Nota n.a.v. het (nader/tweede nader/enz.) verslag : Nota naar aanleiding van het verslag

Nr. 6
NOTA NAAR AANLEIDING VAN HET VERSLAG

Ontvangen 21 december 2018

Inhoudsopgave

I

Algemeen

1

 
 
 

1.

Inleiding

1

2.

Standaarden

8

3.

Elektronische identificatie (eID)

13

4.

Privacy

21

5.

Misbruik van de GDI

22

6.

Toezicht en handhaving

22

7.

Financiële bepalingen en -gevolgen

25

8.

Verhouding tot andere wetgeving

28

9.

Gevolgen voor burgers en bedrijven

29

10.

Overgangsrecht en inwerkingtreding

30

11.

Consultatie en advies Autoriteit Persoonsgegevens

30

 
 
 

II

Artikelsgewijs

31

I ALGEMEEN

1. Inleiding

De leden van de VVD-fractie, de CDA-fractie, de D66-fractie en de DENK-fractie hebben
met belangstelling kennisgenomen van het Wetsvoorstel digitale overheid. Zij hebben
hierover diverse vragen en opmerkingen. Ik bedank de fracties voor hun bijdrage en
ga in deze nota graag in op de gestelde vragen. Bij de beantwoording is zoveel mogelijk
de indeling en volgorde van het verslag aangehouden, met dien verstande dat vergelijkbare
vragen zijn samengenomen.

Waarschijnlijk is er geen ander beleidsdomein dat zo sterk wordt beïnvloed door de
snel voortschrijdende technologische ontwikkeling als de digitale overheid. Met dit
voorstel wordt de richting bepaald waarin de digitale overheid zich in de komende
jaren ontwikkelt. In de voorliggende eerste tranche worden de zaken geregeld die nu
nodig zijn. Ondertussen staat het denken niet stil en oriënteren we ons op nieuwe
ontwikkelingen en de noodzaak die hieruit volgt om zaken te regelen via wetgeving.
In dat licht bezien heeft dit wetsvoorstel een bijzonder karakter; het heeft een zekere
toekomstbestendigheid, waardoor kan worden ingespeeld op nieuwe (technische) ontwikkelingen
en gewijzigde inzichten en innovatie kan worden gefaciliteerd. Daarbij moet, in lijn
met de advisering door de Raad van State, steeds bezien worden op welke wijze een
werkbaar evenwicht kan worden gevonden tussen de benodigde wendbaarheid enerzijds
en rechtszekerheid voor burgers en bedrijven anderzijds. In volgende tranches zullen
verdere stappen worden gezet in de ontwikkeling van de digitale overheid. Dat geschiedt
vanuit bepaalde waarden en waarborgen. Vanuit NL DIGIbeter zijn dat gebruiksvriendelijkheid,
privacy, veiligheid en betrouwbaarheid. Deze stapsgewijze benadering sluit aan bij
de aanbevelingen van de Commissie Elias.

De VVD-fractie constateert dat er een wetsvoorstel voorligt dat de digitale dienstverlening
van de overheid uniformeert. De leden vragen zich af waar de focus van het wetsvoorstel
ligt. Ook vragen zij zich af in hoeverre het wetsvoorstel gericht is op de gebruikers
van de digitale overheid, wat het wetsvoorstel betekent voor burgers en bedrijven.

Het wetsvoorstel heeft een tweeledige focus. In de eerste plaats wordt de toegang
tot digitale dienstverlening van de overheid gereguleerd. Het wetsvoorstel reguleert
hetgeen nodig is om burgers en bedrijven veilig en betrouwbaar bij de overheid te
kunnen laten inloggen: publieke voorzieningen als onderdeel van de GDI, veilige dienstverlening
door overheidsorganen, eisen aan publieke en private identificatiemiddelen, informatieveiligheid,
privacybescherming, voorkoming van misbruik en toezicht. Dit wordt aangeduid als het
eID-stelsel. In de tweede plaats biedt het wetsvoorstel de grondslag voor de aanwijzing
van (technische en interoperabiliteits-) standaarden, die door overheidsinstanties
verplicht moeten worden toegepast teneinde het elektronische verkeer met burgers en
bedrijven beter te laten verlopen. Terecht constateert de VVD dat het wetsvoorstel
zich vooral richt tot de overheid zelf; het brengt mee dat overheidsinstanties (degenen
tot wie de wet zich richt) hun bedrijfsvoering en werkprocessen moeten aanpassen.
Dit zal er toe leiden dat burgers en bedrijven – de gebruikers van digitale overheidsdiensten
– veilig, betrouwbaar en gebruiksvriendelijk bij de overheid kunnen inloggen.

De leden van de VVD-fractie krijgen voorts graag een reactie op de vragen, of er ook
gekeken is naar de invloed van het wetsvoorstel op de digitale economie en de cyberveiligheid,
hoe het bijdraagt aan de economische ontwikkeling in Nederland en aan een gecoördineerde
aanpak van de overheid om Nederland online veiliger te maken.

Het wetsvoorstel voorziet in regels over cyberveiligheid. De focus ligt hierbij op
de veiligheid van de toegang tot de digitale overheid en op de toepassing van de standaarden
HTTPS en TLS, technische voorschriften die zorgen voor veilige verbindingen tussen
(overheids)websites. Hiermee wordt, naast bestaande kaders zoals de EU Algemene verordening
gegevensbescherming (AVG) en de Voorschriften informatiebeveiliging Rijksdienst (VIR),
een basis gelegd voor het door overheidsorganisaties voldoen aan informatiebeveiligingsnormen,
in het bijzonder bij de toegang tot hun elektronische dienstverlening. Cyberveiligheid
begint bij het goed regelen en invullen van verantwoordelijkheden voor informatiebeveiliging
die overheidsorganisaties zelf hebben. Het wetsvoorstel voorziet in verplichtingen
voor organisaties die aansluiten op de digitale overheid en de wijze waarop de controle
daarop plaatsvindt. Tevens is het voor cyberveiligheid van belang dat organisaties
er rekening mee houden dat, ondanks dat informatiesystemen beveiligd zijn, er altijd
inbreuken op systemen kunnen plaatsvinden. Het wetsvoorstel regelt ook dat er herstelvermogen
is. Dat betekent dat als er onverhoopt inbreuken op informatiesystemen of processen
plaatsvinden, organisaties moeten zorgen dat zij die snel in het vizier krijgen en
moeten samenwerken om deze op te lossen. Daarbij kent het wetsvoorstel aan de Minister
van BZK ten aanzien van de aanpak van misbruik en fraude binnen het eID-stelsel bevoegdheden
toe om coördinerend op te treden, om geconstateerde inbreuken op veiligheid of misbruik
snel te kunnen herkennen en zo nodig te herstellen.

Over maatregelen ter bevordering van de cyberveiligheid bij de overheid in het algemeen
is uw Kamer afzonderlijk geïnformeerd bij brief van 16 oktober jl. (TK 2018–2019,
26 643 nr. 574). In het algemeen geldt dat de digitale economie gebaat is bij een betrouwbare digitale
infrastructuur. In die zin dragen de zaken die het wetsvoorstel regelt om cyberveiligheid
te verbeteren inherent bij aan de versterking van de digitale economie.

De leden van de VVD-fractie constateren dat er geen publiek inlogmiddel voor bedrijven
komt en vragen zich af wat de reden daarvoor is. Voorts missen de leden van de VVD-fractie
in het geheel van voorzieningen, die voorzieningen die juist voor het bedrijfsleven
van belang zijn; zij vragen zich af of het mogelijk is de digitale basisvoorzieningen
die voor burgers worden geregeld, zoals inloggen, in deze wet ook voor de digitale
economie te regelen. Voorts vragen zij zich af, of er andere manieren zijn om behulpzaam
te zijn bij het beslechten van de grens tussen digitale overheid en digitale economie.
Ook de leden van de D66-fractie vragen zich af in hoeverre het de bedoeling is om
publieke middelen buiten het publieke domein te gebruiken en of dat breed inzetbaar
wordt. De leden van de CDA-fractie vragen in dit verband of het wetsvoorstel voldoet
aan de uitgangspunten in de strategische verkenning eID-stelsel Nederland (2012),
waarin werd gepleit voor een nationaal stelsel waarin overheid en bedrijfsleven samenwerken
om burgers, consumenten en bedrijven goed, snel en veilig elektronisch te kunnen bedienen.

Voor bedrijven zal geen publiek middel worden uitgegeven. Reden hiervoor is dat het
huidige stelsel van private middelen voor bedrijven naar tevredenheid functioneert.
Nut en noodzaak van een publiek middel voor bedrijven ontbreken. Wel wordt met het
wetsvoorstel het stelsel van private middelen voor bedrijven publiekrechtelijk ingekaderd;
deze middelen behoeven erkenning door de Minister van BZK op basis van vooraf gestelde
veiligheids- en betrouwbaarheidseisen, alvorens ze door bedrijven kunnen worden gebruikt
om overheidsdiensten af te nemen. Ook wordt toezicht ingericht en gelden er bepalingen
met betrekking tot privacybescherming en misbruik. Het in het wetsvoorstel bepaalde
inzake private middelen voor bedrijven heeft een brede reikwijdte en geldt ook voor
andere organisaties. Het wetsvoorstel spreekt om die reden ook over «bedrijfs- en
organisatiemiddel», daarmee doelend op het inloggen bij de overheid door een onderneming
of rechtspersoon als bedoeld in de Handelsregisterwet 2007.

Het verhogen van het betrouwbaarheidsniveau van de inlogmiddelen die worden gebruikt
bij dienstverlening van de (semi)overheid heeft prioriteit. Het wetsvoorstel regelt
geen basisvoorzieningen voor digitale transacties in de private (commerciële) sector,
met uitzondering van de wijze van inloggen bij zorgverleners en pensioenuitvoerders.
Dit houdt verband met het feit dat DigiD is ontwikkeld voor het inloggen bij dienstverleners
die burgers in hun administratie herkennen aan de hand van het burgerservicenummer
(bsn). Om die reden wordt via het inloggen met DigiD het bsn van de inloggende persoon
geleverd aan de dienstverlener. Dit vergt dat dienstverleners gerechtigd zijn om bij
de uitoefening van hun taak het bsn te verwerken, waardoor breed gebruik in het private
domein niet mogelijk is. Voor zover mogelijk en noodzakelijk worden de grenzen tussen
de digitale overheid en de digitale economie geslecht doordat het mogelijk wordt publieke
middelen te gebruiken om in te loggen bij pensioenuitvoerders en zorgverleners. Het
wetsvoorstel biedt voorts de mogelijkheid om de grens te slechten door toelating van
een privaat inlogmiddel voor natuurlijke personen en door de erkenning van private
inlogmiddelen voor bedrijven, waarna deze middelen zowel in het private domein als
publieke domein gebruikt kunnen worden. Indien in de toekomst blijkt dat bij consumenten
de behoefte ontstaat om publieke middelen of andere basisvoorzieningen van de overheid
te gebruiken bij economische transacties, zal worden bezien op welke wijze dit mogelijk
is met inachtneming van de regels over verwerking van het bsn en de Wet markt en overheid.
Om de e basisvoorzieningen voor de digitale economie te kunnen regelen, moeten de
voordelen opwegen tegen de kosten, informatieveiligheidsrisico’s voor de overheid
en regeldruk voor private dienstverleners. Dit kan in een volgende tranche van het
wetsvoorstel geregeld worden. Uitgangspunt van het kabinet is dat het inloggen bij
commerciële dienstverleners (dus: buiten het publieke domein) zoveel mogelijk aan
de markt moet worden overgelaten en de overheid hier geen rol heeft; het is van belang
deze markt niet te verstoren en het groeipotentieel van marktpartijen niet te belemmeren.

