Cyberhelden 82 - De sleepwet wordt verbouwd

TUNE Welkom bij alweer een nieuwe aflevering van Cyberhelden, de podcast waarin we op een luchtige manier... soms al serieuzer in gesprek gaan over de digitale dreiging.

Mijn naam is Ronald Prins en vandaag zit ik aan tafel bij mijn vaste co-hosts Marco Kuipers en Jelle van Haaster. Hallo. Goedemorgen. Ik wilde goedmorgen zeggen, maar dat weet je helemaal niet. Dus hallo. Meest luisteraar zit er wel in de ochtend. En anders moeten ze dat maar doen. Vandaag weer een gewone aflevering, jongens, met het Cybernews van deze week en één heel groot verhaal. En dat gaan we dan doen over de voorgestelde nieuwe wet voor de ANIVD en de MIVD. Maar eerst hoe gaat het met ons en dan vooral Jelle? Ik ben heel benieuwd hoe het met jou is, want jij was er niet bij... terwijl onze special-guest Oerlemans en Sophie in de uitzending hadden.

Heb je het zelf nog teruggeluisterd eigenlijk? Ja, zeker. Op twee keer snelheid, zo luister ik alles terug. Maar daarvoor ging het iets te snel. Ook, ik heb een juridische achtergrond ergens ver weg, maar dit was wel gewoon een complexe aflevering. Ik dacht wel, dit is een leuk item. Misschien niet al gelijk een heel uur vol over juridische dingen, maar af en toe gewoon eens in zoveel tijd een blokje dat we het even over de juridische juicy dingen hebben. Dat vond ik wel gewoon een... Ik denk dat dat ook voor luisteraars leuk is. Ja, en dan moeten we zelf maar kijken op welke snelheid ze dat dan doen.

Ik heb zelf wel eens een podcast die ik op punt 8 zet. Maar goed, misschien zegt dat over mij of mijn intelligente podcast waar ik naar luister. Ik dacht aan de andere kant van even naar, dan gaat de slider de andere kant op. Nee, dat is alleen in dat afvoerputje. Oh, he. En nog meer leuke dingen gedaan met je level, wat was je aan het doen eigenlijk? Ja, onderwijs geven. Dus college zijn gestart en zo en dat is moeilijk met boeken en weet ik van wat. Dus ik heb onderwijs gegeven over een beetje strategisch nadenken.

Het is wel serieus, dan ik het nu schets natuurlijk. Maar over zeg maar hoe je binnen je statelijk vermogen, dus machtsinstrumenten, hoe je dat inzet. Wat daar de rol is van cyber- en informatieoperaties. En hoe je dat een beetje daarover kunt denken, zeg maar, voor de studenten. Laat je ook zien wat het Westen nog doet? Of is het altijd van hoe die enge mensen dat altijd op ons loslaten? Nee, ook het Westen, zeker. Dus we hebben ook over de nieuwe WIV, over de capabilities die we zelf in huis hebben. Want ze moeten straks in die wargame, de ene kant speelt Blue, dus een beetje het Westen. En de andere speelt een rooie partij, dus denken we dus Chinese.

En dan denken ze vaak, ja, Blue mag alleen maar verdedigen. En ik denk, nee, juist niet, Blue mag ook heel veel. For defense? Ja, exact. Je hebt misschien iets meer toezicht erop dan aan de andere kant. Maar je kunt nog steeds heel veel smerige plannetjes, leuke plannetjes bedenken. Hoe je militaire operaties en cyber-operaties inzet voor je Blue-Westerse belangen. Ja. En dus vet, even een gimmick voor iedereen die les moet geven en PowerPoint gebruikt, omdat dat de standaard is op het systeem waarop je presenteert. Dat je dus gewoon met genetieve AI heel makkelijk plug-ins voor PowerPoint kunt bouwen.

Dus dat je allerlei timers kunt doen, allerlei webinterfaces kunt bouwen. Dus dat je ook gewoon live kunt linken naar allerlei websites en allerlei dingen kunt doen zonder dat je uit je PowerPoint-view hoeft. Dus dat je gewoon hele smooth flow kunt doen. Dus je hebt dat maar zo gebouwd dat je niet meer kan zien dat je in PowerPoint zit? Ja, zeker. Dus je zit gewoon in websites en dingen. Al live content, je eigen dashboards die je hebt gebouwd en zo. Dus dat is leuk. Heel nice. Oké, Marco. Heb jij nog wat leuks gedaan? Ik heb van alles gedaan. Ik heb eindelijk mijn motor weer afgestoft en lekker motorkereden in de Eifel van het weekend.

En dan zal het lekker wat gewoon weer met olie en alles bezig zijn. Oké, ik heb niet graag vieze handen, want ik kan mijn toetsport niet aanraken. Maar een motormaker... Zou jij je eindje eens een motorfiets van uw woonkamer zetten? In de garage gelukkig. Dus nee, niet in de motorkamer. Dat zou wel heel heftig zijn. En je hebt Rikke Jesper gehackt, zie ik. Ja, dat heb ik niet gedaan, maar ik moest wel lachen. Want ik was met mijn zoontje naar Glowmovies World, want die was afgelopen weekend. En de show, die draaide dus ook omdat ze zogenaamd gehackt waren en dat ze dan challenges moesten doen om de hacker tevreden te stellen. Moest toch lachen ook dat, for some reason,

een hacking ook opeens terugkomt in een kinderthema. Weet je al? Random. Ja, maakt het voor mij ook leuk. En verder, ik heb meegeschreven voor de Nationale Hacker Cup. Die samen met een maatje van me gaan we gewoon lekker een beetje rammen. Het is over een paar weken geloof ik in Pemmerend. En dan ja, een of andere CTF. Ik ben super rusty op CTF's. Ik ben heel benieuwd wat er gaat gebeuren, maar ja. Oké. Ja, het laatste is dat ik, dat ik me ook nog even noem me, dat ik ben meegegaan met de hype. Ik heb Omachi geïnstalleerd op een van mijn oude MacBook uit 2014.

Dat draait hij dus ook op. Dus die is weer tot leven. Dat is een new developer geweest. Die heeft Arch Linux. Dus mensen die Arch Linux installeren, die zijn over het algemeen weken bezig met het personaliseren van het systeem. Met behoudiging draaiend krijgen op een laptop. Je moet allemaal drivers compileren en andere zoe regelen. Er is iemand die heeft gezegd met cloud of met AI's, of ja, hier gaan we een mooier laag omheen bouwen. Dus het is echt een supersleek OS geworden, die best wel lekker werkt. Heel erg keyboard first. Dus heel erg met shortcut, zeg maar, alles regelen in je scherm. En hij is ook AI first. Dus als iets crasht is het gelijk, hey, research this with cloud.

Ja, ik hou er wel van. Dus ik heb nu zeg maar een AI first OS draaien bouwen, backboeken, dus ik ben een beetje met klooi. Het is echt super lacher. Ja, dat je allemaal tijd voor hebt, joh. Dus af en toe. Ik heb weer zitten viben. We hebben volgende week, volgende weekend, een heel groot event. 160 miljoen gravel bikes bergop, bergaf. Zoveel ongeluk verwacht worden. Maar ja, dat gaan we dus nooit qua communicatie regelen. Dus we gaan het nu met Zello doen. Dat is zo'n app op je telefoon en dan push to talk app is dat.

Dan praat er eentje en dan kan iedereen dat tegelijk horen. Alsof je een two-way radio hebt, maar dan gebruik je het telefoon. Alleen, en dat werkt op 80 procent van de route en op 20 procent niet, want daar heb je gewoon geen telefoonschaal. Dus dan moeten we weer met radios aan de gang. En daar heb ik dus een gate 1 moeten maken tussen Zello en mijn Hi-Tera uit China, repeater, die een ingang heeft voor een dispatch station. Dus een control room, een meldkamer, waar iemand kan praten tegen dat ding.

Totaal ongedocumenteerd, maar we hebben samen het cloud helemaal ge-reversed en genieerd hoe dat kanaal werkt. Kunnen we tegenaan praten. Echt heel vet. Dus ik heb dat eerst op mijn normale surfer. Nu beras bij Repi. Met een 4G USB modus erin. Dus dan prik ik nu in de repeater. En dan kan ik ook twee repeaters ver weg, dat heb ik vorige keer ook al verteld, tegenover elkaar zetten. En dan via 4G zijn ze weer verbonden. Hartstikke leuk. Oké, nou de nieuwtjes.

