of 138 /138
‘CYBER WARFARE EN HET RECHT DER GEWAPENDE CONFLICTEN’ Aantal woorden: 54.210 Camille Vansteenkiste Studentennummer: 01200308 Promotor: Prof. dr. Tom Ruys Copromotor: Klaas Willaert Masterproef voorgelegd voor het behalen van de graad master in de rechten Academiejaar: 2016 - 2017

‘CYBER WARFARE EN HET RECHT DER GEWAPENDE CONFLICTEN’ · Cyber warfare wordt gevoerd in een heel nieuw domein van oorlogvoering, met name cyberspace. Cyberspace is een artificieel

  • Author
    others

  • View
    0

  • Download
    0

Embed Size (px)

Text of ‘CYBER WARFARE EN HET RECHT DER GEWAPENDE CONFLICTEN’ · Cyber warfare wordt gevoerd in een...

  •  

     

    ‘CYBER WARFARE EN HET RECHT DER GEWAPENDE CONFLICTEN’ Aantal woorden: 54.210

    Camille Vansteenkiste Studentennummer: 01200308 Promotor: Prof. dr. Tom Ruys Copromotor: Klaas Willaert Masterproef voorgelegd voor het behalen van de graad master in de rechten Academiejaar: 2016 - 2017

  •  

     

     

    II

  •  

     

     

    III

  •  

     

     

    IV

  •  

     

     

    V

    DANKWOORD

     

    In een huzarenstukje als dit is het wel op zijn plaats om een aantal mensen te bedanken. Deze

    Masterproef zou er nooit gekomen zijn zonder de verrijkende steun van een aantal personen, onder wie

    vooral mijn promotor professor Tom Ruys, dankzij wie ik door het bos der regelgeving de bomen ben

    beginnen zien. Maar ik zou bij deze ook graag mijn mama willen bedanken voor de warme, liefdevolle

    en vooral geduldige steun en toeverlaat die ze gedurende die hele thesistijd geweest is. Dan rest mij

    nog alleen maar mijn vriend Maur te bedanken voor het nalees- en verbeterwerk. Ik hoop dat ik hen

    allemaal trots mag maken met wat u hierna zult lezen.

     

       

  •  

     

     

    VI

    LIJST VAN AFKORTINGEN

    API Aanvullend Protocol bij de Conventies van Genève van 12 augustus 1949 inzake de bescherming van de slachtoffers van internationale gewapende conflicten, in werking getreden op 7 december 1978.

    APII Aanvullend Protocol bij de Conventies van Genève van 12 augustus 1949 inzake de bescherming van de slachtoffers van niet-internationale gewapende conflicten, in werking getreden op 7 december 1978.

    ARCYBER The United States Army Cyber Command

    CNA Computer Network Attack

    CNE Computer Network Exploitation

    CNO Computer Network Operation

    DDoS Distributed Denial of Service

    DoS Denial of Service

    GCI Verdrag van Genève voor de verbetering van het lot der gewonden en zieken, zich bevindende bij de strijdkrachten te velde van 12 augustus 1949, in werking getreden op 21 oktober 1950.

    GCII Verdrag van Genève betreffende de verbetering van het lot der gewonden, zieken en schipbreukelingen van de strijdkrachten ter zee van 12 augustus 1949, in werking getreden op 21 oktober 1950.

    GCIII Verdrag van Genève betreffende de behandeling van krijgsgevangenen van 12 augustus 1949, in werking getreden op 21 oktober 1950.

    GCIV Verdrag van Genève betreffende de bescherming van burgers in oorlogstijd van 12 augustus 1949, in werking getreden op 21 oktober 1950.

    IAC International Armed Conflict/ Internationaal Gewapend Conflict

  •  

     

     

    VII

    ICJ International Court of Justice/ Internationaal Hof van Justitie

    ICRC International Committee of the Red Cross/ Internationaal Comité van het Rode Kruis

    ICTY International Criminal Tribunal for the former Yugoslavia/ het Joegoslaviëtribunaal

    IHR Internationaal Humanitair Recht

    NAVO de Noord-Atlantische Verdragsorganisatie

    NIAC Non-International Armed Conflict/ Niet-Internationaal Gewapend Conflict

    USCYBERCOM United States Cyber Command

    USSTRATCOM United States Strategic Command

    VN de Verenigde Naties

  •  

     

     

    VIII

    INHOUDSTAFEL

    DANKWOORD ..................................................................................................................................... V

    LIJST VAN AFKORTINGEN ........................................................................................................... VI

    INLEIDING ............................................................................................................................................ 1

    DE BEGRIPPEN ‘CYBER WARFARE’ EN ‘GEWAPEND CONFLICT’ ..................................... 5 ‘CYBER WARFARE’ ............................................................................................................................... 5

    Wat is Cyber Warfare? ...................................................................................................................... 5 Cyberoperaties .................................................................................................................................. 6

    Wat zijn cyberoperaties? ................................................................................................................................................. 6 Types Cyberoperaties ...................................................................................................................................................... 7

    (D)Dos-aanvallen ................................................................................................................................................... 7 Malware .................................................................................................................................................................. 9 Logische Bommen ................................................................................................................................................ 11 Hacking ................................................................................................................................................................ 11

    Cyber Warfare versus Information Warfare, Cyberterrorisme en Cybercriminaliteit ................... 12 ‘GEWAPEND CONFLICT’ ...................................................................................................................... 14

    Internationaal gewapend conflict (IAC) ......................................................................................... 14 Niet-internationaal gewapende conflict (NIAC) ............................................................................. 16

    DE TOEPASSELIJKHEID VAN HET INTERNATIONAAL HUMANITAIR RECHT ............ 18 GEEN ‘LEGAL VACUUM’ IN CYBERSPACE .......................................................................................... 18 SITUATIE 1: CYBEROPERATIES BINNEN DE CONTEXT VAN EEN GEWAPEND CONFLICT ...................... 21

    ‘In het kader van een gewapend conflict’ ....................................................................................... 21 ‘Gerelateerd aan een gewapend conflict’ ....................................................................................... 22

    SITUATIE 2: CYBEROPERATIES BUITEN DE CONTEXT VAN EEN GEWAPEND CONFLICT ....................... 23 Internationaal gewapend conflict ................................................................................................... 24

    ‘Toevlucht tot gewapend geweld’ ................................................................................................................................. 24 Wat wordt er verstaan onder ‘toevlucht tot gewapend geweld’? ......................................................................... 24 Is er een de minimis drempel? .............................................................................................................................. 27

    ‘Tussen twee of meer staten’ ......................................................................................................................................... 29 Niet-internationaal gewapend conflict ............................................................................................ 30

    ‘Intensiteit’ .................................................................................................................................................................... 30 ‘Georganiseerde’ ‘gewapende’ groep ........................................................................................................................... 32

    CONCLUSIE .......................................................................................................................................... 35

    DE TOEPASSING VAN HET INTERNATIONAAL HUMANITAIR RECHT ........................... 37 TOEPASSELIJKHEID VAN DE REGELS BETREFFENDE HET VOEREN VAN DE VIJANDELIJKHEDEN ......... 37

    Welke cyberoperaties lokken de toepasselijkheid van de regels inzake het voeren van de vijandelijkheden uit? ....................................................................................................................... 38 Welke cyberoperaties zijn ‘aanvallen’ in de zin van het IHR? ....................................................... 41

    ‘De Permissieve Benadering’ ........................................................................................................................................ 42 ‘De Restrictieve Benadering’ ........................................................................................................................................ 43 ‘De Tallinn Manual Benadering’ .................................................................................................................................. 44

    REGELS MET BETREKKING TOT HET VOEREN VAN DE VIJANDELIJKHEDEN ........................................ 45 Het principe van onderscheid ......................................................................................................... 45

    Algemeen ...................................................................................................................................................................... 45 Het verbod op het direct aanvallen van burgers ............................................................................................................ 46 Het verbod op het direct aanvallen van burgerlijke goederen ....................................................................................... 52

  •  

     

     

    IX

    ‘Aard’ ................................................................................................................................................................... 55 ‘Ligging’ ............................................................................................................................................................... 56 ‘Gebruik’ .............................................................................................................................................................. 57 ‘Bestemming’ ....................................................................................................................................................... 60 ‘Een daadwerkelijke bijdrage tot de krijgsverrichtingen leveren’ ....................................................................... 62 Speciale gevallen .................................................................................................................................................. 64

    Burgerlijke fabrieken die hardware en software produceren die worden gebruikt door het leger .................. 64 Gebruik van sociale netwerken voor militaire doeleinden .............................................................................. 65

    Het verbod op niet-onderscheidende aanvallen .............................................................................. 67 De eerste en tweede soort niet-onderscheidende aanvallen .......................................................................................... 68 De derde soort niet-onderscheidende aanval ................................................................................................................. 71

    Het principe van proportionaliteit .................................................................................................. 72 Het principe van voorzorg .............................................................................................................. 78

    Voorzorgen bij de uitvoering van aanvallen ................................................................................................................. 79 De plicht tot informatievergaring die onder bepaalde omstandigheden kan worden afgeleid uit het principe van voorzorg ............................................................................................................................................................... 82

    De verificatie van de potentiële collaterale effecten van een cyberoperatie .................................................... 82 De verificatie van het doelwit .......................................................................................................................... 84 Mogelijke vereiste maatregelen ....................................................................................................................... 86

    Verplichting om cybertechnologie te gebruiken? ................................................................................................ 88 Voorzorgen tegen de effecten van aanvallen ................................................................................................................ 91

    Segregatie ............................................................................................................................................................. 92 Vermijding ........................................................................................................................................................... 94 Bescherming ......................................................................................................................................................... 95

    CONCLUSIE ........................................................................................................................................ 97

    BIBLIOGRAFIE ................................................................................................................................ 103

  •  

     

     

    1

    INLEIDING

    De mens voert al eeuwen oorlog, maar zoals alles evolueert ook de oorlogvoering mee met de huidige

    maatschappelijke ontwikkelingen. Oorlog wordt niet meer alleen gevoerd door soldaten op het

    slagveld, maar allerlei andere middelen en technieken worden hiertoe aangewend, zoals bijvoorbeeld

    cyberoperaties. Het conflict tussen Rusland en Georgië in 2008 omtrent Zuid-Ossetië was het eerste

    geval waarin er in een gewapend conflict, naast conventionele wapens, tevens sprake was van

    cyberoperaties.1 Gedurende het conflict werd Georgië herhaaldelijk het slachtoffer van

    cyberaanvallen. Zo werd onder andere de website van de president offline gebracht, werden

