‘Ik was al vroeg een nerd,’ zegt Bert Hubert. ‘Rond mijn zevende kregen we thuis een computer, een ZX Spectrum. Ik was op slag verliefd.’ 

Tijdens zijn studie natuurkunde in Delft pielt hij oeverloos met eentjes en nulletjes. Eind jaren ’90 breekt hij die studie af en gaat aan de slag bij internetprovider Casema. Een paar jaar later gaat hij naar de Algemene Inlichtingen- en Veiligheidsdienst (AIVD), waar hij ict-specialist wordt. Na drie jaar houdt Hubert het ook daar voor gezien. 

Ondanks omzwervingen via beveiligingsbedrijf Fox-IT, het Amerikaanse Netscout en zijn eigen bedrijf PowerDNS, blijft de wereld van de inlichtingendiensten trekken. Wanneer zijn voormalig zakenpartner Ronald Prins in de zomer van 2020 bij de Toetsingscommissie Inzet Bevoegdheden (TIB) vertrekt, solliciteert Hubert meteen. Hij wordt technisch lid van deze commissie, die toezicht houdt op de inzet van bijzondere bevoegdheden zoals hacken en het tappen van internetkabels door de AIVD en de MIVD. 

‘Het nettoresultaat is dat straks het volledige Nederlandse internetverkeer kan worden afgeluisterd’

In september 2022 stapt hij plotseling op. Hubert is het niet eens met de plannen voor een wet die de diensten ruimere bevoegdheden moet geven om cyberaanvallen van ‘statelijke actoren’ te onderzoeken en tegen te gaan. Die bevoegdheden gaan Hubert te ver, temeer daar het toezicht op de diensten tegelijkertijd wordt uitgekleed. Daardoor komen mensenrechten, zoals privacy, onder druk te staan. 

Hubert vestigt zijn hoop nu op de Tweede Kamer en neemt op 5 april deel aan een rondetafelgesprek over het wetsvoorstel. Bij Follow the Money licht hij de knelpunten van het wetsvoorstel toe en blikt hij terug op zijn tijd als toezichthouder. ‘Als toezichthouders en veiligheidsdiensten volwassen met elkaar waren omgegaan, was die nieuwe wet niet nodig geweest. Het nettoresultaat is dat straks het volledige Nederlandse internetverkeer kan worden afgeluisterd.’

U vergeleek de kabeltapmogelijkheden uit het wetsvoorstel met een Big Brother-achtige situatie: overal microfoons die alles opnemen. Is dat niet wat dystopisch?

‘Als dit voorstel wordt aangenomen, kunnen de diensten zonder wezenlijke toetsing vooraf een jaar lang alle informatie op (internet)kabels integraal afluisteren, zes maanden opslaan en met algoritmes doorzoeken. Elke kabel die ze maar willen, ongeacht wat er doorheen gaat of waar hij naartoe loopt. Het is bijna van Noord-Koreaans niveau.’

Als de inlichtingendiensten nu willen tappen of hacken, hebben zij volgens de huidige wet (Wiv 2017) vooraf toestemming van de TIB nodig. Die controleert of de inzet van die bevoegdheid in verhouding staat tot het beoogde doel, of er geen minder ingrijpend middel is, of de inzet noodzakelijk is en of die zo gericht mogelijk wordt ingezet. Die inhoudelijke toets wordt volgens Hubert uitgekleed.

Is er straks geen controle op internettaps meer? 

‘De diensten maken onderscheid tussen informatie die ze verzamelen en informatie die ze voor onderzoek gebruiken. De controle op die eerste categorie is straks verwaarloosbaar.

‘Ik zie eerlijk gezegd niet hoe een verzoek tot verkenning straks ooit nog kan worden afgewezen’

Ze hoeven alleen nog een indicatie te geven waarom ze een kabel willen tappen. Denk aan: “We hebben interesse in bepaalde staatshackers en misschien zitten die wel op deze kabel.” In de verkenningsfase ligt de lat nog lager. Omdat de eis vervalt om zo gericht mogelijk te tappen, hoeven de diensten straks alleen te zeggen dat ze willen weten wat voor communicatie er door een kabel gaat. Vervolgens mogen ze die een jaar lang tappen en die data een half jaar bewaren. 

