Terwijl de hele wereld half februari naar de Russisch-Oekraïense grens kijkt, vrezend voor wat Vladimir Poetin later een ‘speciale militaire operatie’ noemt, voltrekt zich in de studio van BNR Nieuwsradio een operatie van een heel ander kaliber: een pr-campagne die de geesten rijp moet maken voor meer armslag voor de Nederlandse inlichtingendiensten. 

Bij BNR’s Big Five is op 16 februari Jan Swillens te gast, de directeur van de militaire inlichtingendienst. Hij zegt zich zorgen te maken: ‘Er gaat geen dag voorbij dat Nederland niet wordt aangevallen in het digitale domein.’ Volgens hem zijn het vooral aanvallen uit Rusland en China waartegen Nederland niet veel kan uitrichten. 

Twee weken later – de ‘Slag om Kyiv’ is in volle gang – schuift Swillens aan bij de talkshow Op1. Hij spreekt opnieuw zijn zorg uit: ‘Wij kunnen op dit moment de digitale veiligheid van Nederland onvoldoende waarborgen.’ 

Mediaoffensief

De huidige wet op de inlichtingendiensten is volgens hem de oorzaak van dit probleem: ‘Wij hebben een wetswijziging nodig, of in ieder geval een aanpassing van de wet, zodat wij beter in staat zijn cyberspionnen die razendsnel, wereldwijd door de digitale omgeving gaan, in de gaten te kunnen houden.’

Die dag meldt hij zich ook in de Volkskrant, met hetzelfde geluid: ‘De dreiging is soms dichterbij dan je denkt. Daar willen we Nederlanders bewust van maken.’

Het mediaoffensief is tot in de puntjes voorbereid, zo blijkt uit documenten die Follow the Money in handen kreeg na Woo-verzoeken van Bits of Freedom, een stichting die opkomt voor digitale burgerrechten. 

Journalisten worden ingeschakeld om ‘zo nodig incorrecte berichtgeving bij te sturen’

De militaire inlichtingendienst is uit op meer bevoegdheden dan de wet nu toestaat, en heeft een communicatiestrategie uitgestippeld om die boodschap voor het voetlicht te brengen. 

Daarvoor worden ‘Haagse journalisten en vakjournalisten’ ingeschakeld. Er moet een interview komen in het AD om ‘zo nodig incorrecte berichtgeving’ bij te sturen. En oud-diensthoofden worden bijgepraat over het belang van de gewenste wetswijzigingen, zodat zij in de media hun steentje kunnen bijdragen.

Sta-in-de-weg

Maar niet alleen de wet is een probleem. Minstens zo’n grote sta-in-de-weg is de manier waarop de toezichthouder de bestaande wet uitlegt, vinden de diensten.

Elke keer als de (algemene of militaire) inlichtingendienst internetverkeer wil bekijken of aftappen, moet die eerst het eigen ministerie van de noodzaak overtuigen. Daarna is de ‘Toetsingscommissie Inzet Bevoegdheden’ (TIB) aan de beurt. Deze toezichthouder controleert voorafgaand aan zo’n operatie of de minister op rechtmatige gronden akkoord is gegaan.

Is dat niet het geval, dan geeft de Toetsingscommissie geen toestemming. Haar ‘nee’ is bindend. Ook als de minister akkoord is, mogen de diensten dan niet in actie komen. En de toezichthouder zegt vaker nee dan ze lief is.

De dan demissionaire ministers Henk Kamp (Defensie, VVD) en Kajsa Ollongren (Binnenlandse Zaken en Koninkrijksrelaties, D66) proberen daarom in het najaar van 2021 ‘bestuurlijke afspraken’ te maken met Mariëtte Moussault, de voorzitter van de Toetsingscommissie. 

Ze willen dat zij en haar collega’s de regels minder strikt interpreteren. Maar Moussault is met haar jarenlange ervaring als rechter niet van plan daarin mee te gaan.

