October 13, 2026

[NL] Opvolger van de Wiv 2017: meer ruimte voor de geheime diensten, minder voor toezicht



On August 28, the government of The Netherlands presented a proposal for a new law governing the Dutch intelligence and security services AIVD and MIVD. This proposal was subject of an internet consultation, in which the public could submit its opinions. Below is my opinion on the proposed law, with some additional links and images.

Along with the proposal, the government published a brief introduction in English.




Internetconsultatie

Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten (Wbnv)

Reactie op het wetsvoorstel door mr. Peter Koop, auteur van het onderzoeksweblog Electrospaces.net en parttime onderzoeker aan de iHub van de Radboud Universiteit

10 oktober 2026


Inleiding

Dit wetsvoorstel gaat over een onderwerp dat bijzonder ingewikkeld is, niet in de laatste plaats omdat de praktische uitvoering in het geheim plaatsvindt. Dit resulteert in een wetsvoorstel dat niet alleen inhoudelijk zeer complex is, maar ook uitvoeriger dan ooit. Het aantal wetsartikelen is van 172 naar 274 gegaan en de memorie van toelichting omvat maar liefst 347 pagina's. Het is dan ook bijna niet mogelijk om in de relatief korte periode van de internetconsultatie een reactie op alle aspecten van dit wetsvoorstel te geven. Hieronder beperk ik me daarom tot enkele van de belangrijkste onderdelen.


Naamswijziging: van Wiv naar Wbnv

Wat bij dit wetsvoorstel het eerst in het oog springt is de nieuwe naam: in plaats van "Wet op de inlichtingen- en veiligheidsdiensten" (Wiv) is de voorgestelde naam nu "Wet bescherming nationale veiligheid door de inlichtingen- en veiligheidsdiensten" (Wbnv). De memorie geeft voor deze opvallende wijziging een zeer summiere en weinig bevredigende onderbouwing: "Dit geeft beter het doel van de voorgestelde wet weer in het licht van de toegenomen, snel veranderende en nieuwe dreigingen voor de nationale veiligheid waarvoor Nederland zich gesteld ziet."

Het huidige wetsvoorstel verschilt namelijk niet wezenlijk van zijn voorgangers, die al sinds 1987 de naam Wet op de inlichtingen- en veiligheidsdiensten dragen. Het nieuwe voorstel is omvangrijker, maar de wijzigingen bestaan vooral uit verschuivingen, opsplitsingen, samenvoegingen, verduidelijkingen en aanvullingen van wat in de bestaande wet al geregeld is. Alleen al vanwege deze inhoudelijke continuïteit verdient het sterk de aanbeveling om de naam ongewijzigd te laten. Ook overal waar deze wetgeving besproken wordt, van de media tot de politiek en de wetenschap, zou een naamsverandering onnodig verstorend en verwarrend zijn, terwijl de materie al complex genoeg is.

Dat neemt niet weg dat een "Wet nationale veiligheid" een meerwaarde zou kunnen zijn, mits die dan ook alle organen zou omvatten die op het terrein van de nationale veiligheid actief zijn. Zo'n wet zou dan naast de AIVD en de MIVD op z'n minst ook de NCTV moeten omvatten.


Toekomstbestendigheid van de wet

Het wetsvoorstel wil, mede door zoveel mogelijk techniekonafhankelijke regelingen, toekomstbestendig zijn. In de praktijk zien we echter dat het voorstel nauwelijks op dingen vooruitloopt. Zo staan in het wetsvoorstel een reeks van zaken die eigenlijk al in de Wiv 2017 geregeld hadden kunnen worden. Bijvoorbeeld de zwaardere toestemming voor kamerleden, regelingen voor bulkgegevens en voor strategische operaties, de samenwerking met private partijen en buitenlandse partners, alsmede een regeling voor interne research & development. Dat zijn onderwerpen die 10 jaar geleden ook al speelden. Het is daarom goed dat deze zaken nu wel geregeld worden, maar het doet enigszins vrezen voor wat er over 10 jaar in de volgende wet gaat komen voor onderwerpen die ook nu al geregeld hadden kunnen worden.



Hoofdkantoor van de Algemene Inlichtingen- en Veiligheidsdienst (AIVD) in Zoetermeer
(foto: NOS - klik ter vergroting)


Waarborgen voor automatisering en AI

Een belangrijke waarborg voor alle vormen van automatisering binnen de diensten is dat er geen onderzoek naar personen mag worden gestart zonder menselijke tussenkomst (art. 36 lid 1). Dat is op zich een goede regeling, maar betekent wel dat nadat een onderzoek eenmaal is gestart, er dus wel automatisering (waaronder AI) zonder menselijke tussenkomst mag worden toegepast. Hier moet dan kennelijk de nieuwe regeling over risicotoepassingen voor voldoende waarborgen zorgen.

Van zo'n risicotoepassing is sprake als de werking van een bepaald systeem onvoorspelbaar is en als het gericht is op gevoelige doelen. Deze gevoelige doelen zijn het op afstand onderzoeken van biometrische kenmerken en het identificeren van nieuwe en ongekende personen en organisaties (art. 33). Voor het in gebruik nemen van een risicotoepassing moet onder meer toestemming aan de minister worden gevraagd. Goedkeuringen voor daadwerkelijke gebruikshandelingen kunnen vervolgens gemandateerd worden naar lagere niveaus binnen de diensten.

Wat betreft de uitkomst van een geautomatiseerd onderzoek zegt de memorie dat die niet zonder "noemenswaardige menselijke inbreng" aan bijv. de politie of het OM mogen worden doorgegeven. In art. 36 lid 2 staat dat de diensten zonder menselijke tussenkomst zelf geen maatregelen jegens natuurlijke personen mogen nemen, maar dat geldt alleen voor toepassing van de verstoringsbevoegdheid van art. 97. Hoe het zit met andersoortige interne maatregelen en, belangrijker, met het verstrekken van gegevens aan buitenlandse partners is hier niet duidelijk.


