26 643 Informatie- en communicatietechnologie (ICT)

Nr. 437 BRIEF VAN DE MINISTER VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 21 december 2016

1. Inleiding

Met deze brief wil ik uw Kamer informeren over de voortgang van de Impuls eID, die strekt tot modernisering van de infrastructuur voor (digitaal) identificeren bij digitale transacties van burgers en bedrijven met de overheid en met een deel van de semipublieke sector, namelijk waar met het burgerservicenummer (BSN) wordt gewerkt. Dit betreft het beleid, zoals geschetst in mijn brief van 25 augustus 2016.¹ In deze eerste voortgangsbrief zal ik ook de toezeggingen gestand doen die ik heb gedaan in het Algemeen Overleg op 29 september jl. (Kamerstuk 26 643, nr. 423). Tevens informeer ik u met deze brief over de kaders voor de uitvoering van de Impuls eID in 2017.

2. Wijze van aanpak

Het beleid dat ten grondslag ligt aan de Impuls eID bevat twee hoofdlijnen, te weten:

• het introduceren van een publiek elektronisch identificatiemiddel met een substantieel betrouwbaarheidsniveau² ter verbetering van het huidige DigiD (DigiD Substantieel), alsmede de ontwikkeling van een publiek elektronisch identificatiemiddel met een hoog betrouwbaarheidsniveau voor het mogelijk maken van verschillende nieuwe vormen van elektronische dienstverlening (DigiD Hoog);

• het ontwikkelen van een stelsel waarbinnen, naast publieke elektronische identificatiemiddelen, de keuzemogelijkheid bestaat voor burgers om in het verkeer met de (semi)overheid private elektronische identificatiemiddelen op substantieel of hoog niveau te gebruiken, als alternatief voor de publieke middelen: de zogenoemde multimiddelenaanpak.

Het kabinet acht de modernisering van elektronische identificatiemiddelen (eID-middelen) voor elektronische transacties in het BSN-domein niet alleen van vitaal belang, maar ook urgent. De urgentie volgt uit het cruciale belang van veiligheid en vertrouwen in digitale identiteitsvaststelling en de kansen tot beter benutten van technische mogelijkheden hierbij, met oog voor betere dienstverlening, administratieve lastenvermindering en het bieden van mogelijkheden voor innovaties en het aanbieden van nieuwe digitale diensten.

Verder volgt de urgentie uit het realiseren van essentiële beleidsprioriteiten van het kabinet op het terrein van e-Health en de modernisering van dienstverlening door grote publieke dienstaanbieders zoals de Belastingdienst. Ook sluit dit aan op de doelstellingen van Digitaal 2017 en de Digitale Agenda 2020 van de VNG.

De reikwijdte van de Impuls eID – de gehele overheid en een deel van de semipublieke sector – is aanzienlijk. De impact ervan en de noodzaak van juridische en technische randvoorwaarden alsmede de organisatorische en financiële consequenties en de impact op werkprocessen, maken het noodzakelijk om dit gecontroleerd en beheerst – in fases – te implementeren.

De wijze waarop ik eID verder ga ontwikkelen en het daadwerkelijk inrichten geschiedt conform de visie zoals neergelegd in de Strategische I-agenda Rijksdienst.³ Ingevolge die kabinetsvisie wordt verstandig omgegaan met informatiebeveiliging, is de continuïteit van de dienstverlening zo veel mogelijk verzekerd en wordt privacy beschermd. Het kabinet blijft innoveren en verbeteren, maar wel op een pragmatische en gecontroleerde wijze. Het kabinet doet dat bij voorkeur in kleine stappen die snel het gewenste resultaat leveren.

Juist bij de modernisering van de generieke digitale infrastructuur, waarvan eID een vitale bouwsteen is, die de gehele publieke sector en enkele belangrijke delen van de semipublieke sector zal ondersteunen bij digitale transacties tussen burgers en bedrijven met de overheid, is deze beheerste en gecontroleerde stap-voor-stap-benadering essentieel. Om zo’n gecontroleerde en beheerste uitvoering mogelijk te maken is het noodzakelijk het stelsel en de identificatiemiddelen na de afgelopen periode, met pilots, nu daadwerkelijk gefaseerd in te voeren op deelterreinen en door deze vervolgens stapsgewijs uit te breiden in aantal en omvang (vgl. de agile-methode, genoemd in punt 7 van de zgn. BIT regels in het advies van de Commissie Elias)⁴.

