TEMPEST en compromitterende straling

Wat de AIVD onder TEMPEST verstaat

De formulering van de AIVD is preciezer dan de meeste die in omloop zijn. Elk elektrisch apparaat dat wordt gebruikt zendt elektromagnetische energie uit; blijft dat binnen de perken en geeft het geen storing, dan is er niets aan de hand. Maar een apparaat kan energie uitstralen waaruit de door dat apparaat verwerkte informatie kan worden gereconstrueerd. Bij apparatuur die gerubriceerde informatie verwerkt ontstaat daarmee het gevaar dat die informatie op afstand kan worden meegelezen. In de woorden van de AIVD: “Dit verschijnsel noemen we TEMPEST.”

TEMPEST is in het Nederlandse overheidsjargon dus de naam van het probleem en niet van de oplossing. In de praktijk wordt het woord ook gebruikt voor de tegenmaatregelen en voor de NAVO- en EU-stelsels waaronder apparatuur en bedrijven worden beoordeeld. Die drie betekenissen lopen in marktmateriaal geregeld door elkaar, en dat maakt een claim al snel oncontroleerbaar.

De AIVD noemt als tweede term EMSEC, emission security. In internationale documenten is dat de bredere aanduiding voor het afdekken van informatie die uit onbedoelde emissies kan worden afgeleid. Naast elektromagnetische straling bestaan er verwante fysieke lekkagekanalen, zoals akoestische, optische en via het stroomverbruik. Het Nederlandse TEMPEST-beleid is in zijn openbare omschrijving op elektromagnetische energie gericht; de bredere familie hoort in de discussie thuis, maar valt niet vanzelf onder dezelfde regel.

Waarom een CE-markering hier niets over zegt

In inkoopgesprekken wordt dit het vaakst gemist, terwijl de publieke AIVD-tekst er weinig ruimte voor twijfel over laat. Een CE-markering laat zien dat de emissies van een apparaat binnen de gestelde grenzen blijven en geen storing veroorzaken. De AIVD stelt daar expliciet tegenover: “Ondanks de CE-markering kan een apparaat energie uitstralen waaruit de door dit apparaat verwerkte informatie kan worden gereconstrueerd.”

Elektromagnetische compatibiliteit en compromitterende straling zijn dus verschillende vragen, met verschillende normen en verschillende meetopstellingen. Dat een apparaat aan de eerste voldoet, is geen uitspraak over de tweede. Een leverancier die op een CE-markering wijst als antwoord op een TEMPEST-vraag, beantwoordt de vraag niet.

Wie erover gaat

In Nederland is de taak van Nationale TEMPEST Autoriteit (NTA) belegd bij het NBV van de AIVD. Het nationale beleid staat in VBV 32000 (B) van 6 november 2006. De AIVD publiceert dat document niet, maar schrijft dat de TEMPEST-documenten bij het NBV verkrijgbaar zijn voor belanghebbenden, en geeft daarbij een postadres, bezoekadres en telefoonnummer.

VIRBI 2025 sluit daarop aan: de Unit Weerbaarheid schrijft de verbindingsbeveiligingsvoorschriften voor, en die voorschriften kunnen bij de Unit Weerbaarheid worden opgevraagd. VIRBI 2025, bijlage, tabel 1, rij E

Eén eenheid, drie namen. Het Nationaal Bureau voor Verbindingsbeveiliging (NBV) heet in Engelstalige stukken NLNCSA en op de huidige AIVD-pagina’s Unit Weerbaarheid. Het NBIV is een andere organisatie: het Nationaal Bureau Industrieveiligheid, dat de opdrachtenkant doet. Wie onder de ABRO werkt, loopt via het NBIV; wie binnen de Rijksdienst een beveiligde zone inricht, komt bij de NTA uit.

Vanaf welk niveau het verplicht is

De verplichting staat op twee plaatsen, en de twee zijn niet identiek. VIRBI 2025 regelt de Rijksdienst; ABRO 2026 regelt wat een opdrachtnemer bij een Bijzondere Opdracht moet inrichten.

