Van ‘brand meester’ naar ‘brandveilig’: evaluatierapport ICT-inbreuk Openbaar Ministerie naar de Tweede Kamer

Op 8 oktober 2026 is het rapport Van ‘brand meester’ naar ‘brandveilig’ naar de Tweede Kamer gestuurd. Het rapport is opgesteld door de Commissie evaluatie ICT-inbreuk Openbaar Ministerie, die de minister van Justitie en Veiligheid en het College van procureurs-generaal in november 2025 hebben ingesteld. Aanleiding was de inbreuk via de Citrix NetScaler-omgeving van het OM, waarna het College op 17 juli 2025 besloot alle interne systemen los te koppelen van het internet. De commissie beantwoordt twee vragen: hoe de besluitvorming na de melding van de inbreuk is verlopen, en of de inbreuk en de gevolgen daarvan voorkomen of beperkt hadden kunnen worden. Het rapport behandelt de inbreuk in drie fasen, de aanloop, de acute fase met het herstel en de periode daarna, telkens vanuit techniek, organisatiestructuur en organisatiecultuur. Het College van procureurs-generaal heeft in een nieuwsbericht op de website van het OM op het rapport gereageerd.

De commissie en haar opdracht

De commissie ging op 1 december 2025 formeel van start. Zij bestaat uit Jaap Smit, voormalig commissaris van de Koning in Zuid-Holland, als voorzitter, Michel van Eeten, hoogleraar Cybersecurity aan de TU Delft, en Bart Voorbraak, algemeen directeur van Logius. Het COT Instituut voor Veiligheids- en Crisismanagement en het OM verzorgden het secretariaat. De commissie analyseerde onder meer besluitenlijsten van het College, beleidsdocumenten en externe rapportages, en voerde tussen december 2025 en augustus 2026 zeventien gesprekken met respondenten van het OM, het ministerie, de rechtspraak, het CJIB, DJI en de politie. Op 8 mei 2026 volgde een reflectiesessie en in juni 2026 zijn de voorlopige bevindingen getoetst op feitelijke juistheid.

Het rapport vermeldt uitdrukkelijk dat het geen verantwoordings- of technisch-forensisch onderzoek betreft. De commissie heeft zelf geen forensisch onderzoek gedaan en baseert de technische analyse op het onderzoek van Deloitte, de incidentresponsepartner van het OM. Een gelijktijdige inbreuk in Citrix NetScaler-systemen elders in de strafrechtketen, waar niet is gekozen voor offline gaan, valt buiten de scope.

Het verloop van de inbreuk

Volgens het forensisch onderzoek misbruikten de aanvallers een zero-day-kwetsbaarheid in Citrix NetScaler en plaatsten zij op 19 juni 2025 of eerder, mogelijk al in mei, een achterdeur op het systeem. Citrix maakte de kwetsbaarheid op 25 juni 2025 bekend onder kenmerk CVE-2025-6543 en bracht een patch uit, maar een eerdere inbreuk wordt daarmee niet ongedaan gemaakt. Op 16 juli 2025 waarschuwde het Nationaal Cyber Security Centrum het OM na een scan; op 17 juli 2025 werd een web shell aangetroffen en koppelde het OM dezelfde dag de interne systemen los. De minister informeerde de Tweede Kamer die avond per brief.

De commissie beschrijft het beeld in termen van het MITRE ATT&CK framework: initial access door een aan een statelijke actor gelieerde partij, persistence via de web shell, verkenning van het interne netwerk en pogingen tot lateral movement naar de domeincontroller en de Exchange-server. Op 20 juni 2025 kon de actor inloggen met een gebruikersaccount op de e-mailomgeving; uit de logbestanden bleek niet dat e-mails of andere mailboxgegevens zijn opgehaald. Omdat logging op het kantoornetwerk beperkt was, kan het rapport geen duidelijkheid geven over de exacte toedracht. Voor de hoogbeveiligde omgeving was wel logging beschikbaar; daarin zijn geen sporen van een inbreuk gevonden. De minister meldde de Kamer eerder in een brief van 4 augustus 2025 dat er geen aanwijzingen waren dat strafvorderlijke of andere data was gemanipuleerd of weggehaald.