3. Gefaseerde invoering eID-stelsel

3.1 De pilotfase

Met het oog op de invoering van een verbeterd eID-stelsel, zoals geschetst in de Impuls eID, is in de afgelopen periode op (zeer) kleine schaal gewerkt met verschillende soorten proeven met nieuwe inlogmethoden, met publieke en private middelen, op betrouwbaarheidsniveaus substantieel en hoog.⁵ Er zijn pilots gestart door enkele gemeenten, de Belastingdienst en een aantal zorginstellingen en zorgverzekeraars. Er is in mei 2016 een eerste evaluatie opgeleverd over een aantal pilots. Ik heb u deze doen toekomen bij mijn brief van 25 augustus 2016.⁶ Aanvullend op dit rapport verwacht ik kort na de jaarwisseling een rapport waarin ook de pilots in het zorgdomein worden geëvalueerd. De pilots, met verschillende private en publieke middelen, zullen in 2017 nog enige tijd doorgaan en zo veel mogelijk binnen de grenzen van de technische mogelijkheden van het BSN-koppelregister worden opgeschaald.

3.2 Eerste fase uitrol eID-stelsel

3.2.1. Algemeen

De eerste fase van de daadwerkelijke uitrol van meerdere manieren van inloggen op verscheidene prioritaire deelterreinen, in de loop van 2017, wordt nu door mij voorbereid op basis van het bestaande wettelijke kader. Dit betreft de uitrol bij onder meer de Belastingdienst, in de zorg, bij de Dienst Uitvoering Onderwijs (DUO) en bij gemeenten. Hierbij dient opgemerkt te worden dat gemeenten vooraf een uitvoeringstoets willen doen op de uitvoeringsregelgeving vooraleer helder is wat de consequenties zijn voor gemeenten. Op decentraal niveau zal de landelijke uitrol vooraf worden gegaan door een praktijkbeproeving bij enkele gemeenten.

3.2.2. Juridisch kader

De kaders voor het gebruik van eID betreffen voor een belangrijk deel de continuïteit en beschikbaarheid, de privacy van de gebruikers, zorgvuldige omgang met gegevens, het herstel van fouten en herleidbaarheid van transacties.

Om dit zeker te stellen, zorg ik vanuit mijn verantwoordelijkheid voor juridische en technische kaders.

Bij juridische kaders gaat het primair om afspraken of organisatorische processen die opgesteld zijn om privacy en veiligheid te waarborgen en misbruik te voorkomen. Er zijn bijvoorbeeld regels vastgesteld over welke personen toegang hebben tot welke gegevens en ook wat zij met die gegevens mogen doen en voor welke doeleinden. Tevens zorg ik voor toezicht daarop.

De modernisering geschiedt, zoals gezegd, stap voor stap, door middel van in omvang en aantal groeiende uitrol op deelterreinen en in steeds meer sectoren volgens de multimiddelenaanpak, gevolgd door het verder stapsgewijs uitbreiden of opschalen. Zolang de beoogde generieke wetgeving nog niet in werking is getreden, zal de stapsgewijze modernisering binnen de bestaande juridische kaders plaatsvinden. Dat kader bestaat uit een combinatie van bestaande wet- en regelgeving⁷ en privaatrechtelijke overeenkomsten⁸ met de betrokken partijen.

3.2.3. Opschalen BSN-koppelregister

Doel van de eerste fase die omstreeks oktober 2017 zal starten, is het zo veel mogelijk invoeren van elektronische dienstverlening in het BSN-domein met eID-middelen volgens de geschetste multimiddelenaanpak. Een essentiële voorziening voor het toelaten van private middelen vormt het BSN-koppelregister. Het huidige koppelregister heeft beperkingen en dient te worden opgeschaald in omvang en functionaliteiten.

De ontwikkeling van het BSN-koppelregister verloopt volgens planning. Naar verwachting zal vanaf oktober 2017 een nieuwe versie van het BSN-koppelregister beschikbaar zijn. Alle daadwerkelijk toegelaten private inlogmiddelen (zie paragraaf 3.2.5) worden aangesloten op het nieuwe koppelregister. In deze nieuwe versie zullen vergaande privacy borgende maatregelen zijn ingebouwd (privacy by design). Zo kan men in het koppelregister niet zien bij welke dienstaanbieders wordt ingelogd. Ook betere mogelijkheden voor misbruik- en fraudebestrijding zijn dan beschikbaar. Tevens zijn de aansluitvoorwaarden voor het register volledig aangepast op de op dat moment van toepassing zijnde (herziene) uniforme set van eisen.⁹ Het koppelregister zal in deze versie ook dermate robuust zijn gemaakt dat deze klaar is voor volledige uitrol in het gehele BSN-domein. Dit alles maakt een beheerste, eerste fase van de uitrol van de multimiddelenaanpak mede mogelijk.

