Definitieve Raadsinformatiebrief cyber en gedigitaliseerde criminaliteit 18 september 2023.pdf

Raadsinformatiebrief

Aan:

Portefeuillehouder(s): Behandeld door

De leden van de gemeenteraad van Amsterdam 18 september 2023 Openbare Orde en Veiligheid Femke Halsema OOV, secretariaatOOV@amsterdam.nl

Onderwerp

Cybercrime en gedigitaliseerde criminaliteit

Datum Portefeuille(s)

Geachte leden van de gemeenteraad, Namens de driehoek informeer ik u graag over de stand van zaken op de thema’s cybercrime en gedigitaliseerde criminaliteit. Amsterdam wil een veilige en leefbare stad zijn voor haar inwoners, ondernemers en bezoekers. De laatste jaren daalt het aantal aangiften van traditionele criminaliteit in de stad. Daartegenover zijn er meer meldingen van cybercrime1 en gedigitaliseerde criminaliteit2 (hierna samen: digitale criminaliteit). De afgelopen jaren zijn het ‘fysieke’ en digitale domein naadloos in elkaar overgelopen. Digitale criminaliteit raakt steeds meer verweven met andere vormen van criminaliteit – waaronder drugs –en wapenhandel - en andersom. Deze ontwikkelingen kunnen negatieve gevolgen met zich meebrengen voor de openbare orde en rechtsorde. Centrale doel De snelle mate van digitalisering van de samenleving biedt kansen en mogelijkheden, maar is niet geheel zonder veiligheidsrisico’s. Met het uitvoeren van de Agenda Digitale Veiligheid (sinds 2020) is er in de stad meer bewustwording over de kwetsbaarheid van het digitale domein in relatie tot openbare orde en veiligheid. Door brede samenwerking binnen en buiten de gemeentelijke organisatie zijn verschillende projecten en initiatieven ontstaan. Deze hebben ook een positieve bijdrage op de manier van samenwerken. Het centrale doel is een veilige digitale samenleving.

Investeringen Binnen de sectoren economie, zorg, jeugd en onderwijs, crisis -en incidentmanagement en mobiliteit zijn investeringen gedaan in verschillende producten, onderzoeken en diensten met 1

Cybercrime betreft criminaliteit waarbij een geautomatiseerd werk (computer, computerserver, smartphone, etc.) het doelwit is. Bijvoorbeeld criminaliteit gericht op het vernielen of onbruikbaar maken van geautomatiseerde werken, zoals DDOS- of ransomwareaanvallen, of criminaliteit gericht op het inbreken in geautomatiseerde werken en de daarmee verbonden criminaliteit, zoals het voorhanden hebben van programmatuur ten behoeve van hacken of gegevens afkomstig uit hacken. 2 Gedigitaliseerde criminaliteit betreft criminaliteit waarbij het geautomatiseerde werk niet zozeer het doelwit is, maar wel als middel wordt gebruikt, bijvoorbeeld oplichting via WhatsApp of bankhelpdeskfraude.

Gemeente Amsterdam, raadsinformatiebrief

Datum 18 september 2023 Pagina 2 van 7

publieke en private ketenpartners. De G4- gemeenten investeren samen in een gemeenschappelijke agenda op het gebied van digitale veiligheid namens de Vereniging Nederlandse Gemeenten (VNG). Via die lijn is de lobby ingezet in aanloop naar de publicatie van de Nederlandse Cybersecurity Strategie 2022-2028 (NLCS) door het Ministerie van Justitie en Veiligheid. Daarop volgend is een bestuurlijk convenant tussen Rijksoverheid en de VNG3 afgesloten met belangrijke input vanuit de G4 om handelingsperspectief te bieden. Convenant Het convenant helpt ons in de periode tot 2028 als stad met de volgende drie punten: 1- Vertaling van het fysieke veiligheidsstelsel naar digitale veiligheid; 2- Beter beeld van de (digitale) kwetsbaarheden, dreigingen en incidenten op lokaal en regionaal niveau; 3- Toewerken naar benodigde en structurele financiering en middelen voor digitale weerbaarheid van onze gemeente(n). Om optimaal op bovenstaande punten aan te sluiten, hebben wij als driehoek besloten om digitale criminaliteit te prioriteren. Op dit thema versterkten politie en OM in Amsterdam de opsporing en vervolging in het afgelopen jaar. Mede daardoor was het mogelijk om grote onderzoeken naar georganiseerde digitale criminaliteit tot een goed einde te brengen.

