Brief regering : Bestuurlijke reactie BIT- advies programma VRS

Nr. 127 BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 13 juli 2020

Het Bureau ICT Toetsing (BIT) heeft op 23 juni 2020 het advies opgeleverd over het
programma Verbeteren Reisdocumentenstelsel (VRS) bij de RvIG. Ik dank het BIT voor
het uitgebrachte advies, dat ik als waardevol beschouw. Met deze brief bied ik u het
BIT-advies en mijn reactie op dit advies aan1.

Het BIT begrijpt de noodzaak om het reisdocumentenstelsel te verbeteren en constateert
dat er draagvlak is bij de betrokken partijen voor het oplossen van belangrijke knelpunten.
Het BIT is echter kritisch ten opzichte van het risicoprofiel van het programma.

Het BIT beschrijft drie omstandigheden die de tijdigheid van het programma bedreigen
waardoor VRS belangrijke knelpunten later oplost dan nodig is. Het gaat om een opeenstapeling
van risicovolle keuzes op het terrein van beleid, ICT en wetgeving. Daarnaast leidt
volgens het onderzoek de gehanteerde aanpak tot onvoldoende resultaten. Ten slotte
ontbreekt er een gedegen uitwerking ten aanzien van beveiliging en privacy.

Het BIT adviseert, in het kort, de scope van het programma aan te passen in de zin
dat alleen de noodzakelijke activiteiten voor realisatie en ontsluiting van een centraal
register van alle uitgegeven reisdocumenten wordt uitgevoerd. De focus komt dan te
liggen op het sneller opleveren van resultaten en het uitwerken van de kaders voor
beveiliging en privacy. Door deze ingrepen kan VRS gerichter en met minder risico’s
een groot deel van de knelpunten oplossen. Het BIT vraagt mij tevens te overwegen
de resterende activiteiten onder te brengen in een apart project en over de voorzetting
daarvan een besluit te nemen als er duidelijkheid is over de beleidsmatige keuzes
die tot wetgeving over biometrie moeten leiden, en over de te maken keuzes ten aanzien
van leveranciers en technologie.

Mijn reactie

Bij brief van 26 juni 20192 heb ik u geïnformeerd over het programma VRS. Hierin heb ik aangegeven dat de ICT-architectuur
achter het stelsel van aanvraag en uitgifte van paspoorten en id-kaarten gedateerd
is en dat door de uitgevende instanties uit verschillende (centrale en decentrale)
registers, die niet altijd bijgewerkt zijn, informatie verzameld moet worden. Dit
is een tijdrovend en fout- en fraudegevoelig proces. Ik heb toen aangegeven een kwaliteitsslag
te willen maken naar een situatie waarin de processen, procedures en registers worden
gecentraliseerd en gedigitaliseerd naar de standaarden van deze tijd. Hierdoor wordt
de aanvraag en uitgifte van paspoorten en id-kaarten gemakkelijker en kan fraude beter
worden voorkomen.

Het BIT ziet dat VRS hiertoe een groot aantal ingrijpende veranderingen moet doorvoeren
in het systeemlandschap van het reisdocumentenstelsel. Bij de noodzaak van voorziene
veranderingen en de afzonderlijke stappen die daarin moeten worden genomen zet het
BIT geen vraagtekens. Ik zie het BIT-advies daarom als een aanmoediging om door te
gaan met VRS en dit programma tot een goed einde te brengen. Tegelijkertijd neem ik
de adviezen van het BIT ter harte om het risicoprofiel te verlagen. Hieronder ga ik
kort in op de oorspronkelijke opzet van VRS. Daarna geef ik aan welke veranderingen
ik ga aanbrengen naar aanleiding van het BIT-advies (aan de hand van de afzonderlijke
delen van het advies 1, 2 en 3).

Oorspronkelijke opzet VRS

De verbeteringen die het programma VRS realiseert, bouwen voort op het nieuwe basisregister
dat wordt gecreëerd met de recent tot stand gekomen wijziging van de Paspoortwet in
verband met de invoering van de elektronische identificatie (eNIK) Stb. 2020, 104). In dit nieuwe basisregister worden de gegevens opgenomen welke nodig zijn voor
nieuwe aanvragen en gegevens over vermiste, gestolen en van rechtswege vervallen documenten.
Dit wordt een centraal register.