3.2.4. Ontwikkeling publieke middelen

Om te voldoen aan het betrouwbaarheidsniveau «substantieel» wordt inmiddels DigiD Substantieel ontwikkeld. Dat is inloggen via DigiD, met een eenmalige controle van een wettelijk identiteitsdocument. Het gaat in eerste instantie om de doelgroep die beschikt over een Android/NFC compatible smartphone.

Parallel aan de ontwikkeling van DigiD Substantieel wordt ook DigiD Hoog gerealiseerd. De mogelijkheid om via DigiD met het rijbewijs op het hoogste betrouwbaarheidsniveau te kunnen inloggen komt volgens planning in 2018 beschikbaar. Volgens die planning wordt ook gewerkt aan de oplevering van de elektronische Identiteitskaart eind 2018. Dan wordt het mogelijk om via DigiD met de identiteitskaart te kunnen inloggen op het hoogste betrouwbaarheidsniveau. De hiervoor noodzakelijke werkzaamheden betreffen onder andere het geschikt maken van de rijbewijzen en de Nederlandse identiteitskaart voor het daarop plaatsen van de elektronische identiteitsfunctie alsmede voorzieningen ten behoeve van het basisregister reisdocumenten en het centraal rijbewijzen register. Implementatie zal volgens natuurlijke vervanging van het rijbewijs en de identiteitskaart geschieden.

3.2.5. De toelating van private middelen

Voor het opschalen van het gebruik van publieke en private eID-middelen, is het noodzakelijk naast de hiervoor bedoelde publieke middelen ook de private middelen op de betrouwbaarheidsniveaus «substantieel» en «hoog» toe te laten. Met het oog op een gelijk speelveld voor publieke en private middelen, is het gewenst deze zo veel mogelijk parallel te laten plaatsvinden met de introductie van nieuwe publieke middelen op deze niveaus. Daarvoor zal in 2017 een toelatingsproces worden doorlopen op basis van de door mij vastgestelde uniforme set van eisen. Deze heb ik inmiddels openbaar gemaakt (versie 1.0, bijgevoegd)¹⁰. Deze eisen zullen fungeren als uniforme (contractuele) aansluitvoorwaarden. Deze set bevat de eisen voor toelating van middelen voor het inloggen (identificatie en authenticatie) op digitale publieke dienstverlening. De toegelaten middelen moeten blijvend voldoen aan deze eisen. De eIDAS-verordening (EU 910/2014) met onderliggende uitvoeringsregelingen, die eisen stelt aan wederzijdse erkenning binnen de EU van dergelijke middelen, is leidend voor de inhoud van deze eisen en wordt aangevuld met nationale voorschriften. De uniforme set van eisen richt zich met name op voorschriften t.a.v. veiligheid, privacy en betrouwbaarheid.

Ten aanzien van privacybescherming geldt in de eerste plaats het juridisch kader zoals hierboven geschetst. Hiermee wordt tevens tegemoet gekomen aan het bepaalde in de Wet bescherming persoonsgegevens. Het doel en de noodzaak van de gegevensverwerking hebben betrekking op de uitgifte en het gebruik van de inlogmiddelen. Bij de Impuls eID is de bescherming van de persoonlijke levenssfeer van de deelnemers expliciet uitgangspunt. In het technisch ontwerp voor de uniforme set van eisen is rekening gehouden met de effecten voor de persoonlijke levenssfeer, met het oogmerk de impact op de privacy zo beperkt mogelijk te houden. Deze aanpak heeft geleid tot een aantal aanpassingen en aanvullingen die daar expliciet op zijn gericht.

In de uniforme set van eisen is rekening gehouden met de veiligheid en de gegevens die circuleren, de privacy van de gebruikers en het gebruikersgemak bij het daadwerkelijke gebruik van de middelen. Deze drie aspecten beïnvloeden elkaar. Om tot een goede balans te komen is privacy by design een van de centrale principes. Hoewel preventieve bescherming van persoonsgegevens – evenals (reactieve) misbruikbestrijding en gebruiksgemak – al in de ontwerpfase, bij zowel het technisch ontwerp als de daarbij behorende juridische en organisatorische kaders nadrukkelijk een ontwerpeis is geweest, acht ik het van belang de uniforme set van eisen, voordat verdere uitbreiding op deelterreinen kan plaatsvinden, te onderwerpen aan een afzonderlijke privacy impact assessment. Deze zal begin 2017 plaatsvinden en zal mogelijk leiden tot een aanpassing van de eisen.

