27 859 Modernisering Gemeentelijke Basisadministratie persoonsgegevens (GBA)

Nr. 91 BRIEF VAN DE MINISTER VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 15 april 2016

In de brief van 28 oktober 2013 (Kamerstuk 27 859, nr. 68) heb ik toegezegd uw Kamer regelmatig¹ te informeren over de stand van zaken van Operatie BRP, het programma dat zorg draagt voor de realisatie en de implementatie van de nieuwe technische voorzieningen voor het bijhouden en verstrekken van persoonsgegevens, de Basisregistratie Personen (BRP). Op 17 februari 2016 heb ik uw Kamer tussentijds bericht (Kamerstuk 27 859, nr. 88) over de consequenties van de op advies van het Bureau ICT Toetsing (BIT) opgestelde integrale planning van het programma en over mijn reactie op het advies van het BIT. In de bijlage bij deze brief ontvangt u de reguliere rapportage van Operatie BRP². Het is de vijfde rapportage in deze vorm, deze gaat over de maanden oktober 2015 tot en met maart 2016.

Ik ga hierna kort in op de belangrijkste resultaten van het programma in de verslagperiode. Daarnaast maak ik van de gelegenheid gebruik u te informeren over werkzaamheden in het kader van Operatie BRP van de Rijksdienst voor Identiteitsgegevens (RvIG, de beheerorganisatie van de BRP), het verloop van de tweede inzageronde in de code van de BRP en de dekking van de aanvullende kosten van het programma.

Resultaten programma

Het programma heeft in de verslagperiode weer een aantal belangrijke stappen gezet in de ontwikkeling en voorbereiding van de implementatie van de nieuwe voorzieningen voor de bevolkingsadministratie. De belangrijkste resultaten in de verslagperiode zijn:

• De eerste twee (van de in de integrale planning voorziene acht) releases zijn gerealiseerd, getest, gedemonstreerd en de software is opgeleverd voor acceptatie. Deze releases bevatten de resterende onderdelen van de mutatielevering, functionaliteit voor autorisatie en authenticatie, voor het leveren van het verblijfsrecht en onderzoek, de eerste versie van de beheerfunctionaliteit en generieke onderdelen van de bijhouding (fiattering en duale bijhouding).

• De realisatie van de derde release is volgens planning gestart.

• De testen voor de acceptatiefase zijn uitgevoerd voor de eerder opgeleverde software voor de initiële vulling en het synchroon houden van de BRP.

• KPMG heeft een derde review op de codekwaliteit uitgevoerd, de aanbevelingen zijn opgepakt³.

• De tweede ronde inzage in de broncode van de BRP heeft in maart 2016 plaatsgevonden. Daarbij zijn geen kwetsbaarheden geconstateerd, verderop in deze brief informeer ik u nader.

• De voorbereidingen voor het bij alle afnemers uitvragen van de aansluitstrategie zijn uitgevoerd en de eerste brieven hierover zijn verstuurd.

• Er is, onder andere naar aanleiding van het advies van het BIT, een actualisering van de Business Case van het programma gerealiseerd. Deze laat zien dat de Business Case voor het programma ongewijzigd (positief) is. De validatie is uitgevoerd door Cap Gemini en het bijbehorende rapport is te vinden op www.operatiebrp.nl.

Werkzaamheden beheerorganisatie

BIT adviseerde de beheerorganisatie (de Rijksdienst voor Identiteitsgegevens, RvIG) intensiever te betrekken bij Operatie BRP. In de reactie op het BIT-advies (Kamerstuk 27 859, nr. 88) is al ingegaan op hoe dat vorm krijgt. Ik hecht er aan uw Kamer, ook in het licht van het advies van het BIT, hierbij nader te informeren over de wijze waarop RvIG betrokken is bij het programma.