Geautomatiseerd afweren van cyberaanvallen

Een belangrijke uitzondering in art. 36 lid 2 is dat de diensten wél geautomatiseerde maatregelen mogen nemen om cyberaanvallen af te weren. Die kunnen immers dermate snel en/of op grote schaal plaatsvinden, dat ze alleen nog volautomatisch bestreden kunnen worden. Dit is toegestaan als de actie hoofdzakelijk gericht is op een geautomatiseerd werk (zoals een computer of een server), zelfs als dat er toe leidt dat personen of organisaties die apparatuur dan niet meer kunnen gebruiken.

Dat laatste is een vergaand gevolg en zeker als de getroffenen Nederlanders zijn zou moeten worden overwogen om hen een notificatie te sturen of compensatie voor de schade te bieden. Daar zitten haken en ogen aan, maar onmogelijk is het niet: in 2022 heeft de MIVD dat namelijk al een keer gedaan.


Het nieuwe opponentenregime

Voortbordurend op de Tijdelijke cyberwet introduceert het huidige wetsvoorstel een opponentenregime. Dit is bedoeld als uitzondering op de andere bepalingen van de wet, maar creëert feitelijk een duaal stelsel, aangezien waarschijnlijk een substantieel deel van de inzet van beide diensten onder dit nieuwe regime zal vallen. Het verdient aanbeveling om dit dan ook alszodanig naar voren te laten komen.

Waar in veel landen voor alle buitenlandse inlichtingenactiviteiten minder regels gelden, kiest de nieuwe Nederlandse wet dus voor een lichter regime dat alleen geldt voor specifiek aangewezen buitenlandse actoren. Een probleem is echter dat dergelijke tegenstanders vaak goed in staat zijn hun (digitale) activiteiten te verbergen en maskeren, waardoor niet altijd direct duidelijk is van welke actor een bepaalde actie uitgaat.

Het nieuwe regime geldt voor militaire organisaties (art. 56) en voor andere organisaties ("evidente opponenten", art. 55) die verbonden zijn aan landen die zich tegen Nederland richten. De reikwijdte van deze organisaties kan ver gaan en volgens de memorie ook mensen omvatten die zelf niet weten dat zij voor een dergelijke organisatie werken, bijv. als koerier. Dit betekent dat ook Nederlandse burgers onder het opponentenregime terecht kunnen komen en er met minder zware waarborgen bijzondere bevoegdheden tegen hen kunnen worden ingezet.

Onder het nieuwe opponentenregime vereist namelijk alleen de aanwijzing van de betreffende organisaties goedkeuring door de minister met voorafgaande bindende toetsing door het CTT. Daarna is alleen nog toestemming van het diensthoofd vereist om 1 jaar lang de meeste bevoegdheden tegen de betreffende organisaties en hun leden in te zetten (opmerkelijk genoeg is de bulkinterceptie hier uitgezonderd).


Omvang en herkomst van cyberaanvallen in de periode 2005 t/m 2022 (bron)


De hackbevoegdheid

Onder de Wiv 2017 kende de hackbevoegdheid twee fases: 1. verkennen en 2. binnendringen en binnenhalen van gegevens. Dit bleek in de praktijk niet goed werkbaar en daarom bevat het wetsvoorstel een nieuw stelsel in drie fases:

1. Vooronderzoek, waaronder het verkrijgen van toegang(!) tot een telefoon, computer, server e.d. (art. 76). Hiervoor is geen voorafgaande rechtmatigheidstoets, maar alleen nog toestemming van de minister vereist en bij de aanvraag hoeven ook eventuele technische risico's niet meer beschreven te worden.

2. Positionering en voorbereiding van verdere stappen (art. 77). Ook hiervoor is alleen toestemming van de minister vereist, dus de vraag is of deze bevoegdheid niet standaard met de voorgaande van art. 76 gecombineerd zal worden, waardoor het onderscheid zijn betekenis verliest.

3. Daadwerkelijk binnenhalen van gegevens uit het binnengedrongen systeem (art. 78). Hiervoor is toestemming van de minister vereist plus voorafgaande toetsing door het CTT, die bindend is als er persoonsgegevens verworven worden.

Het bovenstaande geldt niet alleen voor het hacken van een systeem van het target zelf, maar ook voor systemen van derden als dat nodig is om op die manier bij de gegevens van het eigenlijke target te komen. Hoewel die derden meestal hostingproviders e.d. zullen zijn, kunnen het ook telefoons of computers van Nederlandse burgers zijn. Ook in dat geval vindt er pas een onafhankelijke rechtmatigheidstoetsing plaats als de diensten met het binnenhalen van data beginnen, en ze dus mogelijk al langere tijd toegang tot iemands apparaat hebben. Hier zou een differentiatie naar natuurlijke personen versus organisaties c.q. cyber defense-activiteiten een extra waarborg kunnen bieden.


Gerichte interceptie

Ten opzichte van de Wiv 2017 is de bevoegdheid tot het uitvoeren van gerichte interceptie, dat wil zeggen gericht op specifiek bekende personen, organisaties, nummers of technische kenmerken, inhoudelijk niet veranderd (art. 79).

Wat echter wel veranderd is, is hoe de diensten in de praktijk met deze bevoegdheid omgaan. Uit de tapstatistieken blijkt namelijk dat er de laatste paar jaar een opmerkelijke verandering heeft plaatsgevonden. Voor de AIVD is er een aanzienlijke daling van het aantal gerichte taps te zien, namelijk van 3517 in 2019 naar 1434 in 2025. Tegelijk zien we bij de MIVD een explosieve stijging: van gemiddeld 900 naar rond de 5000 gerichte intercepties per jaar.