Voor de toelating van inlogmiddelen zal ik een voorafgaande toets op conformiteit met de uniforme set van eisen (laten) uitvoeren. Met betrekking tot de implementatie van de uniforme set van eisen zal met de initiatiefnemer nog nader overleg noodzakelijk zijn om de daadwerkelijke uitrol met de toegelaten inlogmiddelen mogelijk te maken.

De toelating van middelen vindt plaats op basis van nieuwe aansluitovereenkomsten met het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK). De aansluitovereenkomsten over de daadwerkelijke inzet van middelen bij een bepaalde dienst worden tevoren opgesteld op basis van nader overleg met de initiatiefnemers – te weten de Belastingdienst, partijen in het zorgdomein, DUO en mogelijk andere initiatiefnemers. Deze overeenkomsten bevatten aanvullende afspraken – die door mij centraal worden voorbereid – over financiering, aansprakelijkheid, controle op naleving, samenwerking bij misbruikbestrijding, eventuele sancties, doorlooptijd, voorwaarden voor beëindiging en geschillenbeslechting.

Ik zal de komende maanden ter zake nader overleg met de desbetreffende initiatiefnemers voeren. Uitgangspunt voor de invoering is dat de dienstaanbieders in deze fase, maar ook in volgende fases van uitrol, tegen lage kosten en eenvoudig gebruik kunnen maken van de toegelaten middelen. Ik zal mij maximaal inspannen om de invoering voor dienstaanbieders makkelijk te maken.

De toelating van de publieke én private middelen voor deze eerste fase van uitrol zal in september 2017 afgerond dienen te zijn teneinde vanaf oktober 2017 daadwerkelijk gebruikt te kunnen worden. Het streven is om dan zowel publieke middelen als (verscheidene) private middelen te hebben toegelaten, als een basis voor een gelijk speelveld.

3.2.6. Toezicht

Tijdens de eerste fase van de uitrol voorafgaand aan de inwerkingtreding van de nieuwe Wet GDI (zie paragraaf 3.3.1) zal in mijn opdracht, als eigenaar van de generieke voorzieningen en de bijbehorende eisen, feitelijk toezicht worden gehouden op de naleving van de eisen van veiligheid, privacy en betrouwbaarheid, zoals neergelegd in de uniforme set van eisen. Dit wordt in alle aansluitovereenkomsten vastgelegd.

Het feitelijk toezicht strekt zich uit over de aanbieders van inlogmiddelen en de andere bij authenticatie betrokken partijen. In de ontwikkelfase zal ik ambtenaren aanwijzen om toe te zien op de naleving van de door mij gestelde regels.

Daarnaast worden maatregelen getroffen om snel en adequaat te kunnen reageren op het moment dat incidenten zich voordoen of misbruik wordt geconstateerd. Hiermee wordt uitvoering gegeven aan het advies van de Autoriteit Persoonsgegevens ter zake.

Het toezicht richt zich niet rechtstreeks op burgers die gebruik maken van de middelen. Burgers bepalen zelf of ze een toegelaten privaat of publiek inlogmiddel willen gebruiken. Ik kan op verzoek van een burger diens DigiD laten blokkeren of opheffen. Signalen van fraude of misbruik zullen worden gedeeld met de verantwoordelijke aanbieder van een privaat inlogmiddel teneinde het middel in voorkomende gevallen te laten blokkeren. Voorts kan ik de toegang tot elektronische dienstverlening via een bepaald middel onderbreken bij het vermoeden van misbruik of oneigenlijk gebruik van het desbetreffende middel.

Indien blijkt dat niet wordt voldaan aan de uniforme set van eisen of de eventuele aanvullende (contractuele) afspraken die zijn gemaakt, kan ik in het uiterste geval de erkenning van een privaat middel als zodanig of de aansluiting van een private aanbieder op het BSN-koppelregister feitelijk beëindigen.

3.2.7. Financiering in eerste fase

Met de genoemde brief van 25 augustus 2016 heb ik uw Kamer geïnformeerd over de uitgangspunten van financiering. Hierin heb ik u gemeld dat de impuls eID is gefinancierd. Daarnaast heb ik uitgangspunten voor structurele financiering met u gedeeld in deze brief, met als belangrijkste conclusie dat een deel van de kosten doorbelast worden aan de dienstaanbieders.