In beide gevallen wordt de toets van de TIB en de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) gereduceerd tot checken of de aanvraagformulieren goed zijn ingevuld. De inhoudelijke toets verdwijnt. Ik zie eerlijk gezegd niet hoe een verzoek tot verkenning straks ooit nog kan worden afgewezen.’

De data die ze in de verkenningsfase verzamelen, mogen de diensten volgens het voorstel niet voor onderzoek gebruiken. Wat is dan het probleem? 

‘Die data wordt wel bekeken. Nu is er een kleine groep ambtenaren die erin mag grasduinen om te kijken of er verdacht verkeer tussen zit, bijvoorbeeld van een Chinees naar een Nederlands IP-adres. De ambtenaren mogen die informatie vervolgens intern doorgeven, met het advies nader onderzoek te doen en dat kan uiteindelijk tot een inhoudelijk onderzoek leiden. 

Het is een hellend vlak: alle informatie die tijdens de verkenning wordt verzameld, mag volgens het wetsvoorstel ook met met algoritmes en artificial intelligence worden doorzocht. Niemand weet hoe die geautomatiseerde data-analyse er in de praktijk zal uitzien, maar de reikwijdte van deze bevoegdheid wordt veel groter. Straks leest ChatGPT je mail, bijvoorbeeld.

Al die verkenningsdata mag straks bovendien ongezien worden gedeeld met buitenlandse inlichtingendiensten. Volgens de toelichting op het wetsvoorstel zou dat alleen voor technische assistentie gebeuren, maar in de wet zelf staat geen enkele beperking. Ga er dus maar van uit dat alle data die in deze fase wordt binnengehaald, integraal naar het buitenland gaat, zoals Amerika.’

De Raad van State adviseerde juist om in het wetsvoorstel vast te leggen dat deze data niet naar buitenlandse diensten mag, aangezien dat een ernstige inbreuk op de privacy vormt.

‘Het voorstel gaat op dit punt lijnrecht tegen dat advies in en de ministers motiveren niet eens waarom. Ze stellen simpelweg dat er situaties denkbaar zijn waarin een buitenlandse dienst over kennis of technische mogelijkheden beschikt die de AIVD en de MIVD verder zouden kunnen helpen. De privacyrisico’s voor Nederlandse burgers doen ze af met de belofte dat de diensten hun buitenlandse collega’s zullen verbieden om al die data voor inlichtingendoeleinden te gebruiken.

Dat is natuurlijk schreeuwend naïef. Je kunt nooit controleren of die diensten zich daaraan houden. En wat ga je eraan doen als ze dat niet doen? Je bent de controle over die data dan al kwijt.’

Hebben burgers daar last van? 

‘Het raakt aan fundamentele rechten en vrijheden. In Europa geldt de afspraak dat je niet zomaar wordt afgeluisterd. Alleen al die mogelijkheid werkt namelijk beklemmend, omdat het mensen voorzichtig of angstig maakt. Dat past niet in een rechtsstaat.’ 

MIVD-chef Jan Swillens zei eind februari bij BNR dat het wetsvoorstel de diensten zal helpen naar de ‘ongekende dreiging’ te zoeken.

‘Kennelijk wil die dienst liefst dat alle data die door de kabels gaat, langs hen stroomt, zodat zij alles kunnen onderzoeken en kijken of er rare dingen tussen zitten. Daar moet je bij het Europees Hof voor de Rechten van de Mens in Straatsburg mee aankomen. Het mensenrechtenverdrag zegt niet: “Diensten, ga lekker grasduinen en kijk maar of je iets vindt.” Je hebt je aan regels en universele mensenrechten te houden.’

De bedoeling is dat de tijdelijke wet alleen tegen statelijke actoren wordt ingezet. Kunnen we daar niet op vertrouwen? 