Dan gaan we even kort halen, want we gaan heel lang over de nieuwe wet hebben. En Marco gaat aftrappen. Ja joh, ik kreeg gisteren of vanochtend kreeg een push berichtje dat Fable 5.1 uit is. En Mythos 5.1. En dat vind ik wel nice, want ja, hij is ten opzichte van Fable 5 best wel weer een stukje beter. Echter scoort hij op de benchmarks voor zowel scientific research echt 20 procent hoger en coding en reasoning. Eigenlijk alles is weer way better. Maar hij is goedkoper dan Fable 5.

Dus het geldt ongeveer 25 procent, omdat cashing lookups zijn nu improved, waardoor ze eigenlijk gratis zijn. Dus ofwel als je iets gedaan hebt, dan kun je dat weer gratis ophalen. En heb je dan nu al projectjes liggen waarvan je denkt, daar laat ik even 5.1 overheen gaan? Nou, er zijn wel wat projecten die zeker rondom werk en zo. Ik denk, ik ga er even goed doorheen gaan met een stevig model die net iets krachtiger is en opens, dat is echt wel de moeite waard. Ik vond Fable 5, zeker vanwege de safecars, vond ik echt heel krap om mee te werken.

Maar dit is een cybersecurity podcast, wat is hier de security angle van? De security angle? Nou, wat ik een leuke toevoeging vind, is dat het het heeft enterprise frontiers safeguard. Dus je kunt voor straks als enterprise kun je je zero data storage, oftewel je kunt gewoon een eigen cloud zeggen van daar moet je je chats op slaan. Dus je komt gewoon als organisatie meer in control van je data. En dat is best wel nice. Dat is best wel nice. En de storage cloud? Nou, de storage van je van je chat historie, dat soort zaken.

Het gaat zoveel verwarring opleveren. We hebben het over cloud, over cloud. Zeg je nou op z'n Frans, cloud? Goed, Jelle? Ik vond deze gewoon grappig. Kaspersky, great team, dus een research team. 1 september 2620, leuk blogje geschreven over Mirage Kitten, een Iraanse of aan Iran gelinkte groepering die op LinkedIn dus mensen, software developers benaderen en zeiden van we willen heel graag jou aannemen in het sollicitatie traject zeiden van, maar download even dit opdrachtje,

want je moet een opdrachtje maken wat dingetjes downloaden, dus even een directory een zipfile die je downloaden en dan daar binnen stonden dan de opdrachtjes die je moest doen om te laten zien dat je een beetje goed kunt coden. Er stond één ding in van hey, er zit één bestandje in waar je echt niet aan mag komen, dat heet de server.js, want dat is helemaal goed. Daar zit geen vulnerabilities in, daar hoef je niet op te pentesten. Daar hoef je helemaal niks op te doen. Focus je op al die andere dingen, maar als je start, installeer wel even het hele Node en React app die daarachter zit.

En wat hij dan op de achtergrond deed, de aanvaller had daar dus in verstopt dat er een remote access trojan, de schoonmelware geladen werd, waarmee ze dus dingen konden doen op Windows, Linux en Mac OS systemen. Ja, het is ook gewoon goed bedacht en gewoon leuk en dat het werkte. Dus dit hebben ze gevonden in Afghanistan en een aantal anderen in Afrika en Midden-Oosten dat dit zo gedaan werd. Dus een mooie LinkedIn scam en gewoon heel lol, niet niet lol, het is ook heftig. Maar Marik Skitton, welk land zit dat? Iran.

Oh ja, of moet hij nu op eens met Afghanistan dan? Ja, geen idee of dat niet toevallig. In Afghanistan was hij daar van shit, ik wil gewoon software developer worden. Ik ben heel, ik ga hierop reageren. Dat zou kunnen. Ja, AI stuurt gewoon automatisch op dan natuurlijk. Ja, en je hebt dus welke spurs die zei ook van hey, als ze wel AI hadden gebruikt, bij ons in een research merkte ze dus dat die server JS gelijk al gespot werd als mogelijk malware. Dus als ze wel AI hadden gebruikt, dan had je dit eruit gefilterd. Oké, ja, ik heb twee dingetjes even meegenomen, maar die horen bij elkaar.

Ik zat in The Economist, daar stond een ingeschreven stuk van Charoen Martin, ik weet nooit hoe je het moet zeggen, Sia Aram. Mr. Martin, nu Professor Martin denk ik. Hij is degene geweest die het NCC gestart is in de UK. Bij GCSQ, hij leidde dat van 2016 tot 2020 en hij zit nu op Oxford. Die vond het nodig om eens even wat te gaan nuanceren rondom de discussie hoe gevaarlijk AI is voor onze cybersecurity. En hij zegt ja, dat roepen zo jaren. In 98 had je in zijn verhaal de groep Loft, ken je nu nog wel, van Loft Crack?

Nou ja, super vet tooltje was dat. Maar er waren zeven hackers die toen bij de Senaat in Washington een verhaal gingen houden over dat internet bakker was. Ieder van hen kan dat internet binnen 30 minuten onbruikbaar maken. Nou, zij hebben het niet gedaan en anderen hebben het ook niet gedaan. Dus dat viel misschien wel mee eigenlijk. 14 jaar later komt hij met zijn vrouw van Leon Panetta. Die heeft heel erg hard zitten waarschuwen van Cyber Pearl Harbor. Die is ook niet gekomen en dan noemt hij nu de AI-Golf als Golf 3.

En in april zei Entropiq, dat is een model, Mytos zo goed was in het hacken dat ze het niet publiek uitbrachten. En OpenAI meldde vorige maand dat een aantal agents uit de testomgeving was. Want vanaf richting Hugging Face. Dat hebben we ook allemaal wel gezien. Zelfs Metta heeft dat ook nog laten zien dat ze ook supergoed zijn in security. En dus dat er grote rampen op ons afkomen. En hij wil alleen maar aangeven, ja, dat valt wel best mee. En als je dieper op in gaat, dan zie je ook wel dat die hele grote claim van Mytos

dat bleek dan zou moeten gaan. Ook een kwetsbaarheid in veel gebruikte software die al sinds de jaren 90 gebruikt. En uiteindelijk was dat veel minder ernstig dan de koppen suggereerde. En die opholgeslagen agents, die waren eigenlijk helemaal niet van OpenAI. Die waren ook helemaal niet opholgeslagen. Die deden gewoon precies wat mensen hadden opgedragen met fortfarneheid en ondiscipline van getalenteerde kinderen zonder toezicht. Nou had hij leuk bedacht en de gemiddelde delen was steeds hetzelfde. Een testomgeving die niet onder controle was. En Martins zegt ook, dat is zijn tweede argument, dat je in het echt dat hekken

niet zo gaat, want er zitten allemaal guardwills omheen en dat moet je omheen. En je moet enorm veel kosten maken. En dus dat het bewijs dat criminelen daadwerkelijk geavanceerde AI technieken gebruiken eigenlijk toch wel heel dun blijft. En dan heeft hij nog over die paper van MIT Sloan, een working paper eigenlijk, waarin die valse claim stond dat 80 procent van de ransomware AI aangetreven was. Maar dat klopt natuurlijk ook niet, want er zat OneCrisis, dat had er geloof ik, tussen. Uit 2016, 2017. Nou ja, toen hadden we nog niet van die mooie AI systemen.

Nou, die papers toen teruggetrokken. Hij vindt het blijkbaar ontzettend nodig om het enorm te nuanceren. En dan op dezelfde dag lees ik dan een heel ander verhaal en dat gaat over Dream. Een zeer succesvol israelische cybersecurity bedrijf. Volgens mij zit daar, is dat van de oude baas van Unit? 2200, 2.800, ja, ondertussen alweer miljarden waard. Die zijn lekker gegasduinen en die kwamen op een gegeven moment een leuk pakketje tegen van 160 megabytes, eens gaan kijken wat het was.

