Wie bewaakt de digitale rechtsstaat?
Veiligheidsdiensten waarschuwen voor digitale dreigingen en bestuurders dragen verantwoordelijkheid voor digitale weerbaarheid. Maar kunnen volksvertegenwoordigers voldoende beoordelen of hun bestuur die verantwoordelijkheid werkelijk waarmaakt? Een eerste verkenning onder 26 volksvertegenwoordigers wijst op een mogelijk structureel probleem.
De dreiging van cyberaanvallen groeit, mede door de inzet van AI. Onlangs waarschuwde de NCTV om hun verantwoordelijkheid te nemen. De aandacht gaat primair uit naar de vraag of overheidsorganisaties voldoende maatregelen nemen. Er ontstaat daarmee automatisch ook een aanvullende vraag: wie controleert of die maatregelen toereikend zijn en of het bestuur de risico's daadwerkelijk beheerst? Gemeenteraden, Waterschappen, Provinciale Staten en de Tweede Kamer moeten het handelen van bestuurders kunnen beoordelen. Dat vraagt om meer dan het ontvangen van rapportages of het bespreken van incidenten. Het vraagt om inzicht in de risico's, de mogelijke gevolgen en de maatregelen die nodig zijn. De waarschuwingen vragen dus iets van de volksvertegenwoordiging, maar worden ze ook zo begrepen en daarna vertaald naar effectieve controle?
Digitale controle is democratische verantwoordelijkheid
Volksvertegenwoordigers stellen kaders, beoordelen beleid en vragen verantwoording van de besturen. De digitale afhankelijkheid van publieke taken zorgt ervoor dat digitalisering daar nadrukkelijk bij hoort. Sterker nog, het is voorwaardelijk geworden voor bijna alle dienstverlening om te komen tot goed bestuur, net als een onderwerp als financiën.
Onze volksvertegenwoordigers moeten kunnen beoordelen of het bestuur digitale risico's voldoende beheerst
Een bestuur kan melden dat beveiligingsmaatregelen zijn getroffen, audits zijn uitgevoerd en verbeterplannen lopen. Toch blijven materiele vragen dan mogelijk onbeantwoord. Zijn de belangrijkste risico's in beeld? Zijn de maatregelen voldoende? Kan de organisatie haar publieke dienstverlening voortzetten als een cruciaal systeem uitvalt? En wat gebeurt er wanneer een leverancier niet meer kan leveren? Om dergelijke vragen te kunnen stellen, moet een volksvertegenwoordiger de bestuurlijke betekenis van digitalisering kunnen herkennen en begrijpen. Ook moet de volksvertegenwoordiger kunnen beoordelen of de informatie van het bestuur voldoende is om tot een oordeel te komen.
Dat is natuurlijk iets anders dan zelf technische oplossingen bedenken. Het gaat hier om het vermogen om relevante risico's te herkennen, gerichte vragen te stellen, antwoorden kritisch te beoordelen en zo nodig aanvullende informatie of deskundigheid te vragen. Zonder die vermogens kan democratische controle formeel wel plaatsvinden, maar zal de inhoudelijke beoordeling tekortschieten. Bij een onderwerp dat zo bepalend is voor de uitvoering van publieke taken, is dit een serieus aandachtspunt.
Wettelijke verantwoordelijkheid maakt effectieve controle urgenter
De Cyberbeveiligingswet, die de Europese NIS2-richtlijn implementeert, legt de verantwoordelijkheid voor cyberbeveiligingsrisico's bij het bestuur voor organisaties die onder de wet vallen. Bestuurders moeten passende maatregelen goedkeuren en toezien op de uitvoering daarvan. Ook zijn er eisen rond kennis en opleiding. NIS2 maakt duidelijk dat cybersecurity niet uitsluitend een aangelegenheid is van de IT-afdeling of een externe leverancier. Het is expliciet een bestuurlijke verantwoordelijkheid.
Er is een verschil tussen verantwoordelijkheid dragen en daarop ook werkelijk gecontroleerd worden
Maar er is een verschil tussen verantwoordelijkheid dragen en daarop ook werkelijk gecontroleerd worden. Het dagelijks bestuur moet risico’s beheersen en toepasselijke wettelijke verplichtingen uitvoeren. De volksvertegenwoordiging moet kunnen beoordelen of het bestuur dat voldoende doet. Daarvoor is passende verantwoordingsinformatie nodig én het vermogen om die informatie te interpreteren. Een compliance-rapportage kan technisch correct zijn en aantonen dat aan bestaande normen wordt voldaan, zonder voldoende inzicht te geven in de vraag of de publieke belangen in de praktijk daadwerkelijk worden beschermd.