Deze veranderingen zijn des te opmerkelijker aangezien gerichte taps van oudsher een middel waren dat vrijwel uitsluitend door de AIVD werd ingezet tegen binnenlandse targets, zoals ook uit de bovenstaande grafiek blijkt. Waarom die verhouding nu volledig omgekeerd is en de MIVD er bovendien grootschalig gebruik van maakt is niet bekend.

Een verklaring voor deze veranderde toepassing is wenselijk om te beoordelen of de bevoegdheid tot gerichte interceptie nog wel wordt toegepast op de manier zoals de samenleving dat verwacht, oftewel of deze bevoegdheid nog voldoende voorzienbaar is.


Bulkinterceptie

Onder de Wiv 2017 heette deze bevoegdheid nog tamelijk eufemistisch en geforceerd "Onderzoeksopdrachtgerichte (OOG) interceptie", maar in de nieuwe wet is gelukkig gekozen voor de meer handzame en feitelijke term "bulkinterceptie".

De bulkinterceptie was onder de Wiv 2017 al complex, maar is er in het huidige wetsvoorstel niet eenvoudiger op geworden. In plaats van 3 fases onder de Wiv 2017, voorziet het voorstel nu in minstens 4 fases. Bovendien kan in elk van deze fases samenwerking (lees uitwisseling van data) met buitenlandse partnerdiensten plaatsvinden.

1. Bulkinterceptie t.b.v. verkenning

Op grond van art. 81 mogen de diensten bulkinterceptie uitvoeren om te verkennen op welke datastromen de daadwerkelijke bulkinterceptie van art. 82 ingezet kan worden. De hiertoe verzamelde gegevens mogen maximaal 6 maanden bewaard worden. Dat is relatief lang aangezien de routes op internet frequent wijzigen en de informatie daarover dus al vrij snel verouderd zal zijn. Het is onduidelijk waarom dit verkennen niet kan volstaan met steekproeven ("snapshots") van maximaal 2 uur per dag zoals onder de Wiv 2017 in de praktijk het geval was.

De data uit deze verkennende fase mogen niet in het verdere inlichtingenproces gebruikt worden, maar volgens de memorie wel met buitenlandse diensten gedeeld worden. Dat kan nuttig zijn wanneer buitenlandse partners beter in staat zijn om ze te ontsleutelen of te duiden, maar de tekst in de memorie sluit niet uit dat die buitenlandse diensten deze gegevens ook kunnen gebruiken voor het "richten" van hun eigen bulkinterceptie.

2. Bulkinterceptie t.b.v. inlichtingenonderzoek

Art. 82 geeft de bevoegdheid om ongericht c.q. in bulk gegevens te verzamelen, in de praktijk met name uit de ether (radio en satelliet) en uit glasvezelkabels. De zo binnengehaalde data worden "bijzondere bulkgegevens" genoemd. Deze mogen maximaal 3 jaar worden bewaard (art. 105 lid 1), een termijn die niet mag worden verlengd (art. 108 lid 2). Hiervoor is voorafgaande toetsing door het CTT vereist.

3. Onderzoek aan bijzondere bulkgegevens

Art. 83 geeft de bevoegdheid om de gegevens uit bulkinterceptie te onderzoeken om te na te gaan welke kenmerken (telefoonnummers, IP-adressen e.d.) bij personen, organisaties of onderwerpen horen en om reeds bekende personen en organisaties te identificeren.

Onder de Wiv 2017 viel hier ook metadata-analyse onder, waarmee onder andere netwerken van targets in kaart konden worden gebracht. In de nieuwe wet komt deze metadata-analyse niet meer voor aangezien er geen onderscheid meer wordt gemaakt tussen inhoud en metadata. Deze worden tegenwoordig beide als even privacy-gevoelig gezien.

4. Bevragen van bijzondere bulkgegevens

Op grond van art. 84 mogen de diensten de gegevens uit bulkinterceptie bevragen, dat wil zeggen aan de hand van kenmerken data selecteren die voor inlichtingenonderzoek gebruikt kunnen worden. Onder de Wiv 2017 kwam op deze manier de inhoud van communicatie beschikbaar voor nadere analyse, maar het onderscheid tussen inhoud en metadata wordt dus niet meer gemaakt.

De memorie verduidelijkt dat zo'n bevragingskenmerk niet alleen een naam, telefoonnummer of IP-adres kan zijn, maar ook "een meer complexe samengestelde zoekterm bestaande uit een combinatie van bijvoorbeeld tijd, locatie, taal, enz." Die laatste manier komt overeen met het XKEYSCORE-systeem van de NSA, zoals dat in 2013 via Edward Snowden onthuld werd. Bij XKEYSCORE werd deze zoekmogelijkheid echter toegepast op een "rollende buffer" die slechts 30 dagen aan internetverkeer bevatte.

5. Bewaren van bijzondere bulkgegevens

Aangezien de opbrengst van bulkinterceptie nu als "bijzondere bulkgegevens" aangemerkt wordt, kan het bewaren ervan als een vijfde fase worden gezien. Voor bulkgegevens in het algemeen bepaalt art. 105 dat de bewaartermijn 3 jaar is met de mogelijkheid om maximaal met 3 jaar te verlengen. Art. 108 bepaalt dat voor bijzondere bulkgegevens geen verlenging mogelijk is, maar dat wanneer bepaalde bulkgegevens doorlopend binnengehaald worden, die 3 jaar gaat lopen vanaf het moment dat het betreffende gedeelte binnenkwam. Daarmee ontstaat dus feitelijk ook een rollende buffer, zij het een die 3 jaar aan data bevat.


Geen chronologische trechtering

Onder de Wiv 2017 werd de bulkinterceptie (toen dus nog "OOG-interceptie") voorgesteld als een getrapt proces waarbij in elke fase verder werd ingezoomd en overbodige data werden weggegooid. Uit toezichtsrapport nr. 85 van de CTIVD, dat gepubliceerd werd net voordat het wetsvoorstel ter consultatie kwam, blijkt echter dat dit niet helemaal de juiste voorstelling van zaken is en dat de diensten in de praktijk wat anders te werk gaan dan de wetgever destijds voor ogen had.