De VVD-fractie vraagt voorts naar eventuele volgende tranches van de Wet digitale
overheid, hoeveel tranches er zullen volgen, wat die zullen regelen en wat de bijbehorende
tijdlijn is.

Met dit wetsvoorstel wordt de digitale overheid verankerd en wordt richting gegeven
aan wat daarvoor op dit moment het meest nodig is: voorzieningen en eisen voor veilige
en betrouwbare overheidsdienstverlening. De wet biedt een zekere mate van toekomstbestendigheid,
maakt innovatie mogelijk en kan inspelen op onvoorziene ontwikkelingen, ook buiten
het kader van eID-voorzieningen en -functionaliteiten. Voor zover dit niet het geval
is, bijvoorbeeld omdat deze ontwikkelingen de reikwijdte van het huidige wetsvoorstel
te buiten gaan of omdat herijking van gemaakte keuzes nodig is, liggen vervolgtranches
in de rede. Het is op dit moment niet exact te zeggen hoeveel tranches van de wet
nog zullen volgen, wat deze regelen en wat de planning hiervan is. Dit hangt af van
de aard van de ontwikkelingen, alsmede van nut en noodzaak van verankering in formele
wetgeving. Zaken waaraan voor een volgende tranche wordt gedacht zijn de verbetering
van de persoonlijke informatiepositie van burgers, bredere toepassing van standaarden
voor digitale dienstverlening, het digitaal machtigen van derden, meer functionaliteiten
van MijnOverheid en informatieveiligheid. Over deze onderwerpen vindt de gedachtenvorming
momenteel volop plaats; in feite is daarmee de voorbereiding van een volgende tranche
reeds gestart.

De VVD-fractie vraagt zich voorts af waarom er voor de titel «wet digitale overheid»
is gekozen, in hoeverre de inhoud van de wet, na wijziging naar aanleiding van de
consultatie, in overeenstemming is met de titel, alsmede waarom de titel is gewijzigd
ten opzichte van de consultatieversie van het wetsvoorstel.

De oorspronkelijke titel van het wetsvoorstel, de «Wet generieke digitale infrastructuur
(GDI)», was ingegeven door de wens bestaande en toekomstige publieke voorzieningen
van de GDI van een wettelijke basis te voorzien. Gaandeweg de voorbereiding van het
wetsvoorstel groeide het besef dat deze titel niet helemaal recht doet aan de aard
en inhoud van de voorgenomen bepalingen. De huidige titel brengt beter tot uitdrukking
waar het om gaat: regulering van het digitaal werkende openbaar bestuur, met inbegrip
van de voorzieningen die daarvoor beschikbaar zijn, vanuit de gedachte dat dienstverlening
in het publieke domein aan burgers en bedrijven veilig en betrouwbaar moet zijn.

De VVD-fractie vraagt aandacht voor de initiatiefnota van de leden Middendorp en Verhoeven
over online identiteit en regie op persoonsgegevens (TK 34 993). Daarin wordt een
online identiteit bij de digitale overheid voorgesteld door het combineren van: 1)
een veilig inlogsysteem, 2) het plaatsen van geselecteerde persoonsgegevens in een
digitale kluis, 3) een digitaal contactadres voor iedere Nederlander. Met die drie
componenten kan een online identiteit voor natuurlijke personen bij de digitale overheid
worden gecreëerd. De leden van de VVD-fractie vragen in hoeverre het mogelijk is om
met het onderhavige wetsvoorstel de in de initiatiefnota voorgestelde digitale kluis
te introduceren, inclusief de verplichting van bestuursorganen en andere organen om
deze kluis ook daadwerkelijk te gebruiken.

Over de wenselijkheid en haalbaarheid van de ideeën zoals voorgesteld in de initiatiefnota
wordt momenteel van gedachten gewisseld met uw Kamer. Op een aantal punten is meer
duidelijkheid gewenst over de precieze intenties en over de mogelijke realisatiewijze
om te kunnen inschatten welke gevolgen de initiatiefnota heeft, bijvoorbeeld voor
voorzieningen, systemen, capaciteit en kosten, alsmede om te kunnen bepalen welke
wet- en regelgeving nodig is en in hoeverre het onderhavige wetsvoorstel daarvoor
een basis zou kunnen bieden.

De leden van de CDA-fractie onderschrijven het uitgangspunt dat digitalisering mogelijkheden
biedt voor betere overheidsdienstverlening. De CDA-fractie is met de Afdeling advisering
van de Raad van State van mening dat toegang van burgers (en bedrijven) tot, en communicatie
met de overheid, een basisrecht en een publieke verantwoordelijkheid is, die niet
afhankelijk mogen worden van private partijen. De regering wordt verzocht nader in
te gaan op dit uitgangspunt. Ook vraagt de CDA-fractie aandacht voor de positie van
organisaties die niet vallen in de categorie burger of bedrijf.

De overheid zal voor burgers zelf identificatiemiddelen op meerdere betrouwbaarheidsniveaus
uitgeven. Hiertoe is een zorgplicht voor de Minister van BZK in het wetsvoorstel opgenomen.
Naast de invoering van deze publieke middelen, biedt het wetsvoorstel voor de Minister
van BZK de mogelijkheid om een of enkele private middelen toe te laten, waarvan burgers
gebruik kunnen maken bij het afnemen van overheidsdiensten. Er is dus geen sprake
van afhankelijkheid van private partijen. Voor bedrijven zal geen publiek middel worden
uitgegeven. Reden hiervoor is dat het huidige stelsel van private middelen voor bedrijven
naar tevredenheid functioneert. Nut en noodzaak van een publiek middel ontbreken hier.
Wel wordt met het wetsvoorstel het stelsel van private middelen voor bedrijven publiekrechtelijk
ingekaderd; deze middelen behoeven erkenning door de Minister van BZK op basis van
vooraf gestelde veiligheids- en betrouwbaarheidseisen, alvorens ze door bedrijven
kunnen worden gebruikt om overheidsdiensten af te nemen. Ook wordt toezicht ingericht
en gelden er bepalingen inzake privacybescherming en misbruik. Het in het wetsvoorstel
bepaalde inzake private middelen voor bedrijven heeft een brede reikwijdte en geldt
ook voor andere organisaties. Het wetsvoorstel spreekt om die reden ook over «bedrijfs-
en organisatiemiddel», daarmee doelend op het inloggen bij de overheid door een onderneming
of rechtspersoon als bedoeld in de Handelsregisterwet 2007.

Voor wat betreft een recht op toegang tot en communicatie met de overheid kan ik u
mededelen, dat ik voornemens ben in de Algemene wet bestuursrecht (Awb), naast de
papieren weg, een aanspraak op digitaal zaken doen met de overheid op te nemen. Ook
ben ik voornemens in meer algemene zin, dus los van digitale overheidsdienstverlening,
een zorgplicht voor bestuursorganen op te nemen, welke strekt tot ondersteuning bij
communicatie met de overheid, opdat toegang tot de overheid verder wordt vergemakkelijkt.

De CDA-fractie constateert dat in het wetsvoorstel het onderscheid tussen burger-
en bedrijfs- en organisatiemiddelen qua online identiteit en universele oplossingen
niet is opgeheven. Voor bedrijven en organisaties is er bijvoorbeeld nog steeds maar
één privaat middel en publieke middelen kunnen niet privaat gebruikt worden en daarmee
bijdragen aan een «digital single market», die juist beoogd wordt met de eIDAS-verordening.
De leden van de CDA-fractie vragen om hierop nader in te gaan.

Door in te loggen met het burgermiddel krijgen de dienstverleners de beschikking over
het bsn van de inloggende persoon. Dienstverleners gebruiken echter het KvK- of RSIN-nummer
om bedrijven te identificeren. Voor identificatie van rechtspersonen is daarom eHerkenning
ontwikkeld. Voor zzp-ers is het bij sommige dienstverleners mogelijk om zowel in te
loggen met publieke middelen als met eHerkenning. Het wetsvoorstel laat deze keuze
ongemoeid. Het wetsvoorstel sluit aan bij de huidige praktijk. Afhankelijk van de
ervaringen die worden opgedaan in het burger- en bedrijvendomein kan worden overwogen
om deze domeinen verder te harmoniseren. Dit leidt dan mogelijk tot een aanvulling
in een volgende tranche.

De leden van de CDA-fractie vragen voorts of de voorgestelde digitale infrastructuur
aansluit bij de behoeften van de digitale samenleving, waarin de behoefte van de burger
daadwerkelijk centraal wordt gesteld, waarbij de burger de generieke voorzieningen
die hij al kent en gebruikt ook universeel kan gebruiken bij de overheid.

Het wetsvoorstel zorgt dat burgers en bedrijven overheidsbreed terecht kunnen met
de door de Minister van BZK aangewezen middelen. Zij kunnen als gevolg van het wetsvoorstel
met reeds bekende middelen, zoals DigiD en eHerkenning, digitaal zaken regelen bij
overheidsorganisaties. Het gebruik van organisatiespecifieke inlogmethoden is niet
langer toegestaan in het (semi)publieke domein behoudens uitzonderingsgevallen. Tot
het gebruik van andere generieke voorzieningen door overheidsinstanties kan bij algemene
maatregel van bestuur op basis van het wetsvoorstel worden verplicht.

Voorts constateert de CDA-fractie dat de Europese eIDAS-verordening bepaalt dat het
vanaf september 2018 voor burgers en bedrijven mogelijk moet zijn om met de nationale,
genotificeerde middelen in te loggen bij alle overheidsorganisaties binnen de EU.
De leden van de fractie vragen zich af wat de stand van zaken is in de andere lidstaten,
alsmede wat de stand van zaken is met betrekking tot het grensoverschrijdend gebruik
van eID-middelen.

Sinds het van kracht worden van de eIDAS-verordening op 29 september 2018 is het voor
Duitsers mogelijk om met hun eID-middel bij Nederlandse dienstverleners in te loggen.
Dienstverleners werken hard aan het gereed maken van hun eigen dienstverlening hiervoor
en een gestage groei in het aantal inlogpogingen geeft daar blijk van. In totaal zijn
er nu zes EU-landen met een genotificeerd middel, te weten Duitsland, Kroatië, Estland,
Luxemburg, Italië en Spanje. Naast Duitsland worden ook de verbindingen met deze landen
gelegd. In Nederland wordt notificatie van inlogmiddelen voor bedrijven voorbereid
(eHerkenning). Deze notificatie is volgens plan in 2019 afgerond. Aan de notificatie
van publieke middelen voor burgers wordt eveneens gewerkt en deze zal naar verwachting
in 2020 afgerond zijn.

De leden van de CDA-fractie constateren, dat er op het gebied van ICT en informatiebeveiliging
reeds tal van audits bestaan. Deze leden vragen met welke externe audits op dit gebied
medeoverheden op dit moment te maken hebben. De leden vragen zich af hoe zich hiertoe
de aankondiging verhoudt dat de stand van zaken met betrekking tot de informatiebeveiliging
controleerbaar of auditbaar moet zijn.

