Het patchbeleid van de overheid zal vanwege de EternalBlue-exploit niet worden aangepast, zo heeft staatssecretaris Knops van Binnenlandse Zaken op vragen van D66 laten weten. De EternalBlue-exploit werd bij de Amerikaanse geheime dienst NSA gestolen en verscheen in april 2017 op internet.

De exploit maakt misbruik van een beveiligingslek dat in maart 2017 door Microsoft werd gepatcht. Onder andere de WannaCry-ransomware wist zich via EternalBlue te verspreiden. Onlangs meldde de New York Times dat de exploit gebruikt zou zijn om systemen van de Amerikaanse stad Baltimore met ransomware te infecteren, hoewel een Amerikaanse senator stelt dat dit niet het geval is geweest. Dat neemt niet weg dat twee jaar na het uitkomen van de beveiligingsupdate er nog altijd ongepatchte systemen zijn.

D66-Kamerlid Kees Verhoeven wilde dan ook weten of Knops vanwege de dreiging van de EternalBlue-exploit aanvullende maatregelen gaat nemen. "Ik zie vanwege deze ene specifieke kwetsbaarheid geen reden het overheidsbrede patchbeleid aan te passen, zoals dat is opgesteld in de Baseline Informatiebeveiliging Overheid (BIO)", laat de staatssecretaris weten. Daarin staat dat patches voor kwetsbaarheden waarvan de kans op misbruik en verwachte schade hoog is, binnen een week geïnstalleerd moeten zijn.

Knops merkt op dat in het geval van de kwetsbaarheid waar de EternalBlue-exploit gebruik van maakt het Nationaal Cyber Security Centrum (NCSC) van het ministerie van Justitie en Veiligheid actief contact heeft opgenomen met organisaties in haar doelgroep. Het gaat dan om de rijksoverheid en de vitale sector die advies kregen om direct actie te nemen. "Het beveiligingsadvies van het NCSC omtrent deze kwetsbaarheid en de daarmee samengaande maatregelen zijn nog steeds van kracht", aldus Knops.

Verhoeven wilde ook opheldering van de staatssecretaris over het feit dat Nederland op de achtste plaats staat als het gaat om machines die nog steeds gebruik maken van het SMBv1-protocol, waar de EternalBlue-exploit gebruik van kan maken. Volgens de staatssecretaris is het zorgelijk dat machines in Nederland mogelijk nog steeds kwetsbaar zijn voor misbruik doordat updates niet zijn geïnstalleerd. "Echter de hoge score in de lijst hangt samen met de hoge mate van digitale connectiviteit van Nederland. Nederland is immers één van de meest gedigitaliseerde landen ter wereld", merkt Knops op.