Het oorspronkelijke idee was dat data uit bulkinterceptie vanuit de ene filterfase in de volgende terecht komen en op die manier in 1 doorgaand proces trechtermatig gereduceerd worden. Nu blijkt dat in de praktijk verschillende filtersystemen gelijktijdig naast elkaar werkzaam zijn, waarvan de resultaten apart worden opgeslagen. In de memorie wordt nu inderdaad erkend dat de fases van de bulkinterceptie elkaar "niet noodzakelijkerwijs in chronologische volgorde" opvolgen.

In de memorie wordt uitgelegd dat er data worden opgeslagen op grond van drie soorten filtersystemen: 1. een filterkader, 2. pre-selectiekenmerken (bij de CTIVD: leads), 3. selectiekenmerken (bij de CTIVD: selectoren). Gecombineerd met de eerdergenoemde vier fases, maakt dit de bulkinterceptie extreem complex, zodanig dat sterk betwijfeld kan worden of dit alles nog wel aan het vereiste van voorzienbaarheid voldoet.


Context van de bulkinterceptie

Niet alleen blijkt het filtersysteem wat anders te worden toegepast dan verwacht, ook andere aspecten van de bulkinterceptie zijn waarschijnlijk niet meer zo als de meeste mensen denken.

Toen deze bevoegdheid met de Wiv 2017 werd geïntroduceerd riep dat direct herinneringen op aan wat Snowden in 2013 over de Amerikaanse afluisterdienst NSA onthuld had. Die dienst zou op grote schaal glasvezelkabels aftappen en daarmee de communicatie van burgers over de hele wereld kunnen meelezen. Hoewel de NSA in werkelijkheid hoofdzakelijk in militaire en politieke targets geïnteresseerd was, kwam er veel protest toen ook de Nederlandse diensten een vergelijkbare bevoegdheid zouden krijgen. Alom sprak men van een dreigend "sleepnet".

Als reactie op de activiteiten van de NSA zijn internetbedrijven echter hun dataverbindingen gaan versleutelen, waardoor de inhoud van de communicatie die via ongerichte kabelinterceptie wordt binnengehaald in principe niet meer leesbaar is. Wel kunnen geheime diensten de metadata gebruiken om bijv. netwerken in kaart te brengen en hackoperaties voor te bereiden. Daarnaast is kabelinterceptie van belang om het toenemend aantal cyberaanvallen te detecteren en af te weren, oftewel voor cyber defense.


Cyber defense

Ondanks dat cyber defense steeds belangrijker wordt, is het in dit wetsvoorstel geen aparte categorie en wordt het ook in de memorie van toelichting nauwelijks besproken. Cyber defense vereist namelijk een andere insteek dan het traditionele inlichtingenwerk. Waar dat laatste stap voor stap inzoomt op targets, is voor cyber defense een breed zicht op inkomende cyberaanvallen nodig.

Een breed zicht roept echter het schrikbeeld op van het "afluisteren van hele wijken" waarvan de regering aanvankelijk bezwoer dat daarvan geen sprake was. In de memorie van het huidige wetsvoorstel komt een dergelijke ontkenning echter niet meer voor. Niettemin hoeft een breed zicht ten behoeve van cyber defense geen grote privacy-inbreuk te zijn, aangezien daarvoor vooral technische data van belang zijn, zoals signatures van malware en IP-adressen vanwaar cyberaanvallen komen.

Het wetsvoorstel noch de memorie maakt echter duidelijk of een IP-adres altijd als een persoonsgegeven behandeld moet worden of dat het ook als een technisch kenmerk kan gelden waarvoor minder zware eisen en waarborgen volstaan. Zo gelden volgens art. 1 de regels voor bulkgegevens alleen voor datasets die (veel) persoonsgegevens bevatten. Dat is een verwarrende definitie omdat zeer grote datasets zonder persoonsgegevens wettelijk gezien dus geen bulkgegevens zijn.



Hoofdkwartier van de Militaire Inlichtingen- en Veiligheidsdienst (MIVD) in Den Haag


De verstoringsbevoegdheid

Als opvolger van art. 73 Wiv 2017 is er nu art. 97, dat de diensten de bevoegdheid geeft tot "het voorkomen, ontmoedigen of in de kiem smoren" van activiteiten die een risico vormen voor de belangen die door de diensten behartigd worden. Dit kan zowel fysiek als digitaal. Net als onder de Wiv 2017 wordt deze potentieel vergaande bevoegdheid ook in het huidige wetsvoorstel niet nader uitgewerkt.

De memorie van toelichting komt niet veel verder dan het noemen van de algemene principes van subsidiariteit en proportionaliteit. Daar zit echter nog behoorlijk wat ruimte, want waar liggen de grenzen als zich een zeer grote en/of heel acute dreiging voordoet? En waar houdt hier de taak van de geheime diensten op en begint die van de politie c.q. de krijgsmacht?

Hier is verduidelijking gewenst aangezien de memorie zegt dat de verstoringsbevoegdheid "vaak" in samenhang met verwervende bevoegdheden wordt ingezet en dat het "regelmatig" voorkomt dat het precieze moment van uitvoering niet vooraf kan worden bepaald. Dit suggereert dat deze bevoegdheid veel frequenter wordt toegepast dan het summiere wetsartikel doet voorkomen.


Het College van Toetsing en Toezicht

In het wetsvoorstel worden het toetsingsorgaan TIB en toezichthouder CTIVD gefuseerd tot het College van Toetsing en Toezicht (CTT). Anders dan de naam doet vermoeden, krijgt het CTT niet twee, maar drie aparte afdelingen: Toetsing, Toezicht en Klachtbehandeling (art. 160). De samenvoeging van TIB en CTIVD is vooral wenselijk gebleken om deze mini-organisaties een stevigere basis te geven, met name op het gebied van huisvesting en bedrijfsvoering.