Eerste verkenning wijst op een blinde vlek
Om de digitale controlekracht van volksvertegenwoordigers concreter te onderzoeken, heb ik een verkennende vragenlijst ontwikkeld met 26 stellingen over onder meer digitale prioriteiten, bestuurlijke controle, risicobegrip, incidenten en digitale afhankelijkheden. Aan deze eerste verkenning hebben 26 volksvertegenwoordigers deelgenomen. Van de 26 respondenten is één afkomstig uit de Tweede Kamer, twee uit Provinciale Staten en 23 uit gemeenteraden.
Het meest opvallende resultaat betreft de stellingen over keteninzicht. Bij elk van de vier stellingen over keteninzicht gaven 25 van de 26 respondenten aan deze onvoldoende te kunnen beoordelen of controleren. Het gaat hierbij om inzicht in digitale afhankelijkheden en de risico’s die ontstaan wanneer een overheid voor haar dienstverlening afhankelijk is van leveranciers, technologieën of andere organisaties.
Dat is bestuurlijk relevant. Een overheidsorganisatie kan haar eigen systemen op orde hebben en toch kwetsbaar blijven door afhankelijkheden buiten haar directe invloed. Juist daar is het belangrijk te begrijpen waar de controle ophoudt, welke risico's blijven bestaan en welke afspraken of alternatieven beschikbaar zijn.
De resultaten moeten zorgvuldig worden geïnterpreteerd. Het gaat om zelfbeoordelingen en niet om een objectieve toets van de feitelijke vaardigheden van de respondenten. De verkenning bewijst evenmin dat alle volksvertegenwoordigers onvoldoende digitaal toegerust zijn. Het is wel een patroon dat aanleiding geeft om de digitale controlekracht van democratische organen breder en systematischer te onderzoeken.
Tekortschietende controle blijft onzichtbaar
De uitkomsten roepen een ongemakkelijke mogelijkheid op. Het probleem hoeft niet alleen te zijn dat digitalisering onvoldoende aandacht krijgt. Het kan ook zijn dat volksvertegenwoordigers niet altijd over het inzicht beschikken om te herkennen wanneer die aandacht tekortschiet. Een volksvertegenwoordiger die onvoldoende zicht heeft op digitale afhankelijkheden, vraagt mogelijk niet naar de gevolgen van het uitvallen van een leverancier. Wie risico's niet goed kan duiden, kan moeite hebben om te beoordelen of voorgestelde maatregelen voldoende zijn. En wie niet kan vaststellen welke informatie ontbreekt, heeft weinig aanknopingspunten om het bestuur gericht bij te sturen.
Wie niet weet welke vragen gesteld moeten worden, kan ook moeilijk herkennen welke informatie ontbreekt
Daarmee ontstaat een bestuurlijke blinde vlek. De informatievoorziening kan op papier geregeld zijn, de verantwoordingscyclus kan formeel functioneren en het onderwerp kan zelfs regelmatig op de agenda staan. Toch hoeft dat niet te betekenen dat de democratische controle ook inhoudelijk effectief is. Dit is geen vastgestelde verklaring voor het handelen van alle volksvertegenwoordigers. Het is wel een hypothese die serieus onderzoek verdient. Als we de digitale weerbaarheid van de overheid willen versterken, moeten we niet alleen onderzoeken welke maatregelen organisaties nemen. We moeten ook onderzoeken of hun democratische controleorganen voldoende in staat zijn om de werking en toereikendheid daarvan te beoordelen.
Verantwoording
De deelnemers aan deze verkenning zijn actief geworven binnen het eigen professionele en politieke netwerk van de auteur en via contacten uit dat netwerk waardoor selectie-effecten niet kunnen worden uitgesloten. De resultaten bieden zodoende een eerste inkijk in verschillende politieke en bestuurlijke contexten, maar geen representatief beeld van alle Nederlandse volksvertegenwoordigers.
Per stelling konden respondenten kiezen uit drie antwoordcategorieën: ‘Ik kan dit onvoldoende beoordelen of controleren’, ‘Ik kan dit redelijk volgen, maar niet goed controleren’ en ‘Ik kan dit zelfstandig beoordelen en controleren’.
Bij meer dan 50 procent van alle gegeven antwoorden gaven respondenten aan de betreffende stelling onvoldoende te kunnen beoordelen of controleren. Bij ruim 30 procent konden zij de stelling redelijk volgen, maar niet goed controleren. De best scorende respondent gaf aan 14 van de 26 stellingen zelfstandig te kunnen beoordelen en controleren. Bij de overige 12 stellingen gaf deze respondent aan dat niet zelfstandig te kunnen. Het probleem lijkt daarmee niet beperkt tot één specifiek digitaal thema.
Plaats een reactie
U moet ingelogd zijn om een reactie te kunnen plaatsen.