Het afgelopen jaar is de betrokkenheid van de Rijksdienst bij het programma geïntensiveerd, wat past bij de fase waarin het programma zich bevindt. Immers de bouw vordert en de inbeheername van de voorzieningen komt in zicht. Er lopen bij de beheerorganisatie dan ook diverse initiatieven om deze voor te bereiden. Deze betreffen aanpassing van bestaande ICT-systemen die nu aan de GBA-V (de centrale voorziening voor verstrekkingen uit de GBA’s) zijn gekoppeld en straks een koppeling met de BRP hebben. Voorts gaat het hier om het inrichten van de benodigde infrastructuur, ondersteuning van afnemers en gemeenten tijdens de transitieperiode en de inbeheername van het stelsel⁴.

RvIG werkt daarnaast mee aan de acceptatietesten en is intensief betrokken bij de ontwikkeling van de beheerfunctionaliteit.

De werkzaamheden van RvIG in het kader van Operatie BRP maken geen deel uit van het programma en komen daarom ook niet expliciet aan de orde in de reguliere voortgangsrapportages over Operatie BRP.

Inzage in broncode BRP

In maart hebben externe partijen voor de tweede keer⁵ de gelegenheid gehad de broncode van de BRP in te zien. De inzage vond plaats op de op dat moment beschikbare, werkende software van de BRP.

Het doel van de externe inzage is enerzijds het transparant maken van de voortgang van de ontwikkeling van de centrale voorziening van de BRP en anderzijds de mogelijkheid bieden om eventuele kwetsbaarheden in de beveiliging van het systeem te signaleren.

Een belangrijk punt uit de evaluatie van vorige inzageronde was om meer belangstelling te genereren voor de inzage. Het nieuwsbericht over de inzagemogelijkheid is daarom aangeboden voor publicatie aan diverse vakbladen en er is contact opgenomen met twee technische universiteiten om hen te wijzen op de mogelijkheid tot inzage.

Twee partijen hebben de code ingezien en hebben gemeld dat ze geen kwetsbaarheden hebben gevonden.

Ondanks de geringe belangstelling voor de inzage, zal ik de mogelijkheid tot inzage in werkende versies van de software blijven bieden. Het biedt transparantie over de voortgang van het programma en mogelijkheden om kwetsbaarheden te signaleren. Daarom zal het programma zich inspannen om zo veel mogelijk ruchtbaarheid aan de mogelijkheid tot inzage te geven. De volgende inzageronde zal naar verwachting in het voorjaar van 2017 plaatsvinden.

Dekking extra kosten i.v.m. uitloop

In mijn vorige brief (Kamerstuk 27 859, nr. 88) meldde ik dat uit de integrale planning blijkt dat het programma meer tijd nodig heeft dan eerder gemeld, en dat dat een kostenpost van € 8,6 miljoen betekent. Inmiddels is in de interbestuurlijke stuurgroep Operatie BRP (met vertegenwoordigers van gemeenten en uitvoeringsorganisaties) afgesproken dat de post onvoorzien (gefinancierd met middelen van de gebruikers van de BRP) wordt ingezet om het tekort deels te dekken. Voor financiering van het resterende deel heb ik ruimte gevonden binnen mijn begroting.

In het najaar van 2016 ontvangt u de volgende reguliere voortgangsrapportage van Operatie BRP.

De Minister van Binnenlandse Zaken en Koninkrijksrelaties, R.H.A. Plasterk

---

1 In ieder geval bij alle faseovergangen, en minimaal twee maal per jaar.

2 Raadpleegbaar via www.tweedekamer.nl

3 Op www.operatiebrp.nl staan de rapportages van KPMG van alle code reviews en ook de reacties van het programma op de aanbevelingen.

4 Het stelsel behelst alles wat nodig is in het kader van de inrichting van de Basisregistratie Personen, onder andere de vertaling van wet- en regelgeving in autorisatiesystematiek, financieringssystematiek, governance, uitvoeringsprocedures, voorlichting en toetsing.

5 Over de eerste inzageronde en de evaluatie door KPMG daarvan heb ik uw Kamer eerder geïnformeerd (Kamerstuk 27 859, nr. 81).