Vanaf 2018 leggen medeoverheden verantwoording af via de Eenduidige Normatiek Single
Information Audit (ENSIA) methodiek. Doel hiervan is het verantwoordingsproces over
informatieveiligheid van medeoverheden verder te professionaliseren door het toezicht
te bundelen en aan te sluiten op de gemeentelijke planning & control-cyclus. Zo moeten
medeoverheden over de Basisregistratie Personen (BRP), de elektronische infrastructuur
gebruikt bij uitvoering van de taken op het gebied van werk en inkomen (Suwinet),
de Basisregistratie adressen en gebouwen (BAG), Basisregistratie grootschalige topografie
(BGT), de Basisregistratie ondergrond (BRO) en DigiD verticaal verantwoording afleggen.
De horizontale verantwoording aan de gemeenteraad vormt hiervoor de basis. Voor specifieke
normen van die registraties vullen de medeoverheden een vragenlijst in (zelfevaluatie).
Daarnaast dient er voor Suwinet en DigiD een audit plaats te vinden door een onafhankelijke
auditor. Aldus is informatiebeveiliging controleerbaar. Met het onderhavige wetsvoorstel
zal de DigiD-audit worden omgevormd tot een «toegang tot de digitale overheid audit».
Deze sluit nauw aan bij de bestaande systematiek; de auditlast neemt niet toe. De
genoemde zelfevaluaties en de Suwinet audit blijven daarnaast van toepassing. Hierdoor
is informatiebeveiliging, en specifiek de beveiliging van de toegang tot elektronische
diensten, controleerbaar. Zoals ik onlangs heb aangekondigd, wordt de systematiek
van de zelfevaluaties geëvalueerd om tot een verbetering van de verantwoording te
komen.

De leden van de CDA-fractie refereren aan het feit, dat informatieveiligheid bij het
ontwerp van de toegang tot elektronische dienstverlening centraal staat (MvT blz.
2), alsmede «privacy by design» (MvT blz. 23). Zij vragen in dit verband waar het
gebruikersgemak is gebleven en of de ontsluiting ook vormgegeven wordt met het oog
op de gebruiker.

Privacy, beveiliging en gebruiksvriendelijkheid zijn communicerende vaten en aspecten
die onderling gewogen moeten worden. Bij een middel dat veilig is, maar op een zodanige
manier is vormgegeven dat het moeilijk te gebruiken is, zal het gebruik ervan achterblijven.
Om als privacy maatregel effect te kunnen hebben en uiteindelijk snel een belangrijke
bijdrage te kunnen leveren in breder verband (privacybescherming bij dienstaanbieders)
is het belangrijk dat het eID stelsel werkbaar is in termen van gebruikersgemak. Dat
heeft een positief effect op het gebruik en adoptiesnelheid. Gebruiksvriendelijkheid
en laagdrempelige toepasbaarheid is voor zowel burgers als overheden een belangrijk
uitgangpunt. Dat geldt zowel voor het gebruik door burgers als de wijze waarop aansluiting
door overheidsorganisaties kan worden gerealiseerd. Het past ook in het beleidskader
NL DIGIbeter, waarin inclusie, zorgen dat iedereen kan meedoen, een speerpunt is.

De leden van de CDA-fractie vragen welke stappen worden gezet om de ambitie te verwezenlijken,
dat in 2020 in beginsel alle actieve DigiD-gebruikers kunnen beschikken over een elektronisch
identificatiemiddel op het betrouwbaarheidsniveau substantieel of hoog. De CDA-fractie
vraagt zich voorts af welke lasten het wetsvoorstel voor de actieve DigiD-gebruikers
meebrengt.

De regering heeft de ambitie om te bevorderen dat in 2020 in beginsel alle actieve
DigiD-gebruikers – thans ruim 13,5 miljoen burgers – kunnen beschikken over een elektronisch
identificatiemiddel op het betrouwbaarheidsniveau substantieel of hoog. De huidige
oplossingen voor DigiD substantieel bereiken thans niet de totale gewenste doelgroep.
Dit hangt samen met het feit dat een aanzienlijk deel van de doelgroep niet beschikt
over een smartphone met een Android besturingssysteem met NFC-lezer. Ik zoek doorlopend
naar mogelijkheden en alternatieven voor deze doelgroep, alsmede welke bruikbare alternatieven
er zijn voor het aanschaffen van een kaartlezer. Zowel het onderzoek naar de mogelijkheden
voor het tijdelijk opwaarderen van de DigiD-app naar het niveau substantieel op niet-Android
smartphones als het verkennen van andere mogelijkheden vallen daaronder. De verwachting
is desondanks dat niet op de hele korte termijn de beoogde doelgroep bereikt zal kunnen
worden. Om een groot deel van de doelgroep snel een alternatief identificatiemiddel
op niveau substantieel te kunnen bieden start ik daarom op korte termijn een aanbesteding
voor een privaat middel op niveau substantieel.

De geleidelijke introductie van DigiD op betrouwbaarheidsniveau hoog is reeds gestart
met de uitgifte van daarvoor geschikte rijbewijzen. Samen met sectoren waarin vraag
is naar het hoogste betrouwbaarheidsniveau, zoals die sectoren waarin medische persoonsgegevens
worden verwerkt, werk ik aan de verdere invoering. Op dit moment wordt tevens gewerkt
aan de beschikbaarheid van DigiD hoog op de Nederlandse identiteitskaart. Daarnaast
wordt tevens bezien of private alternatieven op niveau hoog kunnen worden ingezet.
Wat de kosten (leges) voor burgers concreet zullen zijn zal in grote mate afhangen
van gekozen oplossingen. Het streven is daarbij uiteraard deze kosten zo beperkt mogelijk
te houden. In de loop van 2019 is hierover naar verwachting meer bekend.

De CDA-fractie constateert terecht dat het wetsvoorstel op verschillende punten de
grondslag biedt voor nadere uitwerking in een algemene maatregel van bestuur. Gevraagd
wordt of hierop een voorhangprocedure van toepassing is, en zo nee, waarom niet.

Een voorhangprocedure bij deze amvb’s was aanvankelijk niet voorzien. Reden hiervan
is dat de kaders ter zake in het wetsvoorstel zijn opgenomen en worden toegelicht
in de memorie van toelichting. Door deze wijze van delegatie, die in lijn is met het
uitgangspunt van het primaat van de wetgever, kan vroegtijdig(e) inzicht en betrokkenheid
door uw Kamer gerealiseerd worden. Voor de verplichte amvb’s, te weten die inzake
informatieveiligheid en persoonsgegevens (uitwerking van de voorgestelde artikelen
4 en 16) en inzake bedrijfs- en organisatiemiddelen en bijbehorende diensten (uitwerking
van de voorgestelde artikelen 11–13 en 22) zal ik echter toch een voorhangprocedure
hanteren, omdat deze een zwaartepunt in de uitvoering vormen. Ik zal hiertoe bij nota
van wijziging een voorhangprocedure in het wetsvoorstel opnemen.

De leden van de DENK-fractie leden vragen zich af, of Nederland goed genoeg ontwikkeld
is om over te gaan op digitaal stemmen.

De Minister van BZK heeft in haar brief van 15 juni jl. (TK 2017–2018, 33 829 nr 83) aangegeven dat ons stemproces nu niet kwetsbaar is voor digitale dreigingen. Het
kabinet wil, gelet op de dreigingen die thans worden onderkend, dergelijke kwetsbaarheden
ook niet in het stemproces introduceren. Wel wil het kabinet stappen zetten naar het
elektronisch tellen van de stembiljetten. Om elektronisch te kunnen tellen is een
ander stembiljet nodig. De Minister van BZK heeft uw Kamer toegezegd begin 2019 concrete
voorstellen te zullen doen voor een nieuw stembiljet zodat uw Kamer zich daarover
kan uitspreken.

2. Standaarden

De leden van de VVD-fractie stellen terecht vast, dat het wetsvoorstel een grondslag
bevat om bij algemene maatregel van bestuur open standaarden aan te wijzen die overheden
dienen te hanteren in het elektronisch verkeer met andere overheden, met burgers en
met bedrijven. Ingevolge artikel 3, tweede lid, kan een standaard bij algemene maatregel
van bestuur worden aangewezen. Dit is een niet-imperatieve bepaling. De VVD-fractie
vraagt zich af, waarom is gekozen voor een niet-imperatieve bepaling als een generieke
digitale infrastructuur wenselijk is. De CDA-fractie constateert in aansluiting hierop
dat het «pas toe of leg uit»-principe voor bepaalde open standaarden het meest proportionele
instrument blijft. Echter, voor sommige standaarden is het bevorderen van het gebruik
onvoldoende en moeten overheidsorganisaties de standaard eenvoudigweg toepassen. De
leden van de CDA-fractie vragen of de regering dit onderscheid nader kan toelichten
en welke afweging bij het besluit om open standaarden op te leggen wordt gemaakt.
Voorts vragen de leden van de CDA-fractie op welke termijn de regering van plan is
gebruik te maken van deze mogelijkheid.

Het open karakter van standaarden betekent dat deze algemeen kenbaar en beschikbaar
zijn. De term «open» staat los van toepassing. Kabinetsbeleid is dat open standaarden
worden toegepast, tenzij een overheidsorganisatie goede reden heeft om dat niet te
doen (zogeheten «pas toe of leg uit»). Met dit wetsvoorstel (artikel 3) wordt er in
voorzien dat in bepaalde gevallen de toepassing van open standaarden wordt verplicht.
Bij algemene maatregel van bestuur wordt dan toepassing voorgeschreven wanneer dat
noodzakelijk en proportioneel is gelet op de goede werking, de veiligheid, de betrouwbaarheid,
de duurzame toegankelijkheid of de doelmatigheid van het elektronische verkeer, dan
wel noodzakelijk is ter uitvoering van internationaal of Europees recht. Of hiervan
sprake is zal door mij per geval worden bezien in nauwe samenwerking met de andere
departementen, wiens organen (zoals uitvoeringsorganisaties) betrokken zijn. Alleen
indien de noodzaak tot aanwijzing vaststaat en de standaard in een amvb wordt opgenomen,
is deze voor de organen waarvoor deze geldt (generiek) van toepassing en mogen zij
hiervan niet (langer) afwijken. De regering heeft het voornemen om als eerste de open
standaard HTTPS te verplichten. De amvb die daarin voorziet wordt momenteel voorbereid
en zal naar verwachting worden vastgesteld (kort) nadat de wet in werking is getreden.

De VVD-fractie vraagt zich in dit verband af, of een bij amvb aangewezen standaard
voor alle organen, zoals genoemd in artikel 2 van de wet, geldt, of dat de standaard
per orgaan kan verschillen. De leden vragen in hoeverre dat laatste voor de hand ligt
vanuit het oogpunt van eenduidigheid en duidelijkheid van de generieke digitale infrastructuur.

Het kabinet zal per geval bezien wat het benodigde functionele toepassingsbereik van
de aan te wijzen standaard is, alsmede voor welke organen de verplichting tot toepassing
noodzakelijk is. Het voorgestelde artikel 3, derde lid, maakt in dit verband differentiatie
mogelijk. Wanneer eenduidigheid en generieke toepassing dit vereisen, zal evenwel
een ruime (functionele en/of personele) werkingssfeer in de desbetreffende amvb worden
verankerd. Niet altijd is een standaard voor ieder orgaan relevant.

De VVD-fractie vraagt zich voorts af, of de Kamer wordt geïnformeerd als wordt overgegaan
tot het vaststellen van een algemene maatregel van bestuur.

Het voornemen tot aanwijzing van een standaard zal worden gepubliceerd in het kader
van (internet)consultatie. Een ieder kan van het voornemen kennis nemen en hierop
reageren. De verkregen input wordt in het verdere voorbereidingsproces van de amvb
meegenomen. Vanzelfsprekend ben ik te allen tijde bereid middels een technische briefing
inzicht te geven in de (technische) uitvoeringsdetails.