‘In feite zeggen ze: “We luisteren weliswaar alles af, maar dat geeft niet want we doen er niets mee.” De AIVD kennende denk ik overigens niet dat zij gelijk heel foute dingen zullen doen, maar feit is dat het wetsvoorstel de barrières tegen misbruik verzwakt. 

‘Met vertrouwen alleen kom je er niet. En als ik eerlijk ben, gaat het hier ook niet zo lekker met de rechtsstaat’

Dat is problematisch. Je weet niet wie er in de toekomst aan de macht komt en of zij de inlichtingendiensten voor eigen gewin willen inzetten. Dat is geen irreële gedachte, maar niemand in Nederland wil daarover nadenken. Maar kijk eens naar Spanje, Griekenland en Polen, waar veiligheidsdiensten de oppositie en journalisten afluisterden. Dat kon, omdat de wet daartoe de mogelijkheid bood en het politieke klimaat was veranderd. 

Met vertrouwen alleen kom je er niet. En als ik eerlijk ben, gaat het hier ook niet zo lekker met de rechtsstaat. Dit is niet het moment om de geheime diensten ruimere bevoegdheden te geven en minder toezicht te houden.’

De minister van Binnenlandse Zaken en de diensten stellen dat een verruiming van de bevoegdheden noodzakelijk is, vanwege de ‘toegenomen dreiging’ van landen als China en Rusland. Is die echt zo groot? 

‘Daar kan ik niets over zeggen. Maar ik ga ook niet zeggen dat de dreiging zo groot is als wordt beweerd. Kijk eens om je heen. Het voorstel stamt uit september 2021 en in de tussentijd is er nauwelijks iets stuk gegaan. Als de nood echt zo hoog was, dan hadden we intussen toch wel concrete voorbeelden van geslaagde aanvallen gehad?’

De diensten zeggen dat ze momenteel niet snel genoeg kunnen handelen. Volgens AIVD-chef Erik Akerboom is de huidige spoedprocedure niet voldoende en is de inzet daarvan ‘steeds meer regel’ geworden. 

‘Dat is gewoon gelul. Je kunt in de jaarverslagen lezen dat dit niet klopt. Het aantal spoedverzoeken ligt al heel lang rond de één per week. 

Overigens hebben de diensten dat op een zeker moment opgevoerd tot zes hack-verzoeken per week. Zo wilden ze laten zien dat het niet snel genoeg ging. Maar in een aantal gevallen zagen ze al weken van te voren aankomen dat ze wilden hacken; die spoedaanvragen waren puur voor de bühne.’

Maar is die spoedprocedure voldoende om aanvallers bij te benen? Minister Hanke Bruins Slot zegt van niet.

‘De argumenten voor de nieuwe wet zijn de verhoging van de handelingssnelheid en meer dynamische afspraken met toezichthouders. Dat kun je ook onder de huidige wet bereiken, maar dan moet je met elkaar praten. Dat is niet gebeurd. 

Kijk naar de stukken uit de Woo-procedures van burgerrechtenorganisatie Bits of Freedom. Daarin zie je dat vanuit de ministeries is geprobeerd bestuurlijke druk op de TIB uit te oefenen en toen de TIB niet wilde toegeven, besloot men de wet te wijzigen. Maar je ziet geen spoor van overleg om de samenwerking te versoepelen, zoals administratieve afspraken waardoor verzoeken sneller kunnen worden behandeld. Er is nooit werk van gemaakt.’

Volgens de minister is geprobeerd bestuurlijke afspraken te maken met de TIB, maar is een wetswijziging de enige oplossing. 

‘Die afspraken hielden in dat de TIB voortaan bij het kruisje kon tekenen en verder niet moest zeuren. Dat kan natuurlijk niet. Je vraagt een rechter ook niet of die de wet vanaf nu uitlegt zoals jij wilt. 

