het detectiebevel dan zo beperkt mogelijk moet worden ingezet. Vandaar dat we ook heel kritisch zijn op de criteria die gelden voor de toepassing van het bevel. Dat zit er dus absoluut in. Uiteraard bepaalt het voorstel al dat het bevel alleen wordt toegepast als er bewijs is van een significant risico dat een dienst wordt gebruikt voor het online seksueel misbruiken van kinderen. Eerder genomen maatregelen om risico's op verspreiding van het materiaal tegen te gaan, mogen ook niks hebben opgeleverd. Zo staat het ook in de brief. Het wordt dus gebruikt als een uiterst redmiddel, als alle andere maatregelen onvoldoende zijn gebleken. Dit moet dus niet iets zijn waarnaar je als eerste grijpt of waarvan je denkt: ik bekijk of ik het hiermee kan aanpakken. Al die stappen dragen we absoluut zeer luid uit tijdens de onderhandelingen in Brussel.

Minister Yeşilgöz-Zegerius:

Bij een verdenking ga je over tot opsporing. Daarmee wordt het een heel ander instrument. Dat is waarom de exacte formulering van D66 niet kan passen. Ik deel dat de afbakening van een significant risico van belang is, maar als je dit nog drie slagen dieper brengt, dan gaat het over opsporing. Dan ben je eigenlijk al heel veel verder en dan wordt het een ander instrument. Dan past het hier weer niet bij.

Minister Yeşilgöz-Zegerius:

Dan moeten we niet vergeten waar dit over gaat. Dit is niet omdat iemand wil weten wat al die Nederlanders aan het appen zijn, dit is om kinderpornografisch materiaal tegen te gaan en om te voorkomen dat dat online wordt verspreid. Er is natuurlijk ook een rol voor de rechter in de afwegingen over proportionaliteit en significant risico. Ik vind het prima als we er niet met z'n allen uit komen. Ik vind dat jammer, maar dat gebeurt weleens in de politiek. Het is niet zo dat er wordt gezegd: we gaan random zonder aanleiding sowieso alle WhatsAppgroepen of alle WhatsAppberichten bekijken. Als een detectiebevel aan de orde is, vindt er eerst een uitgebreid proces van onderzoek en toetsing plaats. Je moet eerst allerlei andere instrumenten hebben ingezet. Uiteindelijk komt het er wat ons betreft zo uit te zien. Je neemt eerst risicomitigerende maatregelen en daarna komt het detectiebevel in zicht. Dat is echt pas aan het einde, als het niet meer anders kan. Het is ook niet zo dat dat in één dag gebeurt, want dat kan wel zes maanden duren. Dit is geen lichtzinnig iets. Er zit geen enkel verschil tussen de manier waarop dit gaat bij wie dan ook. Dit is geen lichtzinnig instrument dat je zomaar random kan inzetten. Dat is niet aan de orde. Ik denk ook niet dat dit door de Kamerleden wordt ingebracht, maar in de samenleving moet niet het beeld ontstaan dat dat op tafel ligt. Dat is namelijk niet aan de orde.

Minister Yeşilgöz-Zegerius:

Dat je dat zo veel mogelijk afbakent en daarvoor nog meer kaders hanteert, deel ik. Het gaat overigens over een significant risico, niet over een verdenking, want dan ben je al een slag verder. Precies die kaders zijn onderdeel van de lopende onderhandelingen. Ik denk dat we daar behoorlijk hetzelfde in zitten. Wij zitten hierbij als Nederland ook weer aan de meest kritische kant van het hele spectrum. Wij zitten echt in de meest kritische hoek van alle landen in Europa. In Europa bespreken we met elkaar wat het risico is, hoe dat eruitziet en wat de voorwaarden zijn en daar staan wij het strakste in. Ik neem ook graag al dit soort ideeën en input mee, maar het gaat wel over risico en niet over verdenking. Het is goed om dat uit elkaar te houden.

Minister Yeşilgöz-Zegerius:

Even terug naar waar dit over gaat. Dit gaat over bestaand materiaal. Vervolgens probeer je criteria in te bouwen — althans, dat proberen wij — om ervoor te zorgen dat binnen kaders gesignaleerd kan worden dat dat risico er is en dat het significant is, en ook dat getoetst kan worden dat dit inderdaad het laatste redmiddel is om vervolgens op te treden. Dat zijn de stappen. Er werd terecht gevraagd: oké, hoe zien die stappen er dan exact uit? Dat is onderdeel van de onderhandelingen. We zijn juist aan het onderhandelen over de criteria. Maar als diensten kunnen zorgen dat ze minder risico opleveren, dan hoeft er natuurlijk niet gescand te worden. Deze commissie is het volgens mij meer dan eens — dat is ook de agenda van deze commissie, voor zover ik het heb begrepen — dat al die bedrijven juist de eigen verantwoordelijkheid pakken. Daarom heeft de commissie mij gevraagd om ook met die bedrijven in gesprek te gaan, juist om ervoor te zorgen dat zo'n detectiebevel niet snel opgelegd kan worden.

Tegelijkertijd zegt mevrouw Van Weerdenburg dat end-to-end doorbreken de enige manier voor hen is om dat te doen. Dat steunen wij niet. Zij hebben daarin hun eigen verantwoordelijkheid. Ze kunnen de verantwoordelijkheden zelf inbouwen. Het is niet zo dat ik met die opmerking namens Nederland heb gezegd: dan moet je ook maar end-to-end kunnen doorbreken. Dat is het ook niet. Wel moeten ze blijven zoeken naar hoe ze die verantwoordelijkheid kunnen invullen. Daar zit echt een flinke verplichting in dat je dat oppakt en dat je dat ook doet. Maar ik kan nu niet uitschrijven hoe al die stappen eruit gaan zien, omdat dat nog onderdeel is van de onderhandelingen. Het enige wat ik vooral kan doen, is de kaders neerleggen zoals wij ze zien en de aanvullende kaders die ik vanuit de Kamer krijg daarin meenemen. Ik heb niet het idee dat we daarin heel veel verschillen.

