Relaties tussen AIVD en MIVD en private digitale beveiligers

Hoe ver reikt de bewuste strategie voor coöperatie?

Chief Information Security Officers

De overstap van digitale specialisten van AIVD en MIVD naar het nieuwe bedrijf Eye staat niet op zichzelf. Dat is al tientallen jaren het geval. 

Triangular is een recenter voorbeeld en ook Ronald Prins switchte voor de tweede keer van publieke naar private sfeer. Blijven er 'innige relaties' bestaan?

Niet achter de geraniums

De AIVD heeft al sedert de jaren '70/'80, toen nog BVD,  (ex-)werknemers met specifieke technische kennis zien vertrekken naar de private sector; security en andere beveiligingsbedrijven. Vaak waren dat medewerkers die na hun pensioengerechtigde leeftijd de diensten moesten verlaten maar zich te jong voelden om 'achter de geraniums te gaan zitten’. Vervolgens bleken zij in de private sector meestal loyale aanspreekpunten voor de dienst(en): meer betrouwbare ogen en oren in de samenleving is een prettige bijkomstigheid.

De vraag luidt of de AIVD/MIVD bij vertrek van medewerkers afspraken hebben gemaakt met Eye. Zoals bedrijven, opgericht door oud-medewerkers van inlichtingendiensten in de VS en Israël, nog steeds ‘innige relaties’ kunnen onderhouden met de inlichtingendiensten.

Maar waarom zou een inlichtingendienst die zeer goed in staat is om coverfirma's op te bouwen - die op geen enkele wijze een zichtbare link hebben naar de diensten - nu wel verantwoordelijk willen/moeten zijn voor eventueel door de dienst gestuurde activiteiten van personeel van bijvoorbeeld Eye-verzekeringen? 

Jacht- en Visclub

AIVD en MIVD onderhouden verschillende professionele relaties met bedrijven. Ten eerste zijn dat voor de hand liggende contacten met Nederlandse en internationale multinationals, maar ook kleinere bedrijven. Deze contacten bestaan deels om uitvoering te kunnen geven aan de in de Wet op de Inlichtingen- en Veiligheidsdiensten opgenomen C-taak: het bevorderen van veiligheidsmaatregelen tegen concrete of voorstelbare dreigingen bij vitale instanties - van overheid tot bedrijfsleven - die van essentieel belang zijn voor het maatschappelijke leven.

Omdat de veiligheidsdiensten ook inlichtingendiensten zijn gebruiken zij deze contacten ook voor vertrouwelijke gegevensvergaring. Soms wordt structureel samengewerkt in officiële semi-intellectuele bijeenkomsten met lezingen en borrels. Voorbeelden daarvan waren de 'de Jachtclub' en 'de Visclub' door Constant Hijzen genoemd in zijn boek 'Vijandbeelden'.

In ‘de Jachtclub’ zaten beveiligingsambtenaren (BVA's) binnen de overheid, en in ‘de Visclub’ de beveiligingsinspecteurs (BVI's) van bedrijven die onderdeel waren van de vitale industrie. Deze BVA’s en BVI’s doorliepen de basiscursus van de veiligheidsdienst met het doel om het contact met de rest van het overheidsapparaat en het bedrijfsleven te onderhouden. Later speelden deze veiligheidsfunctionarissen een belangrijke rol in het spotten van betrouwbare gesprekspartners in binnen- en buitenland.

Ten tweede zijn er diverse bedrijven en andere organisatievormen -  de zogeheten undercover firma's - die de AIVD en MIVD zelf oprichten om in het geheim te kunnen werken. Waarover hier niets meer!

Triangular en Hunt&Hackett

Tot slot zijn er bedrijven zoals Eye, maar ook andere. Zo noemt Eye onder het kopje ‘vertrouwde partners’ de firma's 'Triangular Group' en 'Cyberveilig Nederland'. Triangular Group Intelligence, onderdeel van Triangular Group is in 2014 opgericht door ex-medewerkers van inlichtingendiensten en Special Forces, Ray Klaassens en Onno van Boven. Ze posten op hun LinkedIn pagina: ‘Wij zijn ontzettend blij met onze nieuwe partner EYE! EYE is een zeer gerenommeerde partij op het gebied van cybersecurity met wortels binnen onze Nederlandse inlichtingendiensten.’

Cyberveilig Nederland is de belangenvereniging van de cybersecurity sector waarin inmiddels een ruime en groeiende achterban van cybersecurity dienstverleners is vertegenwoordigd. 

Deze vereniging is de samensteller van het Cybersecurity Woordenboek. 

