De Beverwijkse SSL-uitgever DigiNotar mag dan failliet zijn, wat heeft het debacle ons nu precies geleerd? Vorig jaar werd bekend dat een aanvaller bij DigiNotar had ingebroken om valse SSL-certificaten te genereren. Daarmee was het mogelijk om Iraanse internetgebruikers af te luisteren. Als gevolg greep de Nederlandse overheid bij het bedrijf in en werd DigiNotar uit alle browsers verbannen.

"De DigiNotar-affaire heeft ons weer eens met de neus op de feiten gedrukt. De veiligheid van het Internet is geen abstracte aangelegenheid
en inbreuken kunnen grote consequenties hebben", zegt professor Nico van Eijk. Van Eijk is verbonden aan het Instituut voor Informatierecht (IViR) aan de Universiteit van Amsterdam. Volgens hem moet er een verder studie naar de problemen met digitale certificaten plaatsvinden. "Overgaan tot de orde van de dag is geen optie meer."

Wetgeving
Van Eijk vindt dat er meer vanuit de risico’s en alle betrokken partijen moeten worden gedacht. "Kortom, het juridisch kader, dat zich nog vooral concentreert op enkele klassieke partijen in de waardeketen tussen aanbieders van informatie en de afnemers, dient beter deze waardeketen als geheel te reflecteren, dus met inachtneming van activiteiten zoals de verlening van certificaten en de rol van browsers."

Ook moet duidelijker worden wanneer de overheid bij een onderneming kan ingrijpen. Bij verschillende stappen in de DigiNotar-affaire ontbraken namelijk de juridische grondslagen. "Het overnemen van operationele processen en onderhandelen met marktpartijen in het kader van publiekrechtelijke belangen dient een wettelijke inkadering te hebben."

Verder stelt de professor dat er ten aanzien van de genomen maatregelen een meer transparante belangenafweging gewenst is en duidelijk moet zijn hoe overgangsmaatregelen zich tot de risico’s verhouden.