Minister Yeşilgöz-Zegerius:

Nee, je moet twee dingen uit elkaar houden. Je hebt end-to-endencryptie en het idee achter end-to-endencryptie. Dat hebben we de afgelopen jaren vaker met elkaar gedeeld. End-to-endencryptie is een manier om je berichten te versleutelen nadat je op verzenden drukt. Dat heeft dus niets te maken met alles wat je daarvoor op je toestel doet. Even voor alle duidelijkheid: client-side scanning vindt plaats in het proces daarvoor, bijvoorbeeld als je tijdens het uploaden van een plaatje in een chat zit voordat je op verzenden drukt. Dat zijn dus twee verschillende momenten. Vervolgens heb je het idee end-to-endencryptie, namelijk dat niemand behalve jij en de ontvanger je berichten kan lezen. Het lastige daarvan is: dat gaat helemaal niet over technologie of hoe die werkt, dus ook niet over hoe die niet werkt voordat je op verzenden drukt. Het idee is dat als je een bericht verstuurt met deze technologie, niemand je berichten kan lezen. Dan is het de vraag, ook als je aan de voorkant zit ... Dat is natuurlijk de discussie die wij in essentie met elkaar hebben. De achterkant hebben we met elkaar, in mijn woorden, geseald. We hebben gezegd: dat gaan we niet doorbreken. Nu is de vraag of er aan de voorkant, voordat je op verzenden drukt, ergens een filter mag zijn voor kinderporno. Het gaat om bewezen kinderpornografisch materiaal, dus geen teksten, geen grooming en geen nieuw materiaal. Deskundigen zeggen dat we daar te strikt in zijn en dat je nieuw materiaal juist wel zou moeten opvoeren. Wij hebben als Nederland gezegd dat we dat niet doen, maar ik geef wel mee dat er vanuit die kant ook een risico is. Ik weet dat de Kamer dat weet, maar die balans is de andere kant uit gevallen. Dan moet je kijken: wil je altijd absolute privacy? Dat is een ding. "Absoluut" bestaat niet als je op zoek bent naar een balans, als je kinderporno wil aanpakken. Het komt erop neer dat we aan de voorkant moeten zoeken. We gaan niet aan de achterkant sleutelen.

Minister Yeşilgöz-Zegerius:

Mevrouw Dekker-Abdulaziz heeft gevraagd: wilt u een behandelvoorbehoud maken? Dat gaat niet zomaar. Wij kunnen niet eigenstandig een proces stilleggen. Ik hoop wel dat ik in ieder geval met alle waarborgen en de rode lijnen die ik net heb gedeeld ook heb kunnen laten zien dat we daar niet zomaar aan tafel zitten. We zijn een van de meest kritische landen, met een goede agenda, met duidelijke waarborgen en met een duidelijk verhaal hoe we het wel zouden willen hebben. Daar gaan we wat mij betreft op inzetten om ervoor te zorgen dat we de meerderheid van de landen aan tafel, die nu juist de verordening steunt zoals die voorligt, aan onze kant krijgen. Daar werken mijn mensen van het ministerie heel hard voor, ook in Brussel.

Vanuit het CDA is gevraagd: moeten er niet ook aanpassingen gedaan worden in het strafrecht om de aanpak van hosting en verspreiding van seksueel kindermisbruik effectiever te maken? In het strafrecht zijn op dit moment geen aanpassingen nodig. Het Wetboek van Strafrecht biedt al voldoende mogelijkheden om middels artikel 240b achter daders en verspreiders van kinderpornografie aan te gaan. Op basis van artikel 125p Wetboek van Strafvordering kan een bevel worden uitgevaardigd om het materiaal van een website of platform te laten verdwijnen. Daarnaast is, zoals ik net zei, met het wetsvoorstel ook voor een bestuursrechtelijke aanpak gekozen. Dan kunnen we snel en effectief optreden tegen aanbieders van communicatiediensten om de verwijdering van het materiaal af te dwingen.

Er was ook nog een vraag van de heer Slootweg over de dreigementen van WhatsApp en Signal om het VK te verlaten, wanneer encryptie gebroken wordt. Vanuit onze kant is het lastig om in te schatten hoe serieus die dreigementen zijn. De Online Safety Bill, waarin voorstellen worden gedaan om mogelijk illegale content zoals materiaal van seksueel kindermisbruik te detecteren op interpersoonlijke communicatiediensten, is nog in behandeling in het Verenigd Koninkrijk. Hoe dat er precies uit gaat zien, dat weten wij niet. De verklaringen van WhatsApp en Signal zullen waarschijnlijk meer een poging tot beïnvloeding van de behandeling zijn, van het parlementaire proces voordat de Online Safety Bill wordt aangenomen, omdat dat nu echt onderwerp van gesprek is.

Vanuit het CDA is ook het volgende gevraagd. Rechtmatige toegang tot communicatie is belangrijk, maar bij Signal en WhatsApp lopen we daar ook op vast vanuit de overheid. Wanneer is het moment gekomen dat we kunnen ingrijpen? Zoals gezegd hebben we met de Kamer afspraken gemaakt over hoe we met encryptie omgaan. Een van de belangrijke afspraken is dat we end-to-endencryptie niet onmogelijk gaan maken, niet in Nederland en niet in Europa. Zoals heel vaak en vandaag weer is aangegeven: daar houd ik me aan. In de Europese context zoeken we uiteraard naar mogelijkheden om het huidige gebrek aan rechtmatige toegang aan te pakken, maar dat doen wij zeker niet alleen. Ik heb al toegezegd — die toezegging ligt denk ik al vijftien keer hier — dat als we ook maar iets doen op dat vlak, we dan eerst naar de Kamer komen.

Ook is vanuit het CDA gevraagd op welke wijze WhatsApp en Signal op dit moment medewerking verlenen als de noodzaak tot rechtmatige toegang er is. Zoals u ook kunt lezen in het rapport De rol van encryptie in de opsporing, geven WhatsApp en Signal aan dat zij geen toegang hebben tot de communicatie die over hun platforms wordt verstuurd, dus ook niet als deze door de rechter wordt gevorderd.

Dan ben ik ...

Minister Yeşilgöz-Zegerius:

Jazeker, die hebben we gelukkig. Dat is precies de balans waar je steeds naar zoekt. Als u mij vraagt of er een absoluut recht op iets bestaat, dan zeg ik dat dat volgens mij nergens bestaat. Je zoekt altijd een balans. In dit geval hebben we vaak het gesprek over de balans tussen privacy en veiligheid. Ik heb vaker, volgens mij ook in deze commissie, aangegeven dat ik vind dat we daar nog ouderwets naar kijken, alsof die twee dingen tegenover elkaar zouden staan. Dat is niet het geval. Er is vanuit het kabinet, vanuit de coalitie maar nogal luid ook vanuit de Kamer gezegd: end-to-end, daar komen we niet aan. Dat is een onderdeel van de technologie van de diensten van bijvoorbeeld WhatsApp. Je komt dus in die ingewikkelde toestand terecht.