De VVD-fractie heeft een aantal vragen over hetgeen het wetsvoorstel regelt met betrekking
tot de overheidshuishouding als het gaat om persoonsgegevens. Zij vragen zich af wat
de rijksoverheid met deze wet kan opleggen als het gaat om bronnen waar gegevens opgeslagen
worden, bijvoorbeeld het gebruik van één bron voor (bepaalde) persoonsgegevens.

Het wetsvoorstel laat onverlet dat de vigerende regels ten aanzien van de verwerking
van persoonsgegevens door overheidsorganisaties van toepassing zijn. Voor de omgang
met persoonsgegevens geldt voor overheidsorganisaties het kader van de AVG, de Uitvoeringswet
AVG en domeinspecifieke (privacy)wetgeving. Dit geldt ook voor de eenmalige uitvraag
van gegevens. Dit wetsvoorstel raakt de overheidshuishouding in zoverre, dat het voorstel
eisen stelt aan identificatie van burgers als zij zaken doen met de overheid of als
door de overheid inzage wordt gegeven in hun informatie, waaronder hun persoonsgegevens.
Hierdoor wordt bijgedragen aan de bescherming van persoonsgegevens bij deze organisaties.

Het is de leden van de VVD-fractie opgevallen dat veel zaken bij algemene maatregel
van bestuur worden bepaald en dat ook sprake is van ministeriële regelingen en beleidsregels.
De VVD-fractie vraagt zich af of er een overzicht kan worden gegeven van de onderwerpen
die bij algemene maatregel van bestuur, ministeriële regeling dan wel beleidsregels
nader worden uitgewerkt.

Het wetsvoorstel behoeft op onderdelen nadere uitwerking. Het wetsvoorstel bevat hiertoe
een aantal delegatiebepalingen. Het gaat daarbij om de volgende uitvoeringsregelgeving:

– Amvb informatieveiligheid en persoonsgegevens, uitwerking van artt. 4 en 16 WDO;

– Regeling classificering betrouwbaarheidsniveaus, uitwerking van art. 6 WDO;

– Regeling gebruik(svoorschriften), uitwerking van art. 10 WDO;

– Amvb bedrijfs- en organisatiemiddelen en bijbehorende diensten, uitwerking van artt.
11- 13 en 22 WDO;

– Regeling bekostiging, uitwerking van artt. 20–21 WDO;

– Regeling aansluiting, uitwerking van art. 29 WDO.

– Beleidsregels toelating, uitwerking van art. 9 WDO.

Daarnaast zijn op enkele onderdelen nadere regels mogelijk; hiertoe zijn «kan» bepalingen
opgenomen. Deze zijn in het bovenstaande overzicht niet meegenomen, omdat nog niet
duidelijk is in hoeverre, op welke wijze en op welke termijn hiervan gebruik gaat
worden gemaakt.

De leden van de CDA-fractie constateren dat overheidsorganisaties binnen het Rijk
bij aanschaf of (ver)bouw van ICT-systemen de open standaarden hanteren, die op de
zogeheten «pas toe of leg uit»-lijst staan. Afwijken van deze verplichting mag alleen
in geval van zwaarwegende redenen; verantwoording hierover moet worden afgelegd in
het jaarverslag. De leden van de CDA-fractie vragen hoe deze verantwoording achteraf
zich verhoudt tot de zorgplicht van de Minister. De leden vragen of de bedoelde afweging
niet gemaakt zou moeten worden in goed overleg, mede in verband met de constatering
dat rond de adoptie van open standaarden er in jaarverslagen onvoldoende verantwoord
wordt waarom het tempo op dat vlak laag ligt.

Het open standaardenbeleid geeft overheidsorganisaties de vrijheid om hun eigen afweging
te maken over het al dan niet gebruiken van een standaard die is opgenomen op de «pas
toe of leg uit» lijst. Dat is bewust, omdat organisaties doorgaans zelf het beste
in staat zijn een afweging te maken inzake het al dan niet toepassen van standaarden.
Zij kunnen daardoor bijvoorbeeld hun eigen investeringsmoment bepalen. Het zou te
ver voeren om overheidsorganisaties te vragen om bij afwijking vooraf de Minister
te consulteren. Daarmee zou een complex en uitgebreid systeem in het leven worden
geroepen en worden onnodige interbestuurlijke lasten veroorzaakt die niet opwegen
tegen de maatschappelijke baten. Wanneer de adoptie achterblijft, wordt op mijn verzoek
door het Forum Standaardisatie ingezet op het voeren van gesprekken, het geven van
voorlichting en waar nodig het interveniëren op hoogbestuurlijk niveau, zoals via
het Overheidsbreed Beleidsoverleg Digitale Overheid. Met dit wetsvoorstel kan indien
nodig gebruik worden gemaakt van de mogelijkheid die artikel 3 biedt en kunnen overheidsorganisaties
tot toepassing worden verplicht.

De leden van de CDA-fractie vragen wat de stand van zaken is met betrekking tot de
afspraken tussen overheden. Deze leden constateren dat de afspraken in het kader van
het Nationaal Beraad Digitale Overheid een geldigheid hadden tot eind december 2017.

De afspraak zoals gemaakt door het Nationaal Beraad Digitale Overheid was erop gericht
beter te voldoen aan een aantal standaarden. In 2,5 jaar tijd is hierdoor voor deze
standaarden de gemiddelde adoptiegraad onder overheden toegenomen van 35% naar meer
dan 80%. De opvolger van het Nationaal Beraad, het Overheidsbreed Beleidsoverleg Digitale
Overheid, heeft begin 2018 de ambitie uitgesproken om de achterblijvers alsnog over
de streep te trekken. In de meest recente meting van eind september 2018 is de gemiddelde
adoptie verder gestegen naar 87%. Via de koepels zullen de achterblijvers worden aangesproken
en zo nodig geholpen worden om alsnog te voldoen aan de streefbeeldafspraak. Aanvullend
op de streefbeeldafspraak uit 2017 zijn er begin 2018 twee nieuwe streefbeeldafspraken
gemaakt: naast het over de streep halen van de restgroep van de afspraak uit 2017,
is er een afspraak gemaakt om de standaard HTTPS uiterlijk eind 2018 op alle overheidssites
te hebben toegepast en conform NCSC advies te hebben geconfigureerd. Uiterlijk eind
2019 moeten overheidsorganisaties de anti-phishing e-mail standaarden (DKIM/SPF/DMARC)
en de standaarden tegen meeluisteren van e-mail (STARTTLS en DANE) hebben toegepast.
Verder wordt de adoptie van de informatieveiligheidstandaarden halfjaarlijks gemonitord.
De laatste meting dateert van september. Onlangs heb ik in een brief aan uw kamer
aangekondigd dat begin volgend jaar wordt bezien in hoeverre de implementatieafspraken
zijn behaald en of meer harde verplichtingen opportuun zijn om de veiligheid van digitale
communicatie met de overheid via web en e-mail te bevorderen.

De leden van de CDA-fractie vragen hoe het gebruik van de verplichte standaarden jaarlijks
zal worden gemonitord.

De adoptie van de «pas toe of leg uit»-lijst wordt jaarlijks gemeten door het Bureau
Forum Standaardisatie. Wanneer bij amvb open standaarden verplicht worden gesteld,
zal het gebruik daarvan eveneens in de monitoring door het Bureau Forum Standaardisatie
meelopen.

De leden van de D66-fractie vragen welke overheidsinformatie op dit moment vastgelegd
is middels software die gebruik maakt van gesloten standaarden. De D66-fractie vraagt
of snel zal worden toegewerkt naar volledige open standaarden middels de te introduceren
wettelijke basis. Voorts vraagt de D66-fractie voor welke standaarden in welke domeinen
dit onmogelijk wordt geacht en of het kan voorkomen dat indien bepaalde open standaarden
verplicht worden, contracten met particuliere softwareverleners opgezegd moeten worden
en welke kosten dit met zich mee brengt. Dit zou met name een probleem kunnen zijn
bij overheidsinstanties die nog een slag te maken hebben wat open standaarden betreft,
zoals waterschappen.

Momenteel wordt niet gemeten welke overheidsinformatie is vastgelegd met open standaarden.
Wel wordt gemeten in hoeverre overheden voldoen aan standaarden van de «pas toe of
leg uit»-lijst bij aanbestedingen en wordt in de toekomst de naleving gemonitord van
de standaarden die verplicht zijn bij amvb. Kabinetsbeleid is het toepassen van open
standaarden om te voorkomen dat de rechtszekerheid wordt bedreigd, de informatieveiligheid
wordt ondermijnd, de kosten te hoog zijn, de leveranciersafhankelijkheid te groot
is of de archivering van documenten en gegevens gevaar loopt. Op voorhand zie ik geen
sector waar het principieel onmogelijk zou zijn om open standaarden toe te passen.
Of er wrijving optreedt, en hoe groot deze is, is evenwel afhankelijk van het soort
standaard. De impact van het verplicht stellen van een standaard zal per geval in
kaart worden gebracht. Onder andere worden dan de kosten van het verplicht stellen
en eventuele aanpassingen van software onderzocht. Het is denkbaar dat contractvoorwaarden
aangepast moeten worden. Per voorgenomen amvb wordt bekeken of een overgangsperiode
in de rede ligt om de overstap naar het werken met een verplichte standaard mogelijk
te maken. Bovendien zal de voorgenomen amvb breed ter consultatie worden voorgelegd,
opdat op uitvoerbaarheid kan worden getoetst.

De leden van de CDA-fractie vragen zich voorts af op welke wijze besloten wordt om
een open standaard verplicht te stellen en aan welke voorwaarden moet worden voldaan.
Ook vraagt de CDA-fractie zich af, hoe vervolgens wordt gecontroleerd of dit daadwerkelijk
opgevolgd wordt door de overheidsinstanties.

Verplichte toepassing door overheidsinstanties, oftewel het niet langer mogelijk maken
van de «leg uit-optie», is het «ultimum remedium» van het openstandaardenbeleid. Verplichtstelling
wordt door mij, in samenspraak met de andere betrokken departementen, overwogen wanneer
de goede werking, de veiligheid, de betrouwbaarheid, de duurzame toegankelijkheid
of de doelmatigheid van het elektronisch verkeer in gevaar komen. Artikel 3 van het
wetsvoorstel bevat de voorwaarden waaraan moet worden voldaan, wil een open standaard
verplicht kunnen worden gesteld. Het voornemen tot aanwijzing van een standaard zal
worden gepubliceerd in het kader van (internet)consultatie. Een ieder kan hiervan
kennis nemen en reageren. De verkregen input wordt in het verdere voorbereidingsproces
van de amvb meegenomen. Het (interbestuurlijke) toezicht op de naleving vindt plaats
binnen de eigen beleidskolom. Hiertoe wijst de Minister die het aangaat toezichthoudende
ambtenaren aan.

De leden van de D66-fractie lezen dat de regering van plan is bij amvb de Europese
toegankelijkheidsnorm EN 201 549 toe te passen als standaard en vragen of de regering
kan toelichten op welke wijze dit websites in de publieke sector toegankelijker maakt.