De vooraf gestelde kwantitatieve doelen zijn ruimschoots gehaald4 voor wat betreft het aantal door de Amsterdamse politie en het Amsterdamse OM aan te houden cybercrimeverdachten. Zo werden begin dit jaar drie jonge verdachten aangehouden in een onderzoek naar het hacken van talloze bedrijven. Daarmee werden miljoenen persoonsgegevens gestolen en de bedrijven bedreigd met openbaarmaking van die gegevens. Ook veroordeelde de rechtbank in juni van dit jaar een 25-jarige man voor het verhandelen van gevoelige persoonsgegevens van tientallen miljoenen mensen, waaronder vrijwel alle inwoners van Oostenrijk. Daarnaast zijn er strafrechtelijke onderzoeken uitgevoerd naar grootschalige phishing, met slachtoffers in binnen en buitenland. Uit de behandelde strafzaken in Amsterdam ontstaat het beeld van een zeer lucratief en goed georganiseerd crimineel circuit. Vaak zijn verdachten jong en blijkt dat plegers van digitale criminaliteit ook in verband kunnen worden gebracht met drugs -en wapenbezit of wapenhandel. Uit de casuïstiek wordt zichtbaar dat criminelen, waaronder Top600 en Top400 subjecten, die voorheen in beeld kwamen in verband met meer traditionele vormen van criminaliteit, zoals drugs -of wapenhandel of vermogenscriminaliteit, zich nu ook bezig houden met digitale criminaliteit.

3

Convenant ondertekend over lokale cybersecuritystrategie | VNG en Bestuurlijk convenant digitale veiligheid gemeenten (vng.nl) 4 In de gezamenlijke Veiligheidsagenda 2022 was de ambitie opgenomen om 36 cyberverdachten te vervolgen. Uiteindelijk zijn 67verdachten vervolgd voor een strafbaar cyberdelict.

2

Gemeente Amsterdam, raadsinformatiebrief

Datum 18 september 2023 Pagina 3 van 7

Beleidsinitiatieven Een vijftal beleidsinitiatieven vormt de basis voor de geprioriteerde driehoeks-samenwerking op het gebied van digitale veiligheid; 1) digitale veiligheid integreren binnen bestaande driehoeksaanpakken, 2) digitale veiligheid van Amsterdamse datacentra, 3) een (preventie)aanpak rond gedigitaliseerde criminaliteit, 4) een verkenning van veiligheid op sociale media en 5) het project regionaal ecosysteem digitale veiligheid Amsterdam-Amstelland. 1) Het integreren van digitale veiligheid binnen driehoeks-aanpakken De driehoek is van mening dat het aanpakken van cybercrime en gedigitaliseerde criminaliteit zoveel mogelijk binnen bestaande projecten moet worden opgenomen. Hiertoe is een aantal driehoeks-aanpakken in kaart gebracht, waarvan onderzocht wordt of a) digitale veiligheid binnen die aanpakken valt, b) verder geïntegreerd moet worden of c) dat een aanpak apart moet worden opgestart. Hieronder wordt nader ingegaan op de drie aanpakken die door de driehoek geprioriteerd zijn. Het Actiecentrum Veiligheid en Zorg (AcVZ) Binnen het AcVZ zijn onder meer de persoonsgerichte integrale aanpakken Top600, Top400 en Doorgroeiers belegd. Deze aanpakken lenen zich mogelijk goed voor het toevoegen van een digitale component. Een werkgroep onderzoekt in welke mate digitale criminaliteit voorkomt binnen de doelgroep en wat dat mogelijk betekent voor de aanpakken.