Opmerkelijk is dat er binnen het nieuwe CTT dan wel een strikte scheiding van taken en functies blijft. Leden van de afdelingen Toetsing en Toezicht mogen wel informeel en in het algemeen kennis uitwisselen, maar mogen dat niet laten doorwerken in hun toetsings- c.q. toezichtstaak. Over concrete zaken mag er dus geen uitwisseling plaatsvinden, elke afdeling dient volgens het wetsvoorstel onafhankelijk tot een oordeel te komen. Moeilijk te begrijpen is ook dat de afdeling Toezicht van 3 naar 2 leden gaat, terwijl er juist meer toezicht tijdens en na operaties moet plaatsvinden, ter compensatie van minder toetsing vooraf.

De afdeling Toetsing dient zich voortaan ook strikt te beperken tot een rechtmatigheidstoetsing en mag niet meer kijken naar wat de verdere gevolgen van de inzet van een bepaalde bevoegdheid kunnen zijn (de huidige "volle toets"). Hiermee dreigt de toetsing vooraf tot een "rubber stamp" te worden, iets waarvan Snowden destijds, ten onrechte, het Amerikaanse FISA Court beschuldigde.

In plaats van de TIB met 3 leden telt de afdeling Toetsing nog maar 2 leden, waarvan tenminste 1 ervaring als rechter moet hebben (art. 167). Er is dus nauwelijks ruimte meer voor een lid met technische deskundigheid en ook wordt de toetsing in eerste instantie nog maar door 1 lid uitgevoerd. Aangezien het nieuwe opponentenregime al flink meer snelheid en wendbaarheid biedt is het merkwaardig dat de toetsing desondanks zo afgeschaald wordt.

Met al deze voorstellen worden aan het functioneren van het nieuwe CTT aanzienlijke beperkingen opgelegd, wat in schril contrast staat tot de vele verruimingen die het wetsvoorstel voor de diensten zelf biedt. Waar Nederland lange tijd voorop liep qua robuustheid van het toezicht op de geheime diensten, leidt de nu voorgestelde regeling tot een duidelijke achteruitgang.

Tenslotte is het een gemiste kans dat er geen uitbreiding wordt voorgesteld voor de mogelijkheden om met buitenlandse toezichthouders samen te werken, iets dat steeds belangrijker wordt gezien de toenemende mate waarin ook de geheime diensten met buitenlandse partners samenwerken.


# # # 


Zie ook:
- De belangrijkste andere reacties op de internetconsultatie voor de Wbnv
- Alle relevante documenten in het Dossier herziening Wiv 2017

Weblinks:
- NOS: Meer bevoegdheden veiligheidsdiensten vanwege Rusland, China en Iran
- RTL Nieuws: Nieuwe wet geeft geheime diensten AIVD en MIVD meer bevoegdheden
- De Volkskrant: AIVD en MIVD moeten van kabinet ruim baan krijgen om dreigingen uit China en Rusland te pareren
- Security.nl: Kabinet wil inlichtingendiensten AIVD en MIVD meer bevoegdheden geven


September 8, 2026

Trump's new gold-trimmed phones in historical perspective

(Updated: September 17, 2026)

US president Trump has new telephone sets on his desk. These new phones gained attention for their gold decorations, fitting how Trump has redecorated the Oval Office.

Here I will discuss Trump's new telephone sets and will also look back at how earlier phones on the president's desk were visually customized.


President Trump showing his new phones in the Oval Office
(photo via Doug Mills - click to enlarge)



The Cisco Desk Phone 9871

On September 2, 2026, Fox News correspondent Peter Doocy noticed that there were two new telephone sets on Trump's desk in the Oval Office. When asked about it, Trump confirmed that the device was new and proudly said: "Yeah! You know who gave this to me? A phone company".

Actually the phone is made by Cisco, as American phone companies don't manufacture telephone sets anymore. Given the unusual golden decorations on the new phones, they quickly went viral on social media where they were mocked for their tacky appearance.

The new telephone on the president's desk is the Cisco Desk Phone 9871. This is the high-end model from Cisco's new 9800 series, which was introduced in April 2024. Besides all the usual features of a executive office phone, the Cisco Desk Phone 9871 has a 5 inch full-color touch screen.

A new feature of the Cisco Desk Phone 9871 is an "action button", which can be configured for a variety of use cases, but it's not clear whether that this button is also present on Trump's phone. The regular version of the Cisco Desk Phone 9871 also has wifi and bluetooth connectivity but for security reasons, the phone in the Oval Office is likely the no-radio version.


The commercial version of the Cisco Desk Phone 9871
(photo: Cisco - click to enlarge)



Security modifications

The new Cisco Desk Phone 9871 phone on Trump's desk replaced the Cisco IP Phone 8841, which was installed in December 2016. This device was used for all the regular, non-secure phone calls. In September 2017, the old phone for secure communications was replaced by a second Cisco IP Phone 8841.

In steps, both of the Cisco 8841 phones on the president's desk were modified in order to meet the Telephone Security Group (TSG) standards, which prevent manipulation of the microphones when the phone is on-hook.


At first sight, the new phones on Trump's desk don't seem to comply with the TSG standards. Usually that can be recognized by an additional box on the back of the phone and a red button on the front, which disconnects the microphones when a call is put on hold. We have no view of the back of Trump's new phones yet, but at least they don't have the distinctive red button.

The two main companies that provide such security modifications for US government purposes don't offer a Cisco Desk Phone 9871 yet. Currently, CIS Secure has only a modified Cisco 9861 on its website, while Advanced Programs, Inc. (API) offers only modified phones from the older Cisco 8800 series.