    Georgische nieuwsportalen aangevallen, werden publieke websites platgelegd. Er zijn echter geen

    bewijzen voorhanden dat de Russische Federatie hier achter zat, maar dit wordt wel door velen

    vermoed.23 Gelet op de lage kost en de wijde beschikbaarheid van computers, alsook de mogelijkheid

    om deze anoniem te besturen, zijn cyberoperaties een aantrekkelijk strijdmiddel.4 Cyberwapens zijn

    dan ook een onderdeel aan het worden van moderne oorlogvoering. Zo werd ondertussen bijvoorbeeld

    ook van cyberoperaties gebruik gemaakt gedurende de internationale en niet-internationale gewapende

    conflicten in Afghanistan en Irak5 en de niet-internationale gewapende conflicten in Libië en Syrië.67

    Dit brengt ons tot de kern van deze verhandeling, met name cyber warfare. Er bestaan verschillende

    invullingen van de notie cyber warfare die gaan van cyberoperaties uitgevoerd in de context van een

    gewapend conflict in de zin van het IHR, naar criminele cyberactiviteiten van alle soorten.8 Deze

                                                                                                                                           1 H. HARRISSON DINNISS, Cyber Warfare and the Laws of War, Cambridge University Press, Cambridge, 2012, p. 127. 2 L. SWANSON, ‘The Era of Cyber Warfare: Applying International Humanitarian Law to the 2008 Russian-Georgian Cyber Conflict’, Loyola of Los Angeles International and Comparative Law Review, 22 Maart 2010, pp. 303-304. 3 Dit conflict komt later nog uitgebreid aan bod. 4 C. WILSON, ‘Information Operations, Electronic Warfare, and Cyberwar: Capabilities and Related Policy Issues’, Cong. Research Serv. (CRS) Report RL 31787, 2007, p. 10, http://fas.org/sgp/crs/natsec/RL31787.pdf. 5 S. HARRIS, ‘The Cyber War Plan’, National Journal Online, 14 November 2009, www. nationaljournal.com/member/magazine/the- cyberwar-plan-20091114; R. SATTER, ‘Afghanistan Cyber Attack: Lt. Gen. Richard P. Mills Claims to Have Hacked the Enemy’, The World Post, 24 Augustus 2012, www.huffingtonpost.com/2012/08/24/afghanistan-cyber-attack-richard- mills_n_1828083.html; J. MARKOFF, T. SHANKER, ‘Halted ‘03 Iraq Plan Illustrates U.S. Fear of Cyberwar Risk’, New York Times, 1 Augustus 2009, www.nytimes.com/2009/08/02/us/ politics/02cyber.html. 6 Zie bijvoorbeeld E. SCHMITT, Y. SHANKAR, ‘U.S. Debated Cyberwarfare in Attack Plan on Libya’, New York Times, 17 Oktober 2011, www.nytimes.com/2011/10/18/world/africa/cyber- warfare-against-libya-was-debated-by-us.html?hp; I. WATSON, ‘Cyberwar Explodes in Syria’, CNN, 22 November 2011, www.cnn.com/2011/11/22/world/meast/syria-cyberwar/; E. GALPERIN, M. MARQUIS-BOIRE, J. SCOTT-RAILTON, ‘Quantum of Surveillance: Familiar Actors and Possible False Flags in Syrian Malware Campaign’, Electronic Frontier Foundation, 2013, www.eff.org/files/2013/12/28/quantum_of_surveillance4d.pdf. 7 M. SCHMITT, ‘Rewired Warfare: rethinking the law of cyber attack’, IRRC, 2014, 96 (893), p. 190. 8 C. DROEGE, ‘Get off my cloud: cyber warfare, international humanitarian law, and the protection of civilians’, ICRC, 2012, p. 536.

  •  

     

     

    2

    verhandeling heeft echter betrekking op cyber warfare in de zin van de eerst vooropgestelde invulling.

    Cyber warfare wordt gevoerd in een heel nieuw domein van oorlogvoering, met name cyberspace.

    Cyberspace is een artificieel theater van oorlog, naast de natuurlijke theaters van land, lucht zee en

    ruimte.9 Nieuwe ontwikkelingen brengen echter ook steeds nieuwe gevaren met zich mee. Ingevolge

    een aantal specifieke karakteristieken van cyberspace kunnen cyberoperaties en bijgevolg cyber

    warfare immers een serieuze impact hebben op de burgerlijke cyberinfrastructuur en de burgerlijke

    populatie.

    Cyberspace wordt immers gekenmerkt door onderlinge verbondenheid. De meeste militaire netwerken

    zijn afhankelijk van de burgerlijke computerinfrastructuur, zoals onderzeese glasvezelkabels,

    satellieten, routers en knooppunten, en omgekeerd zijn burgerlijke voertuigen en luchtverkeercontroles

    meer en meer uitgerust met navigatiesystemen die afhankelijk zijn van globaal positioneringssysteem

    (GPS) satellieten die initieel door en voor het Amerikaans leger ontwikkeld werden. Bijgevolg zal het

    moeilijk zijn om een onderscheid te maken tussen zuivere burgerlijke en zuivere militaire

    computerinfrastructuren. Bovendien, zelfs indien een onderscheid kan gemaakt worden tussen de

    militaire en burgerlijke computers of computersystemen, heeft de onderlinge verbondenheid tot gevolg

    dat de effecten van een aanval op een militair objectief zich waarschijnlijk niet zullen beperken tot dat

    doelwit. Dit is des te meer verontrustend gelet op het feit dat belangrijke burgerlijke infrastructuren in

    moderne staten en samenlevingen meer en meer afhankelijk worden van computersystemen.10 Zo zijn

    energiecentrales, kerncentrales, dammen, waterbehandelings- en distributiesystemen,

    olieraffinaderijen, gas- en oliepijpleidingen, banksystemen, ziekenhuissystemen, spoorwegen en

    luchtverkeercontrole afhankelijk van zogenaamde SCADA-11 en DCS-systemen.12 Er zijn echter tot op

    vandaag geen voorbeelden waarin cyberoperaties catastrofale gevolgen hebben gehad voor de

    burgerlijke bevolking, maar technici zijn het erover eens dat interferentie met

    luchthavencontrolesystemen, andere transportatiesystemen, dammen of energiecentrales via

    cyberspace technisch mogelijk is. Catastrofale scenario’s zoals botsingen tussen vliegtuigen, het

    vrijkomen van toxische chemicaliën van chemische fabrieken, het vrijkomen van radiatie van

                                                                                                                                           9 R. GEISS, H. LAHMANN, ‘Cyber warfare: applying the principle of distinction in an interconnected space’, Israeli Law Review, Vol. 45, No. 3, November 2012, p. 382. 10 R. GEISS, H. LAHMANN, ‘Cyber warfare: applying the principle of distinction in an interconnected space’, Israeli Law Review, Vol. 45, No. 3, November 2012, p. 390. 11‘Supervisory control and data acquisition’-systemen zijn geautomatiseerde controlesystemen die worden gebruikt in grote industriële systemen voor het verzamelen, doorsturen, verwerken en visualiseren van meet- en regelsignalen van verschillende machines. 12 ‘Distributed control’-systemen zijn geautomatiseerde controlesystemen die worden gebruikt in grote industriële systemen voor het volgen, sturen en controleren van een proces.

  •  

     

     

    3

    kerncentrales, of de verstoring van elektriciteits- en waternetwerken zijn dus wel degelijk een reëel

    gevaar.13

    Gelet op het enorm schade-verrichtend potentieel en het toenemend voorkomen van cyberaanvallen is

    een sluitende regulering met betrekking tot dit fenomeen dan ook noodzakelijk. Cyber warfare is

    echter een relatief recente vorm van oorlogvoering die pas in de 20ste eeuw is opgedoken, met als

    gevolg dat er hieromtrent dan ook slechts weinig tot geen concrete regelgeving bestaat. Algemeen

    wordt echter aangenomen dat het recht der gewapende conflicten, dat de rechtsregels omhelst die

    gelden ten tijde van gewapende conflicten of, met andere woorden, die regelen hoe je oorlog mag

    voeren, via zijn algemene regels van toepassing is en er dus geen ‘legal vacuum’ bestaat in

    cyberspace.14 Het recht der gewapende conflicten (ook wel jus in bello of het internationaal humanitair

    recht genoemd, en hierna het IHR) stamt echter af van de tijd toen cyber warfare nog science-fiction

    was. De vraag kan dus gesteld worden hoe dit juridisch kader dat werd opgesteld met conventionele

    oorlogvoering in gedachten, het significant verschillende cyber warfare zal regelen. Immers alle IHR-

    regels zijn potentieel van toepassing gedurende een gewapend conflict, maar de vraag resteert of zij

    relevant zijn in dergelijke context en hoe zij kunnen worden toegepast.15 Zo kan bijvoorbeeld

    verwezen worden naar het principe van onderscheid en het verbod op niet-onderscheidende aanvallen,

    twee kernprincipes van het IHR, waarvan de doortrekking tot enige problemen kan leiden. Immers het

    principe van onderscheid vereist dat er een onderscheid wordt gemaakt tussen burgerlijke en militaire

    goederen. Daar deze, zoals hierboven werd vermeld, door de onderlinge verbondenheid in cyberspace

    vaak één en dezelfde zullen zijn, zal het maken van een dergelijk onderscheid dus niet evident zijn.

    Gelet op de onderlinge verbondenheid in cyberspace zal het eveneens moeilijk zijn om een

    cyberaanval accuraat te richten op het militair objectief en de effecten te beperken tot deze in

    overeenstemming met het verbod op niet-onderscheidende aanvallen.16

    Deze verhandeling zal hoofdzakelijk drie vragen trachten te beantwoorden, met name (1) wanneer het

    IHR van toepassing is, (2) hoe het van toepassing is, en (3) als conclusie of het volstaat om cyber

    warfare efficiënt te regelen en afgestemd is op de heersende humanitaire zorgen in het cyberdomein.17

    Bij de vraag hoe het IHR van toepassing zal zijn, zal enkel gekeken worden naar de regels en principes                                                                                                                                        13 C. DROEGE, ‘Get off my cloud: cyber warfare, international humanitarian law, and the protection of civilians’, ICRC, 2012, pp. 538-539. 14 C. DRÖGE, ‘No Legal Vacuum in Cyberspace’ (online interview), 16 Augustus 2011, http://www.icrc.org/eng/ resources/documents/interview/2011/cyber-warfare-interview-2011-08-16.htm. 15 C. DRÖGE, ‘No Legal Vacuum in Cyberspace’ (online interview), 16 Augustus 2011, http://www.icrc.org/eng/ resources/documents/interview/2011/cyber-warfare-interview-2011-08-16.htm. 16 M. DION, S. BRENNER, ‘Civilians in Information Warfare: Conscription of Telecom Networks and State responsibility for International Cyber Defence’, International Conference on Information Warfare and Security, 2010, p. 49. 17 R. GEISS, H. LAHMANN, ‘Cyber warfare: applying the principle of distinction in an interconnected space’, Israeli Law Review, Vol. 45, No. 3, November 2012, p. 382.