Daarom treffen de bewindslieden tegelijkertijd voorbereidingen voor de ‘Tijdelijke wet cyberoperaties’, die er zo snel mogelijk moet komen. In hun eerste concept kunnen de inlichtingendiensten hacken, tappen en meekijken met cyberaanvallen van andere landen – zónder tussenkomst vooraf van de Toetsingscommissie.

Wat is hier gebeurd? Waarom is een kritische toezichthouder terzijde geschoven?

Frustraties over de bestaande wet

Deels zwartgelakte documenten (vergaderverslagen, e-mails, agenda’s) laten zien dat de inlichtingendiensten meer bewegingsvrijheid willen hebben. Linksom, door die los te peuteren bij de toezichthouder. Of rechtsom, door er een tijdelijke wet met soepeler regels doorheen te drukken, met behulp van een mediaoffensief.

Totdat die tijdelijke wet wordt ingevoerd, moeten de AIVD en de MIVD het doen met de Wet op de inlichtingen- en veiligheidsdiensten uit 2017, de ‘Sleepwet’, die in 2018 het onderwerp is van een raadgevend referendum.

Het belangrijkste bezwaar tegen die wet is dat die de inlichtingendiensten té ruime bevoegdheden zou geven. In hun zoektocht naar een enkele terrorist zouden ze volgens critici het internetverkeer van hele wijken, steden of zelfs provincies kunnen aftappen.

Nog voordat in 2018 een kleine meerderheid van de bevolking tegen ‘de Sleepwet’ stemt, zegt Ronald Plasterk, toenmalig minister van Binnenlandse Zaken, daarom toe dat er een extra toezichthouder komt. Naast de dan al bestaande Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD), die alleen tijdens en na een operatie toetst of die rechtmatig is of was.

Oordeel vooraf

Die nieuwe toezichthouder is de Toetsingscommissie Inzet Bevoegdheden (TIB) en die krijgt de opdracht om vooraf een oordeel te vellen over de inzet van ‘bijzondere bevoegdheden’ van de diensten – zoals het binnendringen in computersystemen en netwerken. Of het op grote schaal aftappen van internetverkeer, het afluisteren van telefoongesprekken en het gebruiken van DNA-profielen om verdachten te identificeren.

Zonder handtekening van de Toetsingscommissie mogen de diensten dus niet hacken en tappen

De Toetsingscommissie heeft drie leden. Mariëttte Moussault wordt voorzitter, een juridisch zwaargewicht. Ze was jaren raadsheer bij het gerechtshof in Den Haag en werkte ten tijde van een eerdere inlichtingenwet al op Binnenlandse Zaken als toezichthouder op de AIVD.

Het tweede lid met juridische knowhow is Lex Mooy, jarenlang officier van Justitie in Amsterdam en raadsheer bij het gerechtshof in Den Bosch. Het derde, technisch onderlegde lid is Ronald Prins: oud-AIVD’er en oprichter van cybersecurity-bedrijf Fox-IT. Die zal goed kunnen doorvragen naar technische details, waarvan de juristen minder kaas hebben gegeten. In 2020 wordt hij in die functie opgevolgd door Bert Hubert, ook oud-AIVD’er, succesvol softwareontwikkelaar en zelfbenoemd nerd. 

Bijvangst

Gedrieën kijken zij of de inzet van de bijzondere bevoegdheden van de diensten noodzakelijk, gericht en proportioneel is en of er geen lichtere middelen te bedenken zijn. Hun oordeel is – in tegenstelling tot dat van de CTIVD – bindend. 

Zonder handtekening van de Toetsingscommissie mogen de inlichtingendiensten dus niet hacken en tappen. De diensten moeten bovendien van tevoren garanderen dat eventuele ‘bijvangst’ van grootschalige internettaps – gegevens van onschuldige burgers – op tijd weer wordt verwijderd.

In de praktijk zegt de Toetsingscommissie vaker ‘nee’ dan de inlichtingendiensten en de twee betrokken ministers (van Defensie en Binnenlandse Zaken) wellicht vooraf hebben ingeschat.