De Europese toegankelijkheidsnorm EN 301549 is verankerd in de Webtoegankelijkheidsrichtlijn
(EU-richtlijn nr 2016/2102). Deze richtlijn is omgezet in het (Tijdelijk) Besluit
digitale toegankelijkheid overheid. Omdat de omzetting in nationale regelgeving voor
23 september 2018 diende plaats te vinden, is deze amvb vooruitlopend op inwerkingtreding
van de onderhavige wet op 1 juli 2018 van kracht geworden. Na inwerkingtreding zal
de wet de grondslag gaan vormen voor het Besluit digitale toegankelijkheid overheid.
Verplichte toepassing van norm EN 301549 – die gebaseerd is op de wereldwijd geaccepteerde
toegankelijkheidsstandaard WCAG 2.0/2.1 – houdt in dat overheidsinstanties de noodzakelijke
maatregelen moeten treffen om hun websites en mobiele applicaties toegankelijker te
maken. Ze zijn verplicht hierover onderbouwd verantwoording af te leggen in een openbare
toegankelijkheidsverklaring. In gevallen waarbij (nog) niet kan worden aangetoond
dat aan alle eisen uit EN 301549 wordt voldaan moet in de toegankelijkheidsverklaring
voor elke niet nageleefde eis worden aangegeven wat daarvan de oorzaak is, wat het
gevolg is voor mensen met een functiebeperking, of een alternatief beschikbaar is,
welke maatregelen de overheidsinstantie neemt om in de toekomst wel te gaan voldoen
en een planning wanneer de maatregelen zullen zijn uitgevoerd. Dit wordt door mij
gemonitord.

Voorts zijn de leden van de D66-fractie zeer positief over het verplichten van de
HTTPS en TLS standaard op basis van dit wetsvoorstel en vragen wanneer aan dit voornemen
gevolg zal worden gegeven.

Het verheugt mij dat de fractie D66-steun uitspreekt voor het verplicht stellen van
de HTTPS en TLS standaard. Het voornemen is om een amvb die tot toepassing van deze
open standaarden verplicht, vast te stellen (kort) nadat de onderhavige wet in werking
is getreden.

De leden van de DENK-fractie lezen in par. 2.6. MvT maatregelen om fraude te voorkomen.
Zij constateren dat uit nieuwsberichten blijkt dat elektronisch stemmen niet perfect
te beveiligen is en dat de genoemde maatregelen ook niet waterdicht zijn. De DENK-fractie
vraagt zich af, of dit systeem niet te onveilig is om gebruikt te worden. De leden
vragen zich af, hoe actueel en veilig de software is die gebruikt wordt in geval van
elektronische verkiezingen. De leden van de DENK-fractie vragen zich voorts af, hoe
bestendig de software is tegen mogelijke cyberaanvallen. De DENK-fractie vraagt zich
ten slotte af, of het niet verstandiger is om op block-chain technologie te wachten
alvorens over te gaan op digitaal stemmen.

In Nederland wordt niet elektronisch gestemd. De Ondersteunende Software Verkiezingen
(OSV) wordt niet gebruikt bij het stemmen en ook niet bij het tellen van de stembiljetten.
Dat gebeurt handmatig. OSV wordt gebruikt bij het aggregeren van de tellingen met
als doel de totaaluitslag en de zetelverdeling uit te rekenen. De Minister van BZK
heeft in haar brief van 15 oktober jl. uw Kamer gemeld dat de Kiesraad, in wiens opdracht
de OSV is ontwikkeld, blijft investeren in verdere verbeteringen. Het Ministerie van
BZK biedt de Kiesraad alle mogelijke ondersteuning die de Raad daarbij wenst. Dat
geldt zowel voor het verbeteren van programmatuur voor de komende verkiezingen als,
zou de Kiesraad daartoe besluiten, voor de vernieuwing ervan voor de langere termijn.
De Kiesraad werkt nu concreet aan een aantal verbeteringen in OSV ten behoeve van
de verkiezingen van 2019. De Kiesraad betrekt externe beveiligingsdeskundigen daarbij
om mogelijke (nieuwe) kwetsbaarheden in kaart te brengen en om te kunnen beoordelen
welke maatregelen daar effectief tegen getroffen kunnen worden. De Kiesraad neemt
daarin uiteraard de kwetsbaarheden mee die eerder door een aantal instanties/personen
zijn gesignaleerd. Daarbij moet gedacht worden aan bijvoorbeeld de encryptie, de data-integriteit
en beveiligingsupdates. De Kiesraad en het Ministerie van BZK zullen in de komende
weken met de externe beveiligingsdeskundigen ook bepalen of het nodig is aanpassingen
door te voeren in de instructies die de gemeenten krijgen voor het gebruik van OSV
bij de verkiezingen. Ik memoreer tevens dat recent een wetsvoorstel is ingediend bij
uw Kamer om het mogelijk te maken dat de processen-verbaal en de opgave van de burgemeesters
op het internet openbaar gemaakt worden. Dat is een belangrijke stap om de controleerbaarheid
en transparantie van het berekenen van de uitslag te vergroten.

3. Elektronische identificatie (eID)

De leden van de VVD-fractie constateren dat met het wetsvoorstel de mogelijkheid wordt
gecreëerd om één of meerdere door private partijen uitgegeven identificatiemiddelen
te laten fungeren als een gelijkwaardige elektronische toegangsvoorziening bij dienstverlening
van de overheid. Zij vragen zich af, in hoeverre er sprake is van een multimiddelenstrategie
en in hoeverre het beleid er op gericht is om privaat uitgegeven inlogmiddelen daadwerkelijk
toe te laten. Het komt de leden van de VVD-fractie voor dat er nu sprake is van een
«overheidsmiddel plus terugvaloptie»-strategie. De VVD-fractie meent dat er veel meer
zekerheid zou moeten worden gegeven aan de private aanbieders en vragen zich af, in
hoeverre dat in het wetsvoorstel verankerd is. Zij vragen zich voorts af, wat in het
wetsvoorstel moet worden opgenomen om dat voor elkaar te krijgen.

De centrale doelstelling in het wetsvoorstel is om ervoor te zorgen dat er identificatiemiddelen
op hogere betrouwbaarheidsniveaus continu beschikbaar zijn. Burgers moeten veilig
en ongestoord zaken kunnen doen met de overheid. Om dat snel voor elkaar te krijgen
is het noodzakelijk dat een of meerdere alternatieven voor het huidige middel met
een hoge dekkingsgraad beschikbaar komen. Burgers kunnen dan ook een privaat middel
als hun primaire inlogmiddel gebruiken; dat zal dus niet slechts een terugvaloptie
voor het publieke middel zijn. Om dat te realiseren maakt het wetsvoorstel het mogelijk
om een of meerdere private identificatiemiddelen toe te laten. Op dit moment wordt
een aanbesteding voorbereid om in dit kader één of meerdere private authenticatiemiddelen
te verwerven, waarbij de markt vooraf duidelijkheid wordt geboden over de opdracht.
In lijn met de doelen in NL DIGIbeter wil ik daarbij oog hebben voor innovatieve dienstverlening.
Het kan dus zijn dat er in de toekomst meerdere (dus: publieke en private) middelen
te gebruiken zijn door burgers, maar een multimiddelenstrategie of het creëren van
een markt daarvoor is geen doel in zichzelf.

Voorts vragen de leden van de VVD-fractie hoe het aanwijzen van een privaat identificatiemiddel
als toegelaten identificatiemiddel gaat. Zij vragen zich af waarom is gekozen voor
aanbesteden via de Aanbestedingswet en niet voor accreditatie.

De aanwijzing van een privaat middel als toegelaten identificatiemiddel komt tot stand
via een openbare aanbesteding. Op basis van de mate waarin voldaan wordt aan de aanbestedingscriteria
kan een middel worden aangewezen. Van een besluit tot toelating van een middel wordt
mededeling gedaan door plaatsing in de Staatscourant waarbij het betrouwbaarheidsniveau
van het betreffende middel wordt vermeld. Door middel van de procedure conform de
Aanbestedingswet 2012 kan het Ministerie van BZK verplichte levering afdwingen, alsmede
de private partij op aspecten zoals betaalbaarheid en dekkingsgraad selecteren. De
keuze voor accreditatie zou meebrengen dat de private leverancier wel gerechtigd maar
niet verplicht is om te leveren. Deze onzekerheid is voor de gebruiker van de middelen
en voor de publieke dienstverleners ongewenst, alsmede conflicterend met het belang
van het realiseren van een betrouwbaar alternatief voor DigiD om de continuïteit van
dienstverlening te waarborgen. Tevens zou de keuze voor accreditatie kunnen leiden
tot de toelating van een onbeperkt aantal private authenticatiemiddelen, wat de ontzorging
van dienstverleners, en daarmee de uitvoerbaarheid, niet ten goede komt.

Voorts vraagt de VVD-fractie zich af in hoeverre de onafhankelijke toezichthouder
een certificerende instelling wordt die een level playing field organiseert voor private
en publieke middelen of dat het meer een voorportaal voor een aanbestedingsprocedure
is. De VVD-fractie vraagt of het de bedoeling is dat mensen in de toekomst met een
«dropdown-menu» uit private en publieke aanbieders kunnen kiezen om in te loggen bij
de overheid. Ook vragen de leden van de VVD-fractie zich af, hoe ver private partijen
zijn in het ontwikkelen van dergelijke middelen.

De Minister van BZK zal toezichthoudende ambtenaren aanwijzen om te controleren of
leveranciers van erkende middelen en diensten aan de eisen voldoen, zowel op het moment
van de aanbesteding als in een later stadium. Certificeren of het organiseren van
een «level playing field» is geen taak van de toezichthoudende ambtenaren. Zij faciliteren
de Minister van BZK bij het toelaten van burgermiddelen en het erkennen van bedrijfs-en
organisatiemiddelen, alsmede de eventuele intrekking daarvan. Private partijen ontwikkelen
middelen die mogelijk aan de betrouwbaarheidseisen voldoen. De marktconsultatie heeft
dit bevestigd. Indien private middelen worden toegelaten door BZK naast het publieke
middel, is een «dropdown-menu» een voor de hand liggende technische wijze om de opties
aan gebruikers te presenteren. Het hangt dan van de voorkeur van de burger af in welke
mate het middel gebruikt wordt.

Met betrekking tot de reikwijdte van de bestuursorganen waar het wetsvoorstel betrekking
op heeft, zo lezen de leden van de VVD-fractie, geldt de wet in de eerste plaats voor
zgn. «a-bestuursorganen», voor zover zij elektronische diensten ter uitvoering van
een publieke taak, in het algemeen belang of anderszins, waarbij het bsn wordt verwerkt,
verlenen. Daarnaast geldt de wet ook nog voor andere organen en bepaalde aangewezen
organisaties. De VVD-fractie vraagt zich af, of gesteld kan worden dat het in alle
gevallen gaat om organen en organisaties die een taak uitoefenen in het kader van
het domein van het bsn.

Het gestelde is juist. Het wetsvoorstel richt zich tot organen en organisaties die
elektronische diensten verlenen aan natuurlijke personen, ondernemingen of rechtspersonen
ter uitoefening van een publieke taak, in het algemeen belang of anderszins waarbij
het bsn wordt verwerkt.

De leden van de VVD-fractie constateren dat in de bijlage bij het wetsvoorstel categorieën
van instanties worden aangewezen waarvoor de wet straks geldt. Zij vragen zich af
in hoeverre wordt overwogen om daar categorieën aan toe te voegen. Voorts vragen zij
zich af of de wet moet worden gewijzigd als er daadwerkelijk categorieën worden toegevoegd.

Op dit moment wordt niet overwogen nieuwe categorieën organisaties aan te wijzen.
Als het in de toekomst in de rede zou liggen categorieën toe te voegen, behoeft de
wet niet te worden gewijzigd. Ingevolge artikel 2, vierde lid, van het wetsvoorstel
kan de bijlage bij de wet bij algemene maatregel van bestuur worden gewijzigd en kunnen
categorieën van organisaties aan de bijlage worden toegevoegd.