  •  

     

     

    4

    met betrekking tot het voeren van de vijandelijkheden. De regels met betrekking tot de bescherming

    en behandeling van personen in de handen van een partij bij het conflict zijn minder relevant voor het

    opzet van deze verhandeling. Bij deze uiteenzetting zal de ‘Tallinn Manual on the International Law

    Applicable to Cyber Warfare’ een grote rol spelen. De Tallinn Manual is een niet-bindende

    academische studie door ‘de Internationale Groep van Experten’ op uitnodiging van het NAVO-

    kenniscentrum voor cyberveiligheid met betrekking tot de vraag hoe het recht der gewapende

    conflicten van toepassing is op cyber warfare.18 Deze is echter, zoals verder zal gezien worden, niet

    vrij van kritiek, maar het biedt in ieder geval een goed vertrekpunt en zal dan ook herhaaldelijk aan

    bod komen in deze verhandeling. Vooraleer we hier verder op ingaan is echter eerst een korte

    uiteenzetting van ons onderwerp vereist, met name wat er nu dient te worden verstaan onder de noties

    ‘cyber warfare’ en ‘gewapend conflict’.

                                                                                                                                           18 Dat deze Internationale Groep van Experten werd samengebracht door de NAVO doet niet af aan het feit dat dit een onafhankelijke academische publicatie is en geen officiële NAVO-standpunten of -strategieën bevat. De NAVO heeft ondertussen echter wel laten weten dat ze achter de conclusies van de Tallinn Manual staat.

  •  

     

     

    5

    DE BEGRIPPEN ‘CYBER WARFARE’ EN ‘GEWAPEND CONFLICT’

    ‘CYBER WARFARE’

    WAT IS CYBER WARFARE?

    De term cyber warfare werd voor het eerst gebruikt door Arquila en Ronfeldt in 1992.19

    Cyberwarfare, cyber warfare of cyber war kan gedefinieerd worden als ‘operations against a

    computer or a computer system through a data stream, when used as means and methods of warfare

    in the context of an armed conflict, as defined under IHL’.20 Vereist is dus dat er sprake is van

    activiteiten waarbij informatiesystemen worden gebruikt als wapen en doelwit in het kader van een

    gewapend conflict.21,22 Cyber warfare vindt bijgevolg plaats in cyberspace. Cyberspace kan

    omschreven worden als ‘a globally interconnected network of digital information and communications

    infrastructures, including the Internet, telecommunications networks, computer systems and the

    information resident therein’.23 De infectie van het computernetwerk van een tegenpartij met

    computervirussen zal dus een daad van cyber warfare uitmaken, terwijl dit niet het geval zal zijn bij

    luchtbombardementen van een militaire cyberfaciliteit.24 Het feit dat cyber warfare wordt gevoerd in

    cyberspace sluit echter, zoals hierboven reeds gezien, niet uit dat het aanleiding kan geven tot

    kinetische of andere niet-elektronische effecten buiten het cyberdomein en misschien specifiek

    bedoeld kan zijn dergelijke gevolgen teweeg te brengen.25

    Er kunnen twee verschillende gevallen van cyber warfare worden onderscheiden. Met name vooreerst

    het geval waarin in het kader van een gewapend conflict naast kinetische operaties tevens gebruik

    wordt gemaakt van cybermiddelen, en daarnaast het geval waarbij louter gebruik wordt gemaakt van

    cybermiddelen. Wat betreft deze laatste situatie werd lang betwist of dit wel kon beschouwd worden

    als een oorlogsdaad en aldus bestempeld kon worden als cyber warfare. Velen waren van mening dat

    dergelijk handelen beschreven kon worden als een misdaad of zelfs terrorisme, maar dat dit

    bestempelen als ‘oorlogvoering’ een brug te ver was gelet op de grove politieke, wettelijke en militaire

                                                                                                                                           19 J. ARQUILLA, D. RONFELDT, Cyberwar is coming!, Rand Corporation, 1992. 20 ICRC, ‘International Humanitarian Law and the Challenges of Contemporary armed conflicts’, IRRC, 2015, p. 39; C. DRÖGE, ‘No Legal Vacuum in Cyberspace’ (online interview), 16 Augustus 2011, http://www.icrc.org/eng/ resources/documents/interview/2011/cyber-warfare-interview-2011-08-16.htm. 21 M. CHAPPLE, D. SEIDL, Cyberwarfare: Information Operations in a Connected World, Jones & Bartlett Publishers, 2014, p. 7. 22 Cyberoperaties buiten het kader van een gewapend conflict vallen dus niet onder de hierboven vooropgestelde definitie van cyber warfare. 23 N. MELZER, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 4. 24 N. MELZER, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 4. 25 N. MELZER, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 5.

  •  

     

     

    6

    connotatie die dat begrip met zich meedraagt.26 Deze discussie komt verder uitgebreid aan bod.

    CYBEROPERATIES

    WAT ZIJN CYBEROPERATIES?

    De door het Internationaal Comité van het Rode Kruis (hierna: ICRC) vooropgestelde definitie stelt

    dat cyberoorlog bestaat uit cyberoperaties, maar wat kan daar nu onder worden verstaan? Het begrip

    cyberoperatie of Computer Network Operation (CNO) refereert naar ‘the reduction of information to

    electronic format and the actual movement of that information between physical elements of cyber

    infrastructure’.27 Cyberoperaties kunnen verder opgedeeld worden in drie categorieën, met name

    ‘computer network attacks’, ‘computer network defenses’ en ‘computer network exploitations’. 28

    Voor wat onder deze noties dient te worden verstaan kan verwezen worden naar de definities

    vooropgesteld door ‘The National Military Strategy for Cyberspace operations’ van het Ministerie van

    Defensie van de Verenigde Staten (hierna: de VS)29:

    - Computer Network Attacks (CNA), omschreven als ‘actions taken via computer networks

    aiming to disrupt, deny, degrade, or destroy the information within computers and computer

    networks and/or the computers/networks themselves’30

    - Computer Network defenses (CND), omschreven als ‘actions taken via computer networks to

    protect, monitor, analyze, detect and respond to network attacks, intrusions, disruptions or

    other unauthorized actions that would compromise or cripple defense information systems and

    networks’ of kort gezegd ‘the prevention of CNA and CNE through intelligence,

    counterintelligence, law enforcement and military capablities’

    - Computer Network Exploitations (CNE), omschreven als ‘enabling actions and intelligence

    collection via computer networks that exploit data gathered from target or enemy information

    systems or networks’ 31,32

                                                                                                                                           26 ICRC, ‘International Humanitarian Law and the Challenges of Contemporary armed conflicts’, IRRC, 2015, p. 39. 27 Dit is de preliminaire definitie van cyberoperaties die ten tijde van de opmaak van de Tallinn Manual geaccepteerd werd door de ‘Internationale Groep van Experten’. 28 S. WINTERFELD, J. ANDRESS, The Basics of Cyber Warfare: Understanding the Fundamentals of Cyber Warfare in Theory and Practice, Newness, 2012, p. 31. 29 US Department of Defense, The National Military Strategy for Cyberspace Operations, 2006, GL-1. 30 Zie ook US Department of Defense, Dictionary of Military and Associated Terms, 8 November 2010 (zoals gewijzigd op 31 Januari 2011), Washington, DC, 2010: ‘Computer network attacks are actions taken through the use of computer networks to disrupt, deny, degrade, or destroy information resident in computers and computer networks, or the computers and networks themselves’. 31 Zie ook Joint Pub 3-13 ‘Information Operations’, 27 November 2012 incorporating change 1, 20 November 2014: http://www.dtic.mil/doctrine/new_pubs/jp3_13.pdf; NATO, ‘NATO Glossary of Terms and Definitions’, 2013, NATO AAP-06 (2013).

  •  

     

     

    7

    Deze terminologie dient wel ten allen tijde onderscheiden te worden van de bestaande technische

    termen van internationaal recht zoals ‘geweld’33, ‘gewapende aanval’34 en ‘aanval’35. ‘Cyberaanval’ is

    bijvoorbeeld een brede term die zowel kan verwijzen naar computer network attacks (CNA) als naar

    computer network exploitation (CNE).36 De vraag wanneer dergelijke cyberoperaties stijgen tot het

    niveau van een ‘cyberaanval’ in de zin van het IHR komt verder aan bod.

    TYPES CYBEROPERATIES

    Er bestaan verschillende types cyberoperaties. Hierna zullen we ons beperken tot de belangrijkste, met

    name (1) denial-of-service (DoS) en distributed denial-of-service (DDoS) aanvallen, (2) malware, (3)

    logische bommen, en (4) hacking.

    (D)DOS-AANVALLEN

    Distributed denial-of-service (DDoS)-aanvallen zijn een complexere en krachtigere vorm van denial-

    of-service (DoS)-aanvallen. Volgens Vatis wordt een DDoS-aanval als volgt omschreven: ‘actie(s)

    uitgevoerd door een verspreid aantal computers die een deel van een ander computersysteem

    verhinderen te functioneren in overeenstemming met zijn doel’.37 DDoS- en DoS-aanvallen werken

    volgens hetzelfde principe, maar bij DDoS-aanvallen wordt de aanval aangestuurd vanuit meerdere

    computers tegelijk, terwijl er bij DoS-aanvallen slechts één computer wordt gebruikt voor de

    uitvoering van de aanval. Beide soorten aanvallen hebben als doel de toegankelijkheid van het

    computersysteem voor de legitieme gebruikers ervan te verstoren of zelfs te verhinderen.38 Dit wordt

    verwezenlijkt door de communicatieprotocollen, die computers toelaten om met elkaar te

    communiceren, tegen zichzelf te gebruiken.39

                                                                                                                                                                                                                                                                                                                                                                                                                                         32 R. TYAGI, Understanding Cyber Warfare and its Implications for Indian Armed Forces, Vij Books India Pvt Ltd, 2013, p. 89; N. MELZER, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 5 33 Artikel 2(4) Handvest van de Verenigde Naties van 26 Juni 1945, opgemaakt te San Francisco (Hierna: VN-Handvest). 34 Artikel 51 VN-Handvest. 35 Artikel 49(1) AP I. 36 NATO, ‘NATO Glossary of Terms and Definitions’, 2013, NATO AAP-06 (2013). 37 M. VATIS, ‘Cyber Attacks During the War on Terrorism: A Predictive Analysis’, Institute for Security Technology Studies At Dartmouth College, 22 September 2001, p. 7, http://www.ists.dartmouth.-edu/docs/cyber_a1.pdf. 38 G. SILANOE, ‘The Old Binding the New: Can a cyber-attack be conducted in conformity with the principle of distinction?’, Tilburg University Law School, Juni 2014, p. 30, http://arno.uvt.nl/show.cgi?fid=134393. 39 M. SKLEROV, ‘Solving The Dillemma of State Responses to Cyberattacks: A Justification for the Use of Active Defenses Against States who Neglect Their Duty to Prevent’, April 2009, p. 18, https://www.hsdl.org/?view&did=12115.

