Grapperhaus: Verbod op handel in zerodays onwenselijk

De Tweede Kamer besprak gisteravond het initiatiefwetsvoorstel Wet Zerodays Afwegingsproces van Kees Verhoeven. Tijdens het debat beantwoordde minister Grapperhaus een aantal vragen over de omgang van zerodays door de overheid. Een van de vragen ging over de verhandeling van informatie over kwetsbaarheden, in het bijzonder zerodays. Volgens de minister kan kennis over kwetsbaarheden bijdragen aan de veiligheid van internet en onze gedigitaliseerde samenleving. Hij vindt daarom het niet wenselijk om het opdoen van kennis en het verkopen van die kennis te verbieden.

Deze laatste stelling zorgde voor verontwaardiging bij Tweede Kamerlid Kathelijne Buitenweg (GroenLinks) en Tweede Kamerlid Ronald van Raak (SP). Volgens hen is er geen voordeel te behalen bij het verhandelen van kennis over kwetsbaarheden. “Ik zie niet wat een kwetsbaarheid voor goeds kan doen. Het idee van die zerodays is dat het een onveiligheid met zich mee brengt”, aldus Buitenweg. Van Raak: “Een kwetsbaarheid in zo’n systeem is bedoeld om iets verkeerd mee te doen. Per definitie iets wat niet mag. Dat mag je dan verhandelen volgens de minister. Dat kan toch niet.”

Maar Grapperhaus bleef bij zijn standpunt. “Ik heb net gezegd dat het juridisch beperken van onderzoek kwetsbaarheden niet wenselijk is. Omdat je kennis wilt opdoen wat veilig is en wat niet veilig is. Ik zie de morele verontwaardiging ook niet zo. We willen juist weten of er software in onze maatschappij is waar kwetsbaarheden in zitten.” En even later: “We hebben in Nederland geen verbod op het opdoen van kennis over kwetsbaarheden en het daarmee aan de gang gaan. Als u vindt dat kunt u daar het initiatief toe nemen. Het is niet aan mij om dat te doen.”

Geen strakke regulering

Volgens de minister is ‘het een markt waar je niet een strakke regulering op moet zetten’. “Er zijn al een aantal dingen die vanuit het ministerie van Economische Zaken en Klimaat worden ondernomen om waar dat kan de handel over kennis in zerodays bij te sturen en, op de punten waar dat niet moet, in te perken.” De minister noemde het voorbeeld van exportcontrole van intrusionsoftware.

Het initiatiefwetsvoorstel van Verhoeven regelt centraal en wettelijk de omgang met onbekende kwetsbaarheden door inlichtingen- en veiligheidsdiensten, opsporingsdiensten en het Ministerie van Defensie. In het wetsvoorstel wordt een uniform afwegingskader voor de omgang met kwetsbaarheden neergezet waarbij een gezamenlijke besluitvormingsprocedure wordt gevolgd met een afwegingscommissie en een adviescommissie en een gezamenlijke toezichthouder.