Het bleek dat de hele dumpte zei, van een aanval op Taiwan. Maar de hele aanval was ook gebouwd alleen maar door AI. Dat is een framework van AI agents die in 12 waves met zuchtacht subagents tegelijk heeft dat 21 gekoppelde overheidssystemen kaart gebracht. En hoe ze het gedaan hebben is uiteindelijk gewoon heel simpel met OpenClaw en Hermes en open source AI tools die je kan gebruiken, die ook guardrails hebben. Maar die guardrails, en dat doen we natuurlijk stiekem zelf ook,

die waren best wel makkelijk omzijden door gewoon te zeggen dat je in opdracht een pen test aan het uitvoeren hebt. En dan denk ik, ja, waarom zit iemand nou toch zo te nuanceren? Kijk, het wordt ook wel overtrokken. Dat klopt, geloof ik, ook wel echt. Het is voor Anthropic en OpenAI keiere marketing. Ze staan elke week in de krant met hoe goed die modellen van hun zijn. En aan de andere kant vindt dan iemand die uit die hoek van de NCSC komt, heel belangrijk om het maar te nuanceren. En ook weer aan te wijzen eigenlijk dat cybersecurity niet het probleem van de aanvaller is, maar van de verdediger,

omdat ze maar niet patchen en geen two factor en zo inzetten. En daar word ik altijd een beetje boos over. Ik vind het echt een naïeze aanpak van Martin om te zeggen, het valt allemaal wel mee. En natuurlijk, als hij een stuk naar de economist stuurt, wordt het opgeschreven voordat ook geplaatst, want hij heeft die reputatie. En natuurlijk is het ook zo dat al die systemen die gerekt zijn, dat er altijd een foutje in zit. Maar uiteindelijk is het ook wel zo dat we al 30 jaar proberen we veilige systemen te bouwen en dat lukt maar niet. En die oplossing gaat er niet in zitten dat

we onze NCSC's groter maken, dat we nog meer wetten gaan regelen met waar mensen boetes kunnen krijgen. In de Nederlandse NCSC zitten 500 man. En ik denk, ja, met die 500 man zou je ook natuurlijk gewoon gaan kijken, niet naar het slachtoffer en het slachtoffer te blemen, maar gaan kijken. Moeten we niet eens gaan kijken waar het vandaan komt en waarom we het maar niet weten het stoppen. Uiteindelijk komen we dan vanzelf bij een heel mooi bruggetje. En dat is een nieuwe wet voor onze inlichtingendiensten, die ik denk hard nodig is om uiteindelijk aan de gang te kunnen gaan.

En misschien moeten ook een paar mensen overstappen. Er zitten hele goede mensen bij het NCSC. Laten ze naar de diensten gaan en daar eens kijken hoe dat speelveld in de operationeel vlak gewoon eruit ziet. Dus uiteindelijk en dan gaan we het straks even wat dieperer inzoomen, maar er is een nieuwe wet. En de eerste reacties die ik continu weer zie is dan over privacy. De diensten willen meer en mogen meer en moeten meer en vinden ze in ieder geval zelf. Maar onze privacy, we moeten vooral kijken dat we niet onze gegevens allemaal nu opeens bij de diensten terechtkomen. En ik denk ja, het is niet voor niks als ze dat willen. Onze gegevens worden nu al gepikt continu door allerlei andere staatelijke,

of niet eens staatelijke, ook criminele actoren die onze gegevens weghalen. En we zijn gewoon niet in staat om ons aan de slachtofferkant om het daar serieus beter te krijgen. Dus laten we alsjeblieft aan de aanvallende kant, daar aan de gang gaan om het oninteressant te maken om Nederlandse partijen aan te vallen. Een lange brug, hè? Nee, maar een goede brug. Nee, nee, mooi. Nou, afgelopen vrijdag was voor mij een beetje een verrassing. Er kwam opeens de internet consultatie online. Dat doen we wel mooi in Nederland, hè? Komt een nieuwe wet en dan moet de draagvlak komen en dan mogen allerlei individuen,

maar ook partijen zoals privacy, voorvechters, organisaties. Heel goed dat we die hebben. Wits of freedom en privacy first. En die mogen allemaal daar een reactie op geven. Dus daar hebben we ook naar gekeken. Maar misschien is het wel goed. Jelle, jij even ons meeneemt waarom we nu een nieuwe wet hebben. Ja, en dan een beetje oppassen. Ik heb tien uur nu van mijn leven besteed in die wet doorakkeren en en toeling bouwen om die wet te kunnen analyseren. Maar eigenlijk is heel op basis even de aanloop. Hoe zijn we hier gekomen? Dus je had de wet op inlichting en veiligheidsdiensten 2017. In tegenstelling tot 2017 zou je vermoeden is hij dan ook in 2017 werking gegaan.

In 2018. In dat hele debat, waar stond hij ook bekend als de sleepwet, want de grote innovatie die er in zat was kabelgebonden interceptie. Dus daar wordt heel veel heel veel aandacht voor geweest. Dus daarom ook de sleepwet geworden. En ook in het hele discussie daaromheen werd het concept geïntroduceerd van oké, de diensten willen meer, dus het toezicht moet ook forcer ingeregeld worden. Dus in de Kamerdebat hierover zijn op die wet die voorlag werden allerlei nieuwe waarboren geïntroduceerd, waaronder is ook de tip. Nou, en inderdaad de tip en de CTIVD, de tip die vooraf toetsen.

Dus dat noem je dan ex ante aan de voorkant. Dat is waar Ronald in heeft gezeten. Die mocht ex ante toezicht houden op de operaties die Marco en ik aan het uitvoeren waren. Dus wij schreven een lijvig stuk. En Ronald ging daar met collega's naar een heel veel trappen binnen de organisatie naar een minister, de directeur, de afdelingsover, de teamleiders. Uiteindelijk kwam het dan bij Ronald terecht. Elke woensdag opnieuw. Elke woensdag opnieuw, ja, zeker. Hele dikke pakketten. En dan had je de CTIVD, dus daar komt Jan Jaap, de gast van vorige week, die heeft bij de CTIVD gezeten. Dus eigenlijk voor toezicht ex post werd het genoemd, dus achteraf.

En wat je in de nieuwe of de tussentijdse wet cyberoperaties had, was het toezicht ex durante. Dat zijn echt wel even belangrijke dingen als je de WIV en de WBNV wil snappen. Dus je hebt ex ante aan de voorkant, ex durante, terwijl Marco en Jelle stiekem operaties aan het uitvoeren zijn. En dan ex post, als de operatie afgelopen is of nadert toezicht is te geven, ook nog een keer, hey, hoe dit allemaal gebeurde, klopte dit allemaal. Maar voor mij was, die scheiding, die tip zit er vooraf, die zit heel erg in die operatie. Die zit dus gewoon inderdaad wekelijks per operatie te kijken van, mag dit wel, mag dit niet.

En de CTIVD was naar mijn gevoel, die hadden wat meer thematisch bezig. Die trok er een onderwerp uit en keek dan van, ja, hoe gaat de dienst hier in het algemeen mee om? Dus bijvoorbeeld, we zijn specifiek gaan kijken, hoe is die invulling van dat niet kabelgebonden interceptie of de sleepwet, zeg maar, hoe is dat in de praktijk naar voren gekomen? Dus die zitten wat minder, die gaan niet per hekoperatie nog eens een keertje kijken, is het allemaal netjes gebeurd, in ieder geval toen niet. En dat is ook bijna niets te doen, want aan de voorkant heb je nog, De tip heeft het ook echt gewoon heel erg druk met de hoeveelheid verzoeken

die er op zo'n organisatie afkomen en de hoeveelheid pagina's die dat is. Maar voor de CTIVD bij de uitvoering met een beperkt aantal mensen meekijken met heel veel operaties, dat is niet te doen, dus ik snap die hele thematische aanpak. Ja, dat is ook de reden dat inlicht van onderzoeken thematische aanpak kennen, omdat je lang niet alles over de hele wereld in de gaten kunt houden, dus je selecteert waar je je accenten legt. En dan in 2021 had de evaluatiecommissie WIF 2017, ook wel bekend als Bos Jones, port geschreven en de Algemene Rekenkamer met een rapport,

die eigenlijk het beste samengevat wordt door wat de Rekenkamer heeft gezegd, de wet dwingt, de tijd dringt, de praktijk wringt. Nog een keer, de wet dwingt. Als je dit op twee keer luistert met mijn spreektempo, ga je dat anders niet horen. Het is een beetje de katkant krullen van de trap, maar dan van de WIF. Ja, zeker. Dus de wet dwingt, de tijd dringt en de praktijk wringt. Dus de toezicht, operatie en de hele geopolitieke situatie in de wereld, daar is iets mee, daar moeten we misschien iets mee. Vervolgens kwam er dus een tussentijdse wet, die laten we even zitten, want daar is niet heel veel, is niet van heel erg belang voor de WBNV.