Misschien kan ik er iets aan toevoegen wat even losstaat van WhatsApp en Signal en wat ook waar is. Er is natuurlijk sindsdien veel gebeurd. We proberen de ruimte in die balans te vinden. En ondertussen, als het bijvoorbeeld gaat over criminelen en georganiseerde misdaad — die elementen gebruiken dit soort diensten maar ook veel andere diensten helaas ook — dan zie je dat wij in ons land, binnen de mogelijkheden die we hebben, de beste rechercheurs van de wereld hebben die die beveiligde diensten gewoon hebben gekraakt. Dat bestaat ook. Je bent altijd op zoek naar een balans. Wij hebben letterlijk de beste van de wereld. Zij hebben ervoor gezorgd dat ontelbare berichten uit die bestanden zijn gekomen en dat wereldwijd de internationale aanpak van georganiseerde misdaad naar een heel nieuw niveau is getild. Die kant bestaat ook en daar ben ik erg trots op.

Minister Yeşilgöz-Zegerius:

Een paar dingen. Toen we het debat, een discussie over end-to-end hadden ... Althans, het was niet echt een debat, een discussie; we waren het vrij snel met elkaar eens dat we niet aan de encryptie moeten komen. Ik heb toen ook tegen deze commissie gezegd dat ik altijd zal blijven zoeken — dat doen dan de knappe koppen, niet ik ­- naar die ene unicorn. Ik heb daar nog een hele discussie met mevrouw Van Weerdenburg over gehad. We hebben die unicorn in het midden gelaten; dat is de olifant in de kamer. Als die ergens oppopt — die toezegging herhaalde ik net weer eens — en als er een alternatief komt om wel in die berichten te kunnen zonder end-to-end aan te tasten, dan is de eerste plek waar ik erover spreek hier in de Kamer: wat vinden we daar nou van? Zover zijn we niet.

Bedrijven als Meta opereren wereldwijd. Als land ben je dan geen match. Je moet zorgen dat je er in Europees verband afspraken over maakt en dat je het daar regelt. We zetten erop in dat we ze daar als gesprekpartner hebben en we zorgen voor de verantwoordelijkheid die ze zelf moeten pakken. Alle oplossingen waar wij naar zoeken, zullen met behoud van end-to-endencryptie zijn, maar we zullen niet stoppen met zoeken naar oplossingen en het geven van die verantwoordelijkheid aan bedrijven binnen de context waarin je werkt, binnen de context van het laten bestaan van end-to-end: wat kan je doen om ondertussen de criminelen die daar misbruik van maken wél aan te pakken? Dat moet volgens mij een gezamenlijke strijd zijn, niet alleen in Europees verband, maar ook met die bedrijven. En zij moeten die verantwoordelijkheid absoluut voelen.

Minister Yeşilgöz-Zegerius:

Ik moet zo even terugkomen op de tweede vraag. Ik kan mij wel herinneren dat ik het antwoord heb gezien, maar ik weet niet zeker of het in het mapje hierna zit. De zorgen die zijn geuit, gingen over de situatie van minderjarigen. Die is heel erg belangrijk en die nemen we juist ook mee in de onderhandelingen. Ik zal zorgen dat we in de brief die dit najaar komt ook nader ingaan op de zorgen die worden aangegeven door verschillende instanties die ook met dit onderwerp bezig zijn: hoe borg je dat en hoe plaats je dat? Wij hebben heel veel contact met alle organisaties en proberen juist de zorgen mee te nemen in de onderhandelingen.

Daarnaast heb ik nog even een aanvulling, voordat ik hopelijk straks terugkom op de tweede vraag. Nogmaals, client-side scanning is een uiterst redmiddel. Daarmee is dus op geen enkele wijze gezegd dat dat een ding is. We kijken naar alle alternatieven, alle andere manieren om het op te lossen. Er is hier niemand die hier dogmatisch aan hangt: dat is wat het moet zijn. Dat is niet aan de orde. Het enige wat we in die brief hebben gezegd, wat ik hier ook vraag en wat mijn inzet is, is: geef dat uiterste redmiddel niet weg, maar laat mij de ruimte om die waarborgen te regelen. En als er alternatieven zijn, graag. We zeggen helemaal niet dat we daar dogmatisch aan vasthouden.

Minister Yeşilgöz-Zegerius:

Ik denk dat we daar dus ... Ik wilde zeggen "van mening verschillen", maar het moet uiteindelijk altijd gaan over de feiten bij dit soort zaken. Bijvoorbeeld die hashtagservice is bewezen effectief. Is het 100% betrouwbaar? Niks is dat, maar het heeft wel een zeer kleine foutmarge. Mevrouw Van Weerdenburg zei: onderbouw dat voor me, zodat we het dan over de feiten kunnen hebben. Dat heb ik al toegezegd. Ik denk dat het nogal belangrijk is dat we het op die manier doen, dus dat komt zeker.

Ik kan meteen de tweede vraag afdoen, en dan heb ik het volgende mapje. De andere mapjes zijn niet zo dik meer. De tweede vraag van mevrouw Dekker-Abdulaziz ging over de chatplatforms. Die zijn meestal geen bad hosters. Bedrijven als WhatsApp houden zich aan de wet. Zij zijn niet moedwillig criminaliteit aan het faciliteren. We proberen ze natuurlijk wel ook aan de andere kant medestrijder te maken tegen criminaliteit, maar ze zijn niet bezig met moedwillig criminaliteit te faciliteren. Als er wel bad hosters zijn die moedwillig criminaliteit faciliteren, dan kunnen zij ook strafrechtelijk worden aangepakt. Op die manier maak je daar dan het onderscheid.

Dan was ik bij de aanpak vitaal ...

Minister Yeşilgöz-Zegerius:

Ik ga het nog één keer proberen. Mevrouw Van Weerdenburg maakt het een beetje moeilijk door alles bij elkaar te vegen. End-to-end, daar komen we niet aan. Er zijn experts die zeggen dat client-side scanning goed kan. Diezelfde experts geven de waarborgen en de kaders aan waarmee dat goed kan. Grondrechten zijn nooit absoluut. Ik wil mevrouw Van Weerdenburg graag uitnodigen bij andere commissies waar ik vaak met de PVV in debat ga. Geloof mij, privacy is niet absoluut, ook niet voor de PVV. Dat kan ook niet, want grondrechten zijn dat niet. Inbreuken zijn toegestaan als de noodzaak er is. Dat is dan bij de wet voorzien. Er zijn waarborgen omheen. We zorgen voor een rechterlijke toets. Er is absoluut geen sprake van dat zonder dat je enige rechten hebt zomaar iedereen bijvoorbeeld in jouw telefoon of bij jouw gegevens zou kunnen. Informatiedeling, zorgen dat we criminelen voor zijn, zorgen dat we acteren, dat is minstens net zo belangrijk. Die grondrechten wegen we tegen elkaar af. Dat doen we hier ook. We hebben gezegd dat we niet aan end-to-end-encryptie komen.