Besluitvorming en herstel

Het College besloot tot offline gaan omdat onduidelijk was of interne netwerken waren gecompromitteerd en of data was geëxfiltreerd, het OM over zeer gevoelige informatie beschikt en offline gaan in kleinere segmenten niet mogelijk was. De gevolgen van dat besluit waren volgens het rapport vooraf slechts deels te overzien. Het assetmanagement bleek een knelpunt: niet voldoende inzichtelijk was welke IT-middelen in gebruik waren, waardoor sommige onderdelen onbedoeld actief bleven en systemen offline gingen die strikt genomen niet van het OM waren. De omvang van de koppelingen met ketenpartners was onbekend.

Het herstelproces begon op 4 augustus 2025, nadat het College vier randvoorwaarden had vastgesteld: volledige vervanging van de gecompromitteerde NetScaler-infrastructuur, Endpoint Detection & Response op de kantoorautomatisering voordat telewerken werd toegestaan, loskoppeling van de hoogbeveiligde omgeving van het kantoornetwerk en het resetten van wachtwoorden in de Active Directory. Daarna volgde een stapsgewijze opstart in plateaus. Het crisismanagementteam werd op 6 augustus 2025 afgeschaald en vervangen door een regieteam, dat tot 29 september 2025 actief bleef.

De commissie noemt het besluit om offline te gaan begrijpelijk, navolgbaar en verstandig. Ook de keuze om niet direct met het herstel te beginnen acht zij te begrijpen, gezien de aard van de gegevens waarover het OM beschikt. Een enkele respondent was van mening dat het herstel eerder had kunnen beginnen, omdat de beperkte logging een volledig beeld hoe dan ook in de weg stond. Over de communicatie oordeelt de commissie dat de afstemming van externe uitingen tussen OM en ministerie vertragend en begrenzend werkte en dat ketenpartners beperkte informatie hadden om hun eigen handelen op te baseren. Volgens de commissie had het ketenpartners geholpen als het besluit gepaard was gegaan met snellere en uitgebreidere communicatie. Bij sommige ketenpartners waren op het moment van schrijven nog niet alle achterstanden ingelopen.

De aanloop: geen monitoring op de kantoorautomatisering

Het derde hoofdstuk beschrijft de periode vóór de inbreuk. Tot november 2023 gebruikte het OM voor de monitoring van de kantoorautomatisering een licentie van het ministerie van Justitie en Veiligheid. Het ministerie had in 2022 aangekondigd daarmee in december 2023 te stoppen en beëindigde de licentie uiteindelijk een maand eerder. Het OM had op dat moment geen alternatief; pas in het najaar van 2024 werd budget toegewezen. Ten tijde van de inbreuk was nieuwe tooling geïnstalleerd, maar was de logging nog niet ontsloten, zodat het Security Operations Center geen zicht had op de kantoorautomatisering en de NetScaler-systemen.

Het rapport noemt meer factoren. Er ontbrak een vast risicomanagementproces, het OM voldeed niet aan alle normen van de Baseline Informatiebeveiliging Overheid, die sinds 1 januari 2020 geldt, en de Chief Information Security Officer had geen directe lijn met het College. Het OM beschikte uitsluitend over productcontracten met leveranciers, waarin beveiligingsaspecten volgens de commissie onvoldoende waren geborgd. Daarnaast liepen meer dan 150 initiatieven met een IV-component, waaronder Emma, het digitaliseringsprogramma dat de invoering van het nieuwe Wetboek van Strafvordering moet ondersteunen. Volgens respondenten kreeg het oplossen van acute storingen voorrang boven structurele verbetering van de informatiebeveiliging. Sommige respondenten gaven aan dat een rapportage over beveiligingsrisico’s op weg naar hogere niveaus aan scherpte verloor.