Een tussentijdse wet gekomen die een aantal dingen al heeft geprobeerd te fixen, onder andere binnen toezicht ook van de CTVD, maar ook dat er dingen bestaan, zoals landen die ons altijd pijn willen doen, ons altijd willen raken, namelijk landen met de offensief cyberprogramma, en dat we daar misschien anders naar moeten kijken dan landen die veel risicovoller zijn, of landen die minder zo daar zitten, of targets die minder echt dat langdurige, boze ding willen doen tegen Nederland. En daar binnen is dus de hele WBNV die al aankwam, dus het is niet spontaan dat dit er kwam,

nee, er zou ook al een nieuwe opvolger van de wet komen na die evaluatie. Dus vandaar hebben we nu die nieuwe wet die nu voor ligt. Wat je merkt aan de timing van de internetconsultatie is dat ze hem, denk ik, over de zomer hebben heen getrokken, zodat iedereen weer terug is, en dat ze dit niet zomaar tijdens de zomer hebben willen doen, omdat het dan wel heel dodgy is om over te komen dat je dit midden in de zomervlof gaat plannen. Maar dat hebben ze nog wel de hele zomer gehad om even goed te kijken of er geen foutjes zaten in die wet, maar helaas. Ja, fuck. Ik twijfel om dit te noemen, maar... Wat is je favoriete artikel, Jelle?

Artikel 239. Gaan we het straks even voorlezen? Ja, zeker. Ik hoop dat iedereen aan het bladeren is op zoek naar artikel 239. Artikel 238 en 240 zijn interessant, maar 239 is nog interessanter. That's where the magic happens. Mag je zelf invullen. Schoon en blank als check. Erron, als jij dat dan hoort als oud toezicht houden, wat vind jij er dan van dat de diensten nu met deze nieuwe wet komen? Ja, ik snap het wel, moet ik zeggen. Toen ik kwam, ik heb me ervoor behoorlijk gemengd in het debat, maar uiteindelijk als je artikel voor artikel uit je kop moet kennen en je moet dat toezicht houden, dan ga ik nog dieper in te dachten,

hoe kan dit nou een hele fijne wet gaan worden? Het gaat in de praktijk heel lastig worden. En dat is denk ik ook wel wat naar voren is gekomen. En dat is eigenlijk de uitvoeringstoets of zo, die bij andere wetten wordt altijd gedaan. En dat is, het lijkt hier wel een beetje bij vergeten te zijn. Is dit nou wel gewoon werkbaar? Kijk, heel principieel was die tip, dat was toen er een nieuwheid erin, die vooraf moest goedkeuren. Dat kwam ook uit Europese rechtspraak naar voren, van het mag niet zo zijn dat alleen maar achteraf toezicht, dat moet ook voor. Dus die moest er gewoon komen. Ja, en dan is het wel heel lastig in het in het regime zoals het was

van per drie maanden een goedkeurendje aanvragen, om inderdaad het hele pakket weg te werken, ook goed te begrijpen wat gebeurt hier nou precies werkelijk. En ook wel het idee van, laat dan even inzoomen op hekoperaties van, oh ja, dan wil ik juristen niet tekort doen, maar als je iets te veel van die operatie afstaat, hoe het werkt, kan ik me voorstellen dat je denkt van, nou ja, we willen bij deze hekkersgroep naar binnen. We weten dat zijn Russische statelijke actoren waarschijnlijk. Dus gaan we daar gewoon een goedkeuring voor aanvragen? Gaan we naar binnen? En dan was de wet zodanig geweest,

dat je daar helemaal moest uitschrijven van, ik wil bij die groep naar binnen en ik wil deze en deze methodes inzetten. En dat heeft dan eventueel misschien deze bivangst of andere technische risico's wat naar voren kan komen. Tip, vind je het goed of niet? Maar zo werkt het dus niet. Als je gaat hekken, je hebt geen idee van tevoren tegen welke machine je aan gaat praten. Sterker nog, je mag niet eens een voorzichtig scannetje doen, wat de hele wereld zit te doen. Maar als jullie vroeger wilden scannen van waar draait het spul, wat voor een poort er zie ik openstaan, wat voor applicaties draaien erachter.

Daarvoor moest je al een keer toesteming doen. Nou, dat is dus ook voor mij allemaal gefixt door die tijdelijke wethal, zodat die stappen overenslaren kon worden. En voetbal delen. Ja, uiteindelijk werd er van je verwacht dat je al een heel plan had, terwijl je nog geen idee had van waar je naar binnen ging. En in de voorbereiding Jelle, zag ik dat jij daar een hele mooie analoog voor had de dag. Zeg maar, voetbal elftal, dat in de kleedkamer. Dus voordat ze überhaupt de tegenstander hebben gezien. Natuurlijk weet je wie de tegenstander is. Je hebt wel de eerdere matches allemaal gekeken. Maar vervolgens zit je in de kleedkamer. Moet je eigenlijk al gaan denken van,

die tegenstander op dit moment, hoe ga ik daar in vredesnaam tegen optreden als ik daar op het veld sta? Dus dat je die hele strategie eigenlijk al moet opschrijven op papier over hoe jij je voetbalwedstrijd gaat doen. Ja, dat is dus niet te doen. En ik denk ook wel, we hebben toen ontzettend veel detail discussie gehad over die hele WIF. Ik denk dat deze wetten nu sneller doorheen gaan komen. En die detail discussie in de kamer heeft het toen ook toegeleid dat er enorm veel haak aan de ogen aan elke inzet kwamen die wij als toetsingscommissie wel meenemen. Want een wet is niet gewoon de wet zoals die op papier staat, maar de wet is ook alle handelingen die in de kamer daarbij zijn.

Als een minister een bepaalde uitleg geeft van een wetsartikel in de kamer, dan moeten wij die uitleg ook zomaar hanteren. En ik kan me heel praktisch voorbeeld Plastek nog herinneren. Die zei, ja, we gaan natuurlijk met die sleepwet best wel veel binnenhalen. Maar dingen als Netflix en YouTube, dat gooien we gelijk weg. Wat is 99 procent van de data? Wat moeten we ermee? Nou ja, toen bleek opeens dat Russisch spionnen met elkaar communiceren via de commentvelds onder YouTube filmpjes. Ja, en daar kan je dus een aandacht voor indienen dat je daarna wil kijken,

wat helemaal legitim is. Maar de minister heeft gezegd, wij gaan niet naar YouTube verkeer kijken. En dat was allemaal in dat beeld van dat de diensten in kaart gingen brengen wie naar welke YouTube filmpjes zit te kijken en daarmee mensen gaan profileren. Hoef je helemaal niet te doen, want dat doet YouTube al. Als ik YouTube nu open, dan zit ik in mijn eigen bubbel. Dus ik kan gewoon opvragen hoeveel diensten je moet doen. Precies. Maar dat zie je ook wel in die internet consultatiereacties, dat echt de angst is van dat al je gegevens dan daar terechtkomen of zo. Ja, maar waar mensen bang voor zijn, is dat ze vinden allemaal dat het kabinet, nou, daar zijn ze eigenlijk ook vaak niet over eens, maar wat we nu hebben,

dat is nog wel te pruimen. Maar een van de volgende zal ooit alweer een keer een Hitler-achtige figuur aan de macht komen, die heeft dan al die data maar liggen. De rechtsstaat in Nederland is best wel hard en glashard. En dan heb je ook over de ambtelijke organisatie ertussen. Dat is ook wel een beetje het commentaar af en toe van ministers en mensen die de leiding hebben over ministeries. Je hebt daar dat hele ambtelijke apparaat tussen zitten, wat eigenlijk elk besluit dat je neemt, als je een heel extreem besluit rechts neemt of links neemt, dat ambtelijke apparaat er tussenin voor zorgt dat het allemaal ongeveer in de midden uitkomt.

Ja, dat dachten ze in Amerika ook en toen hadden ze Trump. Denk ik wel dat de context in Amerika met twee partijenstelsel en wat we hier aan poldermechanismes hebben wel... Maar inderdaad, hey, als het gebeurt, wat in de afgelopen eeuw dus één keer is gebeurd, dat hier een super assertieve Hitler-achtige figuur aan de macht zou komen in Nederland. Nou, dan is het ook wat de democratie wil, dan hebben we daarvoor gestemd. Marco! De discussie gaat alle kanten, maar ik vind het prachtig. Ik vind het prachtig om aan te horen. Ik heb een vraag aan jou, Marco. Want ik heb zelf niet heel goed in die wet kunnen kijken. Ik weet niet, jij had het rustig dit weekend.