De heer Slootweg zegt dat er wel een hele ingewikkelde situatie ontstaat waardoor je criminelen niet kunt pakken. Ja, zeg ik, maar in die balans hebben we daarvoor gekozen. Dan moet je maar andere dingen verzinnen, maar dat gaan we niet doen.

Vervolgens wordt er gezegd: dan gaan we het ook aan de voorkant verbieden. Dan zeg ik: doe dat nou niet. Doe het wel voor grooming als je daar niet bij wil kunnen en bij nieuw materiaal, waarvan experts zeggen: weet je zeker dat je dat wil uitsluiten? Wij zeggen als overheid, als kabinet: ja, dat willen we. Maar we zeggen ook: doe het dan wel voor bestaand materiaal. Elke keer is het een evenwicht. Het gaat over privacy, vrijheid, veiligheid als uitgangspunten. Maar als jij vervolgens iets heel fouts doet, moet de overheid wel in staat zijn om je te pakken. In die balans zitten we met elkaar. En in die balans hebben wij nu het standpunt ... Nogmaals, we staan daar in Europa nogal eenzaam in als een van de meest kritische landen. Ik hoop dat we de andere landen kunnen overtuigen om niet met de verordening mee te gaan zoals die voorligt, maar juist meer aan onze kant te staan. Daardoor heb je inderdaad een betere balans tussen privacy en veiligheid, en volgens mij kan dat. Maar doen alsof het gaat over absolute grondrechten? Nee, dat zijn ze namelijk nergens. Dat is de balans waar je als wetgever altijd naar zoekt, waarbij je zorgt voor waarborgen en een rechterlijke toetsing.

Dan ben ik ...

Minister Yeşilgöz-Zegerius:

Diezelfde mensen in Nederland willen ook dat kinderporno wordt aangepakt. We moeten het debat niet zo voeren, maar als ik dit verwijt steeds krijg, dan geef ik het wel terug. De keuze is aan mevrouw Van Weerdenburg. Ik heb het verwijt niet op deze manier gemaakt, maar als ik het krijg, dan krijgt mevrouw Van Weerdenburg het ook terug. Diezelfde mensen willen óók dat kinderporno wordt aangepakt. End-to-endencryptie wordt niet aangetast. Privacy wordt deels en onder waarborgen aangetast als de rechter zegt dat dat is toegestaan omdat er aan die waarborgen is voldaan, zoals we dat op zó veel plekken in ons wetboek hebben geregeld. Op die manier zorgen we dat we ook criminelen kunnen aanpakken, slachtoffers kunnen beschermen en criminaliteit en slachtoffers kunnen voorkomen. In die balans zit ik. Het zou kunnen dat we er niet samen uit komen, maar maak er geen polariserend debat van, want daarvoor is het te belangrijk, te complex en te technisch. Doe dat niet.

Minister Yeşilgöz-Zegerius:

Dan ben ik bij de aanpak voor bescherming van vitale infrastructuur. De VVD vroeg of het kabinet bereid zou zijn om met vitale aanbieders met het "analoog, tenzij"-principe te gaan werken, oftewel dat er altijd analoge terugvalopties moeten zijn waar dat kan. Ik kan misschien iets van een inleiding geven bij dit antwoord, want ik snap waar mevrouw Rajkowski naar op zoek is, maar ik kan meteen zeggen dat honderd procent "analoog, tenzij" niet gaat. De Wetenschappelijke Raad voor het Regeringsbeleid benoemde in 2019 al het belang van voldoende back-up- en terugvalopties. Als gevolg van verdergaande digitalisering zijn er nauwelijks analoge of handmatige terugvalopties beschikbaar voor de digitale aansturing van vitale processen. De NCTV bijvoorbeeld vroeg niet specifiek om analoge terugvalopties, maar om terugvalopties. Je moet dus kijken waar analoge terugvalopties mogelijk zijn, maar als er andere opties zijn, dan zal je die ook moeten pakken. Dat is afhankelijk van het product, de dienst en de mogelijkheden die er dan zijn. Het is ook heel belangrijk om te blijven sturen op de continuïteit van vitale processen. In onze optiek gaat het dus over de terugvalopties, die analoog of digitaal kunnen zijn.

De zorg voor het inbouwen van alternatieve werkwijzen bij uitval is voor iedere organisatie dus maatwerk. En de inrichting van een alternatieve werkwijze, zoals een analoge terugvaloptie, zal echt haalbaar en proportioneel moeten zijn en dat zal niet altijd mogelijk zijn. De afweging vindt vervolgens plaats op basis van risicobeoordelingen, wettelijke kaders en het belang van een geleverde dienst. Mijn antwoord is dus: ja, er moet altijd gezocht worden naar terugvalopties. Dat is ook een hele duidelijke lijn die we inzetten, maar het zal te veel maatwerk zijn om voor alle vitale aanbieders analoge terugvalopties te hebben. Als ik goed begrepen heb dat er werd gevraagd of er altijd een analoge terugvaloptie moet zijn, zeg ik nee. Maar op de vraag of er altijd een terugvaloptie moet zijn, zeg ik ja.

Dan heb ik nog een vraag van mevrouw Rajkowski. Zij vroeg of binnen de cyclus vitaal concreet wordt gescand op de aanwezigheid van producten of diensten van landen met een offensieve cyberagenda. Binnen de cyclus vitaal wordt concreet aandacht besteed aan risico's door afhankelijkheden. In de zogeheten weerbaarheidsanalyses die de vakdepartementen uitvoeren, wordt er dus gekeken naar afhankelijkheden van processen, grondstoffen, producten en diensten. Daarbij wordt er inderdaad ook expliciet getoetst welke afhankelijkheden er bestaan in relatie tot landen met een offensief cyberprogramma en hoe deze mogelijke afhankelijkheden worden meegenomen in risico- en crisismanagement. In het AIVD-jaarverslag kunt u ook zien dat dat bijvoorbeeld gaat over Rusland, China en Iran. Dat zijn landen met een offensief cyberprogramma. Vervolgens handel je daar op die manier op. Ook heeft het kabinet instrumenten ontwikkeld en uitgerold die vitale aanbieders kunnen helpen bij het veilig inkopen van producten en diensten. Ook wordt er gekeken naar wat de herkomst van een partij is, hoe die eruitziet en of sprake is van een offensief cyberprogramma vanuit het land van die partij en wat dat specifiek betekent voor inkopen bij die partij.

