De raison d´être van de staat is veiligheid bieden.¹ Deze functie wordt in sociale contracttheorieën verklaard.² Volgens die theorie dragen individuele burgers hun recht veiligheid voor zichzelf (lijf en bezittingen) te organiseren over aan de staat.³ In ruil hiervoor verschaft de staat het collectief veiligheid. Veiligheid is een randvoorwaarde voor individueel welzijn en collectieve welvaart waardoor de mens, economie en maatschappij floreert, zoals Hobbes duidelijk maakt:

Die collectieve veiligheid heeft wel een prijs. Veiligheidsorganisaties moeten bekostigd worden en bovendien moeten ze bevoegdheden toebedeeld krijgen om effectief te zijn. Die kosten brengen burgers op door een overdracht van rechten en aanspraken. Denk aan geld (bijvoorbeeld via belastingen) en toegelaten inperkingen op grondrechten (o.a. privacy). Zonder budget en bevoegdheden kan de staat geen veiligheid leveren.

Veiligheid is dus niet gratis en de vraag is vanaf welk moment en tot welke prijs burgers veiligheid van de overheid verlangen. En wat dit in termen van individueel welzijn of collectieve welvaart oplevert.

De uitruil betekent óók dat bij gebrek aan offers van burgers, veiligheid niet op te eisen valt of niet volledig waargemaakt kán worden. Ik betwijfel of iedereen hiervan doordrongen is. Hoewel het regelmatig voorkomt, is het uiterst merkwaardig (en zelfs onbehoorlijk) wél veiligheid te vragen of te eisen, daarvoor zelfs taken te laten toebedelen, maar daarbij géén middelen (budget en bevoegdheden) te voegen. Oftewel; zonder overdracht van (voldoende) aanspraken of rechten, kan men geen veiligheid verlangen, en van welvaart en welzijn profiteren.

De rol van de wetgever

Los van de individuele keuzeruimte uit het voorbeeld geldt dit spanningsveld ook – of vooral – binnen de overheid zelf. In onze democratische rechtsstaat bepaalt de wetgever immers waar die balans veiligheid-rechten-welvaart in dit opzicht ligt (zie Figuur 1). Oftewel: hoeveel veiligheid levert de overheid, wat ‘kost’ dat in termen van geld (via belastingen) en inperking-van-rechten, en wat levert dit ons (burgers en maatschappij) op? Deze keuzes hebben we in Nederland aan de wetgever (regering plus parlement) toevertrouwd. En die keuzes zijn actueel. Ook bij veiligheid in het digitale domein.

Figuur 1. Spanning veiligheid – rechten – welvaart/welzijn

Zo is duidelijk dat burgers en bedrijven schade (kunnen) leiden door digitale criminaliteit en terreuraanslagen. Bedreigingen van onze vitale belangen die leunen op digitale processen, dienen te worden voorkomen. Denk maar aan inmenging in democratische processen zoals verkiezingen of referenda. Vandaar bijvoorbeeld de wetsvoorstellen om opsporingsbevoegdheden voor politie en Openbaar Ministerie⁵ en het verzamelen van inlichtingen door de AIVD en MIVD aan te passen.⁶ Over het eerste wetsvoorstel moet het Parlement zich nog uitspreken. Het tweede, de Wet op de Inlichtingen- en Veiligheidsdiensten, is al aangenomen maar wordt binnenkort onderwerp van een raadgevend referendum. En los daarvan nam de wetgever recent wetgeving aan die het melden van datalekken in vitale sectoren verplicht stelde.⁷

De balans bepalen in deze spanning tussen veiligheid–rechten–welvaart onderstreept op zichzelf al het belang van volksvertegenwoordigers en verkiezingen. Het onderstreept ook het belang van een goede informatiebasis om deze besluiten te nemen, zoals dat overigens voor alle ingrijpende overheidsbeslissingen geldt. Eveneens zijn de zorgen over de impact van dit soort nieuwe bevoegdheden om veiligheid (in het digitale) domein te verbeteren, niet meer dan logisch.

En laat ik helder zijn: hoe ingrijpender het overheidsoptreden – huidig of beoogd – des te belangrijker draagvlak, verantwoording en toezicht worden.⁸ Ook over deze zorgen en ‘checks and balances’ of ‘tegenkrachten’ heeft de wetgever het voor het zeggen.

Nationale veiligheid en vitale belangen

‘Veiligheid bieden’ geldt dus als een van de klassieke en ‘harde’ taken van de overheid.⁹ Het Nederlandse veiligheidsbegrip is gebaseerd op de noties van vitale belangen en strategische belangen. Deze zijn tot nu toe in twee aparte veiligheidsstrategieën verwoord.
Uit de Strategie Nationale Veiligheid uit 2007 volgden vijf vitale belangen:¹⁰ territoriale, fysieke, economische, ecologische veiligheid en politieke en sociale stabiliteit.¹¹
De Internationale Veiligheidsstrategie (2013) hanteert drie strategische belangen: territoriale veiligheid, economische veiligheid en de internationale rechtsorde.¹² Ik noem ze hierna kortheidshalve: vitale belangen (zie Figuur 2).¹³
Deze zes vitale belangen zijn bepalend voor onze nationale veiligheid. Ze werken op elkaar in (interdependent).. Een ‘hack’ in een Oekraïens boekhoudprogramma legt via een update bij rederij Maersk hier de Rotterdamse haven plat en kost miljoenen.¹⁴