Precies, ja. Wat mogen de diensten nou straks meer dan nu? Want dat zie ik in de kantenkop een beetje. De diensten krijgen ruimere bevoegdheden. Ja, ruimere bevoegdheden is denk ik iets anders dan nieuwe bevoegdheden. Wat er nieuw is, het is eigenlijk helemaal niet zo gek veel als in twee dingen. Artikel 92 spreekt over financiële gegevensvorderen, dus dat de diensten gerichte identificaties zal door hun transactiegegevens kunnen afdwingen bij banken en andere meldingsplichtige financiële instellingen. Ja, en de artikel 94 spreekt over gegevensvorderen

voor weerbaarheidsbelangen. Oftewel, onder een zwaarwegende noodzaak kun je dienstinformatie afdwingen die nodig is om sabotage, spionage of ernstige ontwrichting tegen te gaan. Ik ben heel blij dat dit artikel nu bestaat. Het is echt... Nou ja, in mijn tijd van FoxRT deden we best veel spannende onderzoeken waar staatelijke actoren, andere staatelijke actoren bij betrokken waren. En op een of andere manier wisten diensten dat dan ook. En die kwamen gewoon aan de deur. Die kwamen smeken om informatie.

Als je goed vereenste onderzoek doet, dan maak je kopietjes van allerlei servers, waar ik in mijn logfoules, of we die konden inleveren. En dat kan natuurlijk niet. Wij hadden altijd een NDA met onze opdrachtgevers. En daarin staat natuurlijk dat ik niks mag weggeven aan wat daarin staat. Dus alles moet geheim blijven, dus tussen mij en de opdrachtgever. Behalve als het wettelijk gevoorderd kan worden, als er een wettelijke artikel is op basis waarvan ik het moet overdragen.

En dat is natuurlijk altijd zwaarder dan zo'n civiele NDA. Ik zelf afstem. Maar de diensten hadden dat niet. Nou, dan ga ik dat ook maar op prijs geven. De politie wel. De politie mag wel dingen voordelen. En als het gehakt was in Nederland, dan is het ook een strafbaar feit. Dus dan mag de politie onderzoek doen. Dus toen kwam de politie aan de deur. En als het één keer bij de politie was, dan mocht het ook weer naar de diensten. Wat een rare constructie. Maar er zijn ook onderzoeken geweest en die waren echt geheim. En dat was ook niet te bedoelen dat de politie het wist. En dan stonden ze toch voor de deur.

En ik laat me een beetje het midden van hoeveel ik nou wel of niet gedeeld heb met de diensten. Kijk, en het gaat dan altijd om gegevens die nooit mijn opdrachtgever zou schaden of zo. Het is niet dat ik de geheimen van dat bedrijf, dat is de daaromvraag. Ze vragen meer om de sporen van die APT die binnen zat. Ook om vooral te kunnen kijken. Kunnen ze zien of ze het kunnen relateren aan iets anders. Of er nog andere slachtoffers zijn. Wat een heel nobel doel is, denk ik.

Zeker als je een kabelgebonden interceptie kan doen. Dan kan je aan de hand van de sporen die wij zien bij slachtoffer A. Kan je misschien ook slachtoffer B, C en D onderkennen. En ook al, en ik vroeg het ook wel vriendelijk bij die bedrijven, bij mijn opdrachtgever, de diensten staan voor de deur, die willen het hebben. En dan was het eerst, oh ja, dat kunnen we hebben. Maar laten we nog even langs legal lopen bij de juristen. We hebben niks tegen juristen, Oerhemans. Maar zelfs zonder te begrijpen waar het precies over gaat, vonden ze al gewoon van, nee hoor, het heeft geen enkel voordeel voor het bedrijf om het wel te doen.

Althans niet op korte termijn. Ze zien geenkele toegevoegde waarde en alleen maar een risico om het te gaan delen. Dus hun antwoord was altijd nee. Dus gebeurt er niet. En ik heb bij de toestandkamer van de WIF 2017, was er ook commissie Dessence die daar toen onderzoek naar deed, van hoe we dat eruit gaan zien. Ik heb meerdere malen gezegd, alsjeblieft zet gewoon zo'n artikel erin. Maar het is er nooit ingekomen. En nu is hij er eindelijk dan. Maar nu wel. Was er toestemming nodig voor artikel 94? Ja, nee, het heeft de verbindende toets vooraf nodig.

Dus het wordt gezien als een hele zware. En ik heb al eerder gevraagd van, waarom heeft dit artikel het nooit al in die WIF gehaald? En dan was het ook al om, we wilden de sleepwet er doorheen krijgen. En dan ook nog dit artikel, dat zou echt te veel gevraagd zijn. Ik denk niet dat mensen heel erg angstig zijn als de diensten het recht hebben om gegevens te voorderen. Anders hebben ze bijvoorbeeld wel een recht om in te breken, zelfs gewoon fysiek in te breken bij, laten we gewoon maar boek.com noemen of zo, om daar spullen weg te halen en kopjes van schijven.

Dus je mag het niet via de voordeur doen, maar je mag het wel aan de achterkant allemaal weghekken. Dat zou heel dom zijn in het stelsgelok. Echt belachelijk, echt belachelijk. Dus ik vind het heel logisch dat dit er nu in komt. En die binnen de toets vooraf, ik vind dat zelf een beetje zwaar eigenlijk. Want kijk, als de andere partij zegt, dit kan niet, dan kun je altijd nog naar de rechter of kunnen ze het aanvechten. Hoe komen benieuwdgaande publicaties over wat ze nou gevorderd hebben? Want de politie moet op een gegeven moment natuurlijk een soort van rapport hebben over hoe een strafzaak eruit is gezien. Daar komt een bepaalde vorm van transparantie uiteindelijk aan te pas.

Gaat het hier ook zo zijn? De diensten hebben ook een notificatieplicht. Als jij getapt bent, dan moet je na zoveel jaar daarvan op de hoogte gebracht worden. Behalve als belangen zijn die dat tegenhouden. En ik denk in de praktijk dat er altijd nog belangen zijn om dat tegen te houden. Dit zijn dan de nieuwe dingen. Dit zijn de twee nieuwe dingen. Ja, maar toch even wel. Dit zijn de nieuwe dingen. Dit is het. Even als je het over de verruiming van de bevoegdheden van de diensten of de diensten krijgen er veel meer bevoegdheden bij. Dit is het. Ja. Ja. Maar we hebben ook een aantal zaken die wat ruimer of anders zijn vorderen.

Dat is uitgebreid met online platforms. Dat is bijvoorbeeld Markplaats, Puttenbouw of whatever. Ja, dus wat ook vrolend is, is dat het onder even kijken. Artikel 64. Je mag je kortstondig observeren en volgen. En dat is dan een algemene bevoegdheid zonder dat je vooraf ministeriële toestemming moet hebben. Maar dat gaat wel echt om dat je even snel kan kijken wie iemand is of zo. Ik vind het zelf altijd lastig dat elke burger kan op straat voor een deur halve dag staan te kijken wie in en uit komt.