Dan was er vanuit de VVD ook nog de vraag over een scan. TNO gaat onderzoek doen bij een aantal geselecteerde vitale sectoren. We hebben een volledige screening nodig, waar de aangenomen motie ook om vraagt, zoals er werd gezegd. De uitvoering van de motie vindt primair plaats door middel van de cyclus vitaal. In de zogeheten weerbaarheidsanalyses die de vakdepartementen uitvoeren komt dit allemaal langs, zoals ik net al zei. Dat is wel een heel complex en omvangrijk traject. De vitale infrastructuur bestaat natuurlijk uit een groot aantal sectoren met daarbinnen een zeer grote hoeveelheid en verscheidenheid aan vitale aanbieders. Daarom is ook besloten om TNO aanvullend een casestudy te laten uitvoeren. Die is erop gericht om te bezien of de methodiek en opbrengsten aanleiding geven tot aanscherping van de weerbaarheidsanalyses en of er nog andere vervolgstappen nodig zijn. Om die casestudy vervolgens ook behapbaar te maken, is het aantal sectoren klein gehouden. In overleg met de vakdepartementen die daarover gaan, is er gekeken welke sectoren op korte termijn hieraan mee kunnen werken. De vraag zou kunnen zijn welke sectoren dat dan zijn, maar dit kan ik verband met de vertrouwelijkheid en de gevoeligheid van zo'n onderzoek niet delen.

Dan zou ik nu in theorie bij de uitvoering van de Nederlandse Cybersecuritystrategie zijn. Ik zie dat er geen vragen zijn. Mooi. Ik ga dan eerst in op de vraag van het CDA over het verplicht maken van cursussen over phishing voor bedrijven vanaf een bepaalde bedrijfsgrootte. Dat klopt toch?

Minister Yeşilgöz-Zegerius:

Ik denk dat mijn antwoord heel dicht bij die vraag gaat aansluiten. Ik denk dat het namelijk een heel goed idee is om binnen een bedrijf bewustwordingsactiviteiten te organiseren om phishing te herkennen. Er zijn inderdaad mooie voorbeelden van waar dat goed gaat. Vanuit het Digital Trust Center worden de mogelijkheden nu onderzocht om een vervolg te realiseren van de zogenaamde MKB Phishingtest, die eerder is toegepast. Bedrijven konden toen meedoen aan een digitale test met als doel het in kaart brengen en verbeteren van de veiligheid en de cyberweerbaarheid van de eigen organisatie. Er wordt nu vanuit het Digital Trust Center gekeken hoe we die MKB Phishingtest een vervolg kunnen geven. Vanuit het NCSC en het Digital Trust Center worden bedrijven ook gestimuleerd om risicoanalyses te maken en bijbehorende mitigerende maatregelen te nemen. Hieruit kan ook naar voren komen dat er bijvoorbeeld opleidingen voor werknemers nodig zijn. Precies zoals de heer Slootweg voorstelt, zullen bedrijven ook gestimuleerd worden om mee te doen en om hier vooral mee te gaan oefenen. Volgens mij is het dus een van de ambities om dat juist te stimuleren. Verplichten zou inderdaad allerlei ingewikkeldheden met zich meebrengen, maar met stimuleren kan je een heel end komen.

Volgens mij had de heer Slootweg ook de vraag over de implementatietermijn van de Europese richtlijn voor netwerk- en informatiebeveiliging, de zogenoemde NIS2-richtlijn. Dat is een omvangrijk en zeer complex traject. Naast de complexiteit is ook de impact van de richtlijn heel groot. Ten eerste is dat zo omdat er ten opzichte van de eerdere richtlijn meer sectoren en meer organisaties binnen de reikwijdte van de implementatiewet zullen vallen. De impact op deze sectoren en organisaties is heel groot omdat de richtlijn een zogenaamde zorgplicht in de vorm van beveiligingseisen en een meldplicht bij incidenten bevat. Ook voor de overheid is de impact groot vanwege het vereiste toezicht en de CISO-taken.

Door deze complexiteit en de impact is het natuurlijk van belang om het wetsvoorstel zorgvuldig uit werken — dat doen we bij elk wetsvoorstel, moet ik er wel bij zeggen — zodat alle betrokken partijen weten wat er van hen wordt verwacht. We hebben in mei van dit jaar de planning aangepast. Dat hebben we gedaan door de internetconsultatie te verschuiven naar het najaar van dit jaar. Dat betekent dat de wetten eind 2024 in werking zullen treden. Daar wordt dus hard aan gewerkt.

Dan had ik …

Minister Yeşilgöz-Zegerius:

Het goede is in ieder geval dat bedrijven er nu al mee bezig kunnen zijn. Ze hoeven er niet op te wachten. Ze kunnen nu al zien of de richtlijn ook op hen van toepassing is. Dat betekent dat we vooral ook het gesprek voeren om dit met elkaar zo veel mogelijk te doen. Ik denk dat het ook goed is dat wij in het vervolg bij de uitwerking en ook bij de internetconsultatie deze zorgen kunnen meenemen. Uiteindelijk willen we natuurlijk dat iedereen aan die richtlijn kan voldoen, want het doel is niet om boetes uit te delen. Ik zal zorgen dat we bij die internetconsultatie en de terugkoppeling daarvan expliciet op dit punt ingaan.

Minister Yeşilgöz-Zegerius:

Dank u wel. Wanneer kan de eerste voortgangsrapportage van de Nederlandse Cybersecuritystrategie ontvangen worden? Dat is een vraag van de PvdA. Dat is in het najaar van 2023.

Dan over inzichten in de bestedingen aan digitalisering. Zetten we daarbij ook in op het inzichtelijk maken van de inzet en de uitputting van de beschikbare middelen per pilot en actie? Zoals gezegd, komt dit najaar de voortgangsrapportage. Niet zo lang geleden hebben we met elkaar nog een ander debat gehad, een wetgevingsoverleg. Daarin heb ik aangegeven dat ik vanuit mijn rol bij mijn collega's op de verschillende departementen extra onder de aandacht zal brengen dat we graag hebben dat dit per pilot inzichtelijk wordt gemaakt. Dat gebeurt niet door ons, want dit moet door de vakdepartementen worden gedaan, maar ik zal de komende maanden het gesprek aangaan met de vakministers en de minister van Financiën om dit vorm te geven. Dat zal niet in de eerste voorgangsrapportage terugkomen, maar de toezegging dat ik de vakdepartementen daarop wijs, staat.