Voorzitter Mariëtte Moussault zegt daarover in 2021 in NRC: ‘De verwachting was denk ik dat we drie keer per jaar voor de bühne iets als onrechtmatig zouden beoordelen. Dat we echt op de rem trappen vinden de diensten moeilijk te accepteren.’ 

‘Landen als Rusland en China kunnen doen wat ze willen, maar wij hebben ethische principes en regels’

Die rem maakt het werk van de diensten lastig, zegt minister Kamp in januari 2022 in diezelfde krant. Hij noemt als voorbeeld ‘dikke netwerkkabels die in Nederland aan land komen.’ De wijziging van de inlichtingenwet in 2017 was volgens hem bedoeld om onderschepping op die kabels mogelijk te maken. Maar, zegt hij, ‘dat is sindsdien nog niet gebeurd, omdat de toezichthouder een aanvraag [..] steeds afwijst.’ 

En dat zit hem niet lekker: ‘Eigenlijk zijn we met de handen op de rug gebonden. Landen als Rusland en China kunnen doen wat ze willen, maar wij hebben ethische principes en regels.’ 

‘Maar een uur om terug te hacken’ 

De frustratie is groot, ook bij de militaire inlichtingendienst. In een van de Woo-documenten is te lezen hoe directeur Jan Swillens zich voorbereidt op zijn optreden bij BNR Nieuwsradio. 

Hij wil daar ter sprake brengen dat hij ‘zo vijftien grote incidenten’ kan noemen die ‘in potentie ‘ontwrichtend’ en zelfs een ‘digitale 9/11’ hadden kunnen worden. Maar in onze ‘keurige democratie’ krijgt hij altijd van de Toetsingscommissie te horen: ‘dien maar een plan in’ en kan hij niet meteen tot actie overgaan. 

Zijn medewerkers adviseren hem in het interview duidelijk te maken dat zo’n toetsing vooraf onwerkbaar is: ‘Als wij zien dat een server wordt gehackt door [een Russische] inlichtingendienst, dan hebben wij vaak maar een uur de tijd om terug te hacken en het slachtoffer te waarschuwen.’

Uit de vrijgegeven documenten komt naar voren dat de ministeries van Defensie en Binnenlandse Zaken aanvankelijk proberen om de Toetsingscommissie tot een soepeler opstelling te bewegen. Ze hopen in oktober nog op een ‘minnelijke regeling’ met Moussault. 

Maar de ministers hebben al wel een stok achter de deur. ‘Mocht het maken van bestuurlijke afspraken een doodlopende weg blijken te zijn’ dan is er plan B: ‘De regering [ziet] zich in dat geval genoodzaakt [..] om tot een tijdelijke wettelijke regeling (spoedwet) over te gaan.’

De ‘minnelijke’ weg blijkt inderdaad doodlopend.

Op 15 november 2021 schrijft Friso Versluijs, de directeur juridische zaken van het ministerie van Defensie, aan demissionair minister Kamp: ‘veel van de bestaande knelpunten zijn niet zozeer ontstaan uit omissies of gebreken in de wet maar zijn te herleiden tot de wijze van invulling van de proportionaliteit- en subsidiariteitstoets en de toets op de gerichtheid door de TIB.’

Waar jarenlang werd gemord over de beperkingen van de inlichtingenwet komt de aap uit de mouw. De inzet van bijzondere bevoegdheden komt niet echt van de grond door de interpretatie van de wet door de Toetsingscommissie: die legt de wet veel te streng uit.

‘Mooie boel’

‘Dit zijn stukken die ik niet ken,’ zegt Mariëtte Moussault tegen Follow the Money over de verslagen van gesprekken met Kamp en Ollongren, en over de brief van directeur Versluijs. ‘Maar ik hoor interessante dingen.’

Moussault herkent zich niet in de kritiek van het ministerie: ‘In het algemeen kan ik zeggen dat de leden van de Toetsingscommissie tientallen jaren ervaring hebben met begrippen als proportionaliteit en subsidiariteit. Wij spelen niet voor wetgever en keuren geen verzoeken goed die tegen de wet ingaan. Het zou een mooie boel worden als wij zouden instemmen met dat soort ‘bestuurlijke afspraken’. De Toetsingscommissie onderhandelt niet, wij toetsen gewoon aan de wet.’