De staat mag dat niet. Ook misschien wel een beetje goed dat de staat niet alles mag wat elke burger mag. Ach, het legaliteitsbeginning zo heet het. Een burger mag alles behalve als de wet het verbiedt en de staat mag niks, behalve als de wet het hem toelaat. Toelaat. We hebben niets tussen 2017 en nu. We zijn bijna tien jaar verder. Een hele nieuwe wet. Maar dit de enige innovatie zien kunnen zijn toch Jelle? Nee, ik denk dus dat we in die tussenlichtende tien jaar met name geleerd hebben over hoe de aandacht voor heel veel toezicht, maar ook een hele wereld die verandert en dat dit weer een middeling is,

een poging is om eigenlijk tot iets nieuws te komen wat aan beide kanten, dus aan de toezichtskant, maar ook aan de operatie kant, aan de inlichting kant, een soort van winst gaat opleveren denk ik. Een van de dingen die hierin zit is het ompoenente regime. Dus je hebt inderdaad gewoon een standaard rijtje van actoren die ook niet ophouden. Weet je, dit onderzoek stopt ook niet na drie maanden, want die Russen en Chinezen, die gaan gewoon door. Ook al zeg je dat je ze attribueert of je zegt je verstoort een keer een routernetwerk, wat de MIVD heeft gedaan. Je hebt nog steeds, die blijven gewoon komen. Het belangrijkste punt hierbij is dus met dit regime dat je dingen per jaar kan doen,

waar ze normaal vier keer per jaar bijna hetzelfde bezoek indienen. Met elke keer ook de opbrengst erbij. Dus het is ook om te voorkomen dat het door blijft lopen zonder dat er relevante opbrengst is. Ik heb het ook soms wel proportioneel gevonden dat er geen opbrengst was, dat je toch door ging, maar die kan ik niet uitleggen nu denk ik. Of kan ik dat wel wel doen? Ik denk dat je wel uit kunt leggen is over hackoperaties, dat die lang duren. En dat je soms een jaar aan het wachten bent tot iemand ergens een keer op een linkje klikt, of dat er ergens een keer een server down gaat. Dat er allerlei factoren zijn waardoor je een hackoperatie niet hebt gedurend.

En zeker ook ernaast als je op een server zit te kijken waar toch verder geen donden gebeurt, behalve dan dat hij alleen maar klaar staat bij APT 28 om ons ooit een keer te graas te nemen. Ik vond er wel een andere innovatie, dat is dat ze hacken nu in drieën knippen. Dat was vroeger met die kabelgebonden interception ook in drieën. Maar dat doen ze nu met hacken ook. Dat zijn artikelen 76, 77 en 78. En de eerste stap is het binnendringen en een beveiliging doorbreken, eventueel via een derde. Hoef je niet vooraf toestemming te krijgen bij de CTT.

De tweede stap is je toegang bestendigen, dus je eigen shit achter laten, zorgen dat daar ook al hebben ze je ontdekt dat hij misschien toch weer naar buiten een bindinkje maakt dat je er op kan komen. Teal skill en ook misschien een beetje rond kijken nog wat er nog meer draait. Ik heb net heel veel met teal skill zitten spelen. Wat een heerlijke tool zou dat zijn als je dat mag. Zoiets gewoon lekker zou kunnen inzetten, maar je kan het zelf naan maken natuurlijk. En een uitwinning voorbereiden. En de uitwinning gaat natuurlijk uiteindelijk om waar het om gaat. Het hack is niet het doel, het doel is om te kijken wat erop staat.

En dat is dan derde artikel en daarvoor moet je ook wel van tevoren toestemming krijgen. Dat is dan het gegevens overnemen en voorzieningen voor verdere interceptie aanbrengen. Dus die eerste stappen waar je eigenlijk ook niet weet waar je nou je toestemming precies voor moet vragen, behalve dan ik wil hier naar binnen of ik wil in computers van deze acteur naar binnen kunnen. Daar ben je redelijk vrij in als dienst, maar zodra het zover komt dat je ook dat je daadwerkelijk informatie daar gaat weghalen en dan vindt in bepaald opzicht ook een grotere

privacy-inbreuk plaatsen, op dat moment moet je wel vooraf eerst je toestemming krijgen. Maar dan kan je het ook veel beter omschrijven, dit is wat ik wil ophalen, dit is beschikbaar, dit zijn de consequenties als ik het ophal. Maar ja, dan is het ook wel logisch, denk ik, dat je even vooraf vraagt van is het goed. En dit lijkt wel een beetje op dat artikel selecteren, zeg maar, wat het ging met ongerichte interceptie, voordat je dus daadwerkelijk ook data van die kabel bij de diensten naar binnen haalde, ik denk dat artikel 51 ofzo was, 50 in de WIF, dat dat een aparte

last was ook voordat het naar binnen ging. En dat is in het hekken nu gelijk getrokken. En dat is trouwens ook wel weer een punt. Ik vond ook dat die vorige WIF, die moest dan technologisch onwantelijk zijn, maar elk artikel ging wel zo'n beetje over een bepaald technisch trucje, het hekken, het tappen, het binnendringen, weet ik vooral. Dus het zat vol met techniek. De techniek moet eigenlijk niet leidend zijn, het moet gewoon op gaan van dit is de inbreuk die ik ga maken. De datainbreuken, dat moet bepalend zijn of je wel van die toestemming krijgt. Ja, sorry, de memorie van toelichting bij het artikel wel gewoon goed geprobeerd om

te beschrijven wat het dan doet ook, zeg maar. Dus hier staat heel voorbeeld van bij wijze van spreken mag het alarm bij onder 76, dus de enige doorbreken van enige beveiliging, mag het alarm worden gedeactueerd, het slot van het toegangsdeur worden opengepeuterd, ook het wordt opengepeuterd in een MVT, vind ik gewoon gewoon. Heel mooi. Hier is heel lang over nagedacht, denk ik. En de deur mag worden geopend, dus je mag dat allemaal doen. Maar er wordt nog geen voet over de drempel gezet. En daar merk je dat de cyberwereld en de fysieke wereld een beetje slecht op elkaar

relateren. Zou dit dan uit een soort onnozelheid te ver versimpeld zijn of zou dit zo gedaan zijn om kamerleden te simpel uit te leggen en daarom het mooi voor te schoten ten opzichte van wat werkelijk is? Ja, weet je, dat is een mooi tweetje en een meme van als er constant gevraagd wordt explaining it like I'm five year old. Sorry, maar we doen geen fucking inlichtingoperaties met five year olds, dus zorg dat je kennis up to date is en dan kunnen we serieus gesprekken hebben over hoe dit ingevuld wordt, zeg maar.

Allemaal belangrijk punt natuurlijk is dat die tip en die CTIVD worden samengebracht. Dat wordt nu een college van toetsing en toezicht. Dat is er wel weer daar binnen gescheiden tussen de toetsers en de toezichthouders. En daarnaast is dan ook altijd nog de klacht afhandeling, klachtbehandeling als aparte afdeling. En dat idee van dat end to end toezicht, dat kwam niet alleen van het kabinet. De tip en de CTIVD hebben daar zelf ook voor gepleit omdat ze een organisatie met hun eigen staf en op één manier juridische uitleg en de technische risico's inschatten op een bepaalde manier door de hele operatie kan volgen.

En dit is ook echt iets waar ik in de praktijk mee gezeten heb, van dat ik soms dacht, ja, ik zie deze aanvraag, ik wil hem best goed keuren, maar er zit wat ambiguïteit in hoe je het straks kan uitleggen of het kan de hele verkeerde kant opgaan, dat ze veel te veel kunnen weg gaan halen of het is precies goed wat ze zoeken. Maar om het dan nog gelijk stil te moeten leggen en opnieuw te moeten zeggen, ga je last maar opnieuw schrijven en maak het daarin helderder, kan je nu zeggen, vooraf, van, het is goed, ga je gang maar. En zodra het dan ook gaat lopen, kijk je in de operatie mee. Ja, die is er. Maar wat ook trouwens toegevoegd is hieraan is, want nu

je dit zegt, word ik benieuwd, er is een artikel bij gekomen, voordat de tip een oordel uitbrengt, kunnen ze hem teruggeven zodat de diensten de gelegenheid krijgen tot het repareren eigenlijk van het verzoek met de feedback van de tip. Het is best wel nice, want in het verleden was het gewoon gelijk, hier is een afwijzing, bij wijze spreken, of drie achter elkaar en nu zeggen ze van nee, hier is de feedback, try again. Ja, er was ook geen grondslag voor de tip om gedeeltelijk onregmatig, die bestond zo niet bij wet en nu staat hij in de wet de gedeeltelijke regmatigheid of onregmatigheid, waardoor Ronald in zijn vorige functie had kunnen zeggen

van als wij tien dingen gingen vragen van die drie wel, die andere zeven moet je nog even over nadenken. Maakt het wel praktisch wat effectiever. En ook nog een keer over die percentages over onregmatigheid en rechtmatigheid is wel gewoon goed om te benoemen, dat staat ook in de memorie van toelichting en de tip reportage ook, dat de tip dan 640 115 verzoeken beoordeelt, waarvan 96 procent direct als rechtmatig en na aanpas bleef 1,3 procent onrechtmatig. Dus daartussen zitten inderdaad misschien geklausuleerde toestemmingen of dat naar een keer opnieuw indienen dat toch toch wel rechtmatig was.