The Cisco Desk Phone 9861 with security modifications by CIS Secure
(photo: CIS Secure - click to enlarge)



Visual customization

Trump's new phones especially stand out because of their visual customization. The telephone set itself has a triple gold trim around the keypad and the function buttons, with "The President" in capitals and "Donald J. Trump" in a handwriting font. There are also the numbers "45" and "47" representing Trump's two terms in office.

The circular home button in the center features a full-color image of the presidential seal and is surrounded by a thin cover plate, which covers the touch screen in order to hide the names of Trump's most used contacts (see the photo below).

Each phone on the president's desk has a Key Extension Module (KEM) attached to it, which has buttons for two pages of 20 additional direct lines. These KEMs also have a triple gold trim surrounding an image of the White House.

Given the slightly brownish hue between the gold trims, it seems that these decorations were not printed on the phone itself but added as a sticker.

The decorated Cisco Desk Phone 9871 on Trump's desk, September 2, 2026
(photo: Kaitlan Collins - click to enlarge)



Earlier customizations

Earlier telephone sets on the president's desk in the Oval Office of the White House also had some visual customizations, although much more subtle.

The previous phones on Trump's desk, two sets of the Cisco IP Phone 8841, were almost identical, except that one of them had a small presidential seal in the bottom left corner of the black display section. This seal marked the phone for secure phone calls, while the one without the seal was for regular, non-secure conversations.



The Cisco 8841 phone with the presidential seal on Trump's desk in 2018
(photo: Jonathan Ernst/Reuters - click to enlarge)


From early 2008 to April 2011, presidents George W. Bush and Barack Obama had an IST-2 telephone on their desk in the Oval Office. The IST-2 is a large military telephone console, which can be used for both secure and non-secure phone calls. Besides its numerous direct line buttons, the IST-2 on the president's desk was decorated with a relief image of the presidential seal in brass.



Close-up of the presidential seal on the IST-2 phone on president Bush' desk
(photo: Ron Plante - click to enlarge)


Finally, a more elaborate decoration was found on a predecessor of the IST-2, the Electrospace MLP-2, which was used in the early 1990s by presidents George H.W. Bush and Bill Clinton. This very large telephone console was designed for the military Defense Red Switch Network (DRSN) so it could be used for both secure and non-secure phone calls.

For the president, the front plate of the Electrospace MLP-2 phone was customized with a double gold trim, gold function buttons and a large, full-color presidential seal. This resulted in an impressive device that looks like it came right from the big action movies featured around the US president.


The Electrospace MLP-2 telephone, customized for the US President
(photo via eBay - click to enlarge)



Links and sources
- Yahoo! News: Donald Trump’s Gold Cisco Phones Are Turning Heads for One Reason
- The Daily Beast: Trump Shows Off Absurd New Gold Toy
- Newsweek: Trump’s Love Affair With the Landline As Photo Reveals Gold Phone


June 4, 2026

New details from the Snowden files found by the Libroot collective

(Updated: August 6, 2026)

More than 12 years after the start of the Snowden revelations in June 2013, there are still new details to be found in the ca. 1200 highly classified documents that have been released to the public.

The latest finds are the result of mostly technical analysis conducted by a collective called Libroot. Since December last year, they are publishing the results in a series of postings on their website.




The Libroot collective

The new results from analyzing the Snowden documents are published on the website Libroot.org, which is aimed at "spying back" at the NSA under the motto "surveillance in the crosshairs".

It's not known who are behind the Libroot website but they describe themselves as "a collective focused on exposing and resisting surveillance and oppressive digital infrastructures. We create tools, research, and archives that defend digital autonomy." Libroot works on various projects, some of which are published on their website.

One of their projects is called "Going Through Snowden Documents", for which the Libroot collective "systematically reviews each available document with particular attention to small details and information that has received little or no public attention since the initial 2013 disclosures."



Going Through Snowden Documents

So far, "Going Through Snowden Documents" resulted in seven postings, which are summarized below (when new postings appear, they will be added). The titles of these summaries link to the original postings on the Libroot website. Each of these postings is very detailed and interesting, so I highly recommend reading them in full.



Part 1: CNE analysis in XKEYSCORE (December 9, 2025)

In their first posting, the Libroot collective analyzed an NSA presentation titled CNE Analysis in XKEYSCORE from 2009. This presentation was part of a large set of slide decks about the XKEYSCORE system which were published by The Intercept in July 2015 but were never analyzed individually.

Libroot looked specifically at the screenshots shown in this presentation. This revealed evidence that the NSA hacked the computer network of the Chinese company Norinco or North Industries Corporation, which is one of the world's largest state-owned defense contractors.

Other targets of NSA hacking operations were the mail servers of the Mexican federal law enforcement agencies Secretaría de Seguridad Pública (SSP) and Policía Federal Preventiva (PFP).

Yet another screenshot included in the XKS presentation shows that NSA compromised a laptop that likely belonged to someone working in Iranian transportation or customs infrastructure.

Finally, the presentation includes some codewords which were not yet included in my extensive listing of NSA Nicknames and Codewords (but have been added now):

- GREENCHAOS: A collection source feeding CNE data into XKEYSCORE?
- SHADOWQUEST: A collection source feeding CNE data into XKEYSCORE?
- TUCKER: An exploitation framework comparable to UNITEDRAKE, with sub-projects including OLYMPUS, EXPANDINGPULLY and UNIX.
- TURBOCHASER: An NSA database for profiles and future tasking, appearing alongside MARINA.
- WAYTIDE: A collection source feeding CNE data into XKEYSCORE?



Part 2: Central and South American politics (December 11, 2025)

This analysis by the Libroot collective is about two NSA presentations about operations to intercept the communications of Brazilian president Dilma Rousseff and the Mexican presidential candidate Enrique Peña Nieto.