Daarna heb ik bij brief van 9 november 2016¹¹ de geactualiseerde businesscase voor de investering in het eID-stelsel in het publieke domein met middelen op de betrouwbaarheidsniveaus substantieel en hoog aan u doen toekomen. In aanloop naar de voorjaarsnota 2017 werk ik aan een voorstel voor de structurele bekostiging en doorberekening van de kosten op basis van de uitgangspunten uit de door mij verzonden brieven en de businesscase. Vanzelfsprekend zal in deze eerste fase de financiering van elke uitbreiding op een bepaald deelterrein – en dus ook de doorbelasting van de kosten van het gebruik van publieke en private middelen aan dienstaanbieders – geregeld moeten zijn voordat deze feitelijk kan starten.

3.3 Tweede fase uitrol eID-stelsel

3.3.1 Voorontwerp Wet generieke digitale infrastructuur (GDI)

De bestaande wetgeving is voor een volledige invoering van Impuls eID, in het volledige BSN-domein, ontoereikend. In de huidige wetgeving is invoering slechts mogelijk met medewerking van dienstaanbieders. Bovendien zijn er nog wettelijke beperkingen aan het doorbelasten van de kosten (aan burgers) van het verstrekken van publieke middelen. Om die reden heeft het kabinet besloten tot de voorbereiding van nieuwe, generieke, wetgeving. De invoering daarvan wordt door mij voorbereid, maar zal naar verwachting onder verantwoordelijkheid van het nieuwe kabinet plaatsvinden. Ter uitwerking van die nieuwe wetgeving is een voorontwerp voor de Wet generieke digitale infrastructuur (GDI) opgesteld, waarmee beoogd wordt de juridische basis te bieden voor de generieke regels inzake toegang tot elektronische dienstverlening door de overheid en aan te wijzen semipublieke instellingen (in het BSN-domein). De eerste tranche van dit wetsvoorstel, dat parallel met deze brief openbaar wordt gemaakt met het oog op een brede consultatie – o.a. via www.internetconsultatie.nl – bevat hiertoe onder meer een acceptatieplicht voor bestuursorganen met betrekking tot erkende identificatiemiddelen op het betrouwbaarheidsniveau «substantieel» en «hoog». Ook voorziet het wetsvoorstel in de grondslag voor het stellen van algemene eisen inzake veiligheid en betrouwbaarheid van publieke en private middelen en partijen.

Het wetsvoorstel voorziet tot slot in een grondslag voor de verwerking van persoonsgegevens door private partijen in de authenticatieketen, maatregelen in geval van misbruik en bepalingen inzake toezicht. Ook toezicht en financiering hebben een wettelijke borging. Na totstandkoming van deze wet zullen de thans in de uniforme set van eisen opgenomen voorschriften, mede aangepast op basis van opgedane ervaringen, worden geïncorporeerd in uitvoeringsregelgeving op grond van deze nieuwe wet.

Het voorontwerp is beperkt tot regulering van inlogmiddelen en het verplicht stellen van standaarden. Andere bouwstenen van de generieke digitale infrastructuur vormen het onderwerp van een volgende tranche van deze wet.

3.3.2 Structurele financiering

In lijn met de financiering van de 1e fase, zal de uiteindelijke structurele en duurzame financiering van het eID stelsel en de middelen geschieden conform de in mijn brief van 25 augustus 2016 genoemde uitgangspunten. Deze zullen ook juridisch verankerd worden in de nieuwe Wet GDI waarbij uiteraard de gevolgen voor de rijksbegroting een plaats krijgen in de reguliere begrotingscyclus.

3.3.3 Uitfaseren DigiD basis

Hiervoor ben ik ingegaan in op de gefaseerde invoering van het gebruik van private en publieke eID-middelen op de betrouwbaarheidsniveaus substantieel en hoog. Dit heeft tevens betekenis voor het bestaande publieke middel DigiD Basis, welke de komende jaren zal worden uitgefaseerd. Het huidige DigiD Basis is betrouwbaar en veilig voor de transacties waarvoor dit middel bedoeld is. Met het oog op de verdere digitalisering van de dienstverlening is echter een impuls nodig, zoals ook geschetst in mijn brief van 25 augustus jl. Mede in het licht van de motie van het lid Amhaouch uit uw Kamer inzake maatregelen voor een veilig en betrouwbaar gebruik van DigiD¹², is het van belang te benadrukken dat terwijl nieuwe generaties eID-middelen ontwikkeld worden, ik omwille van veiligheid en betrouwbaarheid blijf investeren in DigiD Basis zolang dit middel in gebruik is. Hierover heb ik uw Kamer eerder geïnformeerd.¹³ Dat laat onverlet dat het kabinet momenteel werkt aan de transitie naar nieuwe vormen van dienstverlening en mede met het oog op verdere technologische ontwikkelingen daarbij kiest voor de op langere termijn passende inlogmethoden. De snelheid waarmee private en publieke eID-middelen op de betrouwbaarheidsniveaus substantieel en hoog kunnen worden ingevoerd, zal mede bepalend zijn voor het tempo van uitfaseren van DigiD Basis.

4. Besturing

4.1 Algemeen

Zoals toegezegd in het algemeen overleg op 29 september 2016 zal ik in deze brief ook ingaan op de besturing, de zogenoemde governance.

Een complexe moderniseringsopgave zoals de onderhavige vereist heldere doelstellingen en een strakke regie, met eenduidige verantwoordelijkheden. Het kabinet heeft de centrale regie van het programma bij de Minister van BZK gelegd, die verantwoordelijk is voor zowel de inrichting en het beheer van het nieuwe publiekrechtelijke kader waarin verschillende publieke en private identificatiemiddelen kunnen worden gebruikt, als voor de ontwikkeling en het beheer van nieuwe publieke eID-middelen, onder andere op de Nederlandse identiteitskaart en het rijbewijs. Ook is de Minister van BZK verantwoordelijk voor adequate wet- en regelgeving, die enerzijds duidelijkheid en legitimiteit biedt en anderzijds ruimte laat voor nieuwe ontwikkelingen.

4.2 Rol Minister BZK

De Minister van BZK heeft binnen het kabinet een centrale rol als verantwoordelijke voor de ontwikkeling en het beheer van de publieke middelen (DigiD)¹⁴ en is eigenaar van het BSN-koppelregister dat nodig is om private middelen te laten werken alsmede van de overige generieke functionaliteiten van het eID-stelsel. De Minister van BZK beheert deze noodzakelijke centrale voorzieningen, zonder welke de elektronische transacties met de vereiste privacybescherming niet mogelijk zijn. Dat geldt zowel nu, in de voorfase van de pilots, als tijdens de stapsgewijze invoering op deelterreinen in 2017. En dat zal ook zo zijn in de eindfase, na volledige invoering in het gehele BSN-domein.

Vanuit mijn verantwoordelijkheid heb ik een centrale rol in het bewaken van de continuïteit van de publieke middelen onder de naam DigiD en de rechtmatigheid van het gebruik van het BSN-koppelregister bij het gebruik van publieke en private middelen in het BSN-domein. Dit is reeds het geval op grond van de huidige wet- en regelgeving en er zijn geen voornemens dit te veranderen. Bij het toelaten van publieke en private middelen in een specifieke sector maken op dit moment de dienstaanbieders en de aanbieders van de publieke en private middelen onderling afspraken over die invoering. Vanuit mijn verantwoordelijkheid zoals hiervoor geschetst, zal ik echter algemene eisen stellen inzake veiligheid, betrouwbaarheid en privacy en eisen stellen aan de technische en organisatorische voorzieningen. Ook stel ik kaders voor de beheersbaarheid. De door mij gelijktijdig met deze brief openbaar gemaakte uniforme set van eisen vormt daar een uitwerking van.

Ten slotte ben ik als vakminister ook verantwoordelijk voor de invulling van die eisen en kaders voor één van de beoogde publieke middelen: de identiteitskaart.

4.3 Interdepartementale en interbestuurlijke afstemming

Bij de verdere inrichting van het eID-stelsel zal de formele besluitvorming op strategisch niveau over formele wetgeving en financiering plaatsvinden onder regie van de Minister van BZK, die daarbij in voorkomende gevallen voorstellen aan de ministerraad voorlegt. Voorstellen daarvoor worden interdepartementaal voorbereid via de door de ministerraad ingestelde hoogambtelijke stuurgroep op basis van reguliere voorafgaande interdepartementale ambtelijke afstemming.

Deze stuurgroep richt zich op het geheel van de Impuls eID. De stuurgroep bestaat uit directeuren-generaal van de Ministeries van Volksgezondheid, Welzijn en Sport (VWS), Sociale Zaken en Werkgelegenheid (SZW), Onderwijs, Cultuur en Wetenschap (OCW), Economische Zaken (EZ) en Financiën, aangevuld met een directielid van de Vereniging van Nederlandse Gemeenten (met het oog op interbestuurlijke beleidsimplicaties) en staat onder voorzitterschap van de betrokken directeur-generaal van BZK. Het Ministerie van Infrastructuur en Milieu is agendalid. Ook het Nationaal Beraad Digitale Overheid (onder voorzitterschap van de Digicommissaris) beschikt over de agenda van de stuurgroep. De voorzitter van de DG-stuurgroep draagt in aanvulling hierop zorg voor een structurele verbinding tussen deze stuurgroep en het Nationaal Beraad op het punt van de duurzame financiering en de nieuwe generieke wetgeving. Indien overeenstemming ontbreekt, wordt op de gebruikelijke wijze opgeschaald, zo nodig naar politiek-bestuurlijk niveau.

4.4. Afstemming en consultatie op tactisch en operationeel niveau

Op tactisch en operationeel niveau zorgt BZK voor de uitvoering van de Impuls eID, waaronder het vaststellen van kaders en randvoorwaarden en stuurt BZK de implementatie aan. De Impuls eID heeft een brede scope en raakt alle sectoren en bestuurslagen. Juist om die reden heeft het kabinet besloten dat de regie op de realisatie van de impuls eID centraal belegd is bij één Minister(ie).

Een goed functionerende eID-infrastructuur is voor alle partijen van belang, zowel voor de verschillende (semi)overheidspartijen als voor de betrokken private partijen. Dat wederzijds belang doet zich zowel voor op strategisch, als op tactisch en operationeel niveau. Voor de besturing van het ontwikkelproces zijn de volgende overwegingen van belang.

In de eerste plaats moet voor iedereen helder zijn op welke manier, binnen welk tijdskader en door wie beslissingen worden genomen. Dit geldt zowel voor de meer strategische besluiten, zoals de centrale voorzieningen en generieke regelgeving, als ook voor tactische besluiten (zoals bijvoorbeeld over architectuur en bijbehorende werkprocessen) en voor operationele besluiten.

Optimalisatie van het inrichtingsproces vergt voorts dat het helder is welke standaarden, processen en technieken gebruikt worden en welke keuzes daarbij gemaakt zijn. Door alle belanghebbenden bij de voorbereiding te betrekken, wordt voorkomen dat essentiële punten over het hoofd worden gezien. Door alle betrokkenen tijdig en op transparante wijze hun inbreng te laten hebben bij de besluiten, kan het meest recht worden gedaan aan de verschillende belangen. Dat creëert dan weer draagvlak, omdat voor iedereen helder wordt welke keuzes worden gemaakt en hoe daarbij rekening wordt gehouden met de verschillende belangen. De betrokkenen stemmen onderling af over gemeenschappelijke doelstellingen, uitgangspunten, acties, resultaten en tijdlijnen. Dit doet niet af aan de formele besluitvorming zoals hiervoor geschetst. BZK zal als beheerder van de uniforme set van eisen in 2017 het initiatief nemen voor de verdere inrichting van het overleg zoals hiervoor bedoeld.

4.5 Stand van zaken overleg met private partijen

In de periode na het Algemeen Overleg van 29 september jl. heeft het Ministerie van BZK gesprekken gevoerd met de private partijen die betrokken zijn bij de Impuls eID. Zo is gesproken met afgevaardigden van de governance van Idensys, met de leveranciers van inlogmethoden en met de Betaalvereniging Nederland, eigenaar van iDIN. In deze gesprekken is de besturing van de Impuls eID aan de orde gekomen, de uniforme set van eisen en de wijze waarop zij betrokken (willen) worden. Afgesproken is dat consultatie van private partijen over de uniforme eisen plaats zal vinden, waarbij wat mij betreft het streven naar uitvoerbaarheid en betaalbaarheid het uitgangspunt is. Mogelijkheden om – zoveel mogelijk – in de komende 1^e fase een gelijk speelveld te waarborgen werden tevens verkend.

Belangrijk is dat ook in het vervolgproces zowel de dienstaanbieders als de aanbieders van private elektronische identificatiemiddelen continu betrokken blijven. Vooral ook als manier om kritiek en tegengeluiden te kunnen horen. Deze betrokkenheid en mogelijkheid om mede op basis daarvan zaken af te stemmen en bij te sturen, past bij de stapsgewijze aanpak van Impuls eID. De uitvoerbaarheid van het geheel is essentieel, zowel aan de kant van de aanbieders van publieke en private middelen als aan de kant van de dienstaanbieders.

