Kaspersky blijft in de ban bij Nederlandse overheid

Het besluit van het kabinet om Kaspersky-software in de ban te doen is volgens de minister "uiteraard genomen op basis van een zorgvuldige voorafgaande beoordeling van de mogelijke risico’s". Concreet bewijs is echter niet openbaar gemaakt, wat het besluit op criticasters doet overkomen als een politieke of diplomatieke daad. De van oorsprong Russische leverancier van securitysoftware is eerder in de Verenigde Staten al in de ban gedaan.

Niet overtuigd

Grapperhaus schrijft nu aan de Tweede Kamer dat de door hem aangegeven beoordeling van de mogelijke risico's is gedaan "aan de hand van factoren die het kabinet ook in andere gevallen, zoals bij de vernieuwing van C2000, hanteert". Kaspersky Lab heeft in een brief van 1 maart 2019 protest aangetekend en gesteld dat de beoordeling deels op onjuiste aannames berust. Daarnaast heeft het bedrijf maatregelen getroffen om eventuele zorgen over de integriteit van de aangeboden securitysoftware te borgen. Dit omvat onder meer de oprichting van een Transparency Center waar de broncode van de programmatuur valt in te zien.

Het protest, de weerlegging en de genomen maatregelen van Kaspersky Lab weten de minister van Justitie en Veiligheid echter niet te overtuigen. "Zoals ik in mijn brief in reactie op deze brief van 1 maart 2019 aan Kaspersky Lab heb laten weten, ben ik na beoordeling hiervan nog steeds van oordeel dat het gebruik van de antivirussoftware van Kaspersky mogelijke risico’s voor de nationale veiligheid heeft en er geen aanleiding is de voorzorgsmaatregel te heroverwegen."

'Heroverweging kan'

Formeel houdt Grapperhaus nog wel de deur open voor terugdraaien van de overheidsban op antivirussoftware van Kaspersky Lab. "Onverminderd geldt dat wanneer de omstandigheden die het kabinet hebben doen besluiten bovenbedoelde voorzorgsmaatregel te nemen, veranderen, dat aanleiding kan zijn om dat besluit te heroverwegen. Indien dit het geval is, zal uw Kamer hierover worden geïnformeerd." Het blijft echter de vraag wat voor veranderingen dat dan zouden moeten zijn, naast de inhoudelijke weerlegging door Kaspersky én door experts, plus nog de in reactie genomen maatregelen door de securityleverancier.

De eerder gegeven onderbouwing voor het vooralsnog onbewezen Kaspersky-gevaar bestaat uit drie punten. Allereerst stelde Grapperhaus dat antivirussoftware “uitgebreide en diepgaande toegang heeft tot ICT-systemen”. Ten tweede gaf hij aan dat Kaspersky Lab een Russisch bedrijf is en dus onder Russische wetgeving verplicht zou kunnen worden tot ondersteuning van het werk van inlichtingendiensten. En ten derde wees de minister erop dat de Russische Federatie een actief offensief cyberprogramma heeft.

Vrees voor Rusland

Laatstgenoemde is volgens de Nederlandse inlichtingen- en veiligheidsdiensten al jaren in de maak en mede gericht op Nederland en Nederlandse belangen. De ontwikkeling van deze “zeer aanzienlijke capaciteiten in het digitale domein” is door de aangehaalde diensten genoemd in hun jaarverslagen. Zowel het in de ban gedane bedrijf zelf als ook een juridische expert als professor Kaj Hober hebben de aanname van verplichte medewerking met inlichtingendiensten weerlegd. Verder is Kaspersky formeel verhuisd naar Zwitserland.