De ABRO-verdeling is opvallend en verdient toelichting, omdat zij in samenvattingen vrijwel altijd verkeerd wordt weergegeven. Eis 3.3.32, de standaard TEMPEST-maatregelen volgens de instructie van het NBIV, is in de officiële tabel alleen aangevinkt bij TBB 3 / Stg. C. Op de twee hoogste niveaus geldt in plaats daarvan eis 3.3.33: eerst een Zoneringsmeting, daarna in afstemming met het NBIV bepalen welke maatregelen volgen.

Dat is geen slordigheid maar een opbouw. De ABRO definieert een Zoneringsmeting als “de meting die wordt uitgevoerd om te bepalen welke TEMPEST-maatregelen benodigd zijn”. Op Stg. C volgt men de standaardinstructie; vanaf Stg. G wordt eerst gemeten wat de situatie ter plaatse vraagt. Wie een inkoopdossier opstelt, koopt op die twee niveaus dus verschillende dingen. ABRO 2026, eisen 3.3.32 en 3.3.33, en de begrippenlijst

TEMPEST is geen elektronisch veiligheidsonderzoek

Beide regelingen houden de twee nadrukkelijk uit elkaar, en dat is de belangrijkste correctie op het spraakgebruik in de markt. In VIRBI 2025 is TEMPEST rij I van tabel 5.1; het TSCM/elektronisch veiligheidsonderzoek staat los daarvan in de rijen J en K. In de ABRO staat het EVO in eis 3.3.31 en staan de TEMPEST-eisen in 3.3.32 en 3.3.33.

Inhoudelijk zijn het ook andere vragen. Een TEMPEST-maatregel of zoneringsmeting gaat over wat de apparatuur zelf ongewild prijsgeeft. Een elektronisch veiligheidsonderzoek gaat over wat er in de ruimte is geplaatst dat er niet hoort. Een organisatie die het ene laat uitvoeren, heeft daarmee het andere niet gedaan. Wat een EVO wel en niet kan vaststellen staat beschreven in wat een sweep wél en niet kan vaststellen; de onderzoeksverplichting zelf staat uitgewerkt bij het Nationaal TSCM/EVO Beleidsadvies.

De internationale laag

Voor NAVO- of EU-gerubriceerde informatie geldt het beleid van die organisaties. VIRBI 2025 bepaalt dat informatie die krachtens een verdrag of internationale overeenkomst is verkregen de toegekende rubricering behoudt, en dat afwijkende bepalingen uit dat verdrag worden toegepast. VIRBI 2025, artikel 2, derde lid

De AIVD noemt de vindplaatsen bij naam. Het NAVO-beleid staat in de CIS Security Technical and Implementation Directive on Emission Security (AC/322D(2019)0021). Dat document verwijst op zijn beurt naar vier SECAN-publicaties:

• SDIP-27/3, over eisen en evaluatieprocedures, november 2024.
• SDIP-28/3, over zoneringsprocedures, november 2024.
• SDIP-29/3, over selectie en installatie van apparatuur, november 2024.
• SDIP-55/1, over kwalificatie en controle van leveranciers, mei 2024.

Het EU-beleid staat in IASP 7 van september 2013, met vier richtsnoeren IASG 7-01 tot en met 7-04.

Wat hiervan openbaar is, zijn de titels, nummers en data. De inhoud is dat niet. Als NTA kan het NBV bedrijven die dergelijke apparatuur maken op verzoek aanmelden bij de NAVO en de EU. Wie aan SDIP-55 voldoet komt op de NAVO-“List of Certified TEMPEST Vendors”; wie aan IASG 7-04 voldoet op de EU-“List of Accredited TEMPEST Companies”. Het NBV bezoekt de door hem erkende bedrijven periodiek om te controleren of zij nog aan die documenten voldoen.

Dat is meteen de maatstaf voor een leveranciersclaim. “TEMPEST-gecertificeerd” is pas een controleerbare uitspraak wanneer erbij staat welk stelsel, welk document, welke versie en welk object het betreft, en of het bedrijf op de betreffende lijst staat.