Dat Eye Control BV en de Triangular Group nauwe relaties hebben met Cyberveilig Nederland ligt voor de hand. Minder bekend is dat deze vereniging ook twee oud-AIVD'ers in de hoogste gelederen kent.

Ook Ronald Prins, oud-AIVD medewerker, oprichter van Fox-IT en recent lid van de  Toetsingscommissie Inzet Bevoegdheden (TIB), richtte deze maand een nieuw cybersecurity bedrijf (Hunt & Hackett) op. 

Prins: "Ik kan mijn kracht beter inzetten om Nederland via een bedrijf veiliger te maken dan dat ik dan via de overheidszijde kon.” 

Opnieuw zag Prins dat inlichtingendiensten door bestaande wet- en regelgeving gemuilkorfd worden en wil zelf de statelijke actoren Rusland, China en Iran gaan bestrijden. 

Samenwerkingsverbanden van diverse cybersecurity bedrijven hebben vanzelfsprekend blijvende aandacht van onze veiligheidsdiensten. Ongetwijfeld worden er met deze organisaties open en wellicht zelfs zakelijke relaties onderhouden, want dat levert beide partijen voordelen op.

Bedrijven als frontorganisatie?

Samenwerking is al intensief. In een vacature roept de MIVD (dus de militaire inlichtingendienst) op te solliciteren als cybersecurity-professional bij Defensie om relaties met het bedrijfsleven te onderhouden: ‘Defensie werkt samen met tal van Nederlandse en internationale bedrijven. Bij sommige opdrachten krijgen die bedrijven bijzondere informatie en/of staatgeheimen in handen. Als cybersecurity-professional zorg jij dat deze informatie altijd veilig is. Hoe? Door dagelijks in gesprek te gaan met bedrijven en die veiligheid te toetsen. Of dat nu bij de ZZP’ers op een zolderkamer is of met de leider van een multinational… Als een van de weinige medewerkers van de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) laat jij je gezicht zien in de commerciële buitenwereld.’

Zoveel wordt duidelijk: wie een mooie entree wil maken in de wereld van digitale beveiliging kan zich als specialist ontwikkelen bij AIVD en MIVD, met een uitstekende opleiding in deze complexe wereld van de cybersecurity. Daarna kunnen ze als volleerde specialisten de lucratieve overstap maken naar het bedrijfsleven.

 Hoe ver reikt de bewuste strategie voor coöperatie?

Een belangrijke reden voor de overgang is ook: bedrijven zijn anders dan AIVD en MIVD niet gebonden aan de strenge voorwaarden van de inlichtingenwet (Wiv 2017). Maar ze vallen net als elk bedrijf of elke burger wel als ‘doelwit’ onder de informantenbevoegdheid (Art. 39 Wiv).  De diensten zijn bevoegd zich (..) te wenden tot (..) eenieder die geacht wordt de benodigde gegevens te kunnen verstrekken.

Maar daarmee hoeven ze niet verloren te zijn voor de nationale veiligheid. Boeiend is de vraag of er sprake is van verdergaande formele samenwerking tussen de diensten en bedrijven. Zo blijft er beslist een band tussen bovengenoemde beveiligingsinstanties en de oude werkgevers AIVD en MIVD. Eens een ‘spion’, altijd een ‘spion’. En de inlichtingenwereld is er niet naar om dat aan de grote klok te hangen.

Eens een ‘spion’, altijd een ‘spion’

Dat geldt zeker voor de volgende intrigerende vraag: zetten de AIVD en MIVD, net als collega’s in de Verenigde Staten en Israël, met de hulp van oud-medewerkers bij bedrijven in gezamenlijkheid een gestructureerd soort van frontorganisatie op teneinde effectiever te kunnen werken dan in louter het overheidsdomein onder een strenge wetgeving?

Bestaat er een interessant programma om specialisten bij de AIVD en MIVD op te leiden voor latere functies in de complexe wereld van de cybersecurity? Cybersecurity instanties die zich niet of nauwelijks aan de Nederlandse inlichtingenwet hoeven te houden en tegelijkertijd ten behoeve van de diensten vallen onder de 'informantenbevoegdheid', artikel 39 WIV.  Ja, want de diensten zijn bevoegd zich (..) te wenden tot (..) eenieder die geacht wordt de benodigde gegevens te kunnen verstrekken.

Er blijft beslist een band tussen bovengenoemde beveiligingsbedrijven in de 'nieuwe wereld' en de oude werkgevers AIVD en MIVD. 

Eens een ‘spion’, altijd een ‘spion’.