Bijvoorbeeld wat betreft instroomcriteria en de vraag of digitale criminaliteit zou kunnen of moeten gelden als High Impact Crime. Eerder is al besloten tot het opnemen van een aparte paragraaf over online criminaliteit in het Meerjarenplan Top600 en Top400 (2023-2026) 5. Masterplannen Zuidoost en Nieuw-West Op casuïstiek niveau is in strafzaken te zien dat digitale criminaliteit een steeds grotere rol speelt in de wijken Zuidoost en Nieuw-West. In het kader van het masterplan Zuidoost worden gesprekken met het Doorbraakteam Veiligheid opgestart, evenals gesprekken met het Opgaveteam Veiligheid binnen het masterplan Nieuw-West. Beleidsterreinen Jeugd, Drugs en Wapens Op casuïstiek niveau is verwevenheid van gedigitaliseerde criminaliteit met drugscriminaliteit, wapenbezit en jeugd waarneembaar. De driehoek laat dit nader onderzoeken. 2) Veilige Amsterdamse datacenters Digitale criminaliteit vindt ook via Nederlandse datacenters plaats, waarvan een aantal in Amsterdam en de regio is gevestigd. Er wordt ingezet op een tweeledige aanpak; aan de ene kant een positieve samenwerking tussen de driehoeks-partners en de datacenters. Anderzijds een verkenning om een meer dwingend beleidskader vanuit gemeente en Openbaar Ministerie te gaan hanteren. De samenwerking heeft als doel om te komen tot afspraken met Amsterdamse datacenters.

Denk hierbij aan een convenant, waarin in ieder geval het volgende is opgenomen:

5

Meerjarenplan integrale persoonsgerichte aanpakken veelplegers en jongeren/jongvolwassenen 2023-2026

3

Gemeente Amsterdam, raadsinformatiebrief

•

•

Datum 18 september 2023 Pagina 4 van 7

Een reseller-register, bijgehouden door datacenters. In het kader van strafrechtelijk onderzoek kunnen gegevens uit het register worden gevorderd. Uit dit register moet blijken welke infrastructuur verhuurd is aan welke klant. Onderhuur moet inzichtelijk zijn zodat ook de eindgebruikers achterhaald kunnen worden; Abuse-meldingen, ofwel meldingen van misbruik van op internet aangesloten digitale infrastructuur. Amsterdamse datacenters zijn bereikbaar voor abuse-meldingen, houden deze bij en acteren erop wanneer dat aangewezen is. Aansluiting bij reeds bestaande, landelijke initiatieven zoals het Anti Abuse Network is een optie.

Verkenningen naar een meer dwingend beleidskader zijn bijvoorbeeld een privaatrechtelijke aanpak, een mogelijke vergunningsplicht en handhaving in het kader van andere openbare ordebevoegdheden. Dergelijke verkenningen leiden ook tot meer inzicht in mogelijke wettelijke beperkingen die men ondervindt. In dat geval levert het input op voor een bestuurlijk signaal richting de Rijksoverheid. Een privaatrechtelijke aanpak De driehoeks-partners gaan het gesprek aan met de eigena(a)r(en) van een datacentrum over de ervaren problematiek en wat de bijdrage van de eigena(a)r(en) hieraan zou kunnen zijn. In andere branches blijken zulke gesprekken/informatieavonden van grote waarde. OM en politie voeren reeds gesprekken met de branche en deze worden over het algemeen als positief ervaren. Daarnaast wordt preventief en privaatrechtelijk een handelingsperspectief aan deze sector aangeboden. En onderzocht of, en in welke vorm, een af te sluiten convenant haalbaar is. Een mogelijke vergunningsplicht Wanneer er signalen van ondermijning, (potentiële) openbare ordeverstoringen of het woon -en leefklimaat onder druk staat, kan ik een vergunningsplicht opleggen met betrekking tot bedrijfsmatige activiteiten van een bedrijf op een specifieke locatie in Amsterdam. Dit is een zwaar middel en kan de gehele branche worden opgelegd, maar ook één specifiek geval.

Momenteel wordt gewerkt aan het verkrijgen van meer inzicht over op welke locaties in de regio welke aard van digitale criminaliteit plaatsvindt. Inzet andere openbare orde bevoegdheden bij hostingproblematiek Onderzocht wordt of andere bevoegdheden op het gebied van openbare orde (bijvoorbeeld sluiting van datacenters) inzetbaar zijn bij bepaalde hostingproblematiek die tot concrete openbare ordeverstoringen leidt. Denk daarbij aan het hacken van vitale infrastructuur, het uitvallen van de energievoorzieningen, of een verstoring van beveiligingssystemen van de stad waarbij de openbare orde wordt verstoord. Het gaat niet om feiten als verspreiding van kinderporno of phishing, aangezien dit ook normaal gesproken niet wordt beschouwd als een openbare ordeverstoring.

