Brief regering; Incident Testcoronanu BV - Infectieziektenbestrijding - Hoofdinhoud

Deze brief is onder nr. 1416 toegevoegd aan dossier 25295 - Infectieziektenbestrijding.

Officiële titel	Infectieziektenbestrijding; Brief regering; Incident Testcoronanu BV
Document­datum	18-07-2021
Publicatie­datum	25-08-2021
Nummer	KST252951416
Kenmerk	25295, nr. 1416
Commissie(s)	Volksgezondheid, Welzijn en Sport (VWS)
Externe link	origineel bericht
Originele document in PDF

Tweede Kamer der Staten-Generaal

Vergaderjaar 2020-2021

25 295

Infectieziektenbestrijding

Nr. 1416    BRIEF VAN DE MINISTERS VAN VOLKSGEZONDHEID, WELZIJN

EN SPORT EN INFRASTRUCTUUR EN WATERSTAAT

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 18 juli 2021

Met deze brief informeren wij uw Kamer over een datalek dat bij Testco-ronanu BV heeft plaatsgevonden.

Op 17 juli zijn wij door RTL Nieuws geïnformeerd over een kwetsbaarheid in de ICT systemen van de testaanbieder Testcoronanu BV. Deze testaan-bieder is sinds 10 juli aangesloten op CoronaCheck in het kader van Testenvoorjereis. Door deze kwetsbaarheid was het mogelijk dat onbevoegden testuitslagen konden inzien, aanpassen en toevoegen. RTL Nieuws heeft de testaanbieder op 17 juli geïnformeerd en de gelegenheid gegeven om het lek te dichten. De testaanbieder heeft aangegeven van het lek melding te hebben gemaakt bij de Autoriteit Persoonsgegevens.

Nadat de informatie van RTL Nieuws is ontvangen is een externe partij gevraagd om verificatie van de kwetsbaarheid. Hieruit bleek dat deze inderdaad bestond en er een ernstige tekortkoming in de informatiebeveiliging aanwezig was. Derhalve is de toegang tot CoronaCheck voor deze testaanbieder afgesloten en is de testaanbieder in het afsprakenportaal op inactief gezet. Dit betekent dat er vanaf dat moment bij deze testaanbieder geen nieuwe afspraken gemaakt konden worden en uitslagen niet meer konden worden omgezet in QR-codes. Mensen die de helpdesk van CoronaCheck belden werd aangeraden om bij een andere testaanbieder een afspraak te maken. Er hebben ons geen signalen bereikt dat anderen dan de RTL-journalist zich toegang hebben verschaft tot de database. De testaanbieder is verantwoordelijk om hier onderzoek naar te doen. Testcoronanu BV heeft tien locaties in Amsterdam, Weesp, Nieuwegein, Houten, Zwolle, Alkmaar, Eindhoven, Tilburg, Velp en Utrecht en voert ruim 3000 testen per dag uit.

De ontstane situatie is in het bijzonder vervelend voor reizigers die op het punt staan om met vakantie te gaan en daarvoor bij Testcoronanu BV een test hebben gedaan. Testcoronanu BV is daarom verzocht om mensen die al wel getest waren en op korte termijn reizen hun testuitslag op een kst-25295-1416 ISSN 0921 - 7371 's-Gravenhage 2021

veilige andere wijze (bijvoorbeeld op papier) te verstrekken. Daarnaast is Testcoronanu BV verzocht om alle personen die nog een testafspraak hebben staan persoonlijk te informeren en door te verwijzen naar andere testaanbieders via het afsprakenportaal. Reeds uitgegeven QR-codes blijven geldig. De testaanbieder zal ons informeren hoeveel reizigers in totaal getroffen zijn.

CoronaCheck sluit aan op de bronsystemen van testaanbieders. Het is allereerst aan elk van de aangesloten partijen om de informatiebeveiliging op orde te hebben. Tegelijkertijd moeten testaanbieders om aangesloten te worden op CoronaCheck voldoen aan strenge aansluitvoorwaarden. De testaanbieder moet dat aantonen met bewijsstukken. Hieruit moet blijken dat voldaan wordt aan wet- en regelgeving én aan de geldende normen voor informatiebeveiliging in de zorg (waaronder NEN7510, 7512, 7513). Het aan te leveren bewijs omvat onder andere een DPIA en een pentes-trapportage. Laatstgenoemde is een test waarbij experts het systeem onderzoeken op zwakke plekken en risico's en deze wegnemen. Ook Testcoronanu BV heeft deze bewijsstukken voorafgaand aan aansluiting overlegd. Wij starten een nader onderzoek naar de juistheid van de aangeleverde bewijsstukken en in het bijzonder naar de aangeleverde pentest. Uit een goede pentest had de gevonden kwetsbaarheid namelijk moeten blijken. Mocht dit onderzoek hiertoe aanleiding geven dan zullen de aansluiteisen op CoronaCheck worden aangescherpt.

Elke testaanbieder wordt na aansluiting periodiek gemonitord. Bevindingen worden gedeeld met de testaanbieders zodat zij deze kunnen oplossen. Indien nodig kan in voorkomende gevallen tot afsluiting worden over gegaan. Vanwege de recente aansluiting was Testcoronanu BV nog niet aan bod gekomen. Alle overige testaanbieders worden actief gemonitord. De gevonden kwetsbaarheid bij Testcoronanu BV is zo ernstig dat de aansluiting direct is opgeschort. Mocht deze testaanbieder weer aangesloten willen worden, dan zal dat niet eerder gebeuren dan nadat zowel door de aanbieder zelf een audit kan worden overlegd en zullen wij zelf ook een pentest laten uitvoeren.

CoronaCheck is van grote waarde voor alle reizigers. Wij hechten eraan te benadrukken dat de gevonden ernstige kwetsbaarheid slechts ziet op 1 van de op de CoronaCheck aangesloten testaanbieders en er direct maatregelen zijn getroffen. De veiligheid en betrouwbaarheid van de CoronaCheck app zijn niet in het geding gekomen.

De Minister van Volksgezondheid, Welzijn en Sport,

H.M. de Jonge

De Minister van Infrastructuur en Waterstaat,

• C. 

  van Nieuwenhuizen Wijbenga

Tweede Kamer, vergaderjaar 2020-2021,25 295, nr. 1416 2