Reactie College op onderzoeksrapport ICT-inbreuk 2025

Vandaag is het rapport Van ‘brand meester’ naar ‘brandveilig’ over de ICT-inbreuk bij het Openbaar Ministerie in de zomer van 2025 naar de Tweede Kamer gestuurd. Het College van procureurs-generaal is de commissie onder voorzitterschap van Jaap Smit erkentelijk voor het onderzoek en de lessen die daaruit naar voren komen. Het rapport bevestigt dat het OM op onderdelen voor een stevige opgave staat, maar ook dat de organisatie de juiste weg is ingeslagen.

De commissie onderschrijft de uitkomst van het eerdere forensisch onderzoek dat het OM is getroffen door een zogenoemde zero-day-inbreuk1 in het Citrix NetScaler-systeem2. De kwetsbaarheid was op het moment van de inbreuk nog niet bekend en de inbreuk kon daarom niet worden voorkomen. Ook noemt de commissie het besluit van het College op 17 juli 2025 om het OM los te koppelen van het internet verstandig.

Het rapport geeft geen duidelijkheid over de exacte toedracht van het incident. Wel zijn er aanwijzingen dat een aan een statelijke actor gelieerde partij achter de aanval zat. Er is geen aanleiding om te veronderstellen dat er informatie is meegenomen. En de hoogbeveiligde omgeving van het OM is niet gecompromitteerd.

De commissie constateert dat de staat van de informatiebeveiliging en ICT op het moment van de inbreuk nog niet op het gewenste niveau was. Tegelijkertijd stelt zij vast dat het OM al voor het incident stappen had gezet om de informatievoorziening en ICT te verbeteren en de positie van IV binnen de organisatie te versterken. De commissie noemt daarbij onder meer de komst van de bestuurlijk CIO als een moment waarop verbeteringen zichtbaar werden.