[NL] Opvolger van de Wiv 2017: meer ruimte voor de geheime ...

2026-10-16T03:17:07Z

[NL] Opvolger van de Wiv 2017: meer ruimte voor de geheime diensten, minder voor toezicht

On August 28, the government of The Netherlands presented a proposal for a new law governing the Dutch intelligence and security services AIVD and MIVD. This proposal was subject of an internet consultation, in which the public could submit its opinions. Below is my opinion on the proposed law, with some additional links and images.
Along with the proposal, the government published a brief introduction in English.
Internetconsultatie
Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten (Wbnv)
Reactie op het wetsvoorstel door mr. Peter Koop, auteur van het onderzoeksweblog Electrospaces.net en parttime onderzoeker aan de iHub van de Radboud Universiteit
10 oktober 2026
Inleiding
Dit wetsvoorstel gaat over een onderwerp dat bijzonder ingewikkeld is, niet in de laatste plaats omdat de praktische uitvoering in het geheim plaatsvindt. Dit resulteert in een wetsvoorstel dat niet alleen inhoudelijk zeer complex is, maar ook uitvoeriger dan ooit. Het aantal wetsartikelen is van 172 naar 274 gegaan en de memorie van toelichting omvat maar liefst 347 pagina's. Het is dan ook bijna niet mogelijk om in de relatief korte periode van de internetconsultatie een reactie op alle aspecten van dit wetsvoorstel te geven. Hieronder beperk ik me daarom tot enkele van de belangrijkste onderdelen.
Naamswijziging: van Wiv naar Wbnv
Wat bij dit wetsvoorstel het eerst in het oog springt is de nieuwe naam: in plaats van "Wet op de inlichtingen- en veiligheidsdiensten" (Wiv) is de voorgestelde naam nu "Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten" (Wbnv). De memorie geeft voor deze opvallende wijziging een zeer summiere en weinig bevredigende onderbouwing: "Dit geeft beter het doel van de voorgestelde wet weer in het licht van de toegenomen, snel veranderende en nieuwe dreigingen voor de nationale veiligheid waarvoor Nederland zich gesteld ziet."
Het huidige wetsvoorstel verschilt namelijk niet wezenlijk van zijn voorgangers, die al sinds 1987 de naam Wet op de inlichtingen- en veiligheidsdiensten dragen. Het nieuwe voorstel is omvangrijker, maar de wijzigingen bestaan vooral uit verschuivingen, opsplitsingen, samenvoegingen, verduidelijkingen en aanvullingen van wat in de bestaande wet al geregeld is. Alleen al vanwege deze inhoudelijke continuïteit verdient het sterk de aanbeveling om de naam ongewijzigd te laten. Ook overal waar deze wetgeving besproken wordt, van de media tot de politiek en de wetenschap, zou een naamsverandering onnodig verstorend en verwarrend zijn, terwijl de materie al complex genoeg is.
Dat neemt niet weg dat een "Wet nationale veiligheid" een meerwaarde zou kunnen zijn, mits die dan ook alle organen zou omvatten die op het terrein van de nationale veiligheid actief zijn. Zo'n wet zou dan naast de AIVD en de MIVD op z'n minst ook de NCTV moeten omvatten.
Toekomstbestendigheid van de wet
Het wetsvoorstel wil, mede door zoveel mogelijk techniekonafhankelijke regelingen, toekomstbestendig zijn. In de praktijk zien we echter dat het voorstel nauwelijks op dingen vooruitloopt. Zo staan in het wetsvoorstel een reeks van zaken die eigenlijk al in de Wiv 2017 geregeld hadden kunnen worden. Bijvoorbeeld de zwaardere toestemming voor kamerleden, regelingen voor bulkgegevens en voor strategische operaties, de samenwerking met private partijen en buitenlandse partners, alsmede een regeling voor interne research & development. Dat zijn onderwerpen die 10 jaar geleden ook al speelden. Het is daarom goed dat deze zaken nu wel geregeld worden, maar het doet enigszins vrezen voor wat er over 10 jaar in de volgende wet gaat komen voor onderwerpen die ook nu al geregeld hadden kunnen worden.
Hoofdkantoor van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) in Zoetermeer
(foto: NOS - klik ter vergroting)
Waarborgen voor automatisering en AI
Een belangrijke waarborg voor alle vormen van automatisering binnen de diensten is dat er geen onderzoek naar personen mag worden gestart zonder menselijke tussenkomst (art. 36 lid 1). Dat is op zich een goede regeling, maar betekent wel dat nadat een onderzoek eenmaal is gestart, er dus wel automatisering (waaronder AI) zonder menselijke tussenkomst mag worden toegepast. Hier moet dan kennelijk de nieuwe regeling over risicotoepassingen voor voldoende waarborgen zorgen.