Echter de vraag of en hoe deze bedrijven in Nederland operationeel worden ingezet, zal niet worden beantwoord. Vanwege de ‘heilige compartimentering’ binnen de inlichtingendienst zullen slechts weinigen het echt weten. En wat dan nog?

Dit is een bewerking van het artikel in 'Netkwesties' van 2 oktober 2020 

https://www.netkwesties.nl/1460/boeiende-relaties-tussen-aivd-en-mivd.htm

Toetsingscommissie TIB en inlichtingendiensten niet in balans

Vertrouwen Toetsingscommissie Inzet Bevoegdheden (TIB) en inlichtingen- en veiligheidsdiensten AIVD en MIVD geschaad

＆

Na twee jaar nog steeds geen goede balans tussen operationele noodzaak van AIVD en MIVD en de rechtsbescherming van de burger. De TIB ontdekt te vaak onregelmatigheden

De TIB schrijft in haar jaarverslag dat de inlichtingen- en veiligheidsdiensten AIVD en MIVD bij verzoeken om inzet van bepaalde bijzondere bevoegdheden de toetsingscommissie niet altijd volledig en een aantal malen ook onjuist heeft geïnformeerd. Dat laat de noodzaak zien dat de commissie alert moet blijven en dat haar bestaan legitiem is.

De toetsingscommissie is zelfs geneigd zich als een extra controlerend juridisch onderdeel van de diensten te profileren. Uit het jaarverslag blijkt dat verzoeken op basis van enkel en alleen het schriftelijke verzoek als ‘rechtmatig’ of als ‘onrechtmatig’ worden beoordeeld. 

Met enige regelmaat is het echter nodig om verhelderende vragen aan de diensten te stellen en vindt een definitieve beoordeling plaats na beantwoording daarvan. Het komt meer dan eens voor dat verzoeken gebreken vertonen, terwijl het de taak is van de afdelingen 'juridische zaken' van de diensten die gebreken te voorkomen, voordat die verzoeken naar de TIB worden gestuurd. 

Bovendien moet de TIB vaststellen of aan alle wettelijke vereisten wordt voldaan en beoordeelt daarnà verzoeken die met kleine verbeteringen opnieuw worden ingediend. Een taak die eigenlijk door de diensten zelf moet worden uitgevoerd.

Obstructie DG AIVD Rob Bertholee

Het is niet waarschijnlijk dat de AIVD en MIVD structureel onjuiste informatie verstrekten. De TIB noemt echter wel een dissonant uit de jaren 2018 en 2019. In één individuele casus is komen vast te staan dat het toenmalige hoofd AIVD, Rob Bertholee, het niet nodig vond bepaalde informatie aan de TIB te verstrekken, terwijl hij wel degelijk wist dat die informatie relevant was voor de beoordeling. Dat is schadelijk voor de vertrouwensrelatie tussen de TIB en de AIVD. Vooraf toetsen is in veel gevallen dus noodzakelijk gebleken.

Verstoring operationele onderzoeken

Zoals altijd zijn er meer kanten aan een verhaal. Het te nauwgezet toepassen van wetten, artikelen en regeltjes kunnen het inlichtingenproces ongewenst vertragen of zelfs stoppen. Het afwijzen door de TIB van verzoeken tot uitbreiding van onderzoekscapaciteit verstoort de noodzakelijke continuïteit in lopende inlichtingenoperaties. Het niet mogen doorpakken naar vervolgonderzoeken is schadelijk in een proces van ‘logische intelligence’.

Voor mensen die weinig of niets weten van ‘inlichtingenwerk in uitvoering’ en zelfs inlichtingenwerk en opsporingsactiviteiten door elkaar halen geef ik een simpele vergelijking. ‘Spionnenwerk’ lijkt op het(on)gericht zoeken naar artikelen in bijvoorbeeld bouwmarkten of het browsen op websites van mode- of meubelzaken. Na het vinden van gewenste artikelen wordt vaak gezocht naar bijpassende accessoires als hoed, das, gordijnen of vloerkleed. Websites vermelden ook zelf: “Klanten die dit item hebben gekocht, kochten ook...’.  Eerst nieuw boodschappenbriefje maken zoals de TIB dat wil, is dan raar.

AIVD en MIVD nog veel in het nadeel

In het inlichtingenproces herkennen we deze methodiek. De AIVD zoekt maar vindt toevallig ook nog iets anders. Dat heet bijvangst en leidt vaak tot nieuw onderzoek. Dit inlichtingenproces moet met zo weinig formele tussenstops of herstarts plaatsvinden, omdat de continuïteit en de dynamiek de resultaten ten goede zullen komen.