Het CDA vraagt hoe de minister aankijkt tegen de resultaten van het Digital Trust Center. Vergroot het de digitale weerbaarheid van het mkb voldoende? Hoe zit dat? Door het Digital Trust Center worden verschillende producten en tools ontwikkeld om de digitale weerbaarheid van grote en kleine ondernemingen te vergroten. De website is één middel om het midden- en kleinbedrijf te bereiken, maar er is bijvoorbeeld ook de CyberVeilig Check voor kleine bedrijven en voor zzp'ers. Daarnaast is er een netwerk van ruim 50 samenwerkingsverbanden waarin bedrijven elkaar helpen en ervaringen delen. Daarbij gaat het niet alleen om algemene informatie. Het kan ook gaan om heel specifieke dreigingsinformatie, waarmee kleine bedrijven ook echt worden geholpen.

Dan heb ik nog een vraag van de PvdA. Hoe kwetsbaar zijn overheidssystemen en waar liggen de grootste risico's? Overheidssystemen zijn zeer verschillend. Het is dus heel lastig om een algemeen beeld te hebben van de kwetsbaarheden in overheidssystemen. Dat heb ik dus ook niet. Alle overheidslagen hebben zich wel verplicht om de Baseline Informatiebeveiliging Overheid toe te passen. En in de Werkagenda Waardengedreven Digitaliseren van mijn collega, de staatssecretaris van BZK, staat ook een aantal acties om de informatieveiligheid bij de overheid te versterken.

Bijna ten slotte, voorzitter. De PvdA vraagt wat wordt gedaan om gelekte informatie op het internet op te sporen. De politie doet onderzoek naar criminelen die gestolen informatie doorverkopen. Er is echt een heel mooi voorbeeld van een dergelijk onderzoek en dat is de internationale operatie Cookie Monster, waarbij een marktplaats op het darkweb waar gelekte of gestolen informatie werd verkocht, is onderzocht. Niet alleen is deze marktplaats vervolgens ontoegankelijk gemaakt door de politie; het biedt ook weer heel veel concrete aanknopingspunten om gebruikers van zo'n marktplaats op te sporen. Het klinkt vriendelijk, maar de boeven zijn gepakt.

De laatste, over de Cyber Security Raad. De PvdA vraagt of de minister kan aangeven waarom de governance aangepast moet worden. Bredere advisering is daarbij van groot belang, maar kan vanwege de Kaderwet adviescolleges alleen plaatsvinden door een adviescollege dat met inachtneming van die kaderwet is ingesteld. En dat geldt nu nog niet voor de Cyber Security Raad. Dat is wat we gaan aanpassen.

Minister Yeşilgöz-Zegerius:

Ja. Zoals ik al zei, heb ik die vraag in eerste instantie geïnterpreteerd als: kan het altijd analoog zijn? Nou, er moet maatwerk zijn. Maar absoluut: die terugvalopties zijn cruciaal en ongelofelijk belangrijk, en die zijn nog lang niet overal aan de orde. Dat is ook waarom dit bijvoorbeeld voor banken en voor andere sectoren heel lastig is. Maar zij kunnen bijvoorbeeld wel diensten van elkaar opvangen. Er zijn dus allerlei manieren om dat te doen. En dat is waar al die organisaties waar we het zojuist over hadden, echt op drukken en bovenop zitten. Dat deel ik dus.

Minister Yeşilgöz-Zegerius:

Dat snap ik. Er is een toezichthouder per sector. Dat maakt het in die zin wel wat overzichtelijker. Als je één toezichthouder zou hebben voor alle sectoren, dan is dat heel complex, maar het gaat om een toezichthouder per sector. Zij hebben dus een beeld van wat wel of niet kan, bijvoorbeeld specifiek voor internetproviders. Zij kunnen het op die manier wel. Daarom is dit zo'n belangrijk onderdeel van de versterkte aanpak bescherming vitale infrastructuur. En we zorgen ervoor dat de toezichthouders goed uitgerust zijn om dat vervolgens wel te kunnen toetsen.

Minister Yeşilgöz-Zegerius:

Die zorgen zijn helemaal terecht, want dit onderwerp is pas "afgesloten", even gechargeerd gezegd, als je zeker weet dat het overal goed geregeld is. Daarom is dit ook zo'n belangrijk onderdeel van de versterkte aanpak bescherming vitale infrastructuur. Het is ook belangrijk dat bedrijven zelf aangeven hoe zij het willen organiseren. Dan heb je een toezichthouder per sector en vervolgens ga je kijken hoe bedrijven dat hebben aangegeven en of dat de lading dekt, even simpel geformuleerd. In de weerbaarheidsanalyse, die geactualiseerd is, is hier ook meer aandacht voor. Dus juist omdat er heel veel afhankelijkheden zijn en dit zo met elkaar verweven is, zijn terugvalopties heel hard nodig. Ik zou mevrouw Rajkowski nu zeker niet aanbevelen om te denken "nou, dan is het hierbij geregeld". Zo zit ik er zelf ook niet in. Het betekent dat we dit heel goed met elkaar moeten vormgeven. Zo zitten wij er ook in. Ik zal zo meteen vragen op welke manier wij hierover goed terugkoppelen, zodat mevrouw Rajkowski kan volgen hoe dat gaat, maar dat moet ik even checken. Dat zal zijn in één van de vele rapportages die uw kant op komen.

Mevrouw Van Weerdenburg (PVV):

Dank u wel, voorzitter. Een mission impossible. Een teleurstellend debat. PVV en BVNL hebben juist niet de aanval gekozen, zo van "boe, minister, je moet de motie uitvoeren". We hebben een constructieve houding willen aannemen door echt mee te denken en vragen te stellen. Ik ben er eigenlijk best wel verbaasd over dat daar geen enkel antwoord op komt.

Kijk, de minister is ervan overtuigd dat Nederlanders heel graag privacy opgeven om kinderporno te kunnen bestrijden, maar we hebben net de woordvoerder van het CDA gehoord, die aangaf dat dit wat hem betreft ook wel over criminaliteit in het algemeen kan gaan. Nou ja, goed. Nou hoop ik natuurlijk om meerdere redenen dat het CDA nooit meer in een regering komt, maar dat is dus wel die glijdende schaal die door andere sprekers al even is geschetst. Die hebben we in actie gezien. Als de techniek is uitgerold, dan is het een hele kleine moeite om daar van alles aan toe te voegen.

Mijn laatste vraag. Dit kabinet heeft gezegd: het percentage false positives als het gaat om grooming is voor ons te hoog, dus daarom willen we het detectiebevel niet op dat deel. Ik heb proberen aan te tonen dat ook het deel met hashing niet failsafe is. Ik heb gevraagd of we de cijfers van het EOKM wel goed interpreteren, want zij hebben daar zelf ook NB's bij gezet. Die informatie zou ik toch nog heel graag van de minister willen krijgen, en niet pas in oktober bij de update. Ik wil die eigenlijk per omgaande, zodat we daar in de zomer goed over kunnen nadenken.