‘Ik moest verzoeken afwijzen op basis van de wet, die we gewoon hebben geïnterpreteerd volgens de wens van de Kamer’

Dat is ook de visie van Ronald Prins, die in juni 2020 bij de Toetsingscommissie opstapte. Dat deed hij onder meer uit onvrede met de inlichtingenwet uit 2017, zo vertelt hij aan Follow the Money. Die bood te weinig ruimte voor het noodzakelijke inlichtingenwerk.

Prins: ‘Ik worstelde elke dag met – in mijn ogen – legitieme verzoeken. Maar die moest ik afwijzen op basis van de wet, die we gewoon hebben geïnterpreteerd volgens de wens van de Kamer.’

Hij is verbaasd over de pogingen van Kamp en Ollongren om via ‘bestuurlijke afspraken’ tot een soepeler interpretatie te komen: ‘Je kunt niet zo’n zware commissie optuigen en dan verwachten dat die een oppervlakkige toets doet.’ 

In feite krijgt de Toetsingscommissie de zwarte piet toegespeeld van ‘knelpunten’ die zijn ontstaan doordat minister Plasterk op aandringen van de Tweede Kamer een extra toezichthouder instelde en die – na het sleepwetreferendum – opdracht gaf de diensten op een aantal punten extra streng te controleren.

Terwijl ze nog met Moussault in gesprek zijn, volgen Kamp en Ollongren de andere route al: ‘een tijdelijke wettelijke regeling’. Ze vinden het onverantwoord om te wachten op een volledige herziening van de bestaande inlichtingenwet – dat kan jaren in beslag nemen. De dreiging vanuit Rusland is in hun ogen te urgent. 

Buitenspel gezet

Ze werken daarom ‘alvast’ en ‘parallel aan de gesprekken’ aan een spoedwet. Hun concept wordt al op 26 november besproken in de ministerraad. De NOS bericht nog diezelfde dag dat de AIVD en MIVD ‘meer armslag’ krijgen. De Toetsingscommissie heeft het concept dan nog niet onder ogen gehad.

Zodra duidelijk is geworden dat Moussault de juridische toets vooraf niet laat uitkleden, wordt meteen ook minder belang gehecht aan de mening van de Toetsingscommissie, zo lijkt het. Minister Kamp besprak het concept voor de nieuwe wet begin november wél met Nico van Eijk van de CTIVD, maar niet met Moussault. En ook latere aanpassingen worden ‘enkel in overleg met de CTIVD’ verwerkt. 

‘Afschalen van het toezicht vooraf blijft niet zonder gevolgen’

De ministers maken haast. Zo blijkt uit de openbaar gemaakt stukken uit het najaar van 2021 dat ze een concept voor het wetsvoorstel nog vóór de kerstvakantie willen indienen bij de Tweede Kamer. Ook al moeten er dan ‘procesmatig’ wel een paar ‘forse shortcuts’ worden genomen. 

Uiteindelijk loopt het niet zo’n vaart, maar de druk zit er flink op. Op 1 april 2022, verschijnt het conceptvoorstel al online. Een storm van kritiek barst los.

De extra controle op het werk van de diensten die Plasterk had beloofd, is in het voorstel grotendeels ongedaan gemaakt: de toets vooraf door de Toetsingscommissie verandert in veel gevallen in een toets achteraf, door de CTIVD. 

‘Accent’

In de memorie van toelichting noemen de ministers dat zelf een ‘accentverschuiving’. Maar in een reactie schrijven Bart Jacobs, hoogleraar digital security aan de Radboud Universiteit in Nijmegen, en promovendus Rowin Jansen dat daarvan bepaald geen sprake is: ‘Het gaat om een stelselwijziging waarvan de gevolgen moeilijk te overzien zijn.’ 

