Het kabinet heeft besloten om de reactie op het Citrix-rapport van de Onderzoeksraad voor de Veiligheid (OVV) uit te stellen. Reden is de nieuwe Nederlandse Cybersecuritystrategie die na het zomerreces wordt verzonden. De OVV besloot vanwege een grote kwetsbaarheid in Citrix van eind 2019 onderzoek te doen naar het incident, hoe hiermee is omgegaan en welke lessen het heeft geleerd. Afgelopen december verscheen het onderzoeksrapport.

Volgens de OVV moet de Nederlandse aanpak van digitale veiligheid snel en fundamenteel veranderen om te voorkomen dat de maatschappij ontwricht raakt door cyberaanvallen. In het onderzoeksrapport stelt de Onderzoeksraad dat veilige software allereerst de verantwoordelijkheid is van de fabrikant en die meer zouden moeten investeren om de veiligheid van software voortdurend te verbeteren.

De Onderzoeksraad doet de aanbeveling om op Europees niveau kwaliteitseisen aan software te stellen om softwarefabrikanten te dwingen verantwoordelijkheid te nemen voor de veiligheid van hun product. Daarnaast vindt de OVV dat het van groot belang is dat er vanuit de overheid een centrale aanpak komt om dreigingen te signaleren en potentiële slachtoffers van cyberaanvallen zo snel en direct mogelijk te waarschuwen.

Het kabinet heeft zes maanden de tijd om met een reactie op het rapport te komen, maar die deadline is niet gehaald. "Voor het afronden van de beleidsreactie heb ik echter meer tijd nodig en daarvoor beroep ik mij op de mogelijkheid tot uitstel, zoals is vastgelegd in de Rijkswet Onderzoeksraad voor veiligheid", zo laat minister Yesilgöz van Justitie en Veiligheid in een brief aan de OVV weten.

Aanleiding voor de vertraging zijn de plannen van de minister om de nieuwe Nederlandse Cybersecuritystrategie na het zomerreces te verzenden. "Gezien de aanbevelingen in het OVV-rapport nauw samenhangen met de te formuleren doelen en acties als onderdeel van de nieuwe strategie – en het OVV-rapport ook waardevolle input is bij het schrijven van de strategie - hecht ik er waarde aan om de reactie op het rapport in hetzelfde pakket mee te verzenden als de nieuwe strategie", verklaart de bewindsvrouw. Ze hoopt uiterlijk oktober van dit jaar met de kabinetsreactie op het Citrix-rapport te komen.