Daarnaast, en dit is de kern van het programma VRS, is het de bedoeling dat:

1. niet alleen gegevens over nieuwe aanvragen worden geregistreerd maar alle aanvraaggegevens
uit de decentrale Reisdocumenten Aanvraag en Archiefstations (RAAS-en) worden overgezet
naar het centrale basisregister in een overheidsdatacentrum. Dus ook alle historische
gegevens uit de RAAS-en worden overgezet naar dit centrale basisregister. Zo ontstaat
één compleet centraal register, digitaal benaderbaar, waarin alle gegevens over uitgegeven
documenten zijn opgeslagen.

2. de biometrische gegevens uit de RAAS-en apart centraal worden opgeslagen in een overheidsdatacentrum.
Uitgevende instanties moeten nu nog bellen of e-mailen om deze gegevens van een andere
instantie te ontvangen. Dit doen zij om de identiteit van een aanvrager te kunnen
controleren op het moment dat er binnen de eigen reisdocumenten-administratie geen
historie van deze persoon beschikbaar is (bijvoorbeeld nadat iemand is verhuisd).
Het opvragen zal na deze wijziging via dit overheidsdatacentrum verlopen. Deze gegevens
blijven onder decentrale verantwoordelijkheid en binnen de huidige wettelijke kaders
ten aanzien van de verantwoordelijkheid. In deze voorziening worden verder geen persoonsgegevens
opgeslagen. Hierdoor is de biometrie binnen de voorziening niet direct tot een persoon
te herleiden.

Na de twee bovenstaande verplaatsingen van gegevens zijn de (ca. 500) decentrale RAAS-en
niet meer nodig en worden die uitgefaseerd. Er zijn twee overzichtelijke, centrale
systemen gecreëerd die goedkoper en makkelijker te onderhouden zijn.

Veranderingen naar aanleiding van het BIT-advies

Zoals boven aangegeven adviseert het BIT de scope van VRS te beperken, te zorgen dat
de aanpak leidt tot snel implementeerbare resultaten, te zorgen voor een gedegen uitwerking
van beveiliging en privacy en te overwegen de resterende activiteiten onder te brengen
in een apart project en over de voorzetting daarvan pas te besluiten als er duidelijkheid
is over de beleidsmatige keuzes die tot wetgeving over biometrie moeten leiden en
de te maken keuzes ten aanzien van leveranciers en technologie.

Gezien dit advies verander ik het programma VRS op de volgende punten:

Ten aanzien van advies 1: «Beperk de scope van VRS»

Het programma wordt in twee fases gedeeld.

• Er wordt gewerkt aan de technische realisatie van het biometrieregister en de functionaliteit
waarmee de RAAS-en uitgefaseerd kunnen worden, als er voldoende zekerheid is over
de invoering van het wetsvoorstel biometrie. Afhankelijk van te maken keuzes en de
haalbaarheid van technische implementatie kan een (Rijks)wetsvoorstel in de loop van
2022 bij uw Kamer worden ingediend.

• Door deze fasering wordt er niet gewerkt aan de technische realisatie van het biometrieregister
en de functionaliteit waarmee de RAAS-en uitgefaseerd kunnen worden, zolang er onvoldoende
zekerheid is over de invoering van het wetsvoorstel biometrie.

• In fase 1 wordt het centrale basisregister gerealiseerd inclusief de daarmee mogelijke
verbeteringen in het aanvraag- en uitgifteproces. Het oorspronkelijke streven om signaleringen
in het register paspoortsignaleringen (RPS) direct raadpleegbaar te maken in het aanvraagproces
van paspoorten en identiteitskaarten blijft onderdeel van fase 1. Dit is in lijn met
het BIT advies en brengt grote voordelen voor de uitgevende instanties met zich mee.
Ik ga nog na of de verbetering van het proces voor signaleringenbeheer en StopID3, zonder hinder voor de voortgang, kan plaatsvinden in fase 1.