Wat publiek onderzoek heeft aangetoond

De publieke bewijsbasis is smal, maar wat erin staat is degelijk. Wim van Eck beschreef in 1985 in Computers & Security dat elektromagnetische straling van beeldschermen kon worden opgevangen en tot beeldinformatie teruggebracht, met een gewone televisieontvanger. Dat artikel gaat over de beeldschermtechniek en de omstandigheden van dat experiment, en levert geen algemeen geldige afstand voor hedendaagse apparatuur.

Het Nederlandse ijkpunt is het AIVD-onderzoek uit 2006 naar stemmachines. Voor de Sdu NewVote was het beeld te reconstrueren op afstanden tot veertig meter, waarbij rekening was gehouden met een muur tussen aanvaller en machine. De bijbehorende audio-aanval werkte met bescheiden middelen en over grotere afstand: met een redelijke wereldontvanger of scanner viel op meer dan vijftig meter onderscheid te maken. Voor de machines van Nedap gold het omgekeerde: meelezen was onwaarschijnlijk, anders dan op zeer korte afstand, kleiner dan vijf meter.

Bij die getallen hoort de kanttekening die het rapport er zelf bij maakt: omdat de signalen verder konden worden opgeschoond, versterkt of nabewerkt, mogen de genoemde afstanden als minimumafstanden worden gelezen. Het gaat bovendien om die apparatuur, in die opstelling, in 2006. De casus staat uitgebreider beschreven in de insight over stemcomputers en headsets.

Wat hieruit volgt is geen veilige afstand. Er bestaat geen publiek onderbouwde straal rond willekeurige kantoorapparatuur, en een getal dat zonder apparatuur, opstelling en meetcondities wordt genoemd, is daarom geen meetresultaat maar een vuistregel.

Wanneer het onderwerp proportioneel is

Voor een organisatie die onder VIRBI of ABRO op Stg. C of hoger werkt, is de vraag niet of TEMPEST relevant is. De maatregel staat in de minimumtabel; wat overblijft is de vraag hoe eraan wordt voldaan.

Daarbuiten begint de afweging bij de informatie in plaats van bij de afscherming. Bepaal eerst welke informatie het betreft en welk regime geldt. Kijk daarna of een tegenstander een bruikbare waarnemingspositie of een geleidende weg naar buiten kan krijgen: de afstand tot de gevel, wat er aan de andere kant van de muur zit, wie er in het gebouw komt, hoe kabels en voeding lopen. Inventariseer welke apparatuur werkelijk in de ruimte staat. Weeg pas daarna emissiebeveiliging af tegen gewonere maatregelen.

VIRBI zelf is daarvoor een bruikbaar model. In dezelfde tabel staat TEMPEST naast toegangsdetectie, bezoekersregistratie, het tegengaan van afluisteren en van zicht op en reflectie van informatie, goedgekeurde bergmiddelen, sleutelbeheer en de fysieke bescherming van netwerkbekabeling. Het staat daar niet boven maar tussen. Welke dreiging in uw geval realistisch is, komt aan de orde bij dreigingsprofielen.

Wat markttaal over TEMPEST wel en niet betekent

Het Nederlandse aanbod rond dit onderwerp bestaat grotendeels uit partijen die afscherming, kluizen, geschermde ruimtes of meetdiensten leveren. Dat is legitiem; het betekent alleen dat hun productbeschrijvingen vastleggen wat zij aanbieden, en niet wat in uw situatie nodig of voldoende is.

Drie vragen maken het verschil. Welke autoriteit of welk stelsel staat achter de claim, en is het bedrijf terug te vinden op de bijbehorende NAVO- of EU-lijst? Op welk object slaat de claim precies: een apparaat, een bouwkundige uitvoering of een dienst? En op welke meting rust een genoemde afstand of demping, uitgevoerd door wie en onder welke condities?

Er is wel één onafhankelijk aanknopingspunt. De Raad voor Accreditatie houdt een openbaar register van geaccrediteerde laboratoria; daarin is te controleren of een partij die zich op laboratoriumwerk beroept, daar daadwerkelijk voor staat ingeschreven, en voor welke verrichtingen. Dat bevestigt het bestaan van de accreditatie en de reikwijdte ervan, en niets daarbuiten.