De VVD-fractie vraagt zich af wat de betekenis is van het in de memorie van toelichting
gestelde dat toegelaten publieke middelen «in beginsel» uitsluitend worden gebruikt
voor de toegang tot elektronische dienstverlening door bestuursorganen en aangewezen
organisaties.

Publieke middelen zijn bedoeld voor gebruik in het publieke domein, dat wil zeggen
voor het afnemen van elektronische diensten van bestuursorganen en aangewezen organisaties,
zijnde instanties die ter uitoefening van een publieke taak, in het algemeen belang
of anderszins het bsn verwerken. Op deze hoofdregel bestaat, onder strikte voorwaarden,
een tweetal uitzonderingen. Ingevolge artikel 8, tweede lid, van het wetsvoorstel
kan bij ministeriële regeling worden bepaald dat een publiek middel tevens kan worden
gebruikt voor de toegang tot daarbij bepaalde private of commerciële diensten van
aangewezen organisaties (gecombineerde elektronische dienstverlening). Het betreft
specifiek omschreven aangewezen organisaties, bijvoorbeeld zorgverzekeraars en zorgverleners,
voor specifiek omschreven diensten anders dan diensten ter uitoefening van een publieke
taak, in het algemeen belang of waarbij het bsn wordt verwerkt. Voorts is het, ingevolge
het voorgestelde artikel 8, derde lid, mogelijk bij ministeriële regeling te bepalen
dat een publiek middel tevens kan worden gebruikt ten behoeve van aangewezen organisaties
voor het verlenen van toegang tot een intern (gesloten) systeem voor de elektronische
uitwisseling van gegevens waarbij het bsn wordt verwerkt, zoals dat bijvoorbeeld binnen
en tussen zorginstellingen bestaat voor het onderling uitwisselen van medische gegevens.
In de bovenstaande gevallen gelden vanzelfsprekend alle regels van het wetsvoorstel,
waaronder die met betrekking tot de werking, betrouwbaarheid en beveiliging van de
toegang tot de desbetreffende diensten en met betrekking tot toezicht.

De leden van de VVD-fractie vragen om een nadere verduidelijking van de functie van
de routeringsvoorziening, inzicht in de kosten en de planning daarvan, alsmede een
uitleg van het begrip «koppelvlak».

Tijdens de consultatie van het wetsvoorstel hebben dienstverleners aangegeven ontzorgd
te willen worden ter zake van de verplichting tot acceptatie van c.q. aansluiting
op publieke en private middelen. Daarom is besloten tot realisering van een zogeheten
routeringsvoorziening, die als doel heeft het ontzorgen van dienstverleners door het
leveren van één aanspreekpunt, één contract, één factuur en één (technisch) koppelvlak.
In de loop van 2019 zullen dienstverleners op deze voorziening worden aangesloten.
De verwachte kosten zijn opgenomen in de business case en bedragen naar verwachting
enkele miljoenen, door te rekenen aan de ervan gebruikmakende dienstverleners. De
verwachte opslag op een authenticatietransactie is in de orde van enkele eurocenten.
Een koppelvlak, ook wel interface (schakel) genoemd, verzorgt volgens bepaalde standaarden
de uitwisseling van gegevens tussen informatiesystemen, waardoor deze systemen met
elkaar kunnen communiceren. Een koppelvlak zet dus informatie van het ene systeem
om in begrijpelijke en herkenbare informatie van een ander systeem.

De CDA-fractie vraagt naar voorbeelden om inzichtelijk te maken hoe bestuursorganen
en aangewezen organisaties hun elektronische diensten classificeren op onderscheidenlijk
het betrouwbaarheidsniveau substantieel of hoog.

De diensten die door overheidsorganisaties worden geleverd zijn divers. Dat geldt
ook voor de behoefte aan digitale identiteitsvaststelling daarvoor en de mate van
zekerheid die nodig is gelet op het te beschermen belang. Over het algemeen geldt
dat hoe hoger het betrouwbaarheidsniveau van een identificatiemiddel is, hoe meer
controles en stappen moeten worden doorlopen. Deze controles volgen uit de eIDAS-verordening,
die daaraan op Europees niveau regels stelt. Dat betekent over het algemeen: hoe hoger
het betrouwbaarheidsniveau, hoe kostbaarder en wat minder eenvoudig in het gebruik.
De systematiek van de regels die worden gesteld aan de inzet van betrouwbaarheidsniveaus,
en de kaders die daaromtrent in de uitvoeringsregelgeving zullen worden uitgewerkt,
is vergelijkbaar met de afwegingen die in informatiebeveiliging in het algemeen gangbaar
zijn en die ook in de AVG worden gehanteerd. Wat redelijk is om in te zetten als betrouwbaarheidsniveau
hangt dan af van het soort dienstverlening, de gegevens die worden ontsloten en de
overige controlestappen die door de overheidsdienstverlener worden ingebouwd. Voorbeeld
van een proces dat op niveau substantieel kan plaatsvinden is bijvoorbeeld een vergunningaanvraag
bij een gemeente, waar bij de aanvraag geen gegevens worden verstrekt en voor de verlening
nog tal van controlestappen zullen volgen. Anders is dat voor de toegang tot gezondheidsgegevens
waarop een medisch beroepsgeheim rust. Als deze informatie na inloggen digitaal wordt
ontsloten is de mate van zekerheid die nodig is over de identiteit van de patiënt
van zeer groot belang, en zal betrouwbaarheidsniveau hoog noodzakelijk zijn. Overigens
zal ik bij het opstellen van de uitvoeringsregelgeving rekening houden met de thans
veelgebruikte «handreiking betrouwbaarheidsniveaus» van het Forum Standaardisatie.
Door daarop aan te sluiten beoog ik zoveel mogelijk aan te sluiten bij de (nu nog
vrijblijvende) huidige praktijk en de overgang naar de nieuwe situatie zo eenvoudig
mogelijk te maken.

De leden van de CDA-fractie constateren dat in het wetsvoorstel het uitgangspunt is
opgenomen, dat publieke middelen niet buiten het (semi)publieke domein worden gebruikt.
De CDA-fractie vraagt naar onderbouwing van deze principiële keuze en of de keuze
van de consument in deze niet voorop zou moeten staan.

Het publieke middel is ontwikkeld ten behoeve van overheidsdienstverleners die burgers
herkennen aan de hand van hun bsn. Het gebruik van het publieke middel is daarmee
beperkt tot digitale dienstverlening van organisaties die gerechtigd zijn het bsn
te gebruiken. Mocht in de toekomst blijken dat de consument met een publiek middel
ook zou willen inloggen in het private domein, dan zal het belang van de consument
moeten worden afgewogen tegen aspecten zoals het gebruik van het bsn door private
partijen, regeldruk voor het bedrijfsleven, naleving van de Wet markt en overheid
– ter voorkoming van marktverstoring –, eventuele informatieveiligheidsrisico’s en
kosten voor de overheid.

De leden van de CDA-fractie vragen waarom er geen publiek middel kan worden gebruikt
voor het bedrijfsmatig in contact komen met de overheid. De leden van de CDA-fractie
vragen ook in te gaan op de opmerkingen die het Adviescollege Toetsing Regeldruk maakt
over de eHerkenningsmiddelen. Voorts vraagt de CDA-fractie zich af, waarom de regering
in de keuze van de ondernemer treedt in het geval dat ondernemingen die op naam van
een natuurlijk persoon staan, gebruik kunnen maken van dienstverlening waarbij het
mogelijk is om te identificeren met DigiD en met eHerkenning. De leden van de CDA-fractie
vragen of de conclusie gerechtvaardigd is, dat regulering van de huidige situatie
geschiedt met het oog op het verbieden van digitale dienstverlening voor bedrijven
waarbij de toegang op basis van identificatie met een publiek middel wordt verleend.

DigiD is niet toegerust om bij de authenticatie andere nummers dan het bsn te leveren
aan de dienstverlener. Het private bedrijfsmiddel eHerkenning is ontwikkeld voor de
gevallen waarin het KvK- of RSIN-nummer is vereist. Alhoewel niet van overheidswege
uitgegeven, moet dit bedrijfsmiddel aan strenge eisen voldoen en zal het aan toezicht
van de door de Minister van BZK aangewezen ambtenaren worden onderworpen. Het bedrijfsmiddel
blijkt in de praktijk toereikend voor het inloggen bij dienstverlening aan bedrijven
in het publieke domein, waardoor de nut en noodzaak voor het introduceren van een
publiek middel ontbreekt. Aan de aanbeveling van het Adviescollege Toetsing Regeldruk
(ATR) om de betrouwbaarheidsniveaus van eHerkenning te uniformeren en terug te brengen
tot de drie niveaus wordt uitvoering gegeven. Voorts wordt bij de uitwerking van de
lagere regelgeving rekening gehouden met de behoefte aan gebruiksvriendelijke machtigingssystemen.
Door de ATR is tevens aanbevolen om in overleg met aanbieders van eHerkenningsmiddelen
te komen tot een standaardisering van abonnementen en aanvullende diensten. Het is
mogelijk dat een standaardisering tot minder kosten zal leiden, maar eHerkenning is
een stelsel met concurrerende aanbieders van inlogmiddelen die zich juist moeten onderscheiden
om keuzemogelijkheden voor klanten te bieden, zodat klanten optimaal bediend kunnen
worden. In lijn met het ATR-advies om het gebruik van machtigingsvoorzieningen bij
eHerkenning te vereenvoudigen, wordt bij de uitwerking van de lagere regelgeving rekening
gehouden met de behoefte aan gebruiksvriendelijke machtigingssystemen.

De conclusie dat regulering van de huidige situatie geschiedt met het oog op het verbieden
van digitale dienstverlening voor bedrijven waarbij de toegang op basis van identificatie
met een publiek middel wordt verleend, is niet gerechtvaardigd; de regering voert
geen bepaling in die dienstverleners verbiedt beide inlogmethoden aan te bieden aan
ondernemers. Het gebruik van een publiek middel kan wel ondoelmatig zijn omdat dienstverleners
bedrijven in hun administratie herkennen aan de hand van het KvK- of RSIN-nummer in
plaats van het bsn. Alleen in het geval ondernemingen op naam staan van een natuurlijke
persoon, bestaat bij sommige dienstverleners de mogelijkheid om zowel in te loggen
met eHerkenning als met een publieke middel. Het wetsvoorstel treedt niet in de vrijheid
van ondernemers om tussen deze opties te kiezen.

De D66-fractie is van mening dat toegang tot elektronische diensten van de overheid
betrouwbaar en veilig moet zijn en dat het goed is dat deze wet dit vastlegt. De leden
van de D66-fractie verbazen zich over het feit dat de kosten die het Rijk maakt samenhangend
met de verstrekking van een publiek identificatiemiddel met een hoger betrouwbaarheidsniveau,
ten laste worden gebracht van de burger en vragen hoe dit samenhangt met het basisrecht
van burgers tot communicatie met de overheid. De leden vragen zich af, of de overheid
zelf, met eigen middelen, niet zorg voor deze overheidscommunicatie dient te dragen
en of er een mogelijkheid is andere modellen voor het bekostigen te onderzoeken.