‘De diensten willen hierop simpelweg nul, nooit, nergens, van niemand toezicht’

Over simpele, administratieve afspraken is niet gesproken, terwijl dat de snelste en minst ingrijpende manier was geweest om knelpunten weg te nemen. Het forceren van een wetswijziging is dat niet. Het voorstel maakt procedures alleen maar complexer en dus trager, zoals de Raad van State ook al oordeelde. Het gaat kennelijk niet om snelheid.’

Waarom dan wel? 

‘Minder toezicht. 

Kijk naar de veranderingen rond zero days. Nu moeten de diensten die bij meerdere commissies melden, straks bij niemand meer. Sommige zero days zijn echt digitaal plutonium, daar moet je verstandig mee omspringen.

De diensten willen ze niet meer melden, omdat ze vinden dat zijzelf de juiste afwegingen kunnen maken, terwijl ze daarmee al eens de fout in zijn gegaan. Ze willen hierop simpelweg nul, nooit, nergens, van niemand toezicht.’

De minister, de diensten en de CTIVD zeggen dat het toezicht onder de tijdelijke wet niet vermindert, maar verschuift, omdat de CTIVD straks tijdens en na de inzet van de hack- en interceptiebevoegdheid bindend toezicht houdt. U bent het daar niet mee eens?

‘Er is een complete verschraling van het toezicht. Het bindend toezicht van de CTIVD wordt beperkt tot zes zeer nauw en limitatief opgeschreven activiteiten. Dat is veel beperkter dan nu voor de TIB geldt.

Controle tijdens of achteraf kost bovendien meer tijd en moeite. Ik zeg niet dat het niets zal opleveren, maar het is geen equivalent voor toetsing vooraf, waarbij je de uitvoering kunt verhinderen en fouten kunt voorkomen. Stel dat de gemeente pas kijkt of jij je aan je bouwvergunning hebt gehouden wanneer het huis er al staat. Dan ben je te laat.’

Andere experts, waaronder uw oud-zakenpartner Ronald Prins, achten de nieuwe bevoegdheden wel noodzakelijk. Hoe kan dat? 

‘Dat moet je hen vragen, maar vergeet niet dat praktisch iedereen in de cybersecurity-industrie er baat bij heeft enthousiast te zijn. Of juister: ze hebben er geen baat bij kritisch te zijn. Als je op televisie vertelt dat je de AIVD en de MIVD niet helemaal vertrouwt of de nieuwe wet geen goed idee vindt, is dat niet zo goed voor je business.’

Bits of Freedom vroeg via de Wet open overheid bij verschillende ministeries informatie op over de totstandkoming van de tijdelijke wet. Daaruit blijkt dat de diensten ‘steunzenders’ en ‘witte jassen’ hebben ingezet om hen in het maatschappelijk debat rond het wetsvoorstel bij te staan.

Is het gebruikelijk om particulieren voor pr in te zetten?

‘Ik snap dat de overheid draagvlak wil creëren, maar hoogleraren en mensen uit de cybersecurity-industrie actief inzetten in het maatschappelijk debat vind ik ver gaan.

Zeker omdat deze mensen er in de media niet bij zeggen dat zij zijn gevraagd die wet in een positief licht te stellen. Dat is raar. De rest van de wereld denkt namelijk dat deze mensen hun onafhankelijke, deskundige mening geven. Het is niet oprecht om te suggereren dat deze mensen louter het publiek voorlichten als je er niet bij zegt dat ze dat op jouw verzoek doen.’

Volgens Hubert gaat het om cybersecurity-experts als Ronald Prins en oud-diensthoofden als Rob Bertholee en Pieter Cobelens. Desgevraagd ontkennen zij door de overheid of de diensten te zijn benaderd om een positief verhaal te houden.

Uit de Woo-documenten die Bits of Freedom verkreeg, blijkt dat de voorzitter van de CTIVD zich in het publieke debat over de tijdelijke wet wilde mengen. Volgens een medewerker van Defensie ‘jeukten zijn handen’ om een kritisch krantenartikel ‘tegen te spreken’. Is het aan een toezichthouder om zoiets te doen?

