De ICT-systemen van het Openbaar Ministerie (OM) waren voorafgaand aan een grote inbreuk vorig jaar onvoldoende beveiligd. Dat heeft een onafhankelijke onderzoekscommissie donderdag geoordeeld. Mogelijk zat een buitenlandse overheid achter de aanval.
is nieuwsverslaggever van de Volkskrant.
Het OM ging in de zomer van 2025 twee weken offline nadat het Nationaal Cyber Security Centrum (NCSC) waarschuwde dat een ‘cruciaal systeem’ van de organisatie ‘gecompromitteerd’ was. Medewerkers konden wekenlang alleen vanaf kantoor werken, hadden geen toegang tot hun e-mail en konden systemen maar beperkt gebruiken. Dat leidde tot grote vertragingen binnen de rechtsketen.
Het ging om een ‘zero-day’ inbreuk: aanvallers maakten misbruik van een zwakke plek die nog onbekend was bij de systeemontwikkelaars. Daardoor was er ook geen snelle oplossing voor. Volgens de NCSC werden door deze kwetsbaarheid ‘meerdere vitale organisaties binnen Nederland’ getroffen door aanvallen.
Het is niet duidelijk wie er achter de inbreuk zit, maar er zijn aanwijzingen dat de aanval werd uitgevoerd in opdracht van een buitenlandse overheid. Op basis van forensisch onderzoek van Deloitte constateert de onderzoekscommissie dat het erop lijkt dat een ‘aan een statelijke actor gelieerde partij’ het systeem hackte.
Het is niet bekend wat de aanvallers precies gedaan hebben, maar er zijn geen sporen of aanwijzingen gevonden dat er e-mails of andere gegevens zijn gedownload. Uit het onderzoek van Deloitte bleek wel dat de hackers minstens een maand lang toegang hadden tot een deel van de systemen. In de Hoog Beveiligde Omgeving (HBO) van het OM, waar de meest gevoelige informatie wordt bewaard, is geen verdachte activiteit geweest. Dat was het enige systeem dat ten tijde van de inbreuk werd gemonitord.
Die zeer beperkte monitoring was een van de nalatigheden in het cybersecuritybeleid van het OM, stelt de commissie. Volgens de onderzoekers was er bij het OM sprake van een ‘langdurige onderschatting’ van het belang van goede ICT-beveiliging. Noodzakelijke aanpassingen zouden langdurig achterwege zijn gebleven, ondanks waarschuwingen over de gebrekkige en verouderde ICT-systemen. In het rapport staat dat het is alsof ‘de sluimerknop is ingedrukt’ terwijl ‘de wekker meerdere malen is afgegaan’.
Toch was het OM voorafgaand aan de aanval al bezig met ‘structurele aanpassingen’ aan de systemen. Die aanpassingen zouden ‘hoger op de prioriteitenlijst’ zijn gezet. In maart en april stelde de organisatie mensen aan om de informatievoorziening en ICT te versterken en te verbeteren. Die verbeteringen zijn na de hack doorgevoerd.
Volgens de onderzoekscommissie heeft het OM dan ook al goede eerste stappen gezet, maar zijn de huidige plannen ‘nog niet toereikend’. ‘De plannen verdienen extra uitwerking en concretisering, zoals het beleggen van verantwoordelijkheden en het benoemen van tijdspaden.’ De commissie maakt zich het meest zorgen over ‘de beperkte uitvoeringskracht van het OM om de systemen te moderniseren’. Voor de verbeteringen die het OM vlak voor de aanval wilde doorvoeren zou pas te laat voldoende geld en capaciteit zijn geweest.
Minister David van Weel van Justitie en Veiligheid (VVD) maakte in een brief aan de Tweede Kamer bekend extra budget ter beschikking te stellen om de verbeteringen door te voeren. Het OM krijgt op grond van het coalitieakkoord 50 miljoen euro extra per jaar.
Geselecteerd door de redactie
Source: Volkskrant