Ik wil hierbij ook een tweeminutendebat aanvragen, omdat ik het een en ander ook in een motie vast wil leggen.

Mevrouw Dekker-Abdulaziz (D66):

Voorzitter. Ik wil heel graag ingaan op het behandelvoorbehoud. De minister wilde dat toezeggen. Het is natuurlijk een parlementair behandelvoorbehoud en dan wil ik dat dus toch heel graag vastleggen in een motie. Het betekent alleen dat de regering hiermee niet mag instemmen voordat een debat is gevoerd. Dat helpt de minister, denk ik, ook wel. Kan de minister mij geruststellen door ons deelgenoot te maken, bijvoorbeeld door een besloten inzage, van haar concrete inzet via een BNC-fiche? Want nu moeten we er gewoon maar van uitgaan dat haar inzet correspondeert met de onze. Zij wil haar onderhandelingspositie niet weggeven. Dat snap ik, maar misschien kan ze dus wel besloten inzage hierin geven.

Ik vind het wel jammer dat de minister niet helemaal in wil gaan op de waarborgen, omdat ze dit vergelijkt met strafvordering of niet. Wil ze alsnog ingaan op het idee dat een redelijke verdenking toch een deel moet uitmaken van zo'n bevel, omdat het best wel een hele grote maatregel is die genomen zou worden?

Dank.

De heer Slootweg (CDA):

Dank u wel, voorzitter. Ik wil de minister bedanken voor haar antwoorden. Ik begrijp echt de balanceeract waarin ze tussen verschillende grondrechten haar afweging moet maken. Ik denk dat het niet zal verbazen dat het voor ons echt totaal geen probleem zal zijn als het gaat om nieuw materiaal, maar het debat volgend, merk ik ook wel dat ik daar redelijk alleen in sta. Laten we toch wel even bij de kern blijven van waarom we dit willen. Het gaat natuurlijk wel om heel veel verwoeste levens die hier het gevolg van zijn. Ik zie graag een minister die wat dat betreft de mogelijkheden heeft om op te kunnen treden.

Een van de punten die ik toch wel erg lastig blijf vinden, is de macht die techbedrijven hierin aangeven en opleggen. De minister zoekt binnen de Europese Unie een soort bondgenootschap om dit op een goede manier te kunnen regelen, maar met betrekking tot bedrijven die wereldwijd acteren, hoop ik toch wel dat we naast gesprekken met de EU hierover ook met landen als de VS, Canada en Australië kunnen gaan kijken hoe we in gesprek met techbedrijven en met maatwerkafspraken toch tot iets kunnen komen waardoor we de het beschermen van kinderen in evenwicht kunnen brengen met andere grondrechten zoals privacy.

Mevrouw Rajkowski (VVD):

Dank, voorzitter. Dank ook voor het debat en alles wat er gewisseld is. Die complimenten over het samenvoegen van het NCSC en het DTC zijn vanwege tijdgebrek van mijn lijstje gevallen, maar het is zeker belangrijk om aan één loket te werken, dus complimenten daarvoor. We uiten wel vaker dat we die drie jaar wat lang vinden duren, maar de winkel blijft ondertussen open; dat is misschien nog wel belangrijker.

Voorzitter. Ik heb dan nog een vraag over die terugvalopties. De minister deelt dus onze zorgen over die terugvalopties, los van of ze al dan niet analoog zijn, maar wat gaat het kabinet dan nu concreet doen om ervoor te zorgen dat die terugvalopties er daadwerkelijk zijn? Blijkbaar zijn er nog zorgen over de vraag of ze er zijn. Die zorgen heb ik zelf ook.

Minister Yeşilgöz-Zegerius:

Dank u wel, voorzitter. Ik pak graag de … Ik wilde "de toenadering" zeggen, maar misschien bedoelt mevrouw Van Weerdenburg het niet zo. Maar mevrouw Van Weerdenburg had het over een constructieve houding, dus laten we daarop doorgaan. Dank daarvoor. Ik ben het wel ontzettend met haar eens. Ik heb hier de bronnen die ik nu wil meegeven. Ik weet dat het snel schrijven vergt om die te noteren, maar ze komen natuurlijk ook in de notulen. Die bronnen kunnen bij het tweeminutendebat dan meteen van toepassing zijn, dus om die reden ga ik ze hier toch even noemen. Ik baseer me op een aantal bronnen, onder meer op het onderzoeksrapport van het WODC, getiteld De rol van encryptie in de opsporing: Belemmeringen en mogelijkheden. Dat is gepubliceerd in 2023. Ik baseer me ook op onderzoeken van het National Center for Missing & Exploited Children, op onderzoeken van Europol en op een paar andere wetenschappelijke onderzoeken.

Volgens dat WODC-onderzoekrapport gebruiken online kindermisbruikers in toenemende mate online anonimiteit en encryptiehulpmiddelen om materiaal te maken en te delen. Zij gebruiken reguliere apps, reguliere apparaten en het darkweb. Volgens het onderzoek uit 2020 van het National Center for Missing & Exploited Children worden negen van de tien gerapporteerde URL's gehost in Europa. Ik haat het om al die afkortingen en het Engels elke keer te gebruiken, maar dat weten de ambtenaren inmiddels. Sorry daarvoor. Dit was overigens wel een logische afkorting, dus dit is geen kritiek naar de ambtenaren. 94% van deze meldingen waren op platformen van het bedrijf Meta, zoals Messenger, Instagram en WhatsApp. Europol en ook de Europese Commissie bevestigen het gebruik van peer-to-peercommunicatiekanalen, zoals Facebook Messenger, voor het delen van CSAM. Volgens deze verschillende wetenschappelijke onderzoeken wordt het gebruik van encryptiecommunicatieapps, zoals Signal en Telegram, populairder onder daders van kindermisbruik. En los daarvan weten we dat kinderpornografisch materiaal ook via deze berichtendiensten, zoals WhatsApp en Signal, wordt gedeeld. Daarom zou er onder zeer strikte voorwaarden en binnen die waarborgen gescand moeten kunnen worden op bestaand materiaal. Maar goed, dat hadden we al gedeeld.

Mevrouw Dekker-Abdulaziz vroeg wat de concrete inzet van de minister in Europa is. Het BNC-fiche is in juni vorig jaar gedeeld. Daar staat alles in. Daar staat ook die hele kritische noot in. Die is in die zin ook niet veranderd. We hebben ons standpunt dus ook niet verder aangepast. We zijn nog steeds kritisch.

