Morgen is het dan eindelijk zo ver: De Eerste Kamer gaat praten over het hackvoorstel. Gaan de senatoren akkoord met het hacken door de politie of steken ze een spaak in het wiel van de minister? (Update: op 26 juni zal over het wetsvoorstel worden gestemd en je kunt hier ons Twitter-verslag teruglezen.)

Waar zijn we nu?

We zouden het bijna vergeten, zolang heeft het geduurd, maar de Eerste Kamer kan eindelijk met de minister gaan debatteren over het hackvoorstelWeet je nog waar het over ging? Lees hier meer. Nadat de Tweede Kamer stemde over het wetsvoorstel, bleek de Eerste KamerOverzicht over het voorstel bij de 1e Kamer erg kritisch. Een eerste vragenronde was niet genoeg om de kritiek van de senatoren te stillen. Na een hoorzitting, waar wij ook van ons lieten horenOnze bijdrage aan de hoorzitting (PDF), volgde een tweede vragenronde. Toen werd het maandenlang stil aan de kant van het ministerie van Justitie en Veiligheid. Pas begin mei kwamen de antwoordenLees de antwoorden van de minister (PDF) van de minister.

Uit die antwoorden konden we opmaken dat er weliswaar een aantal toezeggingen zijn gedaan, maar ook dat er een aantal grote pijnpunten blijven bestaan.

De toezeggingen

Laten we beginnen met de toezeggingen. We zijn blij met de toezegging dat als er wordt gehackt er logging plaatsvindt die niet pas begint na het hacken, maar vanaf het moment dat er gehackt wordt. Dat is niet meer dan logisch: als de politie een huis binnenvalt, dan moet er immers ook worden gekeken vanaf het moment dat de koevoet tegen de deur van een verdachte gaat, niet pas als een agent een stap naar binnen zet.

Ook wordt er goed gekeken naar de bedrijven bij wie de hacksoftware wordt ingekocht. Bedrijven die zaken doen met landen waar bijvoorbeeld gemarteld wordt, mogen geen softwareleveren aan Nederland.

De pijnpunten

Maar waar we minder blij mee zijn, is het feit dat de minister toch nog ruimte laat op het gebied van onbekende kwetsbaarhedenLees hier waarom dat een probleem is. Aan de ene kant geeft de minister aan dat er grote risico's zitten aan het gebruik van onbekende kwetsbaarheden en dat er daarom terughoudend mee wordt omgegaan. Toch komt er geen duidelijk en publiek afwegingskader voor het gebruik van die kwetsbaarheden. En dat is gek, want zo'n beleid komt er wel voor de AIVD en is er inmiddels ook in de VS. Waarom zouden we dat dan voor de politie niet doen?

Een ander punt is dat er software gebruikt mag worden waarin onbekende kwetsbaarheden zitten die gebruikt worden om te hacken. De politie weet dan niet welke onbekende kwetsbaarheden worden gebruikt en hoeft die ook niet te melden. Maar dat neemt niet weg dat ze wel gewoon gebruikt worden met alle risico'sDit zijn de risico's van onbekende kwetsbaarheden van dien. Ook de markt voor onbekende kwetsbaarheden, waar de minister zo bezorgd om is, blijft hiermee gewoon in stand.

Hoe verbeteren we écht onze digitale veiligheid?

Op deze manier worden we door het hackvoorstel juist kwetsbaarder. Als de senatoren instemmen met het gebruik van onbekende kwetsbaarheden, dan draagt Nederland bij aan een situatie waarin er een politiebelang is voor een minder veiligere maatschappij.

Wat gaat de Nederlandse overheid dan wel doen om onze digitale veiligheid te bevorderen? Gaat er bijvoorbeeld meer geld naar de ontwikkeling van vrije en veilige software? Wordt er meer geïnvesteerd in Coordinated Vulnerability Disclosure beleid? Komen er betere afspraken over hoe we onze apparaten up-to-date houden?

De senatoren zijn aan zet

Morgen zal de Eerste Kamer hierover gaan debatteren. Laten we hopen dat ze de pijnpunten aanpakken die Nederland onveiliger in plaats van veiliger maken.

Wij zijn natuurlijk ook aanwezig bij het debat en doen op Twitter verslag!