Van zo'n risicotoepassing is sprake als de werking van een bepaald systeem onvoorspelbaar is en als het gericht is op gevoelige doelen. Deze gevoelige doelen zijn het op afstand onderzoeken van biometrische kenmerken en het identificeren van nieuwe en ongekende personen en organisaties (art. 33). Voor het in gebruik nemen van een risicotoepassing moet onder meer toestemming aan de minister worden gevraagd. Goedkeuringen voor daadwerkelijke gebruikshandelingen kunnen vervolgens gemandateerd worden naar lagere niveaus binnen de diensten.
Wat betreft de uitkomst van een geautomatiseerd onderzoek zegt de memorie dat die niet zonder "noemenswaardige menselijke inbreng" aan bijv. de politie of het OM mogen worden doorgegeven. In art. 36 lid 2 staat dat de diensten zonder menselijke tussenkomst zelf geen maatregelen jegens natuurlijke personen mogen nemen, maar dat geldt alleen voor toepassing van de verstoringsbevoegdheid van art. 97. Hoe het zit met andersoortige interne maatregelen en, belangrijker, met het verstrekken van gegevens aan buitenlandse partners is hier niet duidelijk.
Geautomatiseerd afweren van cyberaanvallen
Een belangrijke uitzondering in art. 36 lid 2 is dat de diensten wél geautomatiseerde maatregelen mogen nemen om cyberaanvallen af te weren. Die kunnen immers dermate snel en/of op grote schaal plaatsvinden, dat ze alleen nog volautomatisch bestreden kunnen worden. Dit is toegestaan als de actie hoofdzakelijk gericht is op een geautomatiseerd werk (zoals een computer of een server), zelfs als dat er toe leidt dat personen of organisaties die apparatuur dan niet meer kunnen gebruiken.
Dat laatste is een vergaand gevolg en zeker als de getroffenen Nederlanders zijn zou moeten worden overwogen om hen een notificatie te sturen of compensatie voor de schade te bieden. Daar zitten haken en ogen aan, maar onmogelijk is het niet: in 2022 heeft de MIVD dat namelijk al een keer gedaan.
Het nieuwe opponentenregime
Voortbordurend op de Tijdelijke cyberwet introduceert het huidige wetsvoorstel een opponentenregime. Dit is bedoeld als uitzondering op de andere bepalingen van de wet, maar creëert feitelijk een duaal stelsel, aangezien waarschijnlijk een substantieel deel van de inzet van beide diensten onder dit nieuwe regime zal vallen. Het verdient aanbeveling om dit dan ook alszodanig naar voren te laten komen.
Waar in veel landen voor alle buitenlandse inlichtingenactiviteiten minder regels gelden, kiest de nieuwe Nederlandse wet dus voor een lichter regime dat alleen geldt voor specifiek aangewezen buitenlandse actoren. Een probleem is echter dat dergelijke tegenstanders vaak goed in staat zijn hun (digitale) activiteiten te verbergen en maskeren, waardoor niet altijd direct duidelijk is van welke actor een bepaalde actie uitgaat.
Het nieuwe regime geldt voor militaire organisaties (art. 56) en voor andere organisaties ("evidente opponenten", art. 55) die verbonden zijn aan landen die zich tegen Nederland richten. De reikwijdte van deze organisaties kan ver gaan en volgens de memorie ook mensen omvatten die zelf niet weten dat zij voor een dergelijke organisatie werken, bijv. als koerier. Dit betekent dat ook Nederlandse burgers onder het opponentenregime terecht kunnen komen en er met minder zware waarborgen bijzondere bevoegdheden tegen hen kunnen worden ingezet.
Onder het nieuwe opponentenregime vereist namelijk alleen de aanwijzing van de betreffende organisaties goedkeuring door de minister met voorafgaande bindende toetsing door het CTT. Daarna is alleen nog toestemming van het diensthoofd vereist om 1 jaar lang de meeste bevoegdheden tegen de betreffende organisaties en hun leden in te zetten (opmerkelijk genoeg is de bulkinterceptie hier uitgezonderd).
Omvang en herkomst van cyberaanvallen in de periode 2005 t/m 2022 (bron)
De hackbevoegdheid
Onder de Wiv 2017 kende de hackbevoegdheid twee fases: 1. verkennen en 2. binnendringen en binnenhalen van gegevens. Dit bleek in de praktijk niet goed werkbaar en daarom bevat het wetsvoorstel een nieuw stelsel in drie fases:
1. Vooronderzoek, waaronder het verkrijgen van toegang(!) tot een telefoon, computer, server e.d. (art. 76). Hiervoor is geen voorafgaande rechtmatigheidstoets, maar alleen nog toestemming van de minister vereist en bij de aanvraag hoeven ook eventuele technische risico's niet meer beschreven te worden.
