Politie mag opdracht aanleg Meldkamercommunicatiesysteem rechtstreeks gunnen aan KPN

Rb. Den Haag 29 december 2023, IT 4645; ECLI:NL:RBDHA:2023:22297 (Grosc tegen Politie) De Politie heeft het voornemen om de huidige Dienst 112 en de meldkamer telefoniesystemen ten behoeve van het telefoonnummer 112 te vervangen door het Meldkamercommunicatiesysteem. De Politie voornemens wil het verkenningstraject met KPN gaan uitvoeren en verwachtte begin juni 2024 het traject te hebben afgerond en met KPN een overeenkomst te hebben gesloten. Grosc vordert dat de Politie de opdracht voor het Meldkamercommunicatiesysteem moet aanbesteden in plaats van deze rechtstreeks aan KPN te gunnen. De Politie beroept zich op artikel 2.16 ADV, een uitzondering op de aanbestedingsplicht voor defensie- en veiligheidsgebied. Dit artikel staat toe om af te wijken van de aanbestedingsprocedure als openbaarmaking van informatie strijdig is met een essentieel veiligheidsbelang.

Grosc stelt dat de Politie ten onrechte deze uitzondering gebruikt, omdat niet alle informatie over het Meldkamercommunicatiesysteem geheim is en de aanbestedingsroutes voldoende waarborgen bieden voor vertrouwelijkheid. De Politie beargumenteert dat het 112-systeem vitale infrastructuur is en dat openbaarmaking van informatie over het nieuwe systeem, zelfs aan gescreende partijen, een te groot risico op lekken met zich meebrengt. De Politie wijst op de toegenomen digitale dreiging en cyberaanvallen, met name na 2022, als rechtvaardiging voor haar keuze.

De rechter oordeelt in het voordeel van de Politie. De rechter erkent dat het 112-systeem cruciaal is voor de nationale veiligheid en dat de Politie gerechtvaardigd is om maximale garanties te eisen. De rechter acht de bezorgdheid van de Politie over het weglekken van informatie, zelfs bij een niet-openbare aanbestedingsprocedure, gegrond. De rechter is van mening dat de Politie voldoende heeft aangetoond dat de digitale dreiging een reëel risico vormt en dat het noodzakelijk is om de informatie over het Meldkamercommunicatiesysteem te beperken tot een minimum. De vorderingen van Grosc worden afgewezen.

4.7. Een aanbesteding onder de ADV zal daardoor met zich brengen dat dat de kans op het weglekken van informatie naar (ongeautoriseerde) derden, groter wordt naar mate meer partijen en personen (binnen deze partijen) daarover worden geïnformeerd, zoals de Politie met juistheid heeft aangevoerd. Dat de Politie het met het oog op het belang van de nationale veiligheid essentieel vindt dat geheime en gerubriceerde informatie over de aard van het MKCS, zoals netwerkgegevens, locatiegegevens en data-afmontering tot het minimum wordt beperkt, valt te goed te begrijpen. Dat risico’s op het weglekken van informatie en infiltratie nooit geheel voorkomen kunnen worden, doet daar niet aan af. Hoewel Grosc terecht aanvoert dat de enkele omstandigheid dat het proces of de dienst als vitaal wordt aangemerkt, nog niet maakt dat van het aanbestedingsproces onder de ADV kan worden afgeweken, geldt dat de Politie genoegzaam heeft onderbouwd dat de digitale dreiging van buitenaf zodanig is, dat het haar heeft doen besluiten om af te wijken van het aanbestedingsproces onder de ADV. In de Rijksbrede Risicoanalyse Nationale Veiligheid 2022 staat dit aldus verwoord: “Kijkend naar de dreigingen met betrekking tot de vitale infrastructuur voor de komende vijf jaar komt naar voren […] dat zowel statelijke actoren als cybercriminelen een steeds grotere bedreiging vormen voor de continuïteit van vitale processen. Vanwege de belangrijke maatschappelijke rol van vitale processen zijn ze een aantrekkelijk doelwit van kwaadwillende actoren”. Het mag zo zijn dat verder benoemd is dat de waarschijnlijkheid van moedwillige aanvallen op de Nederlandse vitale infrastructuur op dit moment [september 2022, voorzieningenrechter] relatief laag wordt ingeschat, maar de aard van het 112-proces rechtvaardigt de maximale garanties die de Politie verlangt. Het openleggen van het huidige en het nieuwe systeem aan meerdere derden – ook als zij zijn gescreend en/of als met hen geheimhoudingsovereenkomsten zijn gesloten – brengt daarbij een verhoogd risico op het weglekken van informatie met zich. Met juistheid heeft de Politie daarbij aangevoerd dat kwaadwillende derden zich per definitie niets gelegen zullen laten aan gesloten geheimhoudingsovereenkomsten. Professionele statelijke actoren kunnen daarbij een marktpartij dusdanig inrichten dat deze in eerste instantie veilig lijkt en pas in de tweede fase of tijdens de uitvoering alsnog onbetrouwbaar c.q. onveilig blijkt te zijn, zoals de Politie heeft aangevoerd. Dat het digitale dreigingsniveau na 2022 verder is verhoogd, en dat de dreigingen complexer zijn geworden, is door Grosc niet gemotiveerd betwist.