Geldt de interne controle ook voor andere ICT-projecten dan alleen PKI? De interne controle geldt voor meerdere ICT-projecten die worden uitgevoerd binnen of in opdracht van de overheid en ook voor stelsels en systemen die in beheer zijn genomen. Voorbeelden zijn de gateway reviews en andere reviews op de grote ICT-projecten en de periodieke audits na opzet en werking van bijvoorbeeld de GBA en het bsn-stelsel. Dat zijn gewoon de algemene systemen van interne controle. In de technische briefing is al ingegaan op de wijze waarop het werkt. Er is inmiddels een evaluatieonderzoek gestuurd, zoals ik al zei.
De heer Heijnen en anderen vroegen naar het gegeven dat is gebleken dat één certificaat van Diginotar – die informatie is althans gekomen – is gebruikt in Iran om verkeer door te leiden naar Gmail. Dat is uiteraard op dit moment nog onvoldoende bekend. De minister van Veiligheid en Justitie zal ingaan op het onderzoek dat wordt ingesteld naar de daders en het gebruik. Het is onduidelijk op welke manier dit daar in handen is gekomen en waarom dat is gebeurd. De AIVD heeft onderzoek gedaan naar de digitale inbraak. In dat onderzoek richt men zich vooral op de identiteit van de hacker. Het KLPD doet onderzoek naar de strafrechtelijke kant van de zaak. Beide onderzoeken zijn nog in volle gang.
Mevrouw Hachchi vroeg of er een overzicht is van de gevolgen. Het antwoord is nee. Er valt geen inzicht in de gevolgen te krijgen. In de eerste plaats weten wij niet welke 300.000 mensen het betreft. Je weet ook niet welke berichten zij in die tijd hebben doorgegeven en welke berichten niet op de bestemming zijn gekomen. Om een overzicht te krijgen van de gevolgen is onderzoek in Iran nodig. Op dit moment hebben wij geen samenwerkingsverdragen met Iran op grond waarvan wij daar eventueel gezamenlijk onderzoek zouden kunnen doen. Het spijt mij, maar dat overzicht is dus niet te geven. De heer El Fassed had het over slachtoffers. Wij kunnen dus ook niet zeggen of er slachtoffers zijn en op welke manier dit is gebeurd. Wij constateren alleen dat de informatie daar is gebruikt. Verder kunnen wij slechts speculeren over de vraag wie het heeft gedaan, waar de informatie wel en waar zij niet is terechtgekomen. In antwoord op de vraag van mevrouw Hennis zeg ik dat er onderzoek wordt gedaan zoals ik heb aangegeven.