4

Gemeente Amsterdam, raadsinformatiebrief

Datum 18 september 2023 Pagina 5 van 7

Nieuwe wetgeving Het is de vraag of bestuurlijk kan worden opgetreden tegen ‘digitale’ gedragingen die ‘fysiek’ de openbare orde (dreigen te) verstoren. Dit is een redelijk onontgonnen terrein: er is nog weinig jurisprudentie en op deze situatie toegesneden wetgeving. Recent heeft de rechtbank MiddenNederland zich uitgesproken over een Utrechts ‘online gebiedsverbod’ waaruit bleek dat de bevoegdheden van de burgemeester op basis van de APV niet online kunnen worden ingezet.6 Naar aanleiding van deze uitspraak hebben 40 burgemeesters, waaronder ikzelf, de nationale wetgever opgeroepen om met nieuwe wetgeving te komen. De huidige wetgeving is immers van vóór het digitale tijdperk. Wanneer zich een geschikte casus aandient, wordt een proef met een online gebiedsverbod gestart, om zo jurisprudentie te maken en de grenzen van het (huidige) recht te verkennen. Hiermee wordt een proefproces uitgelokt om zo meer juridische duidelijkheid te krijgen over de vraag of de huidige bevoegdheden van de burgemeester ingezet kunnen worden om digitaal aangejaagde openbare orde verstoringen te voorkomen. De resultaten van zo’n proef moeten worden afgewacht en kunnen relevant zijn voor de bestrijding van bepaalde hostingproblematiek die tot concrete openbare ordeverstoringen leidt.

3) (Preventieve) aanpak gedigitaliseerde criminaliteit De komende tijd krijgt de aanpak van gedigitaliseerde criminaliteit meer vorm door een intensivering van de opsporing en vervolging, in combinatie met een preventiecampagne. Door een gerichte en actuele preventiecampagne worden Amsterdamse inwoners en ondernemers weerbaarder gemaakt tegen digitale vermogenscriminaliteit. Deze campagnes worden ingericht op basis van politie- en justitiedata en richten zich op doelgroepen die verhoogd risico lopen, zoals ouderen of kinderen en waarschuwen voor nieuwe en veel gebruikte werkwijzen van criminelen. Samenwerking met private partijen wordt daarbij verkend. Politie en OM en zullen extra personeel inzetten voor de opsporing en vervolging van gedigitaliseerde criminaliteit. De doelen daarbij zijn, onder andere, om zowel tot meer succesvolle opsporing en vervolging te komen, als meer zicht te krijgen in de werkwijzen van veelvoorkomende gedigitaliseerde criminaliteit in Amsterdam. 4) Verkennen veiligheid op social media Ook (kwetsbare) burgers en ondernemers gebruiken de grotere online platformen. Deze platformen kunnen een faciliterende rol hebben bij (potentieel) schadelijke, opruiende of strafbare uitingen in de digitale leefwereld.

Als stad lopen we tegen onze grenzen aan als het gaat om de bescherming van onze (jonge en kwetsbare) burgers tegen online criminaliteit en ongewenst gedrag. Uitingen op online platformen kunnen binnen korte tijd een enorm bereik krijgen en grote invloed hebben op de veiligheid, openbare orde, bestuurlijke stabiliteit en alles wat er in de straten en gebouwen van Amsterdam plaatsvindt.

6

Zie ook de raadsbrief van 7 februari 2023. Link: Microsoft Word - DEF raadsbrief online gebiedsverbod uitspraak Utrecht.docx (raadsinformatie.nl)

5

Gemeente Amsterdam, raadsinformatiebrief

Datum 18 september 2023 Pagina 6 van 7

Vermoed wordt dat voorafgaand aan steeds meer incidenten met jongeren in de openbare ruimte, een online conflict of opruiing plaatsvond. Ook online seksueel geweld heeft ernstige gevolgen voor Amsterdamse jongeren. Als stad worden we geconfronteerd met (grote) problemen in wijken en buurten, waarvan we niet goed in staat zijn om ze bij de online bron aan te pakken. Samen met de driehoeks-partners ben ik in gesprek gegaan met de grotere online platformen zoals Meta, TikTok, Snapchat en Microsoft, en online datingplatformen zoals Tinder en InnerCircle. Op 13 april j.l. vond een eerste gesprek plaats. In dit gesprek werden lokale zorgen op veiligheid in relatie tot de digitale openbare ruimte van de stad besproken. Aan de hand van een tijdlijn, werd geschetst hoe incidenten vanuit online escaleerden tot zeer onveilige en onwenselijke situaties in de fysieke leefwereld. Hiervoor werd Amsterdamse casuïstiek van online seksueel geweld/intimidatie en rivaliserende jongeren gebruikt. Na reflectie door de aanwezige partijen, kwamen we nader tot elkaar en is er op directieniveau de toezegging gedaan om een verkenning in te zetten. De kaders van de wet –en regelgeving zijn leidend in de verdere samenwerking om met elkaar een sterkere signaleringsfunctie op te zetten. Deze zijn met name bedoeld voor situaties die uit de hand dreigen te lopen.