Het feit dat er een, in dit wetsvoorstel verankerde, publieke verantwoordelijkheid
is voor het ontwikkelen en uitgeven van publieke identificatiemiddelen op een voldoende
hoog betrouwbaarheidsniveau, brengt niet zonder meer met zich, dat (volledige) bekostiging
ter zake ook door de (Rijks)overheid dient te geschieden. In dit verband zijn meerdere
bekostigingsmodellen onderzocht en is door het kabinet besloten tot de bekostiging
zoals opgenomen in de artikelen 20 – 22 van het wetsvoorstel. Bij de publieke identificatiemiddelen
zal een gedeelte van de kosten die het Rijk maakt worden doorbelast aan burgers. Dit
is in lijn met hetgeen gebruikelijk is bij leges (retributies): het betreft een betaling
aan de overheid waar een individueel aanwijsbare tegenprestatie van de overheid tegenover
staat. Anders dan de kosten van aanschaf van het publieke identificatiemiddel, zijn
de kosten van het gebruik ervan niet voor rekening van de gebruiker. Deze worden doorbelast
aan de publieke dienstverlener; de kosten die het Rijk maakt, samenhangend met het
realiseren van publieke middelen en voorzieningen, worden ten laste gebracht van de
bestuursorganen en aangewezen organisaties.

De leden van de D66-fractie zouden graag, net als de Raad van State, het basisrecht
voor burgers tot communicatie met de overheid in het wetsvoorstel doorgevoerd zien
en vragen zich af waarom dit niet is opgenomen. Zij stellen dat het feit, dat dit
recht een bredere werkingssfeer heeft dan onderhavig voorstel, de verwerking in dit
wetvoorstel niet hoeft te belemmeren.

Met de D66-fractie ben ik van mening dat er een recht op communicatie met de overheid
bestaat. Dit gaat echter de werkingssfeer van het wetsvoorstel digitale overheid te
buiten. Algemene regels over bestuurlijk verkeer (communicatie) met de overheid zijn
neergelegd in de Awb. Momenteel bereid ik samen met mijn ambtgenoot van Justitie en
Veiligheid een wijziging van de Awb voor, waardoor burgers naast de papieren weg een
aanspraak krijgen op digitaal zaken doen met de overheid. Tevens zijn wij voornemens
– los van digitalisering – bestuursorganen te verplichten ondersteuning te bieden
bij communicatie met de overheid. Naar verwachting zal dit wetsvoorstel in 2019 bij
uw kamer worden ingediend.

De D66-fractie vraagt voorts hoe uitvoeringsorganisaties en dienstverleners kunnen
bepalen wat het vereiste betrouwbaarheidsniveau is bij elektronische identificatie,
welke regels hierbij gelden en of hier toezicht op is. Ook vragen zij, gelet op artikel
6 lid 4 van het wetsvoorstel, dat ruimte biedt om tijdelijk een inlogmiddel met een
lager betrouwbaarheidsniveau toe te staan, hoe lang een dergelijke afwijking van het
hogere betrouwbaarheidsniveau toegestaan is en of het verstandig zou zijn hieraan
een deadline te koppelen.

Mijn doelstelling is om overheidsdienstverlening zo snel als mogelijk naar een hoger
betrouwbaarheidsniveau te brengen. Daar zijn de inspanningen op gericht. Om verplichtingen
op te kunnen leggen is het echter van belang dat deze redelijkerwijs kunnen worden
ingevuld. Of dat kan hangt van een aantal factoren af. Zo moeten middelen op de voorgeschreven
betrouwbaarheidsniveaus breed beschikbaar zijn. Voor overheidsorganisaties geldt daarbij
dat zij vaak te maken hebben met bestaande processen en informatiesystemen («legacy»)
en dat

aanpassing de nodige tijd kost. Het is belangrijk om daar realistisch in te zijn en
te zorgen dat overheidsorganisaties dat op een ordentelijke manier kunnen doen. De
tijd die nodig is of gegund wordt hangt in belangrijke mate af van het belang en complexiteit
van de dienstverlening. Dit betekent niet dat er geen einddatum op zit. Organisaties
zullen de snelheid moeten betrachten die zij redelijkerwijs aan kunnen. Maar ik wil
er wel voor wil waken dat organisaties overhaast gaan implementeren; dit kan namelijk
andere implementatie – en veiligheidsrisico’s met zich brengen, hetgeen uiteindelijk
per saldo weinig winst oplevert. Het wetsvoorstel voorziet in toezicht op de naleving
van de juiste inzet van betrouwbaarheidsniveaus. Het toezicht op de naleving van classificering
door dienstverleners loopt via de reguliere (interbestuurlijke) lijnen. Voor het toezicht
op naleving van de verplichting door ministeries en zelfstandige bestuursorganen geldt
dat de Minister, op wiens beleidsterrein het betreffende bestuursorgaan of het desbetreffende
zelfstandige bestuursorgaan of aangewezen organisatie werkzaam is, een toezichthouder
aanwijst.

De leden van de D66-fractie vragen welke technische voorschriften zijn verbonden aan
het toelatingsbesluit inzake een privaat middel en of deze uit eIDAS volgen. Zij vragen
tevens of deze eisen voldoende zijn en of de regering voornemens is aanvullende eisen
te stellen.

De voorschriften die aan private identificatiemiddelen gesteld worden om te worden
toegelaten volgen allereerst uit de eIDAS verordening 2015/1502 van de Europese Commissie.
Deze uitvoeringsverordening beschrijft de technische en procedurele stappen (controles)
die moeten plaatsvinden om te zorgen dat aan middelen een betrouwbaarheidsniveau «substantieel»
of «hoog» kan worden toegeschreven. Daarnaast worden voor de toelating voorschriften
gesteld die niet direct voortvloeien uit eIDAS-normen, maar die voor Nederland aanvullend
zijn en voortkomen uit nationale beleids- en inrichtingskeuzes, zoals het gebruik
van pseudonimisering voor privacybescherming en het gebruik van het zogeheten BSN-koppelregister
(een publieke voorziening die mogelijk maakt dat gebruikers centraal inzage kunnen
krijgen in hun middelen). De eIDAS-verordening laat de ruimte om nationaal deze aanvullende
eisen te stellen.

De leden van de D66-fractie vragen of het klopt dat niet elk privaat middel dat aan
de voorwaarden voldoet wordt toegelaten. Zij vragen zich af, op welke wijze dan een
keuze wordt gemaakt tussen aanbieders die aan de voorwaarden voldoen. Voorts vragen
zij zich af, wanneer sprake is van noodzaak van een privaat middel voor de beschikbaarheid
en toegankelijkheid van elektronische dienstverlening aan natuurlijke personen.

Zoals hiervoor ook is aangegeven, is de doelstelling van het wetsvoorstel ervoor te
zorgen dat er identificatiemiddelen op hogere betrouwbaarheidsniveaus continu beschikbaar
zijn. Burgers moeten veilig en ongestoord zaken kunnen doen met de overheid. Om dat
snel voor elkaar te krijgen is het noodzakelijk dat een alternatief met een hoge dekkingsgraad
beschikbaar komt. Om dat te realiseren maakt het wetsvoorstel het mogelijk om een
of meerdere private identificatiemiddelen toe te laten. Op dit moment wordt een aanbesteding
voorbereid om in dit kader één of meerdere private authenticatiemiddelen te verwerven,
waarbij de markt vooraf duidelijkheid wordt geboden over de opdracht.

De D66-fractie constateert dat de reikwijdte van organisaties die de plicht hebben
om bij elektronische dienstverlening de toegelaten identificatiemiddelen te accepteren
vrij breed is. Hier vallen ook pensioenuitvoerders, zorgaanbieders, ziektekostenverzekeraars,
indicatieorganen en de universiteiten en hogescholen onder. De leden van de D66-fractie
vragen zich af welke kosten deze plicht met zich mee brengt voor deze organisaties.

Bij elektronische overheidsdienstverlening staat de burger centraal. Het is belangrijk
dat burgers bij alle overheidsdienstverleners in kunnen loggen met dezelfde betrouwbare
(publieke of private) middelen. Zowel voor burgers als voor de dienstverleners is
het efficiënt en gebruiksvriendelijk overal met dezelfde betrouwbare middelen te kunnen
werken. Daarom voorziet het wetsvoorstel in een acceptatieplicht voor dienstverleners.
Om overheidsdienstverlening digitaal beschikbaar te maken, zal de dienstverlener een
aansluiting moeten hebben op een authenticatiedienst. Dit kost geld; voor DigiD betaalt
een dienstverlener op dit moment ca. 12 eurocent per inlog. Een groot aantal van de
genoemde organisaties maakt nu al gebruik van DigiD, zoals pensioenuitvoerders en
ziektekostenverzekeraars. Ook veel zorgaanbieders maken reeds gebruik van DigiD. De
organisaties moeten zelf de kosten dragen voor het ontwikkelen van hun eigen elektronische
diensten. De kosten voor beheer en exploitatie van de toegelaten en erkende middelen
en de kosten voor de ontwikkeling van de publieke voorzieningen zullen ook worden
doorbelast, hetgeen voor hen betekent dat die kosten zullen stijgen. Daar staat tegenover
dat deze wijze van communiceren op andere vlakken juist naar verwachting kostenvoordelen
zal opleveren (bijvoorbeeld in de zorg).

De leden van de D66-fractie lezen dat het streven is dat in de toekomst voor alle
personen met een bsn een elektronisch identificatiemiddel op de betrouwbaarheidsniveaus
substantieel en hoog beschikbaar komt, en dat voor een bepaalde periode ongelijkheid
kan ontstaan tussen burgers die wel of niet een rijbewijs of identiteitskaart hebben.
De D66-fractie constateert dat zij die dit niet hebben, niet kunnen inloggen op betrouwbaarheidsniveau
substantieel/hoog en derhalve geen toegang krijgen tot de elektronische dienst die
de overheid aanbiedt. De fractie vraagt op welke wijze er zorg voor zal worden gedragen
dat elk persoon met een bsn die dat wenst toegang kan krijgen tot een elektronische
overheidsdienst waarbij het betrouwbaarheidsniveau substantieel of hoog is.

Aan het beschikbaar komen van publieke middelen op betrouwbaarheidsniveau substantieel
en hoog wordt hard gewerkt. De daadwerkelijke uitgifte zal stapsgewijs geschieden.
Niet alle burgers met een bsn zullen op hetzelfde moment gaan beschikken over een
publiek middel op een hoger betrouwbaarheidsniveau, bijvoorbeeld omdat voor rijbewijzen
en identiteitskaarten een geldigheidsduur geldt. Om die reden voorziet het wetsvoorstel
in de mogelijkheid tot gefaseerde inwerkingtreding en overgangsrecht. Onder meer kan
gedurende een bepaalde periode worden toegestaan dat de toegang tot diensten, waarvoor
eigenlijk authenticatie op betrouwbaarheidsniveau substantieel of hoog vereist is,
kan geschieden met gebruikmaking van identificatiemiddelen met betrouwbaarheidsniveau
laag respectievelijk substantieel.

4. Privacy

De leden van de D66-fractie vragen of de uitgevoerde privacy impact assessments (PIA’s)
aan de kamer kunnen worden toegezonden.

Ook ik hecht groot belang aan de waarborging van de privacy. Voor het vertrouwen in
de digitale overheid is een zorgvuldige omgang met persoonsgegevens essentieel. Ik
geef graag gehoor aan het verzoek om de uitgevoerde PIA’s aan uw kamer toe te zenden
bij gelegenheid van de komende eID-voortgangsrapportage. Een aantal van deze PIA’s
is reeds aan uw Kamer toegezonden.

