Verhoogd risico op weglekken informatie bij aanbesteding huidige dienst 112 (week 44)

Feiten en omstandigheden

(Noot redactie: dit is een uitspraak van december 2023 die nu pas gepubliceerd is)

De Politie heeft het voornemen om de huidige Dienst 112 en de meldkamer telefoniesystemen ten behoeve van het telefoonnummer 112 te vervangen door het Meldkamercommunicatiesysteem (MKCS). De Politie heeft op 17 september 2023 op TenderNed en aankondiging gepubliceerd van een gegunde opdracht van een MKCS. Deze aankondiging is enkele keren vervangen, zo ook op 24 september 2023. De Politie heeft toen een ‘aankondiging in geval van vrijwillige transparantie vooraf’ gedaan, voorzien van een bijlage met motivatie. In de beschrijving van de opdracht staat onder meer vermeld dat de Politie voornemens is de opdracht voor het MKCS onder de uitzondering van artikel 2.16 van de Aanbestedingswet op defensie- en veiligheidsgebied (ADV) te laten vallen. Ook staat hierin vermeld dat de Politie voornemens is het verkenningstraject met KPN te gaan uitvoeren en dat zij verwacht begin juni 2024 het traject te hebben afgerond en met KPN een overeenkomst te hebben gesloten. Grosc vordert de Politie te verbieden uitvoering te geven aan haar voornemen een verkenningstraject met KPN B.V. te starten zoals beschreven in de aankondiging ingeval van vrijwillige transparantie vooraf van 5 oktober 2023. Het oordeel van de rechter:

Functionele omschrijving is niet adequaat

“Met de Politie is de voorzieningenrechter van oordeel dat een niet-openbare procedure en een onderhandelingsprocedure met aankondiging, nopen dat tegelijkertijd met, of kort na de aankondiging, een selectieleidraad en later een inschrijvingsleidraad beschikbaar gesteld moet worden. Om partijen adequaat te informeren over de karakteristieken (en daarmee de details) van de opdracht MKCS zal de Politie op enig moment gerubriceerde gegevens bekend moeten maken. Alleen op basis daarvan kunnen partijen naar behoren beoordelen of zij de opdracht kunnen uitvoeren en of zij op de uitnodiging tot inschrijving zullen ingaan. Een relatief abstracte of functionele omschrijving van de opdracht als eerste stap in het proces, is inadequaat en biedt geen reële oplossing. Voor een zinvolle aanbestedingsprocedure zal veel informatie over het huidige systeem en over het toekomstige systeem, aan meerdere partijen (artikel 2:91 lid 2 ADV) beschikbaar gesteld moeten worden.”

Kans op weglekken wordt groter

“Een aanbesteding onder de ADV zal daardoor met zich brengen dat dat de kans op het weglekken van informatie naar (ongeautoriseerde) derden, groter wordt naar mate meer partijen en personen (binnen deze partijen) daarover worden geïnformeerd, zoals de Politie met juistheid heeft aangevoerd. Dat de Politie het met het oog op het belang van de nationale veiligheid essentieel vindt dat geheime en gerubriceerde informatie over de aard van het MKCS, zoals netwerkgegevens, locatiegegevens en data-afmontering tot het minimum wordt beperkt, valt te goed te begrijpen. Dat risico’s op het weglekken van informatie en infiltratie nooit geheel voorkomen kunnen worden, doet daar niet aan af. Hoewel Grosc terecht aanvoert dat de enkele omstandigheid dat het proces of de dienst als vitaal wordt aangemerkt, nog niet maakt dat van het aanbestedingsproces onder de ADV kan worden afgeweken, geldt dat de Politie genoegzaam heeft onderbouwd dat de digitale dreiging van buitenaf zodanig is, dat het haar heeft doen besluiten om af te wijken van het aanbestedingsproces onder de ADV. In de Rijksbrede Risicoanalyse Nationale Veiligheid 2022 staat dit aldus verwoord: “Kijkend naar de dreigingen met betrekking tot de vitale infrastructuur voor de komende vijf jaar komt naar voren […] dat zowel statelijke actoren als cybercriminelen een steeds grotere bedreiging vormen voor de continuïteit van vitale processen. Vanwege de belangrijke maatschappelijke rol van vitale processen zijn ze een aantrekkelijk doelwit van kwaadwillende actoren”.

Maximale garanties

“Het mag zo zijn dat verder benoemd is dat de waarschijnlijkheid van moedwillige aanvallen op de Nederlandse vitale infrastructuur op dit moment [september 2022, voorzieningenrechter] relatief laag wordt ingeschat, maar de aard van het 112-proces rechtvaardigt de maximale garanties die de Politie verlangt. Het openleggen van het huidige en het nieuwe systeem aan meerdere derden – ook als zij zijn gescreend en/of als met hen geheimhoudingsovereenkomsten zijn gesloten – brengt daarbij een verhoogd risico op het weglekken van informatie met zich. Met juistheid heeft de Politie daarbij aangevoerd dat kwaadwillende derden zich per definitie niets gelegen zullen laten aan gesloten geheimhoudingsovereenkomsten. Professionele statelijke actoren kunnen daarbij een marktpartij dusdanig inrichten dat deze in eerste instantie veilig lijkt en pas in de tweede fase of tijdens de uitvoering alsnog onbetrouwbaar c.q. onveilig blijkt te zijn, zoals de Politie heeft aangevoerd. Dat het digitale dreigingsniveau na 2022 verder is verhoogd, en dat de dreigingen complexer zijn geworden, is door Grosc niet gemotiveerd betwist.”

Het voorgaande leidt ertoe dat het de Politie niet zal worden verboden om uitvoering te geven aan haar voornemen een verkenningstraject met KPN te starten zoals beschreven in de aankondiging van 5 oktober 2023. Voor een gebod tot intrekking van de opdracht is evenmin grond. De vorderingen van Grosc zullen worden afgewezen.

(VdLC publishers/consultants BV, 6 november 2024)

Lees de volledige uitspraak op rechtspraak.nl