‘Nee. Per definitie niet. Je kunt je als toezichthouder niet in dat debat mengen en anders moet je opstappen. Dat is precies waarom ik ben weggegaan.

Dit past wel in het beeld dat ik van de CTIVD heb, die meer met de ministeries praat dan je mag verwachten. Een toezichthouder mag de wereld niet te veel bekijken door de bril van degene op wie hij toezicht houdt. Dat is een lastige balans, want je kunt ook te veel afstand nemen, zoals bij de TIB denk ik het geval was. Je moet voldoende betrokken zijn bij de praktische aspecten van het werk van de diensten, en voldoende afstand bewaren om daar een objectief oordeel over te kunnen vellen. Als een toezichthouder gaat cheerleaden voor de AIVD en de MIVD maak ik mij grote zorgen.’

Maar de ‘steunzenders’ staan niet alleen. Ook andere instanties hebben kritiek op de huidige wet en wijzen daarbij mede naar de TIB. In 2021 stelde de Algemene Rekenkamer vast dat de slagkracht van de AIVD en de MIVD onder druk staat. Zowel de Rekenkamer als een onafhankelijke onderzoekscommissie stelden dat dit deels te wijten is aan de TIB, die aanvullende voorwaarden stelde aan de inzet van hacken en bulkinterceptie. In het nieuwe wetsvoorstel verschuift een groot deel van het toezicht naar de CTIVD.

Heeft de TIB haar eigen graf gegraven?

‘Deels. De diensten hebben enthousiast mee gegraven.’

Hoe bedoelt u? 

‘De TIB had veel meer kunnen kunnen doen om de verhouding met de diensten te verbeteren. Maar de diensten hebben echt hun best gedaan het de TIB zo moeilijk mogelijk te maken, zodat ze later konden zeggen: “Zie je wel, het lukt niet met dat toezicht, dus schaal het af of doe het achteraf.”’ 

Hoe uitte dat zich? 

‘Doordat ze onmogelijke stukken of aanvragen schreven. Daardoor duurde de behandeling langer en konden zij roepen dat de TIB de boel vertraagde. Of ze voerden de druk op met een verzoek voor een kabeltap die stante pede moest worden uitgevoerd, omdat het anders te laat zou zijn. Maar daar zat dan een ontzettend slordige onderbouwing bij, waarin ze het vertikten toe te lichten waarom die tap noodzakelijk was. Dan zet je een toezichthouder met zijn rug tegen de muur en zeg je: “Durf dit maar eens af te wijzen.” Het was écht niet best.’

Maar dat lag volgens u alleen aan de diensten? 

‘Nogmaals, de TIB had meer kunnen doen. Maar ik heb wakker gelegen van tapverzoeken waarvan ik dacht: hoe heftig moet de dreiging zijn wanneer je zulke grote kabels wilt afluisteren. Dan wil je overtuigd worden van de noodzaak, waarom interceptie voorrang moet krijgen boven de privacy van al die miljoenen mensen die ook worden afgeluisterd, en je wilt weten wat de AIVD met die informatie wil doen.

Maar als we daarnaar vroegen, kwam er vaak niets. Dan moesten wij het verzoek dus wel afwijzen. Hadden ze die verzoeken degelijk onderbouwd, dan was er gerede kans dat we toestemming hadden gegeven. Maar ze konden – of wilden – dat niet. Ze wilden dat de TIB mislukte.’

Dit gaat over nationale veiligheid. Wordt het spel zo hoog spel gespeeld? 

‘Ja, dat wordt het. Ik vind het ook echt… bijna onverantwoord. 

Helemaal nu dit heeft geleid tot een wetsvoorstel met allemaal ruimere bevoegdheden, terwijl we niet als volwassenen hebben geprobeerd om de knelpunten die er waren op te lossen. Bijna alles wat men met deze tijdelijke wet zegt te willen bereiken kan onder de huidige wet ook, maar dan met adequaat toezicht.’