Wanneer is militaire cyberoperatie oorlog?

Het cyberdomein is enkele jaren terug toegevoegd aan het rijtje ‘land, zee en lucht’ van het beroemde artikel 5 van het NAVO-verdrag: een aanval tegen één, is er een tegen allen. De bewering van Ank Bijleveld, minister van Defensie, is daarom zo opmerkelijk: volgens haar is Nederland we in een ‘cyberoorlog’ beland met de Russen.

Het moet gezegd: het werd de minister in de talkshow WNL op Zondag een beetje in de mond gelegd. Het gespreksthema was de verijdelde Russische poging om de internationale organisatie OPCW in Den Haag te hacken. Een talkshowgast vroeg de minister of er sprake is van een ‘informatie- en cyberoorlog’. „Zeker”, zei Bijleveld. Is ‘cyberoorlog’ de juiste term, vroeg de presentator nog eens. „Ja, dat is het wel.”

Haar woordvoerder verzachtte de uitspraak achteraf. „Ze bedoelde dat oorlogvoeren digitaler wordt, geen letterlijke oorlog met de Russen.”

Lees ook: EU wil sancties voor buitenlandse hackers

De zaak roept vragen op. Allereerst: wat is een cyberoorlog? En: zijn we erin verzeild geraakt met de Russen?

Douwe Jan Elzinga, hoogleraar staatsrecht aan de Rijksuniversiteit Groningen, vindt de uitspraak van Bijleveld „ongelukkig”. Maar het gaat hier volgens hem niet om een officiële oorlogsverklaring. „Wij hebben een stevige staatsrechtelijke procedure voordat we een land de oorlog verklaren. Deze slip of the tongue kan vooral schadelijk zijn voor onze betrekkingen met Rusland.”

Sico van der Meer, expert non-conventionele wapens bij het Clingendael Instituut, noemt cyberoorlog een „te groot woord” voor de huidige situatie met de Russen. Tegelijk weten experts volgens hem niet goed wanneer ze iets een cyberoorlog moeten noemen. „Het cyberdomein van oorlogvoering is relatief nieuw. We zijn er nog niet uit wanneer een militaire cyberoperatie ook echt een oorlog heet.”

Lees ook: 'De incompetentie van Moskou is verbazingwekkend'

Doden in ziekenhuis ‘oorlogsdaad’

Ondertussen zijn er continu vijandige digitale operaties. Oekraïne geldt bijvoorbeeld als proeftuin voor Russische hackers, die in 2015 zelfs de elektriciteitsvoorziening platlegden. Zuid-Korea geldt weer als proeftuin voor de Noord-Koreanen en Taiwan voor Chinezen. De VS hebben duizenden cybermilitairen in dienst.

Heet dat allemaal cyberoorlog? Nee. „Wij kennen op de wereld in juridische termen nog geen pure ‘cyberoorlog’”, zegt Paul Ducheine, hoogleraar recht van militaire cyberoperaties aan de UvA. Hij legt uit dat een ontwrichtende cyberaanval, bijvoorbeeld door ziekenhuizen plat te leggen waardoor patiënten overlijden, een officiële oorlogsdaad kan zijn. Het is dan aan de politiek om dit zo te interpreteren. Internationaal wordt al jaren druk overlegd om oorlogsrecht te vertalen naar het digitale domein. Zo heeft Nederland zich ingespannen voor de nieuwste versie van de Tallinn Manual, een juridisch kader voor digitale oorlog.

„Algemene stukjes oorlogsrecht zijn lastig te interpreteren”, zegt Ducheine. „Het kan bijvoorbeeld dat je het recht hebt een vijandelijke strijder aan te vallen, of een object. Maar hoe zit dat met software aanvallen?”

Een ander struikelblok is attributie. „We kunnen zien waar een raket vandaan komt”, zegt Van der Meer. „Maar vind maar eens sluitend bewijs over de oorsprong van malware.” Bovendien: geheime diensten die hun bewijs openbaren, verraden hun modus operandi en ingangen bij de tegenstander. Landen spelen ook verstoppertje. Zo wordt expres programmeercode gebruikt die typisch is voor een ander land. In 2015 werd het Franse Tv5Monde gehackt. Alles wees naar IS. Van der Meer: „Pas na een jaar bleken het de Russen. Je kunt dus niet meteen terugaanvallen.”