Ten slotte over de terugvalopties: komend jaar werken de departementen aan het uitwerken van die weerbaarheidsanalyses waar ik het over had. Dan kunnen we volgend jaar een update geven over de voortgang van de versterkte aanpak bescherming vitale infrastructuur. Op die manier kunnen we ook inzoomen op wat wel en niet goed gaat. In die weerbaarheidsanalyses zijn er namelijk concrete acties aan gekoppeld, dus we kunnen vervolgens zien waar er wat extra's nodig is. Het is dus niet zo dat we alleen maar zeggen dat dit heel belangrijk is en dat we vervolgens constateren dat dit nog niet bij iedereen is geregeld. Daar hebben we namelijk niks aan. We zitten er dus extra bovenop en dat komt allemaal terug. Dat is boven op de huidige sectorale wetgeving, maar ik weet dat mevrouw Rajkowski dat ook weet. Denk aan water; dat is analoog. Denk aan telecommunicatie. Je hebt dus ook nog sectorale verplichtingen en daarbovenop komen deze weerbaarheidsanalyses. Elke sector zal zo'n weerbaarheidsanalyse doen. Die zullen dus we ook delen, of in ieder geval het beeld daarvan.

Minister Yeşilgöz-Zegerius:

Omdat het een jaar duurt en omdat we daar nu middenin zitten, denk ik dat dat volgend jaar zal zijn. Wanneer in het volgende jaar dat precies zal zijn, durf ik niet te zeggen, maar dit najaar treffen wij elkaar toch weer. Dan weten we hoe het er verder voor staat. Dan kan ik misschien ook een bepaald kwartaal aangeven.

Minister Yeşilgöz-Zegerius:

Ik ben nu een beetje aan het zoeken, want alles wat onze inzet op dit moment is, bijvoorbeeld wat betreft die waarborgen die ik zonet noemde, is al gedeeld. Die heb ik net gedeeld. Dat is de situatie waarin we zitten, maar we zitten ook in de situatie waarin de meerderheid van de Europese landen zegt: de verordening is al goed zoals die nu is. We proberen dus het debat hierover naar ons toe te trekken om die waarborgen vast te leggen die ik net richting mevrouw Dekker-Abdulaziz noemde. Het gaat dus in die stappen. Elke keer als we een stap verder zouden zijn — in die zin heb ik mandaat nodig om dit concreter te krijgen — dan zal ik zorgen dat we die waarborgen op de een of andere manier ook bij u kunnen ophalen. Maar wat de rode lijnen en de waarborgen zouden moeten zijn volgens deze Kamer voor als we toch die kant op zouden gaan, is helder. Daar hebben we met elkaar ook veel over gedeeld. Dit is dus de inzet. Ik hou me aan het BNC-fiche en ik hou me aan de waarborgen zoals ik die afgelopen maandag en vandaag heb gedeeld. We moeten nu eerst maar eens zorgen dat we überhaupt aan die waarborgen toekomen doordat andere landen samen met ons ook aan de kritische kant komen te staan.

Minister Yeşilgöz-Zegerius:

Dank voor deze vraag. Apple is inderdaad echt een heel mooi voorbeeld van een bedrijf dat probeert hier verantwoordelijkheid te pakken en dat naar manieren zoekt. Deze methodiek kennen de ambtenaren goed en het is een vorm van client-side scanning. Waar het om gaat, is dat we juist die balans aan het zoeken zijn, maar ik neem dit graag mee in een van de brieven die ongetwijfeld vrij snel gaan komen; dat ga ik nu hierbij toezeggen. Aan de ene kant gaat het immers om bewezen materiaal. Dan moet er dus ergens die herkenbaarheid zijn. We hebben net gezegd, behalve de heer Slootweg, dat nieuw materiaal ook kan, maar wij hebben gezegd: nee, dit is bewezen materiaal. Daar moet je dus eigenlijk die check op hebben. Dit is ook precies waar de Raadswerkgroep over onderhandelt; die neemt ook dit soort dingen mee. Wat ik graag wil doen, is dit meenemen. Ik denk dat we vlak na het reces een brief kunnen sturen, bijvoorbeeld over hoe we naar dit voorbeeld kijken, maar ook welke opties men nog meer bekijkt in die Raadswerkgroep — ik weet niet hoeveel daarvan gedeeld mag worden — en welke ontwikkelingen er zijn. Ik denk dat het juist interessant is om te kijken wat die opties zijn binnen de context waarin je probeert om op het juiste moment iets van het net af te halen of in ieder geval — zo moet ik het zeggen — te voorkomen dat het op het net komt. Ik neem dit dus mee, ja.

Minister Yeşilgöz-Zegerius:

En dan specifiek op het door mevrouw Van Weerdenburg genoemde voorbeeld van Apple. Dit zullen we verwerken ten behoeve van de JBZ-brief. Dan komt die ook precies op het moment dat mevrouw Van Weerdenburg wilde. Dat is ook in september, maar dan bundelen we het bij elkaar, want dan heeft u ook een moment om daarop in te gaan als u dat graag wil.

Minister Yeşilgöz-Zegerius:

Ja, dat klopt.

Minister Yeşilgöz-Zegerius:

Dus de hele weerbaarheidsanalyse, de opbrengst daarvan, komt daarin. Volgens mij hebben we de toezegging dan goed geformuleerd.

Minister Yeşilgöz-Zegerius:

Ja, oké. Ja, we kijken op welk detailniveau dat kan, want je kunt vanwege veiligheidsredenen waarschijnlijk niet helemaal per sector inzoomen, maar het verzoek is helder en wij kijken even op welk niveau dit kan. Maar dat heeft dan te maken met de vraag op welk detailniveau je die informatie kan delen. Dit najaar hebben we natuurlijk weer een commissiedebat. Laten we afspreken dat we dan concreter met elkaar formuleren hoe zo'n rapportage eruit gaat zien. Het is evident dat die volgend jaar gaat komen, maar dan kan ik dit najaar de afbakening daarvan communiceren. Dan kunnen we kijken op welk detailniveau dit überhaupt gaat lukken.

Minister Yeşilgöz-Zegerius:

Ja, maar dit ga ik dan wel toevoegen aan de brief over de JBZ-raad.

Minister Yeşilgöz-Zegerius:

En als ik dan misschien … Nee, daar bemoei ik me niet mee. Ik wilde iets zeggen over het tweeminutendebat, maar daar ga ik niet over.

Minister Yeşilgöz-Zegerius:

Ja. We gaan even kijken of dat misschien in de volgende rapportage over seksueel geweld kan. Er komen dit najaar een aantal brieven. Ik zorg dat het daarin terugkomt met een duidelijke verwijzing naar deze toezegging.

Minister Yeşilgöz-Zegerius:

Het is ook goed, want dan moet de heer Slootweg al mijn brieven lezen. Dat vind ikzelf een fijne toezegging van hem aan mij.