2. Positionering en voorbereiding van verdere stappen (art. 77). Ook hiervoor is alleen toestemming van de minister vereist, dus de vraag is of deze bevoegdheid niet standaard met de voorgaande van art. 76 gecombineerd zal worden, waardoor het onderscheid zijn betekenis verliest.
3. Daadwerkelijk binnenhalen van gegevens uit het binnengedrongen systeem (art. 78). Hiervoor is toestemming van de minister vereist plus voorafgaande toetsing door het CTT, die bindend is als er persoonsgegevens verworven worden.
Het bovenstaande geldt niet alleen voor het hacken van een systeem van het target zelf, maar ook voor systemen van derden als dat nodig is om op die manier bij de gegevens van het eigenlijke target te komen. Hoewel die derden meestal hostingproviders e.d. zullen zijn, kunnen het ook telefoons of computers van Nederlandse burgers zijn. Ook in dat geval vindt er pas een onafhankelijke rechtmatigheidstoetsing plaats als de diensten met het binnenhalen van data beginnen, en ze dus mogelijk al langere tijd toegang tot iemands apparaat hebben. Hier zou een differentiatie naar natuurlijke personen versus organisaties c.q. cyber defense-activiteiten een extra waarborg kunnen bieden.
Gerichte interceptie
Ten opzichte van de Wiv 2017 is de bevoegdheid tot het uitvoeren van gerichte interceptie, dat wil zeggen gericht op specifiek bekende personen, organisaties, nummers of technische kenmerken, inhoudelijk niet veranderd (art. 79).
Wat echter wel veranderd is, is hoe de diensten in de praktijk met deze bevoegdheid omgaan. Uit de tapstatistieken blijkt namelijk dat er de laatste paar jaar een opmerkelijke verandering heeft plaatsgevonden. Voor de AIVD is er een aanzienlijke daling van het aantal gerichte taps te zien, namelijk van 3517 in 2019 naar 1434 in 2025. Tegelijk zien we bij de MIVD een explosieve stijging: van gemiddeld 900 naar rond de 5000 gerichte intercepties per jaar.
Deze veranderingen zijn des te opmerkelijker aangezien gerichte taps van oudsher een middel waren dat vrijwel uitsluitend door de AIVD werd ingezet tegen binnenlandse targets, zoals ook uit de bovenstaande grafiek blijkt. Waarom die verhouding nu volledig omgekeerd is en de MIVD er bovendien grootschalig gebruik van maakt is niet bekend.
Een verklaring voor deze veranderde toepassing is wenselijk om te beoordelen of de bevoegdheid tot gerichte interceptie nog wel wordt toegepast op de manier zoals de samenleving dat verwacht, oftewel of deze bevoegdheid nog voldoende voorzienbaar is.
Bulkinterceptie
Onder de Wiv 2017 heette deze bevoegdheid nog tamelijk eufemistisch en geforceerd "Onderzoeksopdrachtgerichte (OOG) interceptie", maar in de nieuwe wet is gelukkig gekozen voor de meer handzame en feitelijke term "bulkinterceptie".
De bulkinterceptie was onder de Wiv 2017 al complex, maar is er in het huidige wetsvoorstel niet eenvoudiger op geworden. In plaats van 3 fases onder de Wiv 2017, voorziet het voorstel nu in minstens 4 fases. Bovendien kan in elk van deze fases samenwerking (lees uitwisseling van data) met buitenlandse partnerdiensten plaatsvinden.
1. Bulkinterceptie t.b.v. verkenning
Op grond van art. 81 mogen de diensten bulkinterceptie uitvoeren om te verkennen op welke datastromen de daadwerkelijke bulkinterceptie van art. 82 ingezet kan worden. De hiertoe verzamelde gegevens mogen maximaal 6 maanden bewaard worden. Dat is relatief lang aangezien de routes op internet frequent wijzigen en de informatie daarover dus al vrij snel verouderd zal zijn. Het is onduidelijk waarom dit verkennen niet kan volstaan met steekproeven ("snapshots") van maximaal 2 uur per dag zoals onder de Wiv 2017 in de praktijk het geval was.
De data uit deze verkennende fase mogen niet in het verdere inlichtingenproces gebruikt worden, maar volgens de memorie wel met buitenlandse diensten gedeeld worden. Dat kan nuttig zijn wanneer buitenlandse partners beter in staat zijn om ze te ontsleutelen of te duiden, maar de tekst in de memorie sluit niet uit dat die buitenlandse diensten deze gegevens ook kunnen gebruiken voor het "richten" van hun eigen bulkinterceptie.