  •  

     

     

    8

    Er zijn twee types DDoS-aanvallen, enerzijds een netwerk-centrische aanval die een service overbelast

    door bandbreedte40 op te eisen, anderzijds een aanval op de applicatielaag41 die een service of database

    overstelpt door middel van een resem data-aanvragen die allemaal moeten worden behandeld.42

    Bovenop de mogelijkheid om met het internet verbonden computersystemen stil te leggen, kunnen

    DoS-aanvallen ook beveiligingssystemen zoals een firewall uitschakelen waardoor het netwerk

    kwetsbaar wordt voor allerlei andere vormen van cyberaanvallen.43

    Er zijn verschillende voorvallen bekend waarin DDoS-aanvallen werden opgeëist door bewegingen,

    maar staten ervan verdacht werden hier achter te zitten.44 Zo vond er in 2003 over een periode van 3

    weken een reeks aanvallen plaats waarbij verschillende Estlandse organisaties werden geviseerd.45 De

    jeugdgroep Nashi eiste de aanvallen op, maar deze werd ervan verdacht banden te hebben met

    Rusland.46 Een aantal jaren later in April 2007 werd Estland, nadat een oorlogsmonument uit het

    Sovjettijdperk was verplaatst, opnieuw het slachtoffer van een DDoS-aanval.47 Een (door de Rusissche

    regering gefundeerde) jeugdbeweging heeft verantwoordelijkheid genomen voor de aanval48, maar

    velen verdenken Rusland ervan verantwoordelijk te zijn geweest gelet op de verfijning en de schaal

    van de aanval.49 Als laatste kan tevens het hierboven reeds vermeldde conflict tussen Rusland en

    Georgië worden aangehaald. Belangrijke Georgische websiteservers werden door DDoS-aanvallen

    platgelegd, waardoor communicatie tussen de Georgische Regering met zijn burgers en andere naties

    werd verhinderd.50 Hoewel er geen bewijzen voorhanden waren dat de Russische Federatie hier achter

    zat, wordt dit wel door velen vermoed.

                                                                                                                                           40 Bandbreedte is de hoeveelheid gegevens (informatie) die via een netwerk getransporteerd kan worden. Hoe groter de bandbreedte, hoe meer informatie verwerkt kan worden. 41 De applicatielaag is een abstractielaag die communicatieprotocollen en koppelvlakken (interfaces) specificeert, waarmee computers met elkaar kunnen communiceren over telecommunicatienetwerken en computernetwerken. Zie Wikipedia: https://nl.wikipedia.org/wiki/Toepassingslaag. 42 M. ROUSE, ‘Definition distributed denial-of-service attack (DDoS)’, SearchSecurity, Mei 2013, http://searchsecurity.techtarget.com/definition/distributed-denial-of-service-attack. 43 A. COLARIK, Cyber Terrorism: political and economic implications, Hershey, PA.: Idea Group Pub., 2006, p. 103, http://www.loc.gov/catdir/toc/ecip064/2005034831.html. 44 D. ZHOU, ‘Iran Wages Cyber War Against US Banks and Arab Energy Firms’, November 2012, http://www.policymic.com/articles/16555/iran-wages-cyber-war-against-us-banks-and-arab-energy-firms. 45 J. RYAN, ‘“iWar”: A New Threat, Its Convenience – and Our Increasing Vulnerability’, NATO Review, December 2007, http://www.nato.int/docu. 46 M. SCHWIRTZ, ‘Estonia bans travel for Kremlin Youth Group’, New York Times, Januari 2008, http://www.nytimes.com/2008/01/30/world/europe/30russia.html?_r=0. 47 ‘Newly Nasty: Defences Against Cyberwarfare Are Still Rudimentary. That’s Scary’, Economist, 24 Mei 2007, http://www.economist.com/node/9228757?story_id=9228757. 48 N. SHACHTMAN, ‘Kremlin Kids: We Launched the Estonian Cyber War’, Wired, 11 Maart 2009, http://www.wired.com/dangerroom/2009/03/pro-kremlin-gro/. 49 O. HATHAWAY et al., ‘The Law of Cyber-Attack’, 100 CAL. L. REV. 817, 2012, p. 838, http://www.npr.org/templates/story/story.php? storyId=130023318. 50 K. HART, ‘Longtime Battle Lines are Recast in Russia and Georgia’s Cyberwar’, Washington Post, 14 Augustus 2008, D1.

  •  

     

     

    9

    MALWARE

    Malware is kort voor ‘malicious software’. Er zijn verschillende soorten malware, maar ook hier zullen we ons beperken tot de belangrijkste soorten, met name virussen, wormen en Trojaanse paarden.51

    Virussen zijn programma’s of delen code die zich hechten aan een programma of bestand zodat ze

    zich kunnen verspreiden van de ene computer naar de andere.52 Virussen verspreiden zich over disks

    en netwerken door zichzelf te repliceren.53 Naast een zelf-replicerende code bevatten virussen normaal

    gezien tevens een ‘lading’.54 Cyberaanvallers kunnen die lading dusdanig programmeren dat het

    kwaadaardige zijeffecten heeft zoals datacorruptie of -vernietiging.55 Virussen zijn gehecht aan een

    uitvoerbaar bestand/programma, wat ertoe leidt dat een virus kan bestaan op een computer, maar geen

    effect kan hebben zonder dat de gebruiker het programma of bestand opent of uitvoert.5657 Er is dus

    een bepaalde handeling nodig van de gebruiker zelf om het virus in staat te stellen zich voort te

    planten. Een voorbeeld van een dergelijk virus was het mass-mailing58 macrovirus ‘Melissa’ van 1999.

    Dit virus verspreidde zich via e-mails, met als opschrift “Here is the document you asked me for… do

    not show it to anyone”, waarop de meeste ontvangers het geïnfecteerde word document in bijlage

    openden en het virus kon toeslaan. Dit virus heeft voor meer dan 80 miljoen dollar schade aangericht

    aan Amerikaanse bedrijven. Zo dienden onder andere Microsoft, Intel en Lucent Technologies hun

    internetconnecties te blokkeren ten gevolge van dit virus.

    Een worm heeft een gelijkaardige werking als een virus daar het zich tevens verspreidt van computer

    tot computer, maar in tegenstelling tot virussen zijn wormen onafhankelijke programma’s en hebben

    zij geen bestand of programma nodig om zichzelf te repliceren. Zij zijn dus niet afhankelijk van een

    gebruiker om zich voort te planten. Wormen repliceren zichzelf door gebruik te maken van e-mail- of

                                                                                                                                           51 D. GOOKIN, ‘Know the Different Types of Malware’, For Dummies, http://www.dummies.com/how- to/content/know-the-different-types-of-malware.html. 52 V. BEAL, ‘The Difference Between a Virus, Worm and Trojan Horse’, INTERNET.COM, 30 Juni 2006, http://www.webopedia.com/DidYouKnow/Internet/2004/ virus.asp. 53 ‘Introduction to Computer Viruses’, Sophos, 26 Mei 1998, http://www.sophos.com/pressoffice-/news/articles/1998/05/va_virusesintro.html. 54 ‘Introduction to Computer Viruses’, Sophos, 26 Mei 1998, http://www.sophos.com/pressoffice-/news/articles/1998/05/va_virusesintro.html. 55 ‘Introduction to Computer Viruses’, Sophos, 26 Mei 1998, http://www.sophos.com/pressoffice-/news/articles/1998/05/va_virusesintro.html. 56 V. BEAL, ‘The Difference Between a Virus, Worm and Trojan Horse’, Webopedia, 30 Juni 2006, http://www.webopedia.com/DidYouKnow/Internet/2004/ virus.asp. 57 M. SCHAAP, ‘The Development of Cyber Warfare Operations and Analyzing its Use under International Law’, The Air Force Law Review, pp. 135-136. 58 Dit virus verspreidde zich massaal via e-mail.

  •  

     

     

    10

    andere informatietransportsystemen.59 Als voorbeeld kan de ‘Code Red II’-worm worden aangehaald

    die meer dan 259 000 systemen infecteerde in minder dan 14 uur.60 Ook kan verwezen worden naar de Stuxnet computerworm. Deze zou naar alle waarschijnlijkheid ontwikkeld zijn door de VS in

    samenwerking met Israël om de Iraanse ultracentrifuges die gebruikt worden in het Nucleair

    programma van Iran te saboteren. De worm manipuleerde de rotatiesnelheid van de centrifuges en

    veroorzaakte veel schade.61 Als laatste voorbeeld kan de ‘I Love You’ worm worden aangehaald, die

    werd vrijgelaten in de lente van 2000 en naar schatting schade veroorzaakte ter waarde van 6,7 miljard

    dollar.62 De ‘I Love You’ worm was een computerworm die in de Filippijnen miljoenen Windows pc’s

    heeft aangevallen op en na 5 mei 2000 wanneer het een e-mail begon te verspreiden getiteld ‘I Love

    You’.