De D66-fractieleden vragen zich af waar in de wet is terug te vinden dat de gegevensverwerking
zodanig wordt ingericht, dat geen van de bij authenticatie betrokken partijen (inclusief
dienstverleners) kan zien welke andere websites door de houder van het middel worden
bezocht. Daarnaast vragen deze leden waarom er voor gekozen is om de uitwerking van
artikel 15 tot en met 18 AVG (recht van inzage en rectificatie) niet in de wet op
te nemen, maar dit in uitvoeringsregelgeving vast te leggen. De D66-fractie vraagt
of dit recht niet van fundamentelere betekenis zou zijn als het ook in de wet wordt
vastgelegd en uitgewerkt. De D66-fractieleden hebben inzake dataminimalisatie eveneens
de vraag hoe dit bewerkstelligd zal worden en waarom dit principe geen plaats heeft
in de wet.

Voor het eID stelsel is het van belang dat de bescherming van persoonsgegevens op
een adequate wijze, conform de AVG, wordt ingericht. Het inrichten van maatregelen
om te voorkomen dat partijen ongeoorloofd gebruik maken van persoonsgegevens maakt
daarvan onderdeel uit. De wijze waarop dat gebeurt moet in de inrichting van het stelsel
vorm krijgen, waarbij ruimte moet zijn risico’s te ondervangen. Dit betekent onder
meer dat op het niveau van de wet niet te veel gestuurd wordt om deze inrichtingskeuzes
niet onbedoeld rigide te maken.

De wet digitale overheid en uitvoeringsregelgeving regelen de kaders die gelden voor
verwerkingen van persoonsgegevens die plaatsvinden in het kader van het eID stelsel.
Zo dienen de verwerkingen over een wettelijke grondslag te beschikken onder meer ten
aanzien van de verwerking van het bsn. Ook worden de gegevens die mogen worden verwerkt
vastgesteld, alsmede aan wie deze mogen worden verstrekt en hoe lang de gegevens mogen
worden bewaard. De AVG verlangt dat deze aspecten bij wet worden geregeld.

De belangrijke rechten van inzage en rectificatie uit de AVG, een rechtstreeks werkende
EU-verordening, gelden voor gebruikers direct. Opname van deze rechten in het onderhavige
wetsvoorstel is niet nodig en – vanwege de rechtstreekse toepasselijkheid van de AVG
– niet toegestaan. Datzelfde geldt voor de privacybeginselen uit de AVG, waaronder
dataminimalisatie, proportionaliteit en subsidiariteit. Deze rechten voor gebruikers
en privacybeginselen vormen het kader dat de verantwoordelijke bij de inrichting van
de verwerkingen van persoonsgegevens moet hanteren. Dit gebeurt ook bij de inrichting
van het eID-stelsel. Om deze inrichting te sturen is een privacyvisie opgesteld, waarin
de toepasselijke privacyregels zijn geïnventariseerd, en waarin stapsgewijs wordt
aangegeven hoe deze doorwerken bij de inrichting van het eID-stelsel. Ik zal deze
privacyvisie aan de Kamer zenden bij gelegenheid van de volgende eID-voortgangsrapportage
zodat inzicht wordt geboden in de wijze waarop ik als verwerkingsverantwoordelijke
voor de verwerking van persoonsgegevens binnen het eID stelsel de naleving van privacywetgeving
ter hand neem. Daarbij merk ik op dat naleving van privacywetgeving een doorlopende
activiteit is, en dat adequate naleving niet statisch is. Dat betekent dat door de
tijd maatregelen die getroffen worden om een adequate bescherming van persoonsgegevens
te realiseren kunnen wijzigen, bijvoorbeeld door voortschrijdende beschermingstechnieken,
maar ook door veranderende dreigingen. Overigens draag ik zorg voor een voorziening
die gebruikers, die immers meerdere middelen kunnen hebben, in staat stelt op een
centraal punt in te zien welke middelen zij hebben aangevraagd. Dit is geregeld omdat
de inrichting van zo’n voorziening niet logischerwijs uit de uitwerking van de AVG
zou voortvloeien. Dat rechtvaardigt ook de regeling ervan in het wetsvoorstel.

5. Misbruik van de GDI

De leden van de VVD-fractie vragen zich af hoe, ingeval een identificatiemiddel wordt
ingetrokken, de aansprakelijkheid is geregeld en voor wie de kosten zijn.

Alle actoren in het eID stelsel, zowel middelenuitgevers als de Minister van BZK,
moeten de mogelijkheid hebben om, indien zij signaleren dat er (mogelijk) misbruik
plaatsvindt met identificatiemiddelen, deze te blokkeren of in te trekken. Daarmee
kan immers (verdere) schade of nadeel voor zowel burgers en overheden worden voorkomen.
Daarbij geldt dat iedereen binnen het eID stelsel zorgvuldig dient te handelen. BZK
en middelenuitgevers zullen niet lichtvaardig mogen overgaan tot het intrekken van
een identificatiemiddel. Daartoe dienen zij zorgvuldig te werk te gaan en gegronde
redenen moeten hebben. Aan de andere kant dienen burgers – net als met fysieke identiteitsdocumenten
– zorgvuldig met hun identificatiemiddelen om te gaan, omdat onzorgvuldig gebruik
misbruik in de hand kan werken. Deze verantwoordelijkheden maken dat niet een eenduidig
antwoord mogelijk is op de vraag wie in een concreet geval aansprakelijk is voor de
gevolgen van een intrekking en de gevolgen ervan moet dragen. Dat zal – aan de hand
van de reguliere aansprakelijkheidsregels moeten worden bepaald. Daarbij zal het gaan
om vragen als zorgvuldigheid van handelen en verwijtbaarheid in concrete situaties.

6. Toezicht en handhaving

Ook al is een overheidstaak op afstand gezet, vanuit zijn verantwoordelijkheid dient
de Minister de betrokken zelfstandige bestuursorganen zo nodig tot naleving van de
wet te bewegen, zo lezen de leden van de CDA-fractie. De CDA-fractie vraagt zich af
welke middelen de Minister(s) hierbij ter beschikking staan.

Waar het wetsvoorstel spreekt over de Minister die het aangaat, is deze bevoegd toezichthoudende
ambtenaren aan te wijzen. Er is voor gekozen aan te sluiten bij bestaande toezichtstructuren
in het desbetreffende beleidsdomein, zoals uitgeoefend door bijvoorbeeld de ILT, de
IGJ en de Arbeidsinspectie. Voor wat betreft zelfstandige bestuursorganen zijn de
beschikbare instrumenten opgenomen in de Kaderwet Zbo’s; in het uiterste geval kan
de desbetreffende Minister een vernietigingsbesluit nemen of een taakverwaarlozingsvoorziening
treffen. Daarnaast beschikt de Minister van BZK ingevolge dit wetsvoorstel over bijzondere
bevoegdheden indien bijvoorbeeld sprake is van een ernstige aantasting van de veiligheid
of van (dreigend) misbruik.

Voorts constateert de CDA-fractie dat ter zake van medeoverheden het primaat voor
de controle op de naleving bij horizontale verantwoording binnen een bestuurslaag
ligt. De leden van de CDA-fractie constateren, dat de praktijk uitwijst dat gemeenteraden,
provinciale staten en algemene besturen vaak de nodige informatie ontberen om als
toezichthouder op te treden. Zij vragen zich af welke stappen hierop zijn ondernomen
of de regering overweegt te ondernemen.

Evenals ten aanzien van Zbo’s is er bij decentrale overheden voor gekozen aan te sluiten
bij bestaande toezichtstructuren. Dat betekent dat in lijn met de reguliere verantwoordingssystematiek
en informatiebevoegdheden moet worden gehandeld. Daarnaast is echter, conform de Gemeentewet
en Provinciewet, interbestuurlijk toezicht en het in dat verband beschikbare instrumentarium
aan de orde. Dit toezicht is gebaseerd op vertrouwen. Wel is het zo, dat de Minister
van BZK ingevolge dit wetsvoorstel over bijzondere bevoegdheden beschikt indien bijvoorbeeld
sprake is van een ernstige aantasting van de veiligheid of van (dreigend) misbruik.
Medeoverheden wordt de gelegenheid gegeven in de praktijk met het wetsvoorstel te
gaan werken. Vanuit mijn ministerie is hiervoor desgewenst voorlichting en ondersteuning
beschikbaar. Mocht blijken dat aanvullend instrumentarium noodzakelijk is, dan zullen
nadere maatregelen worden overwogen.

De CDA-fractie vraagt zich af wat de positie van de burgemeester is op het vlak van
informatieveiligheid als verantwoordelijke voor openbare orde en veiligheid.

Inzake informatieveiligheid bij de toegang tot elektronische dienstverlening voorziet
het wetsvoorstel in specifieke regels en verantwoordelijkheden. De Minister van BZK
stelt informatieveiligheidsregels aan bestuursorganen en aangewezen organisaties,
waaronder een auditplicht. De publieke dienstverleners, waaronder gemeenten, moeten
deze regels naleven. De in dit verband voorgenomen algemene maatregel van bestuur
zal, zoals bij punt 1 van deze nota is aangegeven, aan uw kamer worden toegezonden.
De Minister van BZK houdt voorts toezicht op de naleving van de gestelde regels; hij
beziet de te overleggen auditverklaringen, gaat indien nodig – en in overleg met de
domeinspecifieke toezichthouder – in gesprek over verbetering en kan in het uiterste
geval noodmaatregelen nemen. Het is de Minister van BZK die in casu doorzettingsmacht
heeft en over bijzondere bevoegdheden beschikt indien bijvoorbeeld sprake is van een
ernstige aantasting van de veiligheid of van (dreigend) misbruik. De bevoegdheden
van de Minister richten zich op de borging of het herstel van de betrouwbare toegang
tot elektronische dienstverlening. In het geval van (diensten van) een gemeente heeft
de burgemeester geen specifieke taak vanwege zijn verantwoordelijkheid voor openbare
orde en veiligheid; wel dient hij als bestuursorgaan zorg te dragen voor de naleving
van het wetsvoorstel.

De leden van de CDA-fractie vragen, of het de bedoeling is dat het Agentschap Telecom
de volledige taak van toezichthouder op erkende diensten overneemt.

Ingevolge het wetsvoorstel zullen ambtenaren worden aangewezen die toezien op de naleving
van de bepalingen van het wetsvoorstel. Voor wat betreft de bepalingen inzake erkende
diensten (dit zijn private partijen) in het bedrijvendomein, heb ik het voornemen
ambtenaren van het Agentschap Telecom, onderdeel van het Ministerie van Economische
Zaken en Klimaat, aan te wijzen.

De leden van de CDA-fractie vragen voorts of aan de hand van voorbeelden kan worden
geschetst wanneer de meldplicht bij veiligheidsinbreuken met beperkte impact achterwege
kan blijven.

Het wetsvoorstel kent een plicht om veiligheidsinbreuken te melden. In de memorie
van toelichting is opgenomen dat bij veiligheidsinbreuken met een «beperkte impact»
deze plicht minder voor de hand ligt. Eerst merk ik op dat op grond van het wetsvoorstel
niet te snel mag worden aangenomen dat een melding achterwege mag blijven. Waar het
om gaat is dat veiligheidsinbreuken met relevantie en grote gevolgen voor veel personen,
over organisaties heen, gesignaleerd worden. Dat is niet alleen van belang voor transparantie,
maar ook om de gevolgen snel en effectief te kunnen herstellen. Door de veiligheidsinbreuken
met beperkte impact niet te melden, bijvoorbeeld een of enkele geblokkeerde DigiD’s,
wordt ervoor gezorgd de veiligheidsinbreuken die wel gemeld worden de aandacht kunnen
krijgen en niet vertroebeld raken in een groter aantal meldingen. Ik hecht eraan op
te merken dat dit geenszins betekent dat op inbreuken met beperkte impact geen actie
moet worden ondernomen. Het niet melden ervan bij een toezichthouder doet daar op
geen enkele wