Ter Horst gaf in maart een officiële waarschuwing af over de slechte beveiliging van de Mifare Classic RFID technologie. Criminelen zouden daardoor toegangspasjes voor overheidsgebouwen kunnen kopiëren. De overheid onderzocht of de kosten voor de gedwongen overstap naar een betere beveiliging kon worden verhaald op NXP.

Een rechtszaak blijft uit omdat er volgens minister Guusje ter Horst van Binnenlandse Zaken tot nu toe nog geen materiële schade van betekenis is geleden, schrijft Ter Horst in een brief aan de Tweede Kamer.

Er hebben verschillende gesprekken plaatsgevonden tussen het ministerie en NXP, de fabrikant van de Mifare Classic chip. De Mifare wordt onder andere gebruikt in de OV-chipkaart en de Rijkspas, een pas waarmee een veilige toegang tot rijksoverheidsorganisaties moet worden gegarandeerd.

Geen contract

"Uit deze gesprekken is gebleken dat de chipfabrikant een eerste schakel is in een keten. De chipfabrikant levert chips aan derden (geen passen), die deze samen met andere halffabrikaten verwerken tot een (toegangs)pas. Uiteindelijk is er dan één leverancier die de pas (aan een ministerie) levert (al dan niet via de leverancier van het totale toegangscontrolesysteem). Er is dus geen contract tussen de ministeries en de chipfabrikant op basis waarvan de ministeries de chipfabrikant contractueel zouden kunnen aanspreken", schrijft Ter Horst aan de Kamer.

In sommige gevallen kan de febrikant alsnog worden aangeklaagd wegens het leveren van een gebrekkig product. Volgens de minister kan dat in dit geval ook niet omdat er door het ministerie niet is voldaan aan voorwaarden die onder de wet voor productaansprakelijkheid vallen.

Geen garanties

Daarnaast merkt Ter Horst op dat er in het geval van de Rijkspas geen grond is om leveranciers contractueel aansprakelijk te stellen. De oorspronkelijke pas werd midden jaren negentig geleverd, later werd de chip in de pas vervangen door de Mifare Classic. Uit de afgesloten contracten blijkt niet dat 'het aspect onkraakbaar enige rol heeft gespeeld'. Leveranciers hebben bovendien geen contractuele garanties afgegeven.