    Een Trojaans paard is een programma dat ontwikkeld is om legitieme taken uit te voeren, maar een

    verborgen code bevat waardoor tegelijkertijd op die computer ongeautoriseerde collectie, exploitatie,

    vervalsing of vernietiging van data kan plaatsvinden op de achtergrond.63 De software lijkt legitiem of

    de bestanden lijken afkomstig te zijn van een legitieme bron, waardoor degenen die een Trojaans

    paard ontvangen meestal in de val zullen lopen en het programma zullen openen.64 Trojaanse paarden

    reproduceren zichzelf, in tegenstelling tot virussen en wormen, niet door andere bestanden te

    infecteren. Evenmin repliceren ze zichzelf.65 Dergelijke malware werd bijvoorbeeld aangewend in Juli

    2011, toen de computers en servers in het ‘Lagerhuis’66 van het Japans Parlement werden geïnfecteerd

    toen een politicus een e-mailbijlage had geopend dat een Trojaans paard bevatte.67 Het Trojaans paard

    downloadde vervolgens malware van een server gevestigd in China, waardoor de hackers heimelijk de

    e-mailcommunicaties van verscheidene politici konden bespioneren, en hun gebruikersnamen en

                                                                                                                                           59 C. HERRIDGE, ‘NSA chief: Cyber-attacks skyrocket, account for largest 'transfer of wealth' ever’, Fox News, 9 Juli 2012, http://www.foxnews.com/politics/2012/07/09/nsa-chief-cyber-attacks-skyrocket-account-for-largest- transfer-wealth-in/%20-%20ixzz2XJe3lSlk#ixzz2cnw5ditF. 60 L. JANCZEWSKI, A. COLARIK, ‘Cyber Warfare and Cyber Terrorism’, Hershey, New York, Information Science Reference, 2008. 61 R. LIIVOJA, T. MCCORMACK, Routledge Handbook of the Law of Armed Conflict, Routledge, 28 April 2016, p. 612. 62 C. DELUCA, ‘The Need for International Laws of War to Include Cyber Attacks Involving State and Non-State Actors’, 3 No. 9 PACE INT’L L. REV. ONLINE COMPANION 278, 2013, p. 282. 63 M. VATIS, ‘Cyber Attacks During the War on Terrorism: A Predictive Analysis’, Institute for Security Technology Studies At Dartmouth College, 22 September 2001, p. 7, http://www.ists.dartmouth.-edu/docs/cyber_a1.pdf. 64 V. BEAL, ‘The Difference Between a Virus, Worm and Trojan Horse’, Webopedia, 30 Juni 2006, http://www.webopedia.com/DidYouKnow/Internet/2004/ virus.asp. 65 M. SCHAAP, ‘The Development of Cyber Warfare Operations and Analyzing its Use under International Law’, The Air Force Law Review, p. 136. 66 Dit is de Japanse Kamer van Volksvertegenwoordigers. 67 J. RUSSEL, ‘Japanese Government hit by Chinese Trojan Horse Attack’, 25 Oktober 2011, thenextweb, https://thenextweb.com/asia/2011/10/25/japanese-government-hit-by-chinese-trojan-horse-attack/#.tnw_nbYbbppq.

  •  

     

     

    11

    paswoorden konden stelen. Daar de server gevestigd was in China zijn er vermoedens dat de Chinese

    regering verantwoordelijk zou geweest zijn voor deze cyberoperatie.68

    LOGISCHE BOMMEN

    Een logische bom is een kwaadaardige code die ontwikkeld is om tot uitvoering te worden gebracht op

    een vooraf bepaald moment of wanneer bepaalde gebeurtenissen zich voordoen.69 Eenmaal

    geactiveerd kan het de computer platleggen, gegevens verwijderen of een DoS-aanval uitvoeren door

    valse transacties te genereren.70,71 Gedurende de Koude Oorlog heeft de VS-regering bijvoorbeeld

    gebruik gemaakt van een dergelijke logische bom om een aardgaspijpleiding van de Sovjet-Unie te

    vernietigen.72

    HACKING

    ‘Hacking’ is het van op een afstand ongeautoriseerd binnendringen in een bepaald computersysteem

    door een aanvaller.73 Het eigenlijke hacken gebeurt op de toegangspunten voor de gebruiker en vereist

    dus de accountnaam en het paswoord.74 Dergelijke informatie wordt vaak bekomen door het gebruik

    van malware. Andere mogelijkheden om accountinformatie te vergaren zijn o.a. social engineering75,

                                                                                                                                           68 G. CLULEY, ‘Japanese Parliament hit by Cyber-Attack’, 25 Oktober 2011, Naked Security by Sophos, https://nakedsecurity.sophos.com/2011/10/25/japanese-parliament-hit-by-cyber-attack/; THE TELEGRAPH, ‘Japan Parliament Hit by China-Based Cyber Attack’, 25 Oktober 2011, http://www.telegraph.co.uk/news-/worldnews/asia/japan/8848100/Japan-parliament-hit-by-China-based-cyber-attack.html. 69 K. COLEMAN, ‘Russia’s Cyber Forces’, Defensetech, 27 Mei 2008, http://www.defensetech.org-/archives/cat_cyberwarfare.html. 70 K. COLEMAN, ‘Russia’s Cyber Forces’, Defensetech, 27 Mei 2008, http://www.defensetech.org-/archives/cat_cyberwarfare.html. 71 M. SCHAAP, ‘The Development of Cyber Warfare Operations and Analyzing its Use under International Law’, The Air Force Law Review, p. 137. 72 W. MCGAVRAN, ‘Intended Consequences: Regulating Cyber Attacks’, 12 TUL. J. TECH. & INTELL. PROP. 259, 2009, p. 263. 73 A. COLARIK, Cyber Terrorism: political and economic implications, Hershey, PA.: Idea Group Pub., 2006, p. 94, http://www.loc.gov/catdir/toc/ecip064/2005034831.html. 74 A. COLARIK, Cyber Terrorism: political and economic implications, Hershey, PA.: Idea Group Pub., 2006, p. 97, http://www.loc.gov/catdir/toc/ecip064/2005034831.html. 75 Social engineering of social hacking, is een techniek waarbij hackers gebruikers in de val lokken om hun accountinformatie te geven. Dit gebeurt vaak wanneer aanvallers over de telefoon doen alsof ze werknemers of systeemadminstrateurs zijn. Zie A. COLARIK, Cyber Terrorism: political and economic implications, Hershey, PA.: Idea Group Pub., 2006, p. 94, http://www.loc.gov/catdir/toc/ecip064/2005034831.html.

  •  

     

     

    12

    wachtwoordkrakers76, packet sniffers77, of de aanmaak van een valse account die toegang heeft tot het

    computersysteem.78

    Voorbij het toegangspunt kan de aanvaller op verschillende manieren schade aanrichten met of aan het

    systeem, inclusief het zodanig manipuleren van data "caus[ing] people or processes to act on the

    changed data in a way that causes a cascading series of damages in the physical and electronic

    world.".79,80 In de context van cyber warfare wordt hacking meestal aangewend om ongeautoriseerd

    toegang te verkrijgen tot een computersysteem van een staat om ofwel een programmascript te

    wijzigen ofwel geheime, strategische of gevoelige informatie te verkrijgen.81 Zo kan bijvoorbeeld

    verwezen worden naar de hacking in 2013 van de officiële website van de verkiezingscommissie van

    Pakistan door Indische hackers om gevoelige informatie te verkrijgen in het kader van het dispuut

    tussen Indië en Pakistan over Kashmir.82 Ter vergelding hebben Pakistaanse hackers, die zichzelf de

    “True Cyber Army” noemen, 1059 websites van Indische verkiezingsinstellingen gehackt en

    beschadigd.83

    CYBER WARFARE VERSUS INFORMATION WARFARE, CYBERTERRORISME EN CYBERCRIMINALITEIT

    Cyber warfare dient te worden onderscheiden van het begrip information warfare, dat wordt

    omschreven als ‘information operations conducted during a time of crisis or conflict to achieve

    specific objectives’.84 Deze definitie lijkt op het eerste zicht gelijkaardig aan deze van cyber warfare,

    maar verdere invulling van het begrip ‘informatieoperatie’ toont aan dat deze definitie een ruimere

                                                                                                                                           76 Een wachtwoordkraker is een computerprogramma waarmee wachtwoorden kunnen worden achterhaald. Zie https://nl.wikipedia.org/wiki/Wachtwoordkraker. 77 Een packet sniffer of packet analyzer is een computerprogramma waarmee het dataverkeer op een netwerk of netwerksegment kan worden bekeken en geanalyseerd. Zo kunnen ze data dat wordt verzonden van of naar een systeem onderscheppen. Zie Wikipedia: https://nl.wikipedia.org/wiki/Packet_sniffer. 78 A. COLARIK, Cyber Terrorism: political and economic implications, Hershey, PA.: Idea Group Pub., 2006, pp. 97-98, http://www.loc.gov/catdir/toc/ecip064/2005034831.html. 79 A. COLARIK, Cyber Terrorism: political and economic implications, Hershey, PA.: Idea Group Pub., 2006, p. 84, http://www.loc.gov/catdir/toc/ecip064/2005034831.html. 80 M. SKLEROV, ‘Solving The Dillemma of State Responses to Cyberattacks: A Justification for the Use of Active Defenses Against States who Neglect Their Duty to Prevent’, April 2009, p. 19, https://www.hsdl.org/?view&did=12115. 81 G. SILANOE, ‘The Old Binding the New: Can a cyber-attack be conducted in conformity with the principle of distinction?’, Tilburg University Law School, Juni 2014, p. 30, http://arno.uvt.nl/show.cgi?fid=134393. 82 W. ABBASI, ‘Pakistan hackers defaced over 1000 Indian Websites’, 6 April 2013, The News International 2013. 83 W. ABBASI, ‘Pakistan hackers defaced over 1000 Indian Websites’, 6 April 2013, The News International 2013. 84 M. CHAPPLE, D. SEIDL, Cyberwarfare: Information Operations in a Connected World, Jones & Bartlett Publishers, 2014, p. 391.

  •  

     

     

    13

    reikwijdte kent. ‘Informatieoperatie’ is immers een bredere term die elke mogelijke beïnvloeding van

    informatie op militaire operaties omhelst. Het wordt omschreven als: ‘actions taken to affect an

    adversary’s information and information systems while defending your own information and

    information systems’.85 Information warfare omvat bijgevolg naast cyber warfare tevens psy-ops of

    psychologische operaties86 en electronic warfare87.88 Kort samengevat kunnen alle vormen van cyber

    warfare aanzien worden als information warfare, maar niet alle vormen van information warfare

    kunnen aanzien worden als cyber warfare.89

    Cyber warfare dient eveneens onderscheiden te worden van fenomenen als cyberterrorisme en

    cybercriminaliteit die niet noodzakelijk worden geregeld door het IHR. Er zijn geen algemeen

    aanvaarde criteria voorhanden om te determineren of een cyberaanval criminaliteit, hacktivisme,

    terrorisme of een gewapende aanval in het kader van cyber warfare uitmaakt, maar er bestaat wel een

    consensus omtrent het hierna volgende.

    Een cyberaanval in het kader van cyber warfare is het equivalent van een gewapende aanval of ‘het

    gebruik van geweld’ in cyberspace dat een militaire respons met kinetisch geweld kan uitlokken.

    Cyberterrorisme is: ‘the premeditated use of disruptive activities, or the threat thereof, against

    computers and/or networks, with the intention to cause harm or further social, ideological, religious,

    political or similar objectives, or to intimidate any person in furtherance of such objectives.’.90

    Cybercriminaliteit omvat ongeautoriseerde netwerkinbreuken en diefstal van intellectuele eigendom

    en andere data, en kent meestal een financiële motivatie.91 Indien een cyberaanval zich voordoet dient

    dus gekeken te worden naar de omstandigheden in concreto om uit te maken onder welke categorie

    deze zal vallen.

                                                                                                                                           85 M. CHAPPLE, D. SEIDL, Cyberwarfare: Information Operations in a Connected World, Jones & Bartlett Publishers, 2014, p. 391. 86 Psy-ops zijn geplande operaties om geselecteerde informatie en indicatoren over te brengen aan een publiek om hun emoties, motieven en objectieve redenering te beïnvloeden, en uiteindelijk het gedrag van overheden, organisaties, groepen en individuen. Psychologische operaties zijn dus eerder gericht op de verslechtering van het moraal en welzijn van de burgers van een staat. Ze omvatten bijvoorbeeld de verspreiding van valse informatie, geruchten en angst via sociale media. 87 Electronic warfare wordt gebruikt om de elektromagnetische transmissies te ontwrichten of neutraliseren. 88 I. PORCHE, C. PAUL, M. YORK, C. SERENA, J. SOLLINGER, Redefining Information Warfare Boundaries for an Army in a Wireless World, Rand Corporation, 2013, p. 176; D. STUPPLES, ‘What is information warfare?’, World Economic Forum, 3 December 2015, https://www.weforum.org/agenda/2015/12/what-is-information-warfare/. 89 M. CHAPPLE, D. SEIDL, Cyberwarfare: Information Operations in a Connected World, Jones & Bartlett Publishers, 2014, p.7. 90 N. MANAP, P. TEHRANI, ‘Cyber Terrorism: Issues in its Interpretation and Enforcement’, International Journal of Information and Electronics Engineering, Vol. 2, No. 3, Mei 2012, p. 409. 91 C. THEOHARY, J., ROLLINS, ‘Cyberwarfare and Cyberterrorism: In Brief’, Congressional Research Service, 2015, p. 2.

  •  

     

     

    14

    ‘GEWAPEND CONFLICT’

    Het begrip ‘gewapend conflict’ zal hier een grote rol spelen. Er dient immers zowel om te kunnen

    spreken van cyber warfare92, als voor de toepasselijkheid en inwerkingtreding van het IHR, sprake te

    zijn van een gewapend conflict.93 Het IHR hanteert een algemene opsplitsing van dit begrip in

    enerzijds internationale en anderzijds niet-internationale gewapende conflicten. Wettelijk gesproken

    zijn er geen andere types gewapende conflicten, maar een situatie kan gemakkelijk van één type

    gewapend conflict naar een ander evolueren. Dit onderscheid is onder meer van belang daar de

    toepasselijke IHR-regels zullen verschillen. Vooraleer we verder ingaan op het toepasselijkheids-

    vraagstuk zal dan ook eerst gekeken worden naar wat deze noties inhouden. Ondanks het grote belang

    van deze kan nergens in de verdragen een definitie worden teruggevonden. In wat volgt zullen we dus

    aangewezen zijn op de Rechtspraak en Rechtsleer.

    INTERNATIONAAL GEWAPEND CONFLICT (IAC)

    Volgens gemeenschappelijk artikel 2 van de Geneefse Conventies is er sprake van een internationaal

    gewapend conflict ‘ingeval een oorlog is verklaard of bij ieder ander gewapend conflict dat ontstaat

    tussen twee of meer der Hoge Verdragsluitende Partijen, zelfs indien de oorlogstoestand door één der

    Partijen niet wordt erkend’.94 Artikel 1(4) van het Aanvullend Protocol I (hierna: AP I) stelt dat

    gewapende conflicten waarin ‘volkeren vechten tegen koloniale overheersing en vreemde bezetting en

    tegen racistische regimes, in de uitoefening van hun recht op zelfbeschikking’, dienen te worden

    beschouwd als internationale gewapende conflicten.95 Noch de Geneefse Conventies, noch AP I

    definiëren het begrip ‘gewapend conflict’.

    Hiervoor kan verwezen worden naar het Commentaar van het ICRC bij de eerste Conventie van

    Genève van 1952 dat een internationaal gewapend conflict determineert als ‘any difference arising

    between two states and leading to the intervention of members of the armed forces…It makes no

                                                                                                                                           92 Zie definitie van cyber warfare op p. 4. 93 Het IHR kan dus slechts van toepassing zijn op cyberoperaties indien alle vereiste constitutieve elementen van een gewapend conflict aanwezig zijn; Zie N. MELZER, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 23. 94 De toepassing van het IHR is afhankelijk van de feitelijke situatie en niet van de erkenning van deze door de betrokken partijen als een gewapend conflict. 95 Bovendien zal het IHR ingevolge gemeenschappelijk artikel 2 van de Geneefse Conventies tevens van toepassing zijn ‘in all cases of partial or total occupation of the territory of a High Contracting Party, even if the said occupation meets with no armed resistance’.

  •  

     

     

    15

    difference how long the conflict lasts, or how much slaughter takes place.’96 Het Commentaar bij AP I

    van het ICRC volgt hierin en stelt dat: ‘humanitarian law…covers any dispute between two states

    involving the use of their armed forces. Neither the duration of the conflict, nor its intensity, play a

    role….’.97 Deze definitie wordt algemeen aanvaard in de Rechtspraak en Rechtsleer.98

    Hoewel de definitie de ‘interventie van leden van de strijdkrachten’ omvat, is de tussenkomst van het

    leger niet determinerend.99 Indien dit het geval zou zijn zou een staat de toepassing van het IHR

    kunnen vermijden door beroep te doen op strijdkrachten die geen deel uitmaken van het leger om een

    tegenpartij aan te vallen. Noch is de betrokkenheid van deze bepalend voor de kwalificatie als

    gewapend conflict. Er wordt aangenomen dat de ‘interventie van de leden van de strijdkrachten’

    eerder wijst op het gebruik van geweld.100 Ook het Joegoslaviëtribunaal (hierna: het ICTY)101 stelde in

    de Tadic zaak dat ‘an armed conflict exists whenever there is a resort to armed force between

    States’.102

    Er kan bijgevolg besloten worden dat er sprake is van een internationaal gewapend conflict wanneer er

    een toevlucht wordt genomen tot gewapend geweld tussen twee of meer staten.103 Het is echter niet

    duidelijk wat er dient te worden verstaan onder ‘toevlucht tot gewapend geweld’. Er kunnen twee

                                                                                                                                           96 J. PICTET (ed.), Commentary on the First Geneva Convention: Convention (I) for the Amelioration of the Condition of the Wounded and Sick in Armed Forces in the Field of 12 August 1949, ICRC, Cambridge Press, 1952, Commentaar bij artikel 2. 97 Y. SANDOZ, C. SWINARKI, B. ZIMMERMAN, Commentary on the Additional Protocols of 8 June 1977 to the Geneva Conventions of 12 August 1949, ICRC/Martinus Nijhoff Publishers, Dordrecht, 1987, Commentaar bij artikel 1(4). 98 N. MELZER, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 23; J. PICTET (ed.), Commentary on the Geneva Convention for the Amelioration of the Condition of the Wounded and Sick in Armed Forces in the Field of 12 August 1949, ICRC, Cambridge Press, 1952, p. 23; ICTY, 2 Oktober 1995, nr. IT-94-1-A, The Prosecutor v. Dusko Tadic, para. 70; ICTY, 16 November 1998, nr. IT-96-21-T, Delalic Case, paras. 184 en 208; D. SCHINDLER, The Different Types of Armed Conflicts According to the Geneva Conventions and Protocols, Alphen aan den Rijn: Sijthoff en Noordhoff, 1979, p. 131; E. DAVID, Principes de droit des conflits armés, Bruylant, 1994, p. 109; ICRC, Report IIHL/ICRC-Roundtable, 2003, 3; Gemeenschappelijk artikel 2 van de vier Conventies van Genève van 1949. 99 J. PICTET (ed.), Commentary on the Geneva Convention for the Amelioration of the Condition of the Wounded and Sick in Armed Forces in the Field of 12 August 1949, ICRC, Cambridge Press, 1952, pp. 32-33; T. Wingfield, The Law of Information Conflict: National Security Law in Cyberspace, Aegis Research Corp, 2000, pp.60-63; Y. SANDOZ, C. SWINARSKI, B. ZIMMERMAN (eds.), Commentary on the Additional Protocols of 8 June 1977 to the Geneva Conventions of 12 August 1949, ICRC, Martinus Nijhoff 1987, para. 62. 100 M. SCHMITT, H. HARRISON, T. WINGFIELD, ‘Computers and War: The Legal Battlespace’ 2004, HPCR, p. 4. 101 International Criminal Tribunal for the former Yugoslavia. 102 ICTY, 2 Oktober 1995, nr. IT-94-1-A, The Prosecutor v. Dusko Tadic, para. 70. 103 N. MELZER, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 23; J. PICTET (ed.), Commentary on the Geneva Convention for the Amelioration of the Condition of the Wounded and Sick in Armed Forces in the Field of 12 August 1949, ICRC, Cambridge Press, 1952, p. 23; ICTY, 2 Oktober 1995, nr. IT-94-1-A, The Prosecutor v. Dusko Tadic, para. 70; ICTY, 16 November 1998, nr. IT-96-21-T, Delalic Case, paras. 184 en 208; D. SCHINDLER, The Different Types of Armed Conflicts According to the Geneva Conventions and Protocols, Alphen aan den Rijn: Sijthoff en Noordhoff, 1979, p. 131; E. DAVID, Principes de droit des conflits armés, Bruylant, 1994, p. 109; ICRC, Report IIHL/ICRC-Roundtable, 2003, p. 3; Gemeenschappelijk artikel 2 van de vier Conventies van Genève van 1949.

  •  

     

     

    16

    vragen worden gesteld, vooreerst wat er hieronder dient te worden verstaan en ten tweede of dit een

    minimum niveau van intensiteit veronderstelt. Deze vragen zullen verder worden geadresseerd.

    NIET-INTERNATIONAAL GEWAPENDE CONFLICT (NIAC)

    Gemeenschappelijk artikel 3 van de Geneefse conventies definieert niet-internationale gewapende

    conflicten als die conflicten die geen internationaal karakter kennen. Het ICTY heeft deze notie verder

    ontwikkeld in de Tadic zaak waarin het dergelijke conflicten omschreef als ‘protracted armed

    violence between governmental authorities and organized armed groups or between such groups

    within a State’.104 Deze definitie wordt ook door verschillende internationale tribunalen en het Statuut

    van het Internationaal Strafhof vooropgesteld.105 Ook Aanvullend Protocol II (hierna: AP II) spreekt

    van een conflict tussen de strijdkrachten van een staat en dissidente strijdkrachten of andere

    georganiseerde gewapende groepen.106 Een niet-internationaal gewapend conflict bestaat dus wanneer

    er sprake is van gewapend geweld binnen het territorium van één enkele staat tussen strijdkrachten van

    de centrale overheid en een gewapende groepering, of tussen dergelijke groepen onderling.107

    Om een niet-internationaal gewapend conflict te onderscheiden van minder ernstige vormen van

    geweld zoals interne spanningen en storingen (zoals rellen, isolatie en sporadische daden van geweld)

    moet de situatie een zekere drempel van ernst overschrijden. Hierbij worden er meestal twee criteria

    gehanteerd:108

    1. De vijandelijkheden moeten in tegenstelling tot bij internationale gewapende conflicten een zeker niveau van intensiteit bereiken, met name een zekere omvang en duur. Dit is onder andere het

    geval wanneer deze een collectief karakter kennen of wanneer het optreden van de politie niet

    volstaat en de overheid verplicht is tot militair optreden.109,110

                                                                                                                                           104 ICTY, 2 Oktober 1995, nr. IT-94-1-A, The Prosecutor v. Dusko Tadic, para. 70. 105 ICTR, 2 September 1998, nr. ICTR-96-4-T, Prosecutor v. Akayesu, para. 619; ICTR, 6 December 1999, nr. ICTR-96-3-T, Prosecutor v. Rutaganda, para. 92; ICTR, 16 Mei 2005, nr. SCSL-2004-14-AR73, Prosecutor v. Fofana, Afzonderlijke mening van Rechter Robertson, para. 233; ICC, 15 Juni 2006, nr. ICC-01/05-01/08, Prosecutor v. Bem- ba Gombo, para. 229; Het Statuut van Rome van het Internationaal Strafhof, U.N. Doc. A/CONF.183/9*, 1998, art. 8(2)(f). 106 Artikel 1 AP II. 107 D. JINKS, The applicability of the Geneva Conventions to the Global war on terrorism , Virginia Journal of international law, Vol. 46:1, 2005, p. 168; M. SCHMITT, C. GARRWAY, Y. DINSTEIN, The Manual on the Law of Non-international Armed Conflict, International Institute of Humanitarian Law, 2006, p. 2; ICTY, 2 Oktober 1995, nr. IT-94-1-A, The Prosecutor v. Dusko Tadic, para. 70. 108 ICTY, 7 Mei 1997, nr. IT-94-1-T, The Prosecutor v. Dusko Tadic, paras. 561-568; Zie ook ICTY, 30 November 2005, nr. IT-03-66-T, The Prosecutor v. Fatmir Limaj, para. 84. 109 Het ICTY heeft duidelijk gemaakt dat ‘protracted armed violence' refereert naar de intensiteit van het conflict en niet de duur. Intensiteit betekent niet noodzakelijk ‘voortdurend’. Het impliceert een tijdselement, maar is niet

  •  

     

     

    17

    2. Ten tweede moeten de betrokken niet-gouvernementele groeperingen in bepaalde mate georganiseerd zijn. Ze moeten over een zekere gezagsstructuur beschikken.111,112

    Er dient vermeld te worden dat artikel 1(1) AP II bij de Conventies van Genève een hogere drempel

    hanteert dan gemeenschappelijk artikel 3 en bijgevolg op een geringer aantal situaties van toepassing

    zal zijn. Dit artikel stelt immers dat AP II enkel van toepassing is op niet-internationale gewapende

    conflicten ‘die plaatsvinden op het grondgebied van een Hoge Verdragsluitende Partij tussen de

    strijdkrachten van die Partij en dissidente strijdkrachten of andere georganiseerde gewapende

    groepen die, staande onder een verantwoordelijk bevel, het grondgebied van die Partij gedeeltelijk

    onder controle hebben op een zodanige wijze dat zij in staat zijn aanhoudende en samenhangende

    militaire operaties uit te voeren en de bepalingen van dit Protocol toe te passen’. AP II stelt dus twee

    bijkomende vereisten voorop, met name vooreerst dat er sprake is van een conflict tussen een staat en

    een niet-statelijke actor en ten tweede dat een deel van het territorium van de staat gecontroleerd wordt

    door de niet-statelijke actor.113

                                                                                                                                                                                                                                                                                                                                                                                                                                         gelimiteerd hiertoe. Zie ICTY, 3 April 2008, nr. IT-04_84_Y, Prosecutor v. Ramush Haradinaj, para. 49; NATO COOPERATIVE CYBER DEFENCE CENTRE OF EXCELLENCE, Tallinn Manual on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2013, Commentaar bij Regel 23, p. 87. 110 Voor een gedetailleerde analyse van deze criteria zie ook ICTY, 30 November 2005, nr. IT-03-66-T, The Prosecutor v. Fatmir Limaj, paras. 135-170. 111 D. SCHINDLER, The Different Types of Armed Conflicts According to the Geneva Conventions and Protocols, Alphen aan den Rijn: Sijthoff en Noordhoff, 1979, p. 131. Voor een gedetailleerde analyse van deze criteria zie ook ICTY, 30 November 2005, nr. IT-03-66-T, The Prosecutor v. Fatmir Limaj, paras. 94-134. 112 ICRC, ‘Opinion Paper: How is the Term ‘Armed Conflict’ Defined in International Humanitarian Law?’, IRRC, 2008, p. 3. 113 Gemeenschappelijk artikel 3 is daarentegen ook van toepassing op conflicten tussen twee niet-statelijke gewapende groeperingen binnen een staat en ongeacht of deze enige controle hebben over een deel van het territorium van de staat.

  •  

     

     

    18

    DE TOEPASSELIJKHEID VAN HET INTERNATIONAAL HUMANITAIR RECHT

    Zoals reeds gesteld bestaat er geen ‘legal vacuum’ in cyberspace, maar de vraag resteert wanneer het

    IHR van toepassing zal zijn. Zoals vermeld is het bestaan van een gewapend conflict vereist voor de

    toepasselijkheid van het IHR. Cyberoperaties komen echter zowel binnen als buiten de context van

    een gewapend conflict voor. Twee verschillende situaties dienen dus onderscheiden te worden, met

    name deze waarin (1) cyberoperaties voorkomen binnen de context van een gewapend conflict en (2)

    deze waarin cyberoperaties voorkomen buiten de context van een gewapend conflict.114

    GEEN ‘LEGAL VACUUM’ IN CYBERSPACE

    Bij de opkomst van cyberoperaties bestond er discussie omtrent de vraag of het IHR van toepassing

    was op cyber warfare gelet op de nieuwheid van de technologie115 en het gebrek aan directe kinetische

    kracht. Vandaag lijkt er echter een algemene consensus te bestaan dat het IHR van toepassing is op

    cyberoperaties en er dus geen ‘legal vacuum’ bestaat in cyberspace.116 Niettemin bestaat er onder de

    staten nog enige verwarring hieromtrent. Aan de ene kant menen sommige staten zoals de VS,117 het

    Verenigd Koninkrijk118, en Australië119 dat het IHR van toepassing is op cyber warfare.120 Ook de

                                                                                                                                           114 C. DRÖGE, ‘No Legal Vacuum in Cyberspace’ (online interview), 16 Augustus 2011, http://www.icrc.org/eng/resources/documents/interview/2011/cyber-warfare-interview-2011-08-16.htm; C. DROEGE, ‘Get off my cloud: cyber warfare, international humanitarian law, and the protection of civilians’, ICRC, 2012, p. 533. 115 Er werd gesteld dat cyberoperaties nog niet bestonden ten tijde van de opmaak van de Geneefse Conventies en aangezien deze dus niet waren opgemaakt met cyber warfare in gedachten er niet tot hun toepasselijkheid kon worden besloten. 116 N. Melzer, ‘Cyberwarfare and International Law’, UNIDIR, 2011, p. 22; NATO COOPERATIVE CYBER DEFENCE CENTRE OF EXCELLENCE, Tallinn Manual on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2013, pp. 82-84; H. HARRISSON DINNISS, Cyber Warfare and the Laws of War, Cambridge University Press, Cambridge, 2012, pp. 127-128. 117 H. KOH, ‘International law in cyberspace’, speech at the US Cyber Command Inter-Agency Legal Conference, 18 September 2012, http://opiniojuris.org/2012/09/19/harold-koh-on-international-law-in-cyberspace/; Report of the Secretary-General on Developments in the field of information and telecommunication in the context of international security, 15 Juli 2011, UN Doc. A/66/152 (2011), p. 19; US Department of Defense Strategy for Operating in Cyberspace, July 2011, http://www.defense.gov/news/d20110714cyber.pdf; Ook kan verwezen worden naar de cyber veiligheidsstrategie van de VS dat er van uitgaat dat het bestaande internationaal recht van toepassing is in cyberspace, Zie THE WHITE HOUSE, ‘International Strategy for Cyberspace: Prosperity, Security, and Openness in a Networked World’, 2011, p. 9, https://obamawhitehouse.archives.gov/sites/default/files/rss_viewer/-international_strategy_for_cyberspace.pdf. 118 Report of the Secretary-General on Developments in the field of information and telecommunication in the context of international security, 23 Juni 2004, UN Doc. A/59/116 (2004), p. 11; Report of the Secretary-General

  •  

     

     

    19

    Europese Unie is eenzelfde mening toegedaan.121 Aan de andere kant wordt er gezegd dat China de

    toepasselijkheid van het IHR niet accepteert.122 Het is echter niet duidelijk of dat werkelijk de officiële

    positie zou zijn van China in een situatie van gewapend conflict. Sommigen zoals Li Zhang menen

    bijvoorbeeld dat China de toepasselijkheid van het IHR wel accepteert en enkel tegen de militarisering

    van cyberspace is.123 De Russische Federatie heeft geen officieel standpunt ingenomen betreffende de

    toepasselijkheid van het IHR. De gerapporteerde militaire doctrine van de Russische Federatie

    vermeldt het IHR niet met betrekking tot information warfare.124

    Dit terzijde gelaten kan er echter aangenomen worden dat het IHR van toepassing is op cyber warfare.

