NCTV-lek blijft doorwerken: minister kan schade niet volledig vaststellen

In februari 2024 werd bekend dat bij een 64-jarige NCTV-medewerker, Ab el M., 928 geheime documenten waren aangetroffen. Het ging onder meer om materiaal van de AIVD en MIVD. De man werd eind oktober 2023 op Schiphol aangehouden toen hij naar Marokko wilde reizen. Volgens het Openbaar Ministerie stond hij al jaren in contact met Marokkaanse inlichtingenfunctionarissen en zou hij staatsgeheimen hebben verzameld en mogelijk gelekt.

Bij hem thuis lagen bijna 800 documenten, waarvan 312 als “staatsgeheim” waren geclassificeerd. Ook had hij tijdens zijn arrestatie op Schiphol meer dan honderd digitale documenten bij zich. Het OM onderzoekt nog altijd zo’n 46 terabyte aan gegevensdragers; een enorme hoeveelheid, vergelijkbaar met 11,5 miljard A4-tjes.

Moties

Naar aanleiding van het schandaal nam de Tweede Kamer in april 2025 twee moties aan:

Een volledige schade- en impactanalyse: welke informatie is mogelijk gelekt en wat betekent dat voor Nederland?

Een onderzoek naar de beveiliging van gegevens binnen het stelsel Bewaken en Beveiligen, dat de NCTV gebruikt voor persoonsbeveiliging.

Volledige schadeanalyse blijft onmogelijk

In zijn brief schrijft de minister dat het simpelweg niet met zekerheid vast te stellen is welke documenten daadwerkelijk zijn gelekt. Daardoor kan er nooit een volledige schadeanalyse worden gemaakt, zoals de Kamer had gevraagd.

Wel hebben zowel de politie als de NCTV alle documenten onderzocht die zij wél tot hun beschikking hadden. De politie werkte daarbij vanuit een “worst-case scenario” en heeft al maatregelen genomen om risico’s voor medewerkers en onderzoeken te beperken.
De NCTV is momenteel bezig met een eigen schadeonderzoek, waarvoor de dienst via het OM toegang heeft gevraagd tot de in beslag genomen documenten.

Beveiliging van staatsgeheime systemen

De minister meldt dat het systeem waarin staatsgeheime informatie voor persoonsbeveiliging wordt verwerkt inmiddels opnieuw is beoordeeld en op 21 oktober 2025 is geaccrediteerd voor de duur van een jaar.
Alle processen vallen onder de strenge regels van het VIR-BI en de Baseline Informatiebeveiliging Overheid (BIO).

Strengere regels voor USB-sticks en printgedrag

Na het optreden van de ADR (Auditdienst Rijk) is ook gekeken naar ontbrekende of slecht geregistreerde USB-sticks bij de NCTV. De administratie is inmiddels aangescherpt:

Oude USB-sticks kunnen niet meer worden aangesloten op het staatsgeheime netwerk.

Medewerkers moeten toestemming vragen voor het gebruik van gegevensdragers.

Medewerkers worden actief benaderd om oude USB-sticks in te leveren.

Daarnaast zijn de printrechten ingeperkt, wordt geregistreerd wie wat print en worden logbestanden actief gecontroleerd.

Nieuwe cultuuraanpak

Naast technische maatregelen komt er ook een breder insider-threatprogramma, gericht op bewustwording, gedrag en het herkennen van signalen van mogelijk misbruik. De minister benadrukt dat maatregelen alleen niet genoeg zijn: er moet ook worden gekeken naar cultuur en alertheid binnen de organisatie.

Van Oosten schrijft dat zowel de politie als de NCTV “belangrijke stappen” hebben gezet om herhaling te voorkomen. De Kamer wordt later verder geïnformeerd, voor zover dat mogelijk is zonder vertrouwelijke informatie te delen.