De cyberveiligheid van het grenstoezicht door de Koninklijke Marechaussee op Schiphol is onvoldoende en niet toekomstbestendig. Dat blijkt uit onderzoek van de Algemene Rekenkamer. Beveiligingstesten op de IT-systemen vinden niet of nauwelijks plaats. De software van twee IT-systemen is zonder de vereiste goedkeuring operationeel. En IT-systemen zijn niet aangesloten op de detectiecapaciteit van Defensie en Schiphol. De Rekenkamer noemt het „onbegrijpelijk” dat dit niet al eerder op orde is gebracht.
De cyberveiligheid van de IT-systemen is van cruciaal belang om digitale sabotage, spionage en criminaliteit tegen te gaan. Als de IT van het grenstoezicht door een digitale aanval onbruikbaar wordt, kan de marechaussee het grenstoezicht niet of nauwelijks uitvoeren.
Lange wachtrijen, vertraging en annulering van vluchten zijn daarvan mogelijk het gevolg. Een ander risico is dat buitenlandse veiligheidsdiensten cyberspionage inzetten om de gegevens van bepaalde reizigers in te zien. Daarnaast kunnen cyberaanvallen worden ingezet om informatie te manipuleren, zodat gezochte personen makkelijker de grens kunnen passeren.
Het grenstoezicht zal de komende jaren verder digitaliseren, schrijft de Rekenkamer. Het is belangrijk dat het niveau van cybersecurity snel op orde wordt gebracht. De benodigde kennis en kunde zijn daarvoor in huis. De aanbevelingen komen daarom dan ook neer op „daadwerkelijk doen wat al mogelijk is”.
De conclusie van de Rekenkamer liegt er niet om, erkennen de verantwoordelijke ministeries (Defensie en Justitie en Veiligheid). Zij onderschrijven de aanbevelingen. Volgens een woordvoerder van Defensie zijn er al stappen gezet en zijn er verschillende maatregelen van kracht om de risico’s en gevolgen van een cyberaanval op de IT-systemen te beperken. Mochten deze systemen uitvallen, dan kan het grenstoezicht nog steeds handmatig plaatsvinden. „Daartoe zijn onze mensen opgeleid.”
„De veiligheid van IT-systemen is voor Defensie van groot belang”, zegt de woordvoerder. Bestaande en nieuwe systemen worden getest om kwetsbaarheden bloot te leggen en aan te pakken. Ook vanwege personele schaarste in de IT-sector is dit geen geringe opgave, tekent de woordvoerder aan. Bij het testen krijgen systemen waar het grootste risico zit en waar de meeste winst te behalen valt voorrang.
Schiphol gaat het rapport bestuderen en de aanbevelingen met de betrokken partijen bespreken, laat een woordvoerder in een reactie weten.
Het Schipholonderzoek is het tweede in een reeks van drie naar cybersecurity in vitale sectoren.