Verder is er herhaaldelijk aandacht gevraagd voor een gelijk speelveld voor de verschillende toegelaten middelen. Een volledig gelijke positie van publieke en toegelaten private middelen is niet mogelijk. Om te beginnen zal de overheid met het publieke middel niet op de commerciële markt gaan opereren, terwijl private middelen dat bij uitstek wél kunnen.

Anderzijds dient de overheid te allen tijde een publiek middel aan te bieden en zal zij dat hoe dan ook moeten financieren, zij het dat de kosten daarvan evenals bij private middelen in beginsel wel zullen worden doorbelast.

Bij de beoogde multimiddelenaanpak is het van belang dat de private middelen ten opzichte van de publieke middelen voor de burger een gelijkwaardige keus zijn en dat de toegelaten middelen aan dezelfde (uniforme) eisen moeten voldoen.

Voor het welslagen van de multimiddelenaanpak zal het ten slotte essentieel zijn dat er in voldoende mate betaalbare private middelen beschikbaar zijn om in te loggen in het BSN-domein, als alternatief voor het publieke middel.

Omdat zowel de initiatiefnemers in de publieke sector en in de zorg als de private middelenaanbieders behoefte hebben aan helderheid over het proces van toelating en de financiële kaders, zal ik zo spoedig mogelijk een leidraad ter zake openbaar maken.

6. Vooruitblik 2017

In mijn brief van 25 augustus jl. heb ik u gemeld dat de Belastingdienst en de zorgsector betrokken willen zijn bij de gefaseerde implementatie van de multimiddelenaanpak. Nadien is duidelijk geworden dat ook DUO (Dienst Uitvoering Onderwijs) dit overweegt.

Ik ben met deze initiatiefnemers in gesprek over de concretisering van de voornemens, de juridische, technische en financiële voorwaarden waaronder eventueel gewenste uitbreiding van pilots alsmede de invoering in de in deze brief geschetste eerste uitrolfase van publieke en private middelen op de betrouwbaarheidsniveaus substantieel en hoog, kunnen plaatsvinden en de termijn waarop dit kan worden gerealiseerd.

Uitgangspunt is dat ik de uitbreidingen mogelijk maak door middel van de generieke voorzieningen, maar dat de daadwerkelijke invoering – binnen dat stelsel – plaatsvindt onder verantwoordelijkheid van resp. de Staatssecretaris van Financiën, de Minister van VWS en de Minister van OCW, met inachtneming van de kaders, zoals eerder geschetst.

Rond 1 juli 2017 zal ik de Kamer in een volgende voortgangsrapportage over de Impuls eID nader informeren over de stand van zaken van de voorbereiding van de eerste fase van de uitrol.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, R.H.A. Plasterk

---

1 Kamerstuk 26 643, nr. 419.

2 De betrouwbaarheidsniveaus «substantieel» en «hoog» verwijzen naar de voor eID-middelen krachtens de Europese regelgeving geldende maatstaven. Zie hiervoor: Verordening (EU) nr. 910/2014 van het Europees parlement en de Raad van 23 juli 2014 betreffende elektronische identificatie en vertrouwensdiensten voor elektronische transacties in de interne markt en tot intrekking van Richtlijn 1999/93/EG (PbEU 2014, L 257), de zgn. eIDAS-verordening.

3 Kamerstukken 31 490 en 26 643, nr. 221.

4 Eindrapport Parlementair onderzoek naar ICT-projecten bij de overheid (Kamerstuk 33 326, nr. 5, blz. 115).

5 zie Kamerstuk 26 643, nr. 392.

6 Bijlage bij Kamerstuk 26 643, nr. 419.

7 Zie artikel X Wet Elektronisch berichtenverkeer en het daarop gebaseerde Besluit verwerking persoonsgegevens GDI en Regeling voorzieningen GDI).

8 Thans in de vorm van deelnemersovereenkomsten, algemene aansluitvoorwaarden en bewerkersovereenkomsten.

9 Versie 2.0, zijnde versie 1.0 met eventuele daarop volgende aanpassingen uit de consultatie en latere wijzigingen.

10 Raadpleegbaar via www.tweedekamer.nl.

11 Kamerstuk 26 643, nr. 425.

12 Kamerstuk 34 550 VII, nr. 24.

13 Zie Kamerstuk 26 643, nrs. 332, 352 en 372.

14 Inclusief DigiD niveau «Hoog» via een eID op de Nederlandse Identiteitskaart, naast het eID op het Rijbewijs.