Dus het is ook even over over de verhouding dat ik denk ook doordat er minder toetsing soms aan de voorkant zit en iets meer naar de achterkant gaat, dat je tijd hebt om te focussen op die 4 procent in plaats van misschien van die andere 96 procent waar niet zo heel veel heel veel spannend of risicovols gebeurt. Natuurlijk is alles spannend wat diensten doen, maar je wil denk ik ook je toezicht houden gewoon hebben op de echt spannende dingen van totaal set aan spannende dingen. Maar goed en over dat bindende tijdens de uitvoering, dat geldt dus niet overal. Het is echt een uiterste middel om voor een beperkte groep risicovolle onderwerpen,

waar bijvoorbeeld het hekken van een derde ondervalt of via een derde hekken en het lieren van mensen, dus het linken van mensen aan een opponent en sommige beslissingen over de duil gegevens. Dat is waar CTT kan zeggen en nu is genoeg geweest. Toppen ermee. Hey Marco, je bent terweg gegaan. Toen kon je nog niet zo'n hele mooie dingen doen met AI. Tegenwoordig kan het wel. Wat zegt de wet daarover nu? Mag de diensten ook lekker weer los gaan? AI wordt niet specifiek genoemd, als in het gaat over het geautomatiseerd verwerken van gegevens. Natuurlijk, het gaat over het uitvoeren van de taken die in de wet staan

en ook de wetveiligheidsonderzoeken. En ze spreken daar heel erg over dat het risicogedreven moet zijn. En daar hebben ze eigenlijk een heel soort risicobeheersings framework omheen geschreven. Wat ook wel interessant is, allerlei zaken rondom bewaartermijnen zijn eigenlijk vereenvoudigd en duidelijk uitgeschreven. Ik vind wel dat je hier ook merkt, het automatiseringsartikel, de moeite die ze hebben gedaan om het techniek agnostisch te maken. Dus je ziet het echt genoemd worden, generatieve AI. LLAMS komt wel eens terug, maar dat inderdaad gaat over dat het gaat over deze toepassingen functioneren zodanig dat dezelfde input herhaaldelijk tot

verschillende outputs kan leiden. Dus eigenlijk hebben ze het over stochastische of probabilistische systemen, zeg maar, in plaats van deterministisch. Dat ze daar allemaal ver weg van willen blijven. Wat ze wel hebben gedaan, is zeggen van dingen die dus in de gewone maatregelpij gebruikt worden, die moeten diensten ook kunnen gebruiken. Dus als je genatieve AI kunt gebruiken in de maatschappij, als het daar heel gewoon is geworden, dan moet een dienst dat ook kunnen. Dus dat je niet hebt dat een dienst met zijn methode van onderzoek en analyse achterblijft, omdat het in de wet van zes jaar geleden niet niet opgenomen was. Dus dat je met dit artikel een soort, dat schrijven ze zelf ook, een levend artikel hebt, waardoor je als dienst

ook constant gedwongen wordt om te innoveren en dat je daar dus ook eigenlijk een bevoegdheid voor hebt om gewoon lekker high tech bezig te blijven met het nieuwe technologie die in de maatschappij terecht komt. Vond ik mooi. Maar iemand moet wel die afweging maken. Een levend artikel is op zich ook weer levensgevaarlijk natuurlijk, want het is alleen maar interpretatie. Wat wel interessant is, is dat bij artikel 37 staat dat er dus bij of kracht in het algemene maatregelen van bestuur naar de regels kunnen worden gesteld over automatisering. Het is dus een van de risico's wel met deze wet. Dus dat je met name ook voor de effectiviteit van de diensten, als het

dus dichtgetikt wordt door mensen die niet per se weten wat er in de operatie nodig is. Als je hier een jurist hebt die zegt van nee, alle automatiseringen uitgesloten, geen TVI, willen we bij de hele overheid niet gebruiken. En dan zeg je van oké, dat gaan we dan bij de diensten ook doen. Dan krijg je dus wel dat je ook met die AMVB's een mogelijk effectieve wet kun je nog steeds helemaal stuk maken als de koppeling tussen operatie en beleidmakerij niet klopt. Maar ja, of gewoon gekke minister die een bepaalde toezegging doet of een uitleg geeft die veel meer tot gevolgen heeft dan dat die zelf kan overzien.

Ik zou wel bang zijn in de discussie erover dat een minister of iemand zegt van no worries, we gebruiken alleen maar chat en L of chat GPT en L zeg maar. Zo'n toezegging zou ik wel bang voor zijn, dat je zo via die amtelijke as in een keer zo'n heel relatief automatiseringsartikel getorpedeerd wordt. Maar dit is zeg maar een stukje, ik noem hem maar even inperking, want dan zegt hij van ja, we gaan alleen maar dit gebruiken. Maar wat is de kans dat hier verruiming optreedt? Je kunt niet sneller dan de maatschappij. Dus dat vond ik ook weer mooi geschreven in de memorial van toelichting. Maar hierin staat wel ook inderdaad van ja, een toepassing die dus ingebergd is in

de maatschappij is onwaarschijnlijk dat dat een risicovolle toepassing in de diensten zal zijn zeg maar. En ik denk van ja, vind ik wel een punt. Ja oké, vernoef. Het staat nu een paar dagen online dit met internetconcentratie, hebben veel mensen al gereageerd. Ook in de persje is natuurlijk al wat geroepen. Er zijn vijf stevige bezwaren die erin terugkomen. Over de toezicht verdwijnen niet overal, maar bij belangrijke bevoegdheden wordt de onafhankelijke controle vooral veel kleiner of naar een ander moment verplaatst. En de vraag is of toezicht tijdens en na de uitvoering daar wel voldoende

compensatie voor biedt. Bijvoorbeeld het opmermementen regime geeft een jaar lang veel ruimte. Het is alleen door dit zo te doen, krijgen we dus wel de winst, dus dat een team niet duizend pagina's toestemmingverzoek schrijft en twee dagen per week per inlichting of ze hier kwijt is aan toestemmingverzoeken, maar dat ze die tijd kunnen focussen op die actoren. Het is echt dom hoe het, het was niet dom hoe het was, maar wel een beetje dom, een beetje domig zal ik het dan maar noemen. Het was zeg maar van tip gelukkig nieuwjaar, weet je de Russische Militaire Inlichtingdienst doet stoute dingen, dus kortaal 1. Dan kortaal 2. Hey, ze doen nog steeds stoute dingen.

We gaan deze bevoegdheden inzetten. We hebben deze opbrengst. Oké, top. Zomerverlof geweest. Na het zomerverlof. Tip, ze zijn nog steeds stoute dingen aan het doen en dat doen ze al 40 jaar eigenlijk. Nou en vervolgens heb je de fijne kerst update. Hey, tip fijne kerst, gelukkig nieuwjaar. Q4 hebben het weer gedaan. Ze hebben nog steeds stoute dingen. Ik denk dat je punt duidelijk is. Sorry, ja zeker. Ik vind het een mooi verhaal. Oké, het volgende bezwaar is natuurlijk van hey, dat de eerste twee hackfase niet vooraf onafhankelijk getoetsd worden.

Ronald, wat vind jij ervan? Ja, maar kijk, bij die eerste twee fases, bij de derde fase pas, wordt er ook privacy-gevoelige gegevens weggehaald. In de eerste twee fases is het risico waar je als toezichthouder misschien iets van vindt, is dat je naar technische risico's kijkt van, ga je misschien wel een telco plat leggen, wat niet de bedoeling is, of een ziekenhuis, dat voorbeeld wordt ook vaak genoemd, terwijl er niet heel veel bij ziekenhuizen gehackt wordt, kan ik verklappen. Maar ja, als je heel Amazon plat trekt of AWS, dan zit er ook vast wel een ziekenhuis tussen. Maar de vraag is of je nou drie hoog achter als een tip,

op afstand daarvan tevoren, al een ischat even moet maken, of je daar wel goed gepositioneerd voor bent, of dat je dat inderdaad beter maar langzij kan doen, dus dat iemand elke dag met Marco aan zijn zij meeloopt en kijkt wat hij aan het doen is, of hij het zo maar een zero-day lekker met de hulp van AI even loslaat, om te kijken of hij ergens binnen kan komen. Klaar, kom binnen. Ik vind dit een hele logische. Pas zodra er een privacy-inbreuk plaatsvindt, dat is ook wat het Europees Wolf Auto bedoeld heeft natuurlijk, is dat er dan pas vooraf die toestemming moet komen,

van het tip los van de minister. Marco, maar een ander is natuurlijk wel dat er nu meer organisaties onderdeel worden van de inlichtingeketen zoals banken, online platforms, en die kunnen verplicht worden om bepaalde gegevens te verstrekken. Gaat dat enorm helpen? Zo, gaat dat enorm helpen. Ik denk dat het goed is dat er gevorderd kan worden. Ik wil je net zelf ook een heel betoog daarover gehouden. En anders hekt hij ze wel, toch?