De commissie wijst erop dat in de afgelopen vijf jaar zeven zero-day-kwetsbaarheden in Citrix NetScaler zijn ontdekt en concludeert dat uit een dreigingsanalyse had moeten blijken dat het systeem doorlopend gemonitord moest worden. In de eerste helft van 2025 trad een bestuurlijk CIO aan (per 1 maart 2025) en kwam er een nieuwe directeur Informatievoorziening OM (per 14 april 2025). Die maatregelen hadden volgens de commissie nog onvoldoende effect toen de inbreuk plaatsvond.

Lessen voor het OM en de strafrechtketen

Voor de periode na de inbreuk constateert de commissie dat de positionering van IV binnen het OM is verbeterd. De bestuurlijk CIO is tijdelijk aan het College toegevoegd en de commissie adviseert dat zo te houden. Haar grootste zorg betreft de uitvoeringskracht: Emma is vertraagd, waardoor de verouderde omgeving de komende jaren parallel moet worden beheerd en beveiligd. In november 2025 ondertekenden 2.850 medewerkers een brandbrief van het Comité OM Onder Druk over de ICT-problematiek en bezuinigingen.

De commissie formuleert een reeks lessen. Zij beveelt aan te blijven investeren in handmatige terugvalprocessen, voor de strafrechtketen een gezamenlijk continuïteitsplan te ontwikkelen, de risicomanagementfunctie te bestendigen, een dreigingsanalyse te maken en op basis daarvan nu middelen toe te wijzen aan de meest urgente investeringen in informatiebeveiliging. Verder pleit zij ervoor de verantwoordelijkheid voor beveiligingsfuncties expliciet te beleggen en een organisatorische setting te creëren waarin hoogvertrouwelijke informatie tussen ketenpartners kan worden gedeeld. De commissie gebruikt daarbij het beeld van losse eilanden die tot een archipel moeten worden verbonden, met respect voor de eigen verantwoordelijkheden van de ketenpartners.

Reactie van het College van procureurs-generaal

Het College stelt in zijn reactie dat de kwetsbaarheid op het moment van de inbreuk nog niet bekend was en dat de inbreuk daarom niet kon worden voorkomen. Volgens het College is er geen aanleiding om te veronderstellen dat informatie is meegenomen. Het College onderschrijft dat de monitoring van de Citrix NetScaler-systemen eerder op orde had moeten zijn en meldt dat het OM inmiddels over een monitoringsysteem beschikt waarmee verdachte activiteiten sneller kunnen worden gedetecteerd. Het College kondigt aan intensiever te sturen op de uitvoering van de plannen en een onafhankelijke reviewboard met externe deskundigen in te stellen. Het OM ontvangt volgens het College op grond van het coalitieakkoord jaarlijks € 50 miljoen extra. De justitiebegroting voor 2027 laat daarvoor een oplopende reeks zien, van € 25 miljoen in 2027 tot € 50 miljoen structureel vanaf 2030.

Afsluiting

Het rapport van de Commissie evaluatie ICT-inbreuk Openbaar Ministerie ligt bij de Tweede Kamer. De commissie beoordeelt het besluit van 17 juli 2025 om offline te gaan als verstandig en stelt vast dat de beveiliging van de ICT-systemen voorafgaand aan de inbreuk onvoldoende was, in het bijzonder door het ontbreken van monitoring op de kantoorautomatisering. De exacte toedracht van de inbreuk blijft door de beperkte logging onduidelijk. Het College van procureurs-generaal onderschrijft het punt over de monitoring en heeft een onafhankelijke reviewboard aangekondigd. De parlementaire behandeling van het rapport moet nog plaatsvinden.

Dit bericht betreft geen rechterlijke uitspraak, maar een evaluatierapport; een link naar een uitspraak is daarom niet beschikbaar. Klik hier voor de reactie van het College van procureurs-generaal op het rapport.