Figuur 2. De zes vitale belangen van Nederland

Een verstoring kan vanuit het buitenland of uit Nederland zelf komen.¹⁵ Onze economische veiligheid is bijvoorbeeld afhankelijk van een stabiele en effectieve internationale rechtsorde die digitale en fysieke handel, transacties en dienstverlening mogelijk maakt. De Nederlandse overheid staat uiteindelijk voor de klassieke taak deze vitale belangen te bevorderen en beschermen. “Beschermen” is nodig tegen bedreigingen van die vitale belangen. “Bevorderen” betreft het inzetten van machtsinstrumenten om (vitale) belangen te dienen. Bijvoorbeeld via een militaire missie in het buitenland die tot herstel of behoud van de internationale rechtsorde moet leiden, dan wel tot herstel van de territoriale integriteit van eigen of bondgenootschappelijk grondgebied.
Beschermen en bevorderen van vitale belangen vergen investeringen, onder meer door de allocatie van machtsmiddelen en door een goede informatiepositie over dreigingen van vitale belangen en potentiele rivalen of (militaire) opponenten.¹⁶

Informatie als machtsfactor

Informatie als machtsbron is dankzij het digitale tijdperk toe aan een herwaardering.¹⁷ Klassiek is de notie “kennis is macht”. Maar er is meer. Via directe dwang (b.v. sabotage), door institutionele macht (b.v. sleutelposities binnen ICANN) of structurele macht (b.v. eigendom van glasvezelnetwerk of Facebook) is dit al bekend terrein. Echter, vooral als productieve machtsfactor komt informatie tot wasdom.¹⁸ Dat wil zeggen dat actoren met informatie de politieke agendavorming kunnen beïnvloeden of een debat kunnen starten, versterken en beïnvloeden.¹⁹ Dit geheel faciliteert nieuwe ‘elites’ en actoren.

Niet alleen de bonafide ‘big five’ Apple, Amazon.com, Microsoft, Facebook en Google, bezitten zo’n enorme macht.²¹ Ook een individu zoals @realDonaldTrump beschikt over productieve macht.²² Gelegenheidscoalities als Anonymous en #MeToo worden nu als machtsfactoren gezien.²³
Bovenal is informatie essentieel om problemen en kansen te onderkennen, te begrijpen, te doorzien en in te zien wat nodig is ze te pareren dan wel benutten.

Cyber security als zevende vitale belang

De proliferatie en de brede maatschappelijke afhankelijkheid van ICT²⁴ brengt onze vitale economische, bestuurlijke, politieke en sociale processen binnen het bereik van deze actoren.²⁵ Een geavanceerde digitale samenleving en economie, is dus niet slechts een zegen én een machtsfactor, maar ook een kwetsbare en alle vitale belangen doorsnijdende factor.²⁶ Bovendien brengt het digitale domein een militair conflict snel en eenvoudig dichtbij.²⁷
In dat opzicht zou ons begrip van nationale veiligheid ondertussen een zevende vitale belang moeten bevatten: digitale veiligheid (zie Figuur 3).²⁸

Figuur 3. Het zevende vitale belang van Nederland

Digitale veiligheid is in de Nationale Cyber Security Strategie-2 gedefinieerd als: “het streven naar het voorkomen van schade door verstoring, uitval of misbruik van ICT en, indien er toch schade is ontstaan, het herstellen hiervan.”²⁹
Inbreuken (en de daaruit volgende schade) kunnen verschillende vormen aannemen.³⁰ Ze variëren van technisch falen, menselijke fouten, bewust menselijk handelen zoals activisme, malversaties, spionage, sabotage en oorlogshandelingen (zie Figuur 4). Daarachter gaan statelijke en niet-statelijke actoren schuil.³¹ Die laatste categorie omvat onder meer (combinaties van) criminelen, activisten, actiegroepen, terroristen, rebellen én commerciële bedrijven.

Figuur 4. Digitale onveiligheid en cyber security paradigma’s

Het verbeteren van onze digitale veiligheid is rondom vier paradigma’s geconstrueerd: bescherming van ICT, rechtshandhaving, inlichtingen en conflict.³² Deze paradigma’s bieden een bestuurlijk, juridisch en organisatorisch kader waarbinnen de overheid en private partijen hun bijdrage leveren (zie Figuur 4). De paradigma’s bepalen allereerst de taak (inclusief de rechtsbasis daarvoor), het toe te passen rechtsregime, de gezagsrelaties en het toezichtmechanisme. Zo omvat het rechtshandhavingsraamwerk de taakstelling voor de politie³³ tot het opsporen van strafbare digitale feiten,³⁴ opsporingsbevoegdheden om digitaal te rechercheren³⁵ en verantwoordings- en toezichtstructuren zoals een openbare en onafhankelijke meervoudige rechtsgang. Het conflict paradigma is uit zijn aard belegd bij Buitenlandse Zaken en Defensie. Dit is het domein voor cyber warfare.
Deze vier paradigma’s maken dat verschillende departementen een rol bij cyber security spelen. Om deze verschillende inspanningen onderling af te stemmen zodat dit beleid legitiem, efficiënt en bovenal effectief is, is een vijfde paradigma, horizontale coördinatie nodig. Althans in het Nederlandse staatsbestel. Elders, bv het Verenigd Koninkrijk, wordt dit langs hiërarchische weg opgelost.