Dat moet de TIB dan niet als ‘onrechtmatig’ afkeuren. Het is namelijk prima te verdedigen dat verkenningen van zijwegen in reeds lopende operationele onderzoeken, vanwege de geboden accuratesse en snelheid niet langer (nogmaals) vooraf worden getoetst.

Doodzonde

Samenvattend. Het onzorgvuldig informeren van de TIB door de AIVD moet worden voorkomen. Een bewust foutief of weigeren te informeren van de TIB is een doodzonde, die sancties tot gevolg moet hebben. De TIB heeft aangetoond dat zij nog bestaansrecht heeft. De commissie is zelfs geneigd zich als een extra controlerend juridisch onderdeel van de diensten te profileren.

De huidige bezetting van drie leden van de TIB gaat zich absoluut wreken; er moeten meer leden bijkomen. 

Twee leden hebben brede ervaring binnen de rechterlijke macht, het derde lid bezit technische deskundigheid. 

Het uitgangspunt van de werkwijze van de TIB is dat alle leden alle verzoeken lezen en vervolgens gezamenlijk beoordelen. 

De TIB betrekt daarbij ook uitspraken van het Europees Hof van de Rechten voor de Mens. Dat kost veel tijd en is soms lastig wanneer sprake is van verlof of ziekte van een van de leden.

Dit pleit voor uitbreiding van de TIB. Het is immers van groot belang om bij de beoordeling een goede balans te vinden tussen operationele noodzaak en rechtsbescherming van de burger.

Omdat is gebleken dat de AIVD de TIB niet altijd volledig en een aantal maal ook onjuist had geïnformeerd, was de TIB bovendien gedwongen de dienst extra vragen te stellen.  De TIB voert ook gesprekken met andere partijen dan de diensten, zoals experts uit de wetenschap, maatschappelijk betrokken organisaties, dienstverleners en andere (internationale) instanties die de rechtmatigheid van overheidshandelingen toetsen.  

 

De TIB heeft haar werkproces moeten aanpassen om de continuïteit van de onafhankelijke toetsing van de inzet van bijzondere bevoegdheden te garanderen. Ook moesten werkzaamheden worden uitgesteld. De bottleneck is dat de wet (Wiv 2017) geen ruimte biedt voor de aanstelling van plaatsvervangend leden. Dit alles bij elkaar is een mer à boire. 

Uitbreiding van de TIB moet dan ook dringend overwogen worden. Die nieuwe leden moeten beslist meer verstand hebben van - en liever nog, ervaring in – het inlichtingenwerk dan de huidige. Het is soms nodig om goed te kunnen beoordelen of continuïteit van de operationaliteit  in voorkomende gevallen belangrijk is dan (tijdelijk) uitstel door de TIB zelf. 

Of dat zelfs toetsing van de inlichtingenoperatie achteraf door de Commissie van Toezicht op de Inlichtingen- en Veiligheidsdiensten (CTIVD) de voorkeur verdient.

De TIB schrijft in het jaarverslag dat er met regelmaat overleg plaatsvindt tussen de Toetsingscommissie en de Commissie van Toezicht (CTIVD). Deze bijeenkomsten hebben het oogmerk ervoor te zorgen dat er sprake blijft van een gezamenlijke wetsinterpretatie ter bevordering van een uniforme en consistente rechtstoepassing. 

In het jaarverslag van de CTIVD in hoofdstuk 4 wordt ingegaan op het rechtseenheid overleg met de Toetsingscommissie Inzet Bevoegdheden (TIB). 

De CTIVD constateert hoge risico’s op onrechtmatig handelen bij de toepassing van geautomatiseerde data-analyse door de AIVD en de MIVD. Dit is een wettelijke algemene bevoegdheid van de diensten waarvoor geen toestemming van de minister of toetsing door de TIB is vereist. Hier ligt dus een primaire rol voor de CTIVD.

Tenslotte moet in de evaluatie van de wet (WIV 2017) later dit jaar bijzondere aandacht worden besteed aan de verhouding prestatiedruk van het inlichtingenwerk versus de mate van toetsing en toezicht. Belangrijk is dat zichtbaar wordt of processen en methoden niet te vaak tussentijds onnodig worden vertraagd, verstoord of zelfs gestopt.

Het blijft voor alle partijen een uitdaging de goede balans te vinden tussen de continuïteit van operationele methodieken van het inlichtingenwerk en het voldoen aan vertragende verplichtingen in de wet. 

De bureaucratie van de TIB - hoe wettig ook- zorgt dat balans nu te veel in het nadeel van de AIVD en MIVD uitslaat.