    Alle nieuwe technieken van oorlogvoering moeten immers, hoewel ze er niet specifiek in

    gereguleerd zijn, in overeenstemming zijn met het IHR.125 Eén van de meest fundamentele regels van

    het IHR is dat ‘in geen enkel gewapend conflict het recht van de Partijen bij het conflict ten aanzien van de

    keuze van de methoden of middelen van oorlogvoering onbegrensd is.’.126 Ook kan verwezen worden naar

    artikel 36 AP I dat luidt: ‘Op een Hoge Verdragsluitende Partij rust bij de studie, ontwikkeling,

    aanschaf of invoering van een nieuw wapen, een nieuw middel of een nieuwe methode van

    oorlogvoering de verplichting vast te stellen of het gebruik daarvan, in bepaalde of in alle

    omstandigheden, door dit Protocol of door enige andere regel van het ten aanzien van de Hoge

    Verdragsluitende Partij toepasselijk internationaal recht is verboden’. Als laatste kan ook de ‘Martens                                                                                                                                                                                                                                                                                                                                                                                                                                      on Developments in the field of information and telecommunication in the context of international security, 20 Juli 2010, UN Doc. A/65/154 (2010), p. 15. 119 Report of the Secretary-General on Developments in the field of information and telecommunication in the context of international security, 15 Juli 2011, UN Doc. A/66/152 (2011), p. 6. 120 Zie ook ‘the proposal by the High Representative of the European Union for Foreign Affairs and Security Policy, Joint Communication to the European Parliament, the Council, the European Economic and Social Committee and the Committee of the Regions – Cyber Security Strategy of the European Union: an Open, Safe and Secure Cyberspace’, Brussel, 7.2.2013, JOIN (2013) 1 final. 121 HIGH REPRESENTATIVE OF THE EUROPEAN UNION FOR FOREIGN AFFAIRS AND SECURITY POLICY, ‘Cybersecurity Strategy of the European Union: An Open, Safe and Secure Cyberspace’, 2013, http://eeas.europa.eu/archives/docs/policies/eu-cyber-security/cybsec_comm_en.pdf. 122 Zie bijvoorbeeld A. SEGAL, ‘China, international law and cyber space’, Council on Foreign Relations, 2 Oktober 2012, http://blogs.cfr.org/asia/2012/10/02/china-international-law-and-cyberspace/. 123 L. ZHANG, ‘A Chinese perspective on cyber war’, 30 Juni 2012, IRRC, No. 886,https://www.icrc.org-/eng/resources/documents/article/review-2012/irrc-886-zhang.htm. 124 ‘The Military Doctrine of the Russian Federation Approved by Russian Federation Presidential Edict on 5 February 2010’, http://www.sras.org/military_doctrine_ russian_federation_2010; Ook andere rechtsgeleerden spreken niet over enig officieel standpunt, zie K. GILES, ‘Russia’s public stance on cyberspace issues’, paper given at the 2012 4th International Conference on Cyber Conflict, C. Czosseck, R. Ottis and K. Ziolkowski (eds), NATO CCD COE Publications, Tallinn, 2012, http://www.conflictstudies.org.uk/files/Giles- Russia_Public_Stance.pdf; R. HEIKERO ̈, ‘Emerging threats and Russian Views on information warfare and information operations’, FOI Swedish Defence Research Agency, Maart 2010, p. 49, http://www.highseclabs.com/Corporate/foir2970.pdf. 125 ICRC, ‘International Humanitarian Law and the Challenges of Contemporary armed conflicts’, IRRC, 2015, p. 38; C. DRÖGE, ‘No Legal Vacuum in Cyberspace’ (online interview), 16 Augustus 2011, http://www.icrc.org/eng/ resources/documents/interview/2011/cyber-warfare-interview-2011-08-16.htm. 126 Artikel 22 Regulations concerning the Laws and Customs of War on Land, Den Haag, 18 Oktober 1907; Artikel 35(1) AP I.

  •  

     

     

    20

    Clausule’ worden aangehaald. Deze is opgenomen in artikel 1(2) AP I en stelt dat: ‘In gevallen waarin

    niet wordt voorzien door dit Protocol of door andere internationale overeenkomsten blijven de

    burgers en strijders beschermd door en onderworpen aan de beginselen van het internationaal recht

    die voortvloeien uit de gevestigde gebruiken, de beginselen van menselijkheid en de eisen van het

    openbare rechtsbewustzijn’.127 Deze clausule zorgt er dus voor dat geen enkele activiteit in een

    gewapend conflict ongereguleerd is (door het IHR).128

    Het bestaande IHR anticipeert dus duidelijk de toepasselijkheid van zijn regels en principes op nieuw

    ontwikkelde middelen en methoden van oorlogvoering. Zowel de VN, in de rapporten van de ‘United

    Nations Group of Governmental Experts on Developments in the Field of Information and

    Telecommunications in the Context of International Security’129, als het ICRC, als de Internationale

    Groep van Experten in de Tallinn Manual130 hebben dit bevestigd.131 Ook het Internationaal

    Gerechtshof (hierna: het ICJ) kwam tot eenzelfde conclusie in zijn ‘Advisory Opinion on the legality

    of the threat or use of nuclear weapons’, waarin het stelde dat het IHR van toepassing is op alle

    vormen van oorlogvoering en alle soorten wapens, inclusief toekomstige.132 Bovendien is het

    irrelevant of cyberspace dient te worden beschouwd als ‘a new war-fighting domain similar to air,

    land, sea and outer space’, ‘a different type of domain because it is man-made while former are

    natural’, of ‘not a domain as such’. De gewoonterechtelijke IHR-regels met betrekking tot de regels

    inzake het voeren van de vijandelijkheden zijn van toepassing op alle middelen en methoden van

    oorlogvoering, ongeacht waar deze worden gebruikt.133

    Wat betreft het gebrek aan directe kinetische kracht kan verwezen worden naar het feit dat

    biologische en chemische wapens ook vallen onder het IHR ondanks het feit dat er bij dergelijke

    wapens eveneens geen sprake is van een onderscheidende ‘knal’. Het is niet de precieze aard van het

    middel of de methode dat bepalend is voor de toepasselijkheid van het IHR, maar de context waarin

    het wordt gebruikt.                                                                                                                                        127 De Martens Clausule werd tevens opgenomen in de vier Conventies van Genève. 128 NATO COOPERATIVE CYBER DEFENCE CENTRE OF EXCELLENCE, Tallinn Manual on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2013, p. 77. Deze regel wordt aanzien als internationaal gewoonterecht. 129 Zie Report of the Group of Governmental Experts on Developments in the Field of Information and Telecommunications in the Context of International Security, A/68/98, 24 June 2013, para. 19, www.un.org/en/ga/search/view_doc.asp?symbol=A/68/98. 130 NATO COOPERATIVE CYBER DEFENCE CENTRE OF EXCELLENCE, Tallinn Manual on the International Law Applicable to Cyber Warfare, Cambridge University Press, 2013, Regel 20 stelt dat ‘Cyber operations executed in the context of an armed conflict are subject to the law of armed conflict’. 131 M. SCHMITT, ‘The law of Cyber Warfare: Quo Vadis?’, Stanford Law and Policy Review 27, 2014, pp. 2-3. 132 ICJ, 8 Juli 1996, nr. ICJ GL No 95, Legality of the Threat or Use of Nuclear Weapons, para. 86. 133 ICRC, ‘International Humanitarian Law and the Challenges of Contemporary armed conflicts’, IRRC, 2015, 40 p.; ICRC, International Humanitarian Law and the Challenges of Contemporary Armed Conflicts, official working document of the 31st International Conference of the Red Cross and Red Crescent, 28 November–1 2011, Doc. 31IC/11/5.1.2, pp. 36–38.

  •  

     

     

    21

    SITUATIE 1: CYBEROPERATIES BINNEN DE CONTEXT VAN EEN GEWAPEND CONFLICT

    De eerste situatie omhelst deze waarin cyberoperaties voorkomen binnen de context van een vooraf

    bestaand gewapend conflict. Dit is bijvoorbeeld het geval wanneer naast een bomaanslag het

    computersysteem van de tegenpartij wordt aangevallen door middel van een cyberoperatie. Opdat het

    IHR op deze cyberoperaties van toepassing zou zijn is vereist dat deze operaties zich voordoen ‘in het

    kader van’ en ‘gerelateerd zijn aan’ het (internationaal of niet-internationaal) gewapend conflict.

    Het conflict tussen Rusland en Georgië in 2008 omtrent Zuid-Ossetië is het eerste geval waarin er in

    een gewapend conflict naast conventionele wapens tevens sprake was van cyberoperaties.134 Zuid-

    Ossetië had zich onafhankelijk verklaard van Georgië in 1991, maar werd over het algemeen nog

    steeds door de internationale gemeenschap erkend als een integraal deel van Georgië. Op 7 Augustus

    2008 lanceerden Georgische troepen een verrassingsaanval tegen separatisten in Zuid-Ossetië. De

    Russische Federatie wees op zijn nationale verplichtingen om Russische burgers in het buitenland te

    beschermen en antwoordde op 8 Augustus 2008 met militaire operaties in Georgisch territorium.

    Gedurende het conflict werd Georgië herhaaldelijk het slachtoffer van cyberoperaties.135 Zo werd

    onder andere de website van de president offline gebracht, werden Georgische nieuwsportalen

    aangevallen, werden publieke websites platgelegd en werd de grootste commerciële bank van Georgië

    het voorwerp van cyberaanvallen. Hoewel de meeste cyberoperaties konden getraceerd worden naar

    de Russische Federatie en de meesten haar inmenging ook vermoedden, waren er geen bewijzen

    voorhanden dat deze hier achter zat.136

    ‘IN HET KADER VAN EEN GEWAPEND CONFLICT’

    De cyberoperaties moeten zich voordoen in het kader van een internationaal of niet-internationaal

    gewapend conflict opdat het IHR van toepassing zou zijn. Voor wat hieronder dient te worden

    verstaan, kan verwezen worden naar hetgeen hierboven werd uiteengezet. Er dient er op gewezen te

    worden dat internationale gewapende conflicten, zoals hierboven gezien, niet noodzakelijk ontstaan

                                                                                                                                           134 H. HARRISSON DINNISS, Cyber Warfare and the Laws of War, Cambridge University Press, Cambridge, 2012, p. 127. 135 E. TIKK, K. KASHA, L. VIHUL, ‘International Cyber I