Ook wordt gekeken of gezamenlijke en relevante actie- en preventieprogramma’s opgesteld of aangepast kunnen worden. 5) Ecosysteem Digitale Veiligheid Regio Amsterdam-Amstelland De gemeente Amsterdam is in samenwerking met omliggende gemeenten binnen de regio Amsterdam-Amstelland, bezig met de opzet van een ecosysteem op digitale veiligheid. Deze opzet volgt het uitgangspunt ‘groot helpt klein’. Als hoofdstad stellen wij onze inspanningen, kennis en resultaten beschikbaar voor de kleinere gemeenten in onze regio. Dit initiatief heeft tot doel een robuust publiek-privaat ecosysteem (samenwerkingsverband) te creëren, gericht op het waarborgen van duurzame veiligheid in de digitale ruimte voor inwoners, ondernemers en bezoekers in de regio. Momenteel lopen er al verschillende projecten die opgezet zijn vanuit dit ecosysteem. Voorbeelden hiervan zijn de aanpak op de eerder genoemde hostingproblematiek en HackShield. Maar ook het online educatief en bewustwordingsprogramma voor jongeren tussen 8 en 12 jaar, wat in samenwerking met de Openbare Bibliotheek Amsterdam wordt uitgevoerd. Binnen het ecosysteem, met inmiddels tientallen actieve partners, wordt er op vier gedefinieerde prioriteiten samengewerkt: 1.

Verhogen van het collectieve digitale veiligheidsbewustzijn Duurzame initiatieven ontplooien die bijdragen aan het collectieve veiligheidsbewustzijn op het internet van alle aanwezige doelgroepen. 2. Bestendigen van talent- en expertise in het digitale werkveld Het aantrekken en voortzetten van IT-talent om het tekort in de sector op te vullen. 3. Informatie-uitwisseling en gevolgbestrijding Het opzetten van een netwerk om informatie van dreigende aard tijdig te signaleren, duiden en daarop te anticiperen door gezamenlijk te oefenen. 4. Testen van digitale producten en diensten in een gecontroleerde proeftuin In een gecontroleerde omgeving experimenteren met innovatieve producten en diensten om de effecten te meten voordat het in de praktijk wordt ingezet.

6

Gemeente Amsterdam, raadsinformatiebrief

Datum 18 september 2023 Pagina 7 van 7

Deze aanpak sluit aan bij de landelijk strategie op cybersecurity; oftewel digitale veiligheid voor gemeenten inclusief verbonden partijen in de samenwerkingsketen. Bij het initiatief zijn zowel publieke als private partners betrokken met expertise op het gebied van cyberbeveiliging. Private partners dragen daarbij bijvoorbeeld verantwoordelijkheid voor vitale infrastructuur, zoals betalingsverkeer, mobiliteitsstromen en energielevering en worden nauw betrokken bij dit ecosysteem. We willen het beleid voor digitale veiligheid zoveel mogelijk regionaal afstemmen. Het initiatief houdt tevens rekening met nationale en Europese richtlijnen en toekomstige wetgeving bij het bepalen van de prioriteiten voor de uitvoeringsagenda op lokaal niveau. We zullen samen met alle partners onze best moeten doen om digitale veiligheid van de regio goed te versterken, te meer omdat dit een snel veranderend terrein is met veel nieuwe ontwikkelingen. Eind 2023, begin 2024 wordt dit initiatief ook formeel ondersteund met de ondertekening van een bestuurlijk convenant tussen de deelnemende gemeenten, onder leiding van de cyberburgemeester Pieter Heiliegers (Gemeente Uithoorn) en vervolgens met de aangesloten private partners. Het is van groot belang dat gemeente, politie en Openbaar Ministerie blijven samenwerken met lokale en landelijke partners.

Zodra er nieuwe ontwikkelingen zijn en/of bepaalde maatregelen worden genomen, zullen wij uw raad weer informeren. Met vriendelijke groet, Namens de driehoek Amsterdam,

Femke Halsema Burgemeester

7