De overheid moet helder bepalen welke openheid past tussen oorlog en vrede

Die “openheid” discussie is altijd leuk tot je met de Woo per ongeluk je eigen kwetsbaarheden, kabelroutes of draaiboeken op straat legt en de volgende ransomwareclub je alvast bedankt. Tegelijk: alles dichttimmeren onder het mom van hybride dreiging is óók een glijbaan, want dan krijg je beleid op basis van “trust me bro” en achteraf een parlement dat alleen nog mag knikken. Maak gewoon een strak kader met proportionaliteit en een echte onafhankelijke toets (geen slappe interne commissie), en accepteer dat niet elk detail publiek hoeft zolang je de democratische controle wél fatsoenlijk organiseert. En ja, dit is precies waarom je dit eigenlijk Europees/NAVO-breed wil harmoniseren, anders ben je in NL braaf transparant en lekt de rest via de buren alsnog.

die hele “open vs geheim” discussie mist het echte front: info is geen stapel pdf’jes maar een levend veld, en kwantumfysica toont aan dat zodra je iets openbaar maakt je het systeem meet en daarmee zélf de dreiging helpt vormen (hackers lezen mee en je collapse’t hun aanvalspad naar de meest kansrijke route). je moet dus niet alleen criteria maken voor wát je publiceert, maar vooral voor wánneer, want timing is de fasehoek tussen veiligheid en paniek; nu gooien we alles in één woo-blender en dan krijg je precies die decoherentie waar je tegen zegt te vechten...

die hele open/veilig-discussie gaat steeds alsof “de overheid” één brein is, maar in de praktijk is het een keten van leveranciers, gemeenten, semi-private clubs en ingehuurde securityboys die allemaal hun eigen prikkels hebben. Enerzijds wil je geen Woo die kabelroutes en draaiboeken als menukaart serveert, anderzijds is “geheim” ook vaak gewoon schaamte-management: rommelige IT, geen patchbeleid, contracten die niemand snapt, en dan heet het opeens staatsveiligheid. En wat me echt stoort: we doen alsof openheid alleen een risico is voor defensie, terwijl geslotenheid óók een aanvalsvector is — als burgers, journalisten en Kamerleden niks kunnen checken krijg je precies dat grijze-zone bestuur waar fouten eindeloos blijven liggen. Maak dat kader dus niet alleen juridisch, maar ook sociaal: wie krijgt status en budget als het labeltje ‘dreiging’ erop kan, en wie wordt dan automatisch weggezet als naïeve privacy-hippie?

Iedereen doet alsof “open of geheim” de keuze is, maar de echte ellende is dat de overheid info niet kan differentiëren: alles eindigt als pdf-dump of als zwartgelakte pagina en beide zijn waardeloos. Maak het gewoon als product: standaard dreigingslabels + automatische verouderingsdatum op geheimhouding, en voor burgers/Kamer één simpel dashboard met wat je wél mag weten (risico, maatregelen, budget, wie verantwoordelijk is) zonder dat je meteen de handleiding voor aanvallers publiceert.

Leuk al die kaders, maar ondertussen zie ik in Den Haag mensen die na een hack hun hele uitkering/huurtoeslag weken kwijt zijn omdat “systemen plat” en dan krijg je nul info, nul herstel, alleen een callcenter dat niks mag zeggen. Openheid gaat voor mij ook over: zeg gewoon eerlijk wat er lek is, wie verantwoordelijk is en wat je NU doet voor de slachtoffers, niet alleen “staatsveiligheid” roepen en de burger de rommel laten opruimen. En als je dan toch dingen geheim houdt, prima, maar dan wil ik wél keiharde compensatie en hulp geregeld zien, want nu is het altijd geheim én jouw probleem.

Wederom een “kader” en een “onafhankelijke commissie”, alsof we daar niet al CTIVD, ADR, Rekenkamer en nog 12 clubjes voor hebben… allemaal vergaderen voor €150 per uur en ondertussen is de basis-IT bij gemeenten nog Windows-ellende met wachtwoord123. Zet eerst eens €500 miljoen per jaar structureel op patchen, segmenteren en oefenen, dan hoef je ook minder paniekerig te doen met alles geheim of alles open. En die Woo: maak gewoon een fatsoenlijke uitzonderingslijst met automatische herbeoordeling na 2 jaar, anders blijft alles eeuwig zwart omdat iemand bang is voor gezichtsverlies.

Wat mij opvalt: iedereen heeft het over Woo en “kabelroutes”, maar de grootste lekken zitten vaak in de praatcultuur eromheen—bewindslieden die in talkshows alvast half-confirmen, gemeenten die op LinkedIn trots melden welk systeem ze draaien, en Kamerleden die met “ik weet meer maar mag het niet zeggen” vooral ruis creëren. Maak dan meteen een simpele regel: operationele details blijven stil, maar gevolgen voor burgers (wat is geraakt, wat moet jij doen, wie betaalt de schade) móéten binnen 48 uur helder op tafel; anders is “veiligheid” gewoon een dekmantel voor bestuurlijke vaagheid. En NRC: “drone-incursies” is geen Nederlands, zeg gewoon drone-inbreuken of overtredingen.

Hier op het land gaat het niet alleen om AIVD en kabelroutes, maar om heel simpele dingen: wat doe je als gps eruit ligt of het stroomnet hapert en de koeling/ventilatie in stallen stopt? Maak dat “open-security-kader” dan ook verplicht met echte noodplannen en testen per sector, want nu is het vooral papier en perspraat tot het misgaat. en als je info niet openbaar maakt prima, maar regel dan wel dat boeren/bedrijven wél op tijd een waarschuwing en handelingsadvies krijgen, anders zitten we weer in het donker te gokken.

In de praktijk gaat het niet alleen om “wat mag de burger weten”, maar wie er überhaupt op tijd gebeld wordt als er iets mis is. Bij ons in de buitengebieden hangt veel aan stroom, gps en mobiel bereik, en als dat rommelt wil ik geen pdf achteraf maar een simpele waarschuwing met wat je NU moet doen. Geheim houden prima, maar dan wel verplicht een werkend alarmlijntje en oefening erbij, anders is het weer Den Haag die dichttimmert en wij die mogen gokken in het donker.

Ik zeg het al jaren: die “hybride dreiging” is voor Den Haag ook gewoon een handig etiket om alles weg te lakken wat gênant is, van pruts-IT tot falend beleid, en dan moet het publiek maar weer “vertrouwen”... Ik was zelf ook zo dat ik dacht: geheim = veilig, tot je ziet dat geheim vaak betekent: niemand aansprakelijk en de usual suspects (consultants/defensie/techclubs) cashen door. Begin eens met keihard: als er een hack is of een drone-incident, dan binnen 24 uur eerlijk melden wát er geraakt is en wie de eigenaar is, anders is het altijd veiligheid én jouw probleem als burger!!!