• In fase 2 zal de centrale opslag van biometrie worden gerealiseerd. Zowel het denken
over de beleidsmatige impact van centrale opslag van biometrie als het ontwerp van
de wetgeving daarvoor gaan onverminderd door. Het is echter geen afhankelijkheid meer
voor het realiseren van de resultaten van fase 1.

• Er komt een duidelijk gemarkeerd beslismoment waarop wordt afgewogen of en wanneer
fase 2 wordt gestart.

Ten aanzien van advies 2: «Zorg dat de aanpak leidt tot snel implementeerbare resultaten»

• De gehanteerde aanpak van het programma wordt op de bovenstaande fasering afgestemd.
Gedurende elke fase worden stapsgewijs bruikbare producten opgeleverd.

• Tijdens de praktijkproef die nu loopt wordt het realisatiewerk tot eind 2021 ingeschat.

• Inmiddels is een transitiestrategie uitgewerkt.

• Om beter in staat te zijn de implementatie te organiseren heeft het programma inmiddels
voorzien in de benoeming van een implementatiemanager.

Ten aanzien van advies 3: «Zorg voor een gedegen uitwerking van beveiliging en privacy»

• Ten aanzien van de beveiliging en privacy worden de adviezen geïmplementeerd. Deze
zijn al eerder, als essentiële onderdelen van het programma, erkend.

• Ten tijde van de uitvoering van de interviews voor de BIT-toets waren er op dit gebied
nog slechts principes en uitgangspunten, zoals onder meer verwoord in de programma-startarchitectuur,
voorhanden. Inmiddels stelt het programma een aantal beveiliging-impactanalyses en
privacy-impactanalyses en informatiebeveiligingsplannen op. Bovendien is er een werkgroep
privacy en security gevormd, waarin privacy en security integraal vorm krijgen. De
Chief Information Security Officer en privacy officer van RvIG participeren in deze
werkgroep. Deze werkgroep werkt momenteel aan de kaders voor de realisatiefase van
de lopende praktijkproef. Naar verwachting zijn komende november de kaders beschikbaar
voor het realisatiewerk dat volgend jaar wordt uitgevoerd.

Ten aanzien van het advies 4: «te overwegen de resterende activiteiten onder te brengen
in een apart project en over de voorzetting daarvan pas te besluiten als er duidelijkheid
is over de beleidsmatige keuzes die tot wetgeving over biometrie moeten leiden en
de te maken keuzes ten aanzien van leveranciers en technologie».

Bij het opstellen van het aangepaste plan van aanpak zullen de resterende activiteiten
worden geplaatst in de meest passende fase met inachtneming van het bovenstaande advies.

Samenvattend

Dit geheel overziend kom ik met deze aanpassingen zowel tegemoet aan het advies van
het BIT het programma een verlaagd risicoprofiel te geven als aan de wens van de betrokken
partijen om de veranderingen die VRS voorstaat zo goed mogelijk tot uitvoering te
laten komen. De fasering maakt het beter mogelijk de processen rondom het basisregister
te realiseren, het ingewikkelde proces rondom beveiliging/privacy en het (beleidsmatig
en juridisch) voorbereiden van de wetgeving nodig voor het biometrieregister zorgvuldig
te doorlopen en het gesprek met uw Kamer daarover te voeren.

Vervolg

Ik heb u hierbij op hoofdlijnen geschetst hoe ik tegen dit BIT-advies aankijk en welke
aanpassingen ik wil doorvoeren in het programma VRS om sneller resultaat te halen.
Deze aanpak wordt door mij nader uitgewerkt in een aangepast plan van aanpak. Ik stuur
u dit najaar een informerende brief over de voortgang van het programma VRS. Vanwege
de wijzigingen die op aanwijzing van het BIT worden aangebracht voeg ik daarbij een
nieuwe planning van het programma en de wetgeving en een herberekening van de kosten.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
R.W. Knops