CYBERAANVALLEN: JURIDISCHE UITDAGINGEN OP HET VIRTUELE SLAGVELD
ARTIKEL
Oorlog is van oudsher een fenomeen dat constant aan verandering onderhevig is geweest. Misschien wel één van de meest drastische ontwikkelingen op dit gebied is de opkomst van cyberaanvallen. Cyberaanvallen zijn geen sciencefiction meer: ze spelen een snel groeiende rol in gewapende conflicten en staten gebruiken ze als nieuwe middelen voor oorlogvoering. Zo werden in augustus 2008 cyberaanvallen gebruikt in de Russisch-
MIRTE MILTENBURG
Masterstudent Commerciële Rechtspraktijk aan de Universiteit van Amsterdam. Dit stuk is de Nederlandstalige, verkorte versie van haar Bachelorscriptie ‘Can the principle of distinction provide sufficient protection to civilians from cyber-attacks?’.
“CYBERAANVALLEN ZIJN GEEN SCIENCEFICTION MEER: ZE SPELEN EEN SNEL GROEIENDE ROL IN GEWAPENDE CONFLICTEN”
November 2019 | ALIBI Magazine
Georgische oorlog en werd de wereld in 2007 geconfronteerd met een aanval door het Stuxnet-virus, waarmee een Iraans nucleair programma ernstig werd beschadigd.1 Deze aanvallen zijn relatief nieuwe wapens binnen de moderne oorlogvoering. Dat brengt met zich mee dat de technologie en praktijk op dit gebied veel sneller zijn ontwikkeld dan het bijbehorende juridische kader, terwijl er nog geen overeenstemming is bereikt over de juridische status van cyberoperaties.2 De vraag is hoe deze passen in het recht dat hen beheerst: het humanitair oorlogsrecht.3 Ter land, ter zee en in cyberspace Traditioneel gezien heeft oorlog altijd plaatsgevonden op de natuurlijke theaters van land, zee, lucht en de ruimte.4 Met de opkomst van cyberspace is daar een nieuw militair domein bijgekomen. Het feit dat de aanvallen zelf plaatsvinden in het cyberdomein, wil niet zeggen dat ze geen effect hebben in de ‘echte’ wereld: zo kunnen ze worden gebruikt om een vliegbasis af te sluiten, een energiecentrale uit te schakelen of een volledig communicatienetwerk plat te leggen.5 Naarmate het militaire belang van cyberspace toeneemt, zullen ook delen van cyberinfrastructuren zelf vaker strategische doelen worden.6 Digitale objecten, zoals software, kunnen worden gebruikt om militaire winst te behalen. ‘Denial of Serviceattacks’ (DDoS-aanvallen) kunnen er bijvoorbeeld voor zorgen dat software nutteloos of ontoegankelijk wordt.7 Andere cyberaanvallen kunnen systemen
hacken die belangrijke onderdelen van onze civiele infrastructuur besturen, zoals energiecentrales. Hierdoor kunnen deze aanvallen essentiële communicatiesystemen of financiële verkeersdiensten uitschakelen, met alle gevolgen van dien.8 Het onderscheid tussen burgers en militairen Hoe dienen we deze aanvallen juridisch te plaatsen? De inzet van cyberoperaties in gewapende conflicten moet plaatsvinden in overeenstemming met het humanitair oorlogsrecht. Dat houdt onder meer in dat bij aanvallen onderscheid moet worden gemaakt tussen burgers en combattanten. Dit beginsel van onderscheid (principle of distinction) is één van de fundamentele principes van het humanitair oorlogsrecht en is vastgelegd in het Eerste Aanvullende Protocol van de Geneefse Verdragen.9 Het verplicht aanvallers
31
ARTIKEL
om onderscheid te maken tussen burgers enerzijds, en combattanten en militaire doelen anderzijds.10 Het beginsel staat niet op zichzelf: het is een van de belangrijkste ‘poortwachters’ in het proces van doelselectie, naast het beginsel van noodzakelijkheid en het proportionaliteitsbeginsel.11 Ingevolge artikel 52 lid 1 van het Eerste Aanvullende Protocol zijn alle voorwerpen die niet kwalificeren als militaire doelwitten civiele objecten die niet mogen worden aangevallen. Alleen militaire objecten kunnen een legitiem doelwit van een aanval zijn. Objecten kunnen worden aangemerkt als militaire doelen als ze een effectieve bijdrage leveren aan militaire actie door hun aard, locatie, doel of gebruik en als hun volledige of gedeeltelijke vernietiging, verovering of neutralisatie een duidelijk militair voordeel biedt.12 Daarom kunnen sommige zaken (bijvoorbeeld militaire vliegtuigen) naar hun aard militaire objecten zijn, terwijl andere (zoals software, ontworpen voor civiel gebruik) kunnen veranderen in militaire doelwitten vanaf het moment dat ze daadwerkelijk door een vijandige partij worden gebruikt.13 Wanneer een object
wordt gebruikt voor zowel militaire als civiele doeleinden, verandert het secundaire militaire gebruik de zaak in een legitiem militair doel.14 Bij gebrek aan specifieke regels en verdragen aangaande cyberwapens, is een handleiding opgesteld waarin het internationale recht wordt uitgelegd in het licht van cyberaanvallen: de Tallinn Manual. In de bijgewerkte (“2.0”) versie van deze handleiding staat dat internationaal recht van toepassing is op cyberaanvallen.15 De Tallinn Manual 2.0 heeft nog geen formele juridische status en is niet bindend voor staten. De handleiding wordt echter wel beschouwd als een gezaghebbend academisch werk over dit onderwerp. Dual-use objecten Een object kan niet tegelijkertijd een civiel en militair object zijn. Vanaf het moment dat een zaak voor militaire doeleinden wordt gebruikt, wordt het een militair object en daarom een rechtmatig doelwit. Voorwerpen die voor beide doeleinden inzetbaar zijn, worden aangeduid als ‘dualuse objects’. De afbakening van civiele en militaire doelwitten berust
op de veronderstelling dat ze te onderscheiden zijn.16 In cyberspace is dit behoorlijk problematisch, omdat grote delen van civiele en militaire virtuele infrastructuur inherent onderling verbonden lijken te zijn. Hier is dual-use eerder regel dan uitzondering. De Tallinn Manual indiceert dat cyberinfrastructuur die zowel voor civiele als militaire doeleinden wordt gebruikt, kwalificeert als een militair doel.17 Dit zou betekenen dat alle civiele objecten in cyberspace kunnen veranderen in militaire doelen – en dus legitieme doelwitten in een gewapend conflict – zolang ze voor militaire doeleinden worden gebruikt. De mate waarin het voorwerp daarvoor wordt gebruikt, is irrelevant: een computerserver met slechts vijf procent aan data bestemd voor militaire actie kan al worden gekwalificeerd als een militair doel. Zolang een goed een effectieve bijdrage aan militaire actie levert, kan het worden behandeld als een militair doel. Dit betekent dat, om te weten of een aanval op een dual-use object rechtmatig is geweest, bepaald moet worden of het object op het moment van de aanval een dergelijke bijdrage leverde. Buiten dit
“ALLE CIVIELE OBJECTEN IN CYBERSPACE KUNNEN VERANDEREN IN MILITAIRE DOELEN - EN DUS LEGITIEME DOELWITTEN IN EEN GEWAPEND CONFLICT – ZOLANG ZE VOOR MILITAIRE DOELEINDEN WORDEN GEBRUIKT”
32
by Jefferson Santos November 2019 | ALIBIPhoto Magazine
ARTIKEL
“DE COMPLEXITEIT VAN CYBERAANVALLEN BRENGT MET ZICH MEE DAT HET OPSTELLEN VAN EEN VERDRAG OVER CYBERWAPENS EEN BIJZONDERE EXPERTISE VEREIST”
tijdsbestek kwalificeert het voorwerp als burgerobject en is elke aanval erop volgens het humanitair oorlogsrecht onwettig. Het beginsel van onderscheid in world wide warfare In bepaalde situaties lijkt deze toepassing van het beginsel van onderscheid op cyberoperaties relatief duidelijk. Een cyberaanval gericht op een militaire luchtbasis zal hoogstwaarschijnlijk acceptabel zijn. Een aanval gericht op luchtverkeersleiding, waardoor een commercieel vliegtuig vol burgers neerstort, is echter zonder meer onwettig volgens het humanitair oorlogsrecht.18 In cyberspace zullen de meeste situaties helaas niet zo duidelijk zijn. Militaire en civiele infrastructuren zijn, zeker in het online domein, bijzonder verweven met elkaar. In de meeste militaire operaties wordt gebruik gemaakt van de kabels, routers en software die tevens worden gebruikt voor civiele communicatie. Er wordt over het algemeen niet een geheel afgescheiden militair cyberdomein gecreëerd.19 Het kan zelfs onmogelijk zijn om te weten over welk deel van een netwerk militaire informatie zal passeren.20 Dit maakt het bijzonder lastig om te bepalen of een bepaald voorwerp of systeem wordt gebruikt voor militaire doeleinden op het specifieke tijdstip van een aanval. Deze onderlinge verbondenheid in cyberspace houdt in dat de meeste cyberobjecten als dual-use kunnen worden bestempeld. Een cyberaanval op deze zaken brengt dan ook ernstige schade toe aan civiele objecten. In een wereld die in toenemende mate van technologie afhankelijk is, kan dit enorme gevolgen hebben. Grote delen van onze infrastructuur zijn immers afhankelijk van cybertechnologie en worden grotendeels bestuurd door computers. Daarnaast kunnen aanvallen niet alleen gericht zijn op het wapen dat dient te worden vernietigd (bijvoorbeeld een cybervirus), maar ook op de online routes zelf. Dit betekent dat ook de
infrastructuur waarbinnen cyberwapens reizen (een netwerk, computer of router) als een militair oogmerk kan worden gekwalificeerd.21 Een succesvolle aanval op deze doelwitten kan leiden tot het falen van onmisbare burgerlijke infrastructuren, van gezondheidszorg tot vliegverkeer. Poortwachter zonder munitie De vraag is of het beginsel van onderscheid in haar huidige vorm, als fundament van het humanitair oorlogsrecht, voldoende bescherming biedt voor burgers tegen cyberoperaties. Zeker, sommige delen van de militaire infrastructuur zijn goed beveiligd en afgebakend, maar het grootste deel is nog steeds afhankelijk van civiele computernetwerken. Hierdoor raken militaire en civiele netwerken met elkaar verweven en wordt het vrijwel onmogelijk om te bepalen wanneer en waar een civiel netwerk met een militair oogmerk wordt gebruikt.22 Dit zou het beginsel van onderscheid kunnen uithollen tot een poortwachter zonder munitie in het geval van cyberaanvallen op dual-use voorwerpen. Het principe op zichzelf lijkt dus onvoldoende bescherming te kunnen bieden tegen deze aanvallen voor de civiele cyberinfrastructuur en alle systemen die erop vertrouwen.23 Betekent dit nu dat we geen enkele bescherming van het humanitair oorlogsrecht tegen deze nieuwe online bedreigingen kunnen verwachten? Nee. Het voorgaande wil niet zeggen dat elke cyberaanval op een dual-use object automatisch rechtmatig zal zijn. Hier komt het proportionaliteitsbeginsel om de hoek kijken. Dit principe bepaalt dat een aanval verboden is indien kan worden verwacht dat de mate van bijkomend verlies van mensenlevens onder de burgerbevolking, verwonding van burgers of schade aan burgerobjecten buitensporig zou zijn in verhouding tot het militaire voordeel. 24 Als de effecten op het civiele gebruik van een dual-use voorwerp buitensporige schade voor burgers met zich meebrengen, is een cyberaanval op een
“WANNEER DE TECHNOLOGIE ZICH ZO SNEL ONTWIKKELT, KAN HET BIJBEHORENDE JURIDISCHE KADER NIET ACHTERBLIJVEN” 33
ARTIKEL
dergelijk voorwerp onwettig ingevolge dit proportionaliteitsbeginsel.25 In het geval van cyberaanvallen zal dit principe daarom een sleutelrol spelen bij de bescherming van burgers. Noodzakelijkheid nieuw juridisch kader Gezien de moeilijkheden bij de toepassing van het beginsel van onderscheid op cyberaanvallen kan worden beweerd dat het humanitair oorlogsrecht, en met name dit principe, achterhaald is.26 Wat betreft cyberwapens bevat het huidige juridische kader zekere lacunes die aanleiding kunnen geven tot bezorgdheid.27 Die conclusie laat ons achter met de vraag of het creëren van een nieuw wettelijk kader noodzakelijk is om burgers voldoende te kunnen beschermen. De ontwikkeling van cyberoperaties heeft wetenschappers ertoe gebracht verschillende oplossingen voor te stellen, maar er is tot dusver nog geen consensus over bereikt. Naar mijn mening lijkt het creëren van een nieuw wettelijk kader in de vorm van een nieuw verdrag op dit moment voorbarig. De complexiteit van cyberaanvallen brengt met zich mee dat het opstellen van een verdrag over cyberwapens een bijzondere expertise vereist.28 Van belang is dat we de potentiële effecten en mogelijkheden van cyberaanvallen nog niet volledig kennen. Bovendien hangt het creëren van een nieuw wettelijk kader ook af van de wil van staten.29 Deze zullen terughoudend zijn om te vroeg het gebruik van een wapen te beperken dat niet-dodelijk potentieel kan bieden voor gewapende conflicten, en daarmee zou kunnen leiden tot minder oorlogsslachtoffers. De huidige principes van het humanitair oorlogsrecht kunnen mijns inziens worden aangepast aan de nieuwe uitdagingen die cyberwapens met zich meebrengen. Het opstellen van een nieuw verdrag lijkt mij dan ook niet het beste antwoord op de rappe ontwikkeling van cyberaanvallen bij oorlogsvoering. Een dergelijk verdrag kan immers pas tot stand komen als een internationale consensus wordt bereikt.
34
Daarom verdient het de voorkeur om te concentreren op de ontwikkeling van nieuwe normen voor cyberaanvallen, om zo de invulling van het bestaande humanitair oorlogsrecht aan te kunnen passen aan deze ontwikkelingen. Met werken als de Tallinn Manual worden daarin al belangrijke stappen gezet. Tot slot De impact van oorlogvoering op de bevolking kan aanzienlijk toenemen indien systemen die primair zijn bedoeld om civiele belangen te dienen, als legitieme militaire doelen worden gekwalificeerd. Er is een grote kans dat cyberaanvallen de wapens van de toekomst zijn. Bij de zoektocht naar de potentie van deze wapens als nieuwe oorlogsmiddelen moeten fundamentele humanitaire beginselen niet uit het oog worden verloren. Wanneer de technologie zich zo snel ontwikkelt, kan het bijbehorende juridische kader niet achterblijven. Om met de woorden van de Minister van Defensie te spreken: “we must steer the cyber domain, before it steers us”.30•
1.
2.
3.
4.
5.
6.
7.
8.
Zie S. G. Handler, ‘New Cyber Face of Battle: Developing a Legal Approach to Accommodate Emerging Trends in Warfare’, 48 Stan. J. Int’l L. 209, 2012, p. 208-210, J. Richardson, ‘Stuxnet as cyberwarfare: applying the law of war to the virtual battlefield’, J. Marshall J. Computer & Info. L., 2011, p. 13 en Y. Buruma, ‘Buiten de geografische grenzen’, NJB 2019/1264, p. 1263-1315. S. G. Handler, ‘New Cyber Face of Battle: Developing a Legal Approach to Accommodate Emerging Trends in Warfare’, 48 Stan. J. Int’l L. 209, 2012, p. 210. Het humanitair oorlogsrecht is ingevolge artt. 2 en 3 van het Vierde Verdrag van Genève van toepassing op de situatie van een internationaal of niet-internationaal gewapend conflict. Het gaat de omvang van dit artikel te buiten om de precieze vereisten voor de toepassing van internationaal oorlogsrecht te bespreken. Daarom zal de veronderstelling in dit stuk zijn dat een dergelijk conflict bestaat in de besproken situaties. R. Geiß and H. Lahmann, ‘Cyber warfare: applying the principle of distinction in an interconnected space’, Israeli Law Review, Vol. 45, No. 3, 2012, p. 381. J. T. G. Kelsey, ‘Hacking into international humanitarian law: the principles of distinction and neutrality in the age of cyber warfare’, Michigan Law Review, Vol. 106, 2007–2008, p. 1435. R. Geiß and H. Lahmann, ‘Cyber warfare: applying the principle of distinction in an interconnected space’, Israeli Law Review, Vol. 45, No. 3, 2012, 384. P. Ducheine, J. van Haaster, ‘Fighting power, targeting and cyber operations’, Amsterdam Law School Legal Studies Research Paper; No. 2014-10, p. 22. D. Eijndhoven, ‘On Dutch Banking Woes and DDoS Attacks’, argentconsulting.nl.
9.
10.
11.
12. 13.
14.
15. 16.
17.
18.
19.
20.
21.
22.
23.
24. 25.
26.
27.
28.
29.
30.
Art. 49 en artt. 51 jo 52 van het Eerste Aanvullende Protocol bij de Geneefse Verdragen. Zie ook M. Ekelhof, ‘Autonome wapensystemen. Wat we moeten weten over de toepassing van het humanitair oorlogsrecht en de menselijke rol in militaire besluitvorming’ Ars Aequi, maart 2018, p. 197. J. T. G. Kelsey, ‘Hacking into international humanitarian law: the principles of distinction and neutrality in the age of cyber warfare’, Michigan Law Review, Vol. 106, 2007–2008, p. 1436. G. Swiney, ‘Saving Lives: The Principle of Distinction and the Realities of Modern War’, 39 Int’l Law. 733, 2005, p. 734. Art. 52 lid 2 van het Eerste Aanvullend Protocol van de Geneefse Verdragen. Y. Dinstein, ‘The Principle of Distinction and Cyber War in International Armed Conflicts’, Journal of Conflict and Security Law, Volume 17, Issue 2, 2012, p. 263. M. Sassòli, ‘Legitimate Targets of Attacks Under International Humanitarian Law’, HPCR Policy Brief, 2003 p. 7. M. Schmitt, ‘Tallinn Manual 2.0 on the International Law of Cyber Operations: What It Is and Isn’t’, Just Security, 2017. C. Droege, ‘Get off My Cloud: Cyber Warfare, International Humanitarian Law, and the Protection of Civilians’, International Review of the Red Cross 533, 2012, p. 562. M. N. Schmitt, ed. ‘Tallinn Manual 2.0 on the international law applicable to cyber operations’, Cambridge University Press, 2017, p. 445. J. T. G. Kelsey, ‘Hacking into international humanitarian law: the principles of distinction and neutrality in the age of cyber warfare’, Michigan Law Review, Vol. 106, 2007–2008, p. 1437-1439. H. A. Harrison Dinniss, ‘The Nature of Objects: Targeting Networks and the Challenge of Defining Cyber Military Objectives’ 48 Israel Law Review, 2015, p. 50. M. N. Schmitt, ‘Tallinn Manual on the International Law Applicable to Cyber Warfare’, Cambridge University Press, Cambridge, 2013, Commentary on Rule 39, par. 5. C. Droege, ‘Get off My Cloud: Cyber Warfare, International Humanitarian Law, and the Protection of Civilians’, International Review of the Red Cross 533, 2012, p. 564. J. Kellenberger, ‘International Humanitarian Law and New Weapon Technologies’ keynote address, 34th Round Table on Current Issues of International Humanitarian Law, (online publiek). C. Droege, ‘Get off My Cloud: Cyber Warfare, International Humanitarian Law, and the Protection of Civilians’, International Review of the Red Cross 533, 2012, p. 566. Art. 51 lid 5 van het Eerste Aanvullend Protocol bij de Geneefse Verdragen. M. Sassòli, ‘Legitimate Targets of Attacks Under International Humanitarian Law’, HPCR Policy Brief, 2003 p. 7. E. Pomès, ‘Technological Innovations and International Humanitarian Law’, Polish Political Science Yearbook 46.2, 2017, p. 205. M. N. Schmitt, ‘Wired warfare: Computer network attack and jus in bello’ International Review of the Red Cross 84.846 , 2002, p. 209. J. T. G. Kelsey, ‘Hacking into international humanitarian law: the principles of distinction and neutrality in the age of cyber warfare’, Michigan Law Review, Vol. 106, 2007–2008, p. 1450. E. Pomès, ‘Technological Innovations and International Humanitarian Law’, Polish Political Science Yearbook 46.2, 2017, p. 221. Keynote speech Minister van Defensie Bijleveld bij de ‘Diplomacy and Defence in Cyber Space’ cyber seminar, 20 juni 2018, (online publiek).
November 2019 | ALIBI Magazine