2. Bulkinterceptie t.b.v. inlichtingenonderzoek
Art. 82 geeft de bevoegdheid om ongericht c.q. in bulk gegevens te verzamelen, in de praktijk met name uit de ether (radio en satelliet) en uit glasvezelkabels. De zo binnengehaalde data worden "bijzondere bulkgegevens" genoemd. Deze mogen maximaal 3 jaar worden bewaard (art. 105 lid 1), een termijn die niet mag worden verlengd (art. 108 lid 2). Hiervoor is voorafgaande toetsing door het CTT vereist.
3. Onderzoek aan bijzondere bulkgegevens
Art. 83 geeft de bevoegdheid om de gegevens uit bulkinterceptie te onderzoeken om te na te gaan welke kenmerken (telefoonnummers, IP-adressen e.d.) bij personen, organisaties of onderwerpen horen en om reeds bekende personen en organisaties te identificeren.
Onder de Wiv 2017 viel hier ook metadata-analyse onder, waarmee onder andere netwerken van targets in kaart konden worden gebracht. In de nieuwe wet komt deze metadata-analyse niet meer voor aangezien er geen onderscheid meer wordt gemaakt tussen inhoud en metadata. Deze worden tegenwoordig beide als even privacy-gevoelig gezien.
4. Bevragen van bijzondere bulkgegevens
Op grond van art. 84 mogen de diensten de gegevens uit bulkinterceptie bevragen, dat wil zeggen aan de hand van kenmerken data selecteren die voor inlichtingenonderzoek gebruikt kunnen worden. Onder de Wiv 2017 kwam op deze manier de inhoud van communicatie beschikbaar voor nadere analyse, maar het onderscheid tussen inhoud en metadata wordt dus niet meer gemaakt.
De memorie verduidelijkt dat zo'n bevragingskenmerk niet alleen een naam, telefoonnummer of IP-adres kan zijn, maar ook "een meer complexe samengestelde zoekterm bestaande uit een combinatie van bijvoorbeeld tijd, locatie, taal, enz." Die laatste manier komt overeen met het XKEYSCORE-systeem van de NSA, zoals dat in 2013 via Edward Snowden onthuld werd. Bij XKEYSCORE werd deze zoekmogelijkheid echter toegepast op een "rollende buffer" die slechts 30 dagen aan internetverkeer bevatte.
5. Bewaren van bijzondere bulkgegevens
Aangezien de opbrengst van bulkinterceptie nu als "bijzondere bulkgegevens" aangemerkt wordt, kan het bewaren ervan als een vijfde fase worden gezien. Voor bulkgegevens in het algemeen bepaalt art. 105 dat de bewaartermijn 3 jaar is met de mogelijkheid om maximaal met 3 jaar te verlengen. Art. 108 bepaalt dat voor bijzondere bulkgegevens geen verlenging mogelijk is, maar dat wanneer bepaalde bulkgegevens doorlopend binnengehaald worden, die 3 jaar gaat lopen vanaf het moment dat het betreffende gedeelte binnenkwam. Daarmee ontstaat dus feitelijk ook een rollende buffer, zij het een die 3 jaar aan data bevat.
Geen chronologische trechtering
Onder de Wiv 2017 werd de bulkinterceptie (toen dus nog "OOG-interceptie") voorgesteld als een getrapt proces waarbij in elke fase verder werd ingezoomd en overbodige data werden weggegooid. Uit toezichtsrapport nr. 85 van de CTIVD, dat gepubliceerd werd net voordat het wetsvoorstel ter consultatie kwam, blijkt echter dat dit niet helemaal de juiste voorstelling van zaken is en dat de diensten in de praktijk wat anders te werk gaan dan de wetgever destijds voor ogen had.
Het oorspronkelijke idee was dat data uit bulkinterceptie vanuit de ene filterfase in de volgende terecht komen en op die manier in 1 doorgaand proces trechtermatig gereduceerd worden. Nu blijkt dat in de praktijk verschillende filtersystemen gelijktijdig naast elkaar werkzaam zijn, waarvan de resultaten apart worden opgeslagen. In de memorie wordt nu inderdaad erkend dat de fases van de bulkinterceptie elkaar "niet noodzakelijkerwijs in chronologische

https://www.electrospaces.net/2026/10/nl-opvolger-van-de-wiv-2017-meer-ruimte.html

Nostr notes by Electrospaces.net (Unofficial)

[NL] Opvolger van de Wiv 2017: meer ruimte voor de geheime ...