Italië onderzoekt diefstal NAVO-dossiers

Een kluis hoeft niet opengebroken te zijn om te falen. Eén toegangscode, één gekopieerd bestand, één vertrouwde medewerker kan genoeg zijn. Het Italiaanse onderzoek naar vermoedelijk gestolen identiteiten, gevoelige dossiers en te koop aangeboden materiaal over NAVO-projecten is daarom meer dan een nationale strafzaak. Europa versnelt de gezamenlijke defensieproductie, terwijl veel van de bijbehorende informatie nog altijd ligt bij nationale ministeries en bedrijven die voor defensie werken.

Uit de openbare informatie blijkt niet dat de NAVO zelf is binnengedrongen. n-tv schrijft over de arrestatie van een voormalige Italiaanse inlichtingenfunctionaris en over vermoedelijke ongeoorloofde toegang tot geheime informatie met een militaire link. Dat wijst op een smallere, maar belangrijke conclusie: gezamenlijke defensieprojecten zijn zo veilig als de administratie van elk land en elk gescreend bedrijf dat eraan meedoet.

Waar de dossiers echt liggen

De term "NAVO-projectmateriaal" klinkt beslissend, maar is dat niet. Het kan gaan om NAVO-geclassificeerde informatie, om Italiaans staatsgeheim materiaal dat raakt aan een bondgenootschappelijk programma, om bedrijfsdocumenten met aanbestedingswaarde, of om stukken waarin de NAVO alleen wordt genoemd. Dat zijn verschillende problemen, met verschillende juridische schade.

Daar draait de bewaarketen om: wie had het dossier, wie kon het openen, wie heeft het verplaatst en wie merkte dat op? Italiaanse aanklagers bepalen welke strafbare feiten zij kunnen bewijzen. Nationale veiligheidsdiensten moeten nagaan of veiligheidsmachtigingen of omgangsregels hebben gefaald. Defensiebedrijven moeten aantonen dat toegang tot gevoelig materiaal daadwerkelijk werd beperkt. Als informatie van NAVO-oorsprong in het spel was, steunen de veiligheidsregels van de NAVO erop dat bondgenoten die informatie via hun eigen nationale systemen beschermen.

Voor soevereine regeringen is dat ontwerp logisch. Het levert wel zwakke plekken op. Een regel uit Brussel controleert geen toegangslogboek in Rome. Een aanbestedingsclausule voorkomt niet dat een vertrouwde insider een bestand kopieert. De EU-richtlijn voor defensieaanbestedingen geeft inkopers de ruimte om waarborgen te eisen bij gevoelige defensiecontracten, maar de echte toets ligt bij ministeries, hoofdaannemers en onderaannemers.

Sneller inkopen, dezelfde beveiligingsgaten

De EU vergroot de druk op dit systeem. De defensieagenda van de Commissie stuurt aan op meer industriële capaciteit en gezamenlijke inkoop. De EDIRPA-verordening en het EDIP-voorstel bewegen dezelfde kant op: meer grensoverschrijdende defensieaankopen en productie.

Daarmee ontstaat geen centrale Europese contraspionagedienst. Dat is relevant, want snelheid vergroot de blootstelling. Meer gezamenlijke projecten betekenen meer mensen met toegang, meer bedrijven die gevoelige eisen verwerken en meer partners die afhankelijk zijn van elkaars beveiligingsgewoonten.

De schade van falende beveiliging is niet theoretisch. Bedrijven kunnen hun toegang tot programma's verliezen. Overheden kunnen vertraging oplopen zolang onderzoekers nagaan wat precies is blootgelegd. Partners kunnen terughoudender worden met het delen van technische eisen, personeelsgegevens of informatie over leveranciers. In een defensiemarkt die op vertrouwen draait, kan een lek het werk al vertragen voordat operationele schade is bewezen.

De samenwerking tussen Rheinmetall en Leonardo laat zien welk soort industriële blootstelling op het spel staat, zonder dat daarmee een verband met de Italiaanse zaak is aangetoond. Rheinmetall en Leonardo presenteren hun samenwerking rond gevechtsvoertuigen als een Europees industrieel project. Als beschermd Italiaans materiaal leveranciers, eisen of aannames over interoperabiliteit zou prijsgeven, hebben partners reden tot zorg. Het openbare bewijs laat overigens niet zien dat dit is gebeurd.

Het Duitse dreigingsbeeld verklaart waarom de zaak buiten Italië wordt gelezen. Duitse functionarissen beschouwen Russische spionage en datadiefstal al langer als risico voor strategische sectoren. De Noordrijn-Westfaalse minister van Binnenlandse Zaken Herbert Reul waarschuwde in Zeit voor risico's rond energie, defensie en logistiek, terwijl de Kölner Stadt-Anzeiger schreef over zorgen bij defensiebedrijven, transportroutes en topbestuurders. Daardoor is het Italiaanse dossier in Berlijn meteen herkenbaar, ook als niet is gebleken dat Duitse bedrijven zijn geraakt.

België speelt hier vooral een rol als bondgenootschappelijke locatie, niet als onderzoeker. Volgens het NAVO-archief staat het hoofdkwartier in Brussel, en de Belgische Nationale Veiligheidsoverheid behandelt geclassificeerde informatie en veiligheidsmachtigingen binnen het eigen nationale stelsel, aldus het ministerie van Buitenlandse Zaken. Als bondgenootschappelijke informatie is weggelekt, is de belangrijkste Europese vraag hoe snel partners daarvan op de hoogte zijn gesteld.

De zaak bewijst geen NAVO-compromittering. Zij laat wel zien dat de Europese defensieopbouw rust op bewaarsystemen die nationaal, ongelijk en deels onzichtbaar blijven. De Italiaanse autoriteiten moeten zo helder mogelijk, binnen de grenzen van de wet, uitleggen wat de bestanden waren en waar zij zijn beland. De NAVO en partnerregeringen moeten kunnen aantonen dat zij de schade hebben gecontroleerd als beschermde bondgenootschappelijke informatie betrokken was.