De overheid heeft Microsoft opnieuw verzocht veiligheidsregels toe te passen voor de e-maildiensten waarvan de overheid gebruikmaakt. Volgens staatssecretaris Van Huffelen van Digitalisering is het onacceptabel dat een groot deel van de overheidssites afgesproken beveiligingsstandaarden niet naleeft. Dit komt mede door een tekort aan ict'ers, verkeerde configuraties en de leveranciers waarvan gebruik wordt gemaakt, aldus de staatssecretaris.

Uit onderzoek van het Forum Standaardisatie blijkt dat 56 procent van de onderzochte overheidsdomeinen de verplichte e-mailstandaarden niet goed geïmplementeerd heeft. Het correct toepassen van websitestandaarden had 47 procent niet op orde, zo meldde Security.NL afgelopen september. Binnen de overheid zijn afspraken gemaakt om verschillende beveiligingsstandaarden voor mail- en webverkeer uit te rollen, de zogeheten streefbeeldafspraken.

"Zeven jaar na het maken van de eerste streefbeeldafspraak, en ruim twee jaar na het maken van de laatste, is geen van de streefbeelden voor de overheid als geheel gehaald. Het ontbreekt aan effectieve sturingsmechanismen om overheidsbrede afspraken eenduidig te laten landen en nageleefd te krijgen binnen individuele overheidsorganisaties", aldus het Forum Standaardisatie.

De cijfers waren aanleiding voor D66-Kamerlid Van Ginneken om Kamervragen te stellen. "Hoe verklaart u het niet voldoen aan deze minimale verplichtingen gezien dit al in 2019 en 2021 had moeten plaatsvinden? Mede omdat het hier vaak om niet hele ingewikkelde technische ingrepen gaat die belangrijk zijn voor onze digitale veiligheid?", zo wilde ze van Van Huffelen weten.

"Of de adoptie van de standaarden ingewikkeld is, verschilt per standaard, maar ook per wijze waarop ict bij een organisatie is ingeregeld. Zo is bijvoorbeeld de adoptie (en 'strenge' configuratie) van de anti-email-phishing standaard DMARC ingewikkelder, wanneer meerdere externe partijen namens die organisatie mail versturen. Ook zijn veel organisaties afhankelijk van hun externe leverancier", reageert de staatssecretaris. Die vindt het onacceptabel dat overheden dit niet op orde hebben en zal alle overheden per brief oproepen zo snel mogelijk de standaarden te implementeren.

Volgens Van Huffelen biedt de meestgebruikte e-mailprovider van de overheid geen ondersteuning van de DANE-standaard en IPv6. "De implementatie van deze standaarden is door Microsoft steeds in tijd opgeschoven. SLM en Forum Standaardisatie hebben Microsoft opnieuw gewezen op de verplichting voor de Nederlandse Overheid deze standaard toe te passen en hebben Microsoft gevraagd de huidige ultieme invoerdatum van juli 2023 hoe dan ook te garanderen", voegt ze toe.

De staatssecretaris merkt op dat het belangrijk blijft dat overheden hun leverancier aanspreken op tekortkomingen en zo nodig overstappen naar een leverancier die de standaard wel goed ondersteunt. "Maar ook bij ingewikkelder implementatie is adoptie zeker mogelijk, getuige het groot aantal organisaties dat hun internetdomeinen wel binnen het afgesproken tijdspad op orde heeft gebracht. Ik verwacht dan ook van alle organisaties dat ze alsnog aan de regels gaan voldoen."

Naast leveranciers die de standaarden niet ondersteunen speelt ook het tekort aan ict'ers bij de overheid in zekere zin een rol waarom er niet wordt voldaan aan de afspraken. "Ook het Rijk heeft namelijk te maken met een tekort aan it'ers en dat draagt bij aan het tijdig handelen", stelt Van Huffelen. Ze voegt toe dat er niet causaal kan worden vastgesteld dat het tekort aan it'ers bijdraagt aan het niet voldoen aan de gemaakte afspraken. "Zoals toegelicht, kunnen andere oorzaken ook bijdragen aan een onvoldoende toepassing van de standaarden zoals afhankelijkheid van externe leveranciers en/of een gebrekkig domeinbeleid."