Op de schaal van proportionaliteit, subsidiariteit, dat soort zaken denk ik dat het goed is dat dit kan, voordat je bijvoorbeeld over zo gaat tot een hekker, laat staan of je überhaupt op Nederlands spraakbodem zou willen willen hekken. Maar ik denk dat het wel goed is dat dit kan gebeuren. Ik denk dat er nu heel veel gebeurt onder de titel van een informant of agentverstrekking van informatie, waarbij dus risico zit bij de gever van de informatie die een NDA heeft of een andere verplichting richting zijn klanten. En nu krijg je allemaal cadeautjes als diensten.

En het is heel goed dat dat gewoon nu netjes wettelijk geregeld wordt. Ik denk dat er twee mensen hier boos over zijn, maar diensten moeten nou eenmaal bij informatie kunnen. Ja, dat kunnen ze nu ook al onder WIF 2017. Dus hier worden een aantal nieuwe dingen opgenomen en de vordering is inderdaad het nieuwe ding wat erin zit. Maar dat het uitgebreid wordt naar online platforms, snap ik ook. Want die definities, constant lopen zeuren met definities. Is booking of zo, is dat nou een ISP? Want ze doen ook soms wat infrastructuur, hebben ze ook.

Ze doen ook diensten aan, ook telecommunicatiediensten. Misschien zelfs wel, want je kunt chatten via booking. Dus je kunt alles via elke applicatie tegenwoordig. Dus ik snap ook dat we af en toe moeten denken van oké, online platforms is misschien een wat houdbaardere definitie dan alles zo heel specifiek benoemen. Dus ja, ver af. We hebben nog een paar bezwaar gezien, staatsnoodrecht. Maar ik denk dat geldt altijd. Als er grote noodzaken is, dan moeten dingen openbaar kunnen, anders kunnen worden. En er is wat commentaar geweest over twee commissieleden

die dan, die kregen nu per wet opeens de mogelijkheid om toestemming te geven. Maar dit is ook al, zeg maar, staandbeleid. Alleen niet op wetelijk niveau geregeld, maar in het reglement van de TIP bijvoorbeeld. Daar staat zelfs volgens mij dat in hele bijzondere situaties zelfs één juridisch gequalificeerd lid, dus niet de technisch lid, ook gewoon die toestemming zelfstandig mocht geven. Oké, we hebben een internetconcentratie, maar ik denk echt dat we moeten gaan stoppen. En eigenlijk wordt die veel leuker tegen het einde van de periode. En die is ergens in oktober, dacht ik op zo'n 10 of 11 oktober, dat die openstaat.

Want dan krijg je ook van de grotere organisaties, zoals Bits of Freedom, de Bert u Bergs, allemaal nette teksten. En dan gaan we die wel even met een stofkamer voor de klot heen halen. Moeten we die van de Twee voor de sfeer even doen? Oké, met Zuidel, dan kijken we ook door alle online reacties heen op al al niet geautomatiseerde wijze. En ja, we moeten toch even Twee voor de sfeer introduceren. Dus van iemand uit Mandchum, die had daar drie woorden genoeg. Voor. Goed idee. Geen artikelsgewijze toelichting, maar wel een efficiënte reactie.

Kortpakachtig. En een inzender uit Eindhoven gaf als naam World Economic Forum 1984 Klaus Schwab op en sloot af met Orwells drie slogans. Ja goed, de inhoudelijke boodschap, hoe groter de staatsmacht, hoe sterker de begrenzing moet zijn. Nou, op zich klopt dat. Twee spectra naast elkaar. Ja, het is weinig actionable, maar je zet ook wel serieus in. Ik vind het echt leuk om te zien dat best veel mensen dit aan hun hart gaat. Eén vraag nog aan Marco.

Oké. Hoe zie jij het voor je dat een toezichthouder naast je gaat zitten tijdens het hacken? Ja, dat hangt er een klein beetje vanaf wat de dynamiek gaat zijn. Kijk, in het verleden werd er ook heel veel geïnvesteerd in de relatie, zodat je ook met elkaar gewoon dat je dan lekker naast elkaar kan zitten met een bakje koffie en dan je werk doen en dan kijken ze mee. Maar ja, als ze ver van de organisatie bijvoorbeeld af willen staan en ze komen echt puur voor als een soort van uit een controlefunctie echt zo naast je zitten, ja, dat zal echt wel wat minder fijne dynamiek brengen,

alsof het heet dat iemand je nek loopt te heigen in je werk, zeg ik. Maar goed, toch hoop ik het wel op een bepaalde manier, dat als het zeg maar zo'n randgeval is van is het wel professioneel of niet wat je gaat zitten doen en welvast een grote risico's zijn dat dingen onderuit gaan, dat er iemand naast je zit en die eigenlijk op elk crucial moment dat je even kan zeggen, nou ik sta hier nu, wat gaan we nu doen? En dan vraag ik me ook af of die persoon dan al gelijk zijn feedback geeft, want dat zal vast niet een commissielid zelf zijn, maar meer een wat technisch georienteerd persoon dan. Of toen je eerst terug moet naar de commissie, dat hij jou even op pauze zet.

Hij zegt, ik ga even mijn commissie bellen. En dan of hij het wel of niet kan of zo. Ja, dat is wel interessant, want dat doet ook weer een beetje afbreuken aan gewoon de mensen die daar met elkaar werken en hoe je ook met elkaar samenwerkt. Dat zit ook in de samenwerking, misschien dwars of niet. Maar het zou ook juist heel erg kunnen helpen. Ik denk ook dat heel veel van die calls het super fijn zou zijn als je daar even kunt sparen met iemand over, zeg maar, zonder dat weer allemaal via allemaal op papier te moeten doen en via gelijk via een toezorgsrapportage dat je gewoon eerst even kunt sparen. Hey, ik ga dit niet doen. Hoe kijk je jullie hier tegenaan? Dat is even weer een half uurtje werk, maar ja.

Als je dus super die technisch gaat, kan die persoon dan helemaal meekomen in die techniek? Kan die persoon dan ook mee op diezelfde manier? Ja, dat moet natuurlijk wel. En ook dan heb je dus techniek, maar je hebt ook organisatorische politieke afbreukrisico en dan, ja, wie kan dat verenigen? Maar je moet wel uitkijken dat als je net een Python scriptje gemaakt hebt, en het crasht elke keer en hij staat open en dat je dan ernaast zit als toezichthouder. En dat je, ja, ik zie het wel hoor, je moet een idee of 84. Ik mag het niet zeggen. Die indent klopt niet. Ga je dat dan zeggen of niet?

Ja, dat is even een idee. Ja, dan mag je aan de andere kant gaan zitten, nee. We gaan afronden, jongens. Dank voor het harde werk wat jullie gedaan hebben om dit allemaal voor te breden. Ook weer. En dat was het weer voor deze week. Dank aan Marco. Dank aan Jelle. Heb je vragen, opmerkingen of onderwerpen die we moeten bespreken? Meen ons dan via vragen. Hetcybehelden.nl En oh ja, al die marketing bureau's die ons benaderen, die ons willen sponsoren. Het hoeft niet. We hebben genoeg koffiekoppen. We hebben alle microphones al. Allemaal niet nodig. Het draait prima zo. We blijven lekker onverhankelijk. Elke week kan je weer naar een nieuwe aflevering van Cybehelden luisteren.

Om te gesprekken met Cybehelden. Je kan terug luisteren via Spotify of je eigen favoriete podcast app. Vergeet ook niet te subscriben. Dan krijg je zelf weer een notificatie als een nieuwe aflevering klaarstaat. Tegenwoordig vaak op maandag ochtend. Heel dank voor het luisteren en graag tot de volgende keer. Laters. Thanks Ronald, tot volgende. Jowoo. Jowoo. Lekker.