Minister Ferdinand Grapperhaus van Justitie en Veiligheid © ANP

Grapperhaus over citrixhack: ‘Geen vraag of er keer iets zou gebeuren, maar wanneer’

Het is niet de vraag geweest óf er een keer iets flink mis zou gaan in de ‘digitale wereld’, maar wel wannéér dat zou gebeuren. Dat zei minister Ferd Grapperhaus (Justitie en Veiligheid) vanmiddag in de Tweede Kamer na aanleiding van de beveiligingsproblemen met de citrix-software.

Maarten van Ast 21-01-20, 15:35

De nationale veiligheid kan in dit soort situaties een keer in het geding komen, maar het is wel zo dat we daar samen met de diensten proactief zoveel mogelijk op handelen
Minister Grapperhaus

,,Onze digitale veiligheid staat voortdurend onder druk’’, aldus Grapperhaus na vragen van D66-Kamerlid Kees Verhoeven. ,,Je moet er op voorbereid zijn als het gebeurt.’’ Hij verwees naar een eerdere waarschuwing van het de NCSC, het Nederlands Cyber Security Centre.

Door beveiligingslekken bij serversoftware van Citrix is besloten de servers bij verschillende ministeries en rijksdiensten offline te halen. Dat was op dringend advies van de NCSC. Kwaadwillenden konden via het lek binnendringen bij interne bedrijfsnetwerken en toegang krijgen tot bestanden die normaal gesproken beveiligd zijn.

Door de maatregel konden ambtenaren niet meer vanuit huis inloggen. Het leverde gisterochtend direct flinke files op richting Den Haag, die door de ANWB gekscherend ‘citrixfiles’ werden genoemd. Op de vraag of de nationale veiligheid in gevaar is, wilde Grapperhaus niet specifiek antwoorden tijdens het wekelijkse vragenuurtje. ,,De nationale veiligheid kan in dit soort situaties een keer in het geding komen, maar het is wel zo dat we daar samen met de diensten proactief zoveel mogelijk op handelen.’’

Ook de Tweede Kamerleden kunnen geen gebruik maken van de software, waardoor ze vanuit huis geen toegang hebben tot hun beveiligde e-mail. Zij moeten daarom vanuit het Kamergebouw werken. Bij hoge uitzondering mogen Kamerleden die dat niet kunnen de privémail gebruiken om Kamervragen in te dienen. Eerder legden ook gemeenten als Amsterdam, Rotterdam en Tilburg hun citrixservers plat. Amsterdam en Rotterdam hebben inmiddels weer toegang tot de systemen gegeven.

Aanval

Het lek kwam aan het licht nadat de gemeente Zutphen slachtoffer werd van een cyberaanval via Citrix. Er is software op het toegangsportaal van het netwerk geplaatst. Hoewel het pakketje inmiddels is verwijderd, zijn de gevolgen nog onduidelijk. Ook het ziekenhuis van Leeuwarden werd getroffen en legde uit voorzorg al het dataverkeer met de buitenwereld stil, waardoor patiënten niet bij hun patiëntendossier konden.

Citrix heeft inmiddels een oplossing voor het lek vrijgegeven. Het gaat om een zogenoemde patch voor sommige versies. Andere varianten moeten vrijdag een reparatie krijgen, waaronder waarschijnlijk overheidssystemen. ,,De afgelopen dagen is er voortdurend contact geweest met de betrokken diensten’’, aldus Grapperhaus. ,,Er is inmiddels voor 50 procent van de gebruikers een patch beschikbaar. Vrijdag deze week moeten de oplossing voor de resterende gebruikers beschikbaar komen. De NCC blijft ondertussen de kwaliteit van die patches controleren en monitoren om te kijken of er nog meer probleem ontstaan.’’

Volgens Grapperhaus loopt Nederland internationaal wel voorop als het gaat om cybersecurity. ,,Onze overheidsdiensten hebben de afgelopen jaren zeer grote stappen gemaakt. Het is wel saillant dat enkele overheden van grote bevriende naties het compliment hebben gemaakt dat onder meer de NCSC en NCTV in hun handelen aanzienlijk voorliepen op wat er in andere landen aan actie werd ondernomen.’’