Cyberaanvallen kunnen al onder artikel 5 vallen, de NAVO heeft zelf gezegd dat een cyberaanval wel onder artikel 5 kan vallen, afhankelijk van de ernst en omstandigheden, al gebeurt dat idd niet automatisch.
Sinds de NAVO-top in Wales in 2014 is vastgelegd dat een cyberaanval onder artikel 5 kan vallen, mede naar aanleiding van de grootschalige aanvallen op Estland in 2007, die toen werden toegeschreven aan staatsgelieerde netwerken uit Rusland. In het volledige artikel 72 van de NAVO-topverklaring van Brussel (2021) wordt dit nadrukkelijk herhaald, zie link hieronder voor de gehele tekst:
Cyber attacks can reach a threshold that threatens national and Euro-Atlantic prosperity, security, and stability. Their impact could be as harmful to modern societies as a conventional attack. [...] A decision as to when a cyber attack would lead to the invocation of Article 5 would be taken by the North Atlantic Council on a case-by-case basis.
Bron:
https://www.nato.int/cps/en/natohq/official_texts_112964.htm
Gezien het ICC in Nederland is, kun je stellen dat een aanval op deze organisatie ook een aanval op NAVO-grondgebied is. Artikel 6 van het NAVO-verdrag zegt dat aanvallen op het grondgebied van een lidstaat (zuidelijk halfrond uitgezonderd) binnen het toepassingsgebied van artikel 5 vallen. De aanval op het ICC kan echter alleen binnen NAVO-verband aan de orde komen als Nederland als 'gastland' besluit deze als aantasting van de eigen veiligheid of belangen te beschouwen en dan moeten ze er daarna nog voor kiezen om de kwestie via officiële NAVO-kanalen in te brengen. Het ICC is logischerwijs geen NAVO-lid en kan zelf geen beroep doen op artikel 4 of 5.
Pas als Nederland het incident politiek opschaalt, kan de NAVO de aanval beoordelen op ernst en toerekenbaarheid, zeker als blijkt dat een statelijke actor als Rusland, China, Iran, Noord-Korea of een bondgenoot als Israël of de VS erachter zit. Wat je dan kunt verwachten? Volgens mij niet veel. Zelfs bij de aantoonbaar zwaardere Iraanse aanval op Albanië’s digitale infrastructuur in 2022 bleef het bij zeer zwakke diplomatieke repercussies, geen collectieve verdediging. In mijn ogen laat dit vooral zien dat de drempel voor artikel 5 in 'cyberspace' politiek nog steeds belachelijk hoog ligt.
Daar komt bij dat er volgens mij ook nationaal of binnen de EU nauwelijks iets gaat gebeuren. Zolang er geen publieke ontregeling of zichtbaar lek is, blijft dit gewoon laag in de boom hangen. Geen kamervragen, geen sancties en waarschijnlijk niet eens verklaring in een subcommissie, hooguit een voetnoot in een verslag over een paar jaar. Het vervelende is dat een cyberaanval zonder directe schade telt blijkbaar pas als incident als hij lukt.
Een fysieke bom hoeft niet eerst te ontploffen om als aanval te gelden, gepakt worden met is al voldoende. Bij digitale aanvallen lijkt het tegenovergestelde te gelden want zelfs als data uitlekt gebeurt er meestal niets. Alleen als systemen écht platgaan en de schade niet meer te negeren is, wordt er daadwerkelijk iets mee gedaan. Achter de schermen wordt er soms wel op gereageerd, maar zolang het buiten beeld blijft, gebeurt er op politiek of structureel niveau meestal helemaal niets. In mijn ogen is dat een krom uitgangspunt. Het normaliseert preventieve of verkennende cyberaanvallen zolang ze net niet effectief genoeg zijn. Je zou het een vorm van cyber-appeasement kunnen noemen... waar zij dan weer vrolijk gebruik van maken. Maarja, noem me cynisch, als er met aantoonbare hacks vanuit Rusland al niets gebeurt, dan gaat dit met het ICC ook niet ergens voor zorgen.
edit:
En dan heb ik het nog niet eens over de miljarden die Iran, China, Rusland en Noord-Korea investeren in digitale beïnvloedingscampagnes via bots, nepaccounts en propaganda. Ook dat zijn aanvallen, alleen in de vorm van informatieoorlog.
[Reactie gewijzigd door jdh009 op 30 juni 2025 23:07]