Kan een EU-inlichtingendienst onze digitale weerbaarheid versterken?

Bevoegdheden

Om te beginnen hebben cybersecuritybedrijven nooit genoeg informatie. Zij opereren vanuit het standpunt dat zij met alle informatie die zij maar kunnen bemachtigen, hun dienstverlening kunnen versterken. Momenteel bestaan diverse samenwerkingsverbanden tussen cybersecuritybedrijven onderling met (overheids)organen die gericht zijn op het delen van informatie binnen het veiligheidsdomein. Daarnaast bestaan er commerciële cybersecurityorganisaties die zich volledig toeleggen op het verzamelen van inlichtingen, maar zij stuiten op wettelijke beperkingen die voor inlichtingendiensten niet gelden. Inlichtingendiensten beschikken over unieke bevoegdheden en middelen om onze nationale veiligheid te waarborgen. Hierdoor kunnen zij gerichter en met meer capaciteit informatie verzamelen. Alles tezamen levert bruikbare en zelfs essentiële informatie op, maar nog steeds lang niet voldoende voor alles wat we zouden willen en moeten weten.

Uitwisseling tussen bedrijven kan beperkt worden uit concurrentieoverwegingen. Bovendien baseren cybersecuritybedrijven zich vaak alleen op praktijkervaring met waar hun klanten mee te maken hebben. Voor de inlichtingendiensten daarentegen gelden heel andere beperkingen. Zij delen alleen wat zij echt nodig vinden en daarbij kunnen belangen spelen die juist verhinderen dat bepaalde informatie wordt gedeeld. Denk aan zaken die geheim moeten blijven, bijvoorbeeld om te voorkomen dat statelijke actoren er lucht van krijgen dat zij gevolgd worden. Als deze informatie naar buiten wordt gebracht, stoppen deze actoren vaak hun activiteiten direct. De inlichtingendienst heeft dan het nakijken en kan niet meer te weten komen wie die aanvallers zijn en hoe ze te werk zijn gegaan, en raakt zo zijn informatiepositie kwijt.

In het algemeen speelt deze terughoudendheid een grote rol bij de informatie-uitwisseling tussen inlichtingendiensten onderling. Onlangs lieten de chefs van de AIVD en MIVD in een interview weten ‘minder inlichtingen’ te verstrekken aan hun Amerikaanse tegenhangers vanwege de onvoorspelbare politieke situatie in de VS. Omgekeerd delen de Amerikanen ook met de EU inmiddels minder informatie. Bovendien zijn er binnen de EU landen die nauwe banden hebben met Rusland, waardoor het met hen delen van bepaalde inlichtingen ook uitgesloten is.

Informatiepositie

Inlichtingendiensten zijn zeer beducht om hun informatiepositie te verliezen. Geheime informatie moet geheim blijven en het verstrekken van inlichtingen kan dat in gevaar brengen. Ik ken een geval waarin in een breed samenwerkingsverband een cybersecurityzaak werd aangepakt. Geheimhouding was daarbij absoluut noodzakelijk, maar hoe meer partijen over dezelfde inlichtingen beschikken, hoe groter de kans op lekken - al dan niet opzettelijk. Het duurde in dit geval niet lang voordat de aanvallers in kwestie iets in de gaten kregen en zij verdwenen dan ook van de radar om hun operatie elders voort te zetten. Bovenstaand is nog een reden voor inlichtingendiensten om erg terughoudend te zijn met het delen van informatie.

Voor cybersecuritybedrijven is de consequentie hiervan dat zij blind blijven voor wat de inlichtingendiensten allemaal weten. De vraag is of een EU-inlichtingendienst hier mogelijk verandering in kan brengen. Daarvoor zullen eerst enkele barrières overwonnen moeten worden. De eerste is überhaupt het verwerven van inlichtingen. Als de EU-inlichtingendienst dat zelf gaat doen, zal dat voor een groot deel dubbel werk zijn, aangezien nationale inlichtingendiensten zich hier ook mee bezighouden. De inlichtingendiensten van de lidstaten zullen dat immers ook doen en zullen alleen bereid zijn inlichtingen te delen als zij daar wat voor terugkrijgen. Zij geven dan hun inlichtingenpositie deels op en krijgen daar een andere inlichtingenpositie voor terug.

Vertrouwensbasis

Daarmee belanden we bij de tweede barrière. Wat is de vertrouwensbasis voor deze uitwisseling? Als die ontbreekt wordt er minder of zelfs niet uitgewisseld. Een extra complicerende factor is dat de ‘klassieke’ en digitale spionageactiviteiten niet meer goed te scheiden zijn. En als het om cybersecurityrisico’s gaat, worden die door de nationale diensten verschillend ingeschat. De (cyber)risico’s liggen bijvoorbeeld in Nederland anders dan in Polen. Politiek bevinden niet alle lidstaten zich op één lijn, waardoor het vertrouwen kan ontbreken om informatie te delen. Dan zijn er nog de gebruikelijke hindernissen als het om Europese samenwerking gaat, zoals uiteenlopende nationale wet- en regelgeving, wie wat bijdraagt aan geld en middelen en het gevaar van dubbel werk en bureaucratisering. Hierbij gaat het uiteraard om veel meer dan veiligheid in de digitale wereld.

De intentie om te komen tot een EU-inlichtingendienst is ondanks bovengenoemde barrières een goed initiatief vanuit het cybersecurityperspectief. Te hopen valt dat het Europese belang zwaar genoeg weegt om bovengenoemde barrières zo veel mogelijk uit de weg te ruimen. Het ligt voor de hand dat dit in principe meer kan opleveren dan wat de diensten van de afzonderlijke lidstaten kunnen. Om die reden is het verstandig om klein te beginnen met landen die elkaar vertrouwen en geopolitiek en strategisch op één lijn zitten. Naast politieke wil is ook vindingrijkheid nodig. In het verleden heeft Europa laten zien veel voor elkaar te kunnen krijgen: als de druk groot genoeg is, volgt die politieke wil snel.