Desgevraagd licht Jansen toe dat hij het desondanks wel begrijpelijk vindt dat het moment van de toets verschuift. Dan sluit het beter aan op het werk van de inlichtingendiensten. ‘Zij moeten vaak snel kunnen schakelen om zicht op vijandelijke aanvallers te kunnen houden.’

De Toetsingscommissie komt ook met een (kritische) officiële reactie, maar in aanvulling daarop publiceert commissielid en technisch expert Bert Hubert – op persoonlijke titel – een kritische blogpost. Hij verwijdert die snel, maar in een gearchiveerde versie is te lezen dat het afschalen van het toezicht vooraf ‘niet zonder gevolgen blijft’.

Het wetsvoorstel ondergaat vervolgens een paar kleine herzieningen en de Raad van State concludeert in juni dat het wegvallen van de toets vooraf ‘in voldoende mate’ wordt gecompenseerd doordat het toezicht van de CTIVD (tijdens en na een operatie) voortaan bindend wordt. 

Nico van Eijk – als voorzitter van de CTIVD toch de ‘winnaar’ ten koste van de Toetsingscommissie – kan zich ‘vanuit toezichtperspectief’ in het wetsvoorstel vinden. En ook Mariëtte Moussault lijkt aan boord. Er zijn ‘nog wat puntjes op de i’ nodig, maar het ‘totale toezichtstelsel is nu goed gewaarborgd’. 

Het sleepnet

Naast de ‘accentverschuiving’ in het toezicht, krijgen de diensten ook ruimere bevoegdheden. Die waren voor de Volkskrant zelfs reden om te concluderen: ‘Het gevreesde sleepnet is er sluipenderwijs toch gekomen.’ 

Ook Moussault ziet dat er sprake is van een ‘flinke uitbreiding’ van de bevoegdheden van de diensten. Maar over de wenselijkheid daarvan laat ze zich niet uit: ‘Dat is aan de Tweede Kamer.’ In haar eerdere officiële reactie was ze over die uitbreiding nog kritisch. 

Inlichtingendienstexpert Lotte Houwing van Bits of Freedom blijft zich zorgen maken: ‘Al met al gaat het hier om ingrijpende wijzigingen, waaronder een afschaling van het toezicht. En dat vind ik nogal wat voor een ‘tijdelijke’ spoedwet.’

De diensten lijken toezicht vooral als een last te ervaren, zegt Houwing. ‘En dat is schokkend. Het kan geen kwaad hen te dwingen goed na te denken voor zij hun ingrijpende bevoegdheden inzetten. In een democratische rechtsstaat is toezicht daarop noodzakelijk. Ze zouden daar juist blij mee moeten zijn.’ 

Hubert dreigt met opstappen

Kort voor publicatie van dit artikel hoort Follow the Money van een bron dat Bert Hubert zich terugtrekt uit de Toetsingscommissie als de Tijdelijke wet in zijn huidige vorm wordt aangenomen. Desgevraagd zegt Hubert: ‘Ik ga dat niet ontkennen’. Ondanks herhaalde pogingen geeft hij geen verdere toelichting. Het enige: ‘Als ik opstap, is dat op principiële gronden.’ 

Dit najaar stemt de Tweede Kamer over de ‘urgente’ Tijdelijke wet cyberoperaties. Daarna weet Jan Swillens van de MIVD of zijn mediaoffensief is geslaagd.

Van een cyberoorlog met Rusland merken we in Nederland intussen niet heel veel. Maar komt dat omdat er geen aanvallen zijn, of omdat de diensten die ook binnen de huidige wet prima kunnen afslaan?

Deze vrijdagochtend, kort na publicatie van dit artikel, kondigde Bert Hubert aan dat hij daadwerkelijk opstapt als lid van de Toetsingscommissie.
In zijn blog schrijf hij: ‘De reden voor dit vertrek is mijn zorg over de “Tijdelijke wet onderzoeken AIVD en MIVD naar landen met een offensief cyberprogramma”, die tot doel heeft het toezicht vooraf te beperken, het toezicht vooraf op de technische risico’s af te schaffen en die aanvullend een forse verruiming van de bevoegdheden van de diensten inhoudt.’