> See also on this weblog: An NSA eavesdropping case study

One of the slides from those presentations listed "Geopolitical Trends: Key Challenges" but was almost fully redacted when it was published. Libroot, however, was able to reconstruct the full content of that slide based upon screenshots from Brazilian television.

In this posting, Libroot also provides a full transcription of a letter from the US State Department to NSA director Keith Alexander. This letter was shown shortly on Brazilian television and only a small section had been published in Glenn Greenwald's book No Place to Hide from 2014.



Part 3: Compromised telecommunications providers (December 25, 2025)

The third analysis by Libroot is about the NSA's TREASURE MAP presentation, which was published by Der Spiegel in September 2014. The TREASURE MAP tool provides "a near real-time, interactive map of the global Internet".

Besides the networks that make up the internet, TREASURE MAP also shows in which networks NSA and GCHQ have access points. Der Spiegel had already identified some satellite and internet providers that had been compromised.

By close examination, Libroot found another 20 major telecommunications providers across three continents which appeared to have been compromised. A list of those providers is in the posting on the Libroot website.



Part 4: Intelligence facilities inside the US (January 10, 2026)

Libroot also found out that in two documents from the Snowden trove some entire sections had been deleted, presumably by people from Greenwald's media outlet The Intercept. In both cases, the deleted sections were about intelligence facilities inside the US, while information about similar facilities abroad was not redacted.

The first document is apparently from the Menwith Hill Satellite Classification Guide and was published by The Intercept in September 2016. Deleted from this document was text saying that "Classic Wizard Reporting and Testing Center" is an unclassified cover name for the Potomac Mission Ground Station (PMGS). This facility is located at the Naval Research Laboratory (NRL) in Washington DC and functions as a Mission Ground Station (MGS) for NRO surveillance satellites.

The second document is titled NRO SIGINT Guide Pine Gap and was published by The Intercept in collaboration with the Australian Broadcast Corporation (ABC) in August 2017. Deleted from this document was text saying that "Aerospace Data Facility" (ADF) is the unclassified cover name of the Consolidated Denver Mission Ground Station (CDMGS). This facility is located at Buckley Space Force Base in Aurora, Colorado, which is also home to one of the NSA's regional Cryptologic Centers.

> See also on this weblog: The NSA's regional Cryptologic Centers



Part 5: Various redaction failures (January 17, 2026)

In their fifth posting, Libroot presents some additional redaction failures which they stumbled upon by conducting forensic analysis on PDF files from the Snowden trove. These failures are not very significant or spectacular, as in general the journalists redacted the files they published quite professionally.

The redaction failures include a total of some 20 usernames of NSA employees, as well as IP and email addresses of foreign targets. The NSA usernames, or Security Identifiers (SIDs), all consist of two initials followed by the first four or five letters of someone's surname. For example, Snowden's username at the NSA was "ejsnowd".

> See also on this weblog: E-mails from inside the NSA bureaucracy



Part 6: UNAMI router configurations (April 17, 2026)

This posting is about some screenshots included in an NSA presentation titled VPN SigDev Basics, which was published by Der Spiegel in December 2014. These screenshots show the interface of the NSA's DISCOROUTE program, which is a "project to acquire, parse, database and display configuration files from network devices."

In these screenshots, Libroot noticed a search for crypto keys from routers used by the United Nations Assistance Mission for Iraq (UNAMI). According to Libroot, this strongly indicates that the NSA had collected the full configuration data of at least eleven network routers used by UNAMI.



Part 7: NSA presentation containing sensitive data (May 5, 2026)

The seventh posting by Libroot is about an NSA presentation from early or mid-2012 titled What Your Mother Never Told You About SIGDEV Analysis, which was published by Der Spiegel in December 2014 as part of a long story about internet encryption.

Libroot was able to undo almost every redaction in that presentation, which revealed the full names of at least 14 NSA employees, as well as IP addresses and names of companies and organizations that had been targeted by the agency (which Libroot didn't publish).

In the same NSA presentation is a screenshot which contains another screenshot, but so tiny that it was almost invisible. When restored to its original size, it appeared to be the NSA's internal WikiInfo page about TNS (Target Network Service).

The screenshots also contain some new NSA codewords:

- BLACKBEACH: (related to BLACKPEARL?)
- BLACKSAND: (related to BLACKPEARL?)
- DARKSUNRISE: VPN exploitation tool released in Fall 2012.
- POTLUCK: (internal NSA or IC search engine?)
- SHADOWNET: Tool for exploitation of VPN communications.*
- TROPICNET: ?



Part 8: Some hitherto unseen snippets (July 1, 2026)

In their eighth posting, the Libroot collective presents three snippets which are probably all part of an SIDtoday newsletter written in March 2013 by an operator of SHENANIGANS, an airborne system that collected wireless data. These three snippets were uploaded to the webserver of The Intercept, but never linked to any story. One of the snippets mentions the Utah Regional Operations Center (UROC), which is very rare.

This Libroot posting includes another classified document, this time uploaded to the DocumentCloud account of The Intercept. It seems to be part of the large batch of files published with an article about XKEYSCORE from July 2015, but again, this document is not linked in the article itself. The document was ceated by Booz Allen Hamilton and titled Mail and Ports Cheat Sheet.



On their website, Libroot writes that their examination of all the published documents leaked by Edward Snowden "will hopefully be complete and made public in mid-to-late 2026."

Libroot logo


January 8, 2026

Trump risked a compromise of his strike against Venezuela

(Updated: January 14, 2026)

On January 3, 2026, the United States conducted a remarkable strike against Venezuela, during which president Maduro and his wife were captured and exfiltrated to New York.

At his private residence Mar-a-Lago, US president Trump monitored this operation from a room that looks hardly secure enough to prevent adversaries from eavesdropping.


Left to right: Hegseth, Ratcliffe, Rubio and Trump at Mar-a-Lago, January 3, 2026
(White House photo - click to enlarge)


Right after the strike had been absolved, Trump's team released several photos via X (formerly Twitter) and their own social media platform Truth Social. The images show how the US president and his national security team monitored the operation and the communications equipment they used.

Present were president Donald Trump, Secretary of Defense Pete Hegseth, Secretary of State Marco Rubio, CIA Director John Ratcliffe, Chairman of the Joint Chiefs of Staff general Dan Caine, White House Deputy Chief of Staff Stephen Miller, as well as some other staff members.



The communications equipment

Among the communications equipment in the photos we see a Cisco 8832 IP Conference Phone and at least two Cisco 8841 IP phones with a black box attached to their back. All these phones were modified by Advanced Programs, Inc. (API) in order to provide some TEMPEST protection and appliance to the TSG Standards.


However, those technical measures are of little use when a phone is off hook or when the speakerphone is enabled and all kind of people (and antennas) can simply listen in to what is said.


Left to right: Ratcliffe, Trump and Rubio at Mar-a-Lago, January 3, 2026
(White House photo - click to enlarge)


In the photo below we see Chairman of the Joint Chiefs of Staff working on a laptop which has two yellow labels and is connected with cables that are yellow as well. Yellow is the color code for the classification level Top Secret/Sensitive Compartmented Information (TS/SCI), which indicates that the device is connected to JWICS, the highly secured network for intelligence information and communication.

In another photo we can see that at his right hand, Cain also has another laptop. That one had a red label and was connected with a red cable. Red is the color code for the classification level Secret, which means that laptop was connected to the SIPRNet, which is the primary network for classified military communications.


Left to right: Caine, Ratcliffe and Hegseth at Mar-a-Lago, January 3, 2026
(White House photo - click to enlarge)


On the wall behind defense secretary Hegseth is a large videoscreen. The bright green bar along the top side shows that it's connected to a military or government network for unclassified information (most likely NIPRNet). At the moment of the photo, the screen showed an internet browser with on three tabs the web interface of X and "Venezuela" typed into the search bar of the front tab.

Note that Hegseth is working on a laptop that has no color label to indicate a classification level, it has only a gray label with some bar codes. This brings to mind the situation of early last year, when Hegseth had a computer in his Pentagon office that was directly connected to the public internet so he could use the Signal app for backdoor communications with the White House.




No SCIF at Mar-a-Lago?

The most remarkable thing about the meeting on January 3, is its location. According to CNN, Trump and his team met in "a discreet of the club, away from guests". The photo below shows that it was a small building with a wooden roof that looks almost like a garage or a storage room, with the area where all the highly sensitive information came in "sealed off" only by very thin black curtains:


Left to right: Ratcliffe, Trump, Rubio and Miller at Mar-a-Lago, January 3, 2026
(White House photo - click to enlarge)


Normally, these kind of meetings should at least take place in a Physically Protected Space (PPS), but preferably in a Sensitive Compartmented Information Facility (SCIF). Such a SCIF can be a room, a suite of rooms or a whole building that is protected in such a way that highly classified information can be stored, processed, viewed and/or discussed without being intercepted by outsiders.



Risks at Mar-a-Lago

Already during Trump's first term as president it was noticed that there was apparently no permanent SCIF at Mar-a-Lago. When on April 6, 2017, the US conducted airstrikes against Syria, Trump and his team sat packed around a narrow table in a small side room, looking at a secured Cisco EX90 video teleconferencing screen, with on the table some devices that were never identified.



Trump and his team of policy makers at Mar-a-Lago, April 6, 2017
(White House photo - click to enlarge)


According to Trump's press secretary at the time, the room used on April 6, 2017 was a SCIF. That wasn't very convincing because everything seemed to be hastily arranged for the occasion. At best, the room was a (temporary) Secure Working Area (SWA), which is an accredited facility "used for discussing, handling, and/or processing SCI, but where SCI will not be stored."

Mar-a-Lago isn't just Trump's private residence, but also a club resort that is open to paying members and ticketed guests, staffed by workers without the same security clearances as White House staff. Although the Secret Service screens guests before they enter, they don't determine who can access the club. All this makes the place vulnerable to infiltration and/or eavesdropping by foreign intelligence.



Precedents

By contrast, when president Barack Obama and his national security team monitored the killing of Osama bin Laden on May 1, 2011, they did so from a small room that was part of the highly secured complex of the White House Situation Room:



President Obama and his national security team watching the killing of
Osama bin Laden in the White House Situation Room, May 1, 2011.
(White House photo by Pete Souza - click to enlarge)


However, when Obama was on vacation at the Blue Heron Farm in Chilmark on the island of Martha's Vineyard, Massachusetts in August 2011, his secure and non-secure telephone equipment was installed in a living room that didn't seem very secure, with doors and windows open when calls were conducted:

> Read more: Obama on vacation


President Obama with John Brennan and some other assistents, August 26, 2011
(White House photo by Pete Souza - click to enlarge)



Much better was the situation under president George W. Bush, who had a special building on his ranch in Crawford, Texas, that was equipped as a SCIF. The space was modeled like a conference room in the White House, with comfortable chairs and all the necessary communications equipment for secure and non-secure phone calls as well as for secure video teleconferencing:



George W. Bush in the SCIF on his ranch in Texas, December 29, 2004.
(White House photo)



Links and sources
- Politico: Who was in Trump’s Mar-a-Lago war room for Maduro’s ouster
- CNN: Mar-a-Lago is a familiar place for Trump to manage high-stakes military operations
- The New York Times: C.I.A. Source Inside Venezuelan Government Helped Track Maduro
- Wikimedia Commons: Photos of Donald Trump monitoring U.S. military operations in Venezuela
Some older articles on this weblog that are of current interest: ► In Dutch: Volg de actuele ontwikkelingen rond de Wet op de inlichtingen- en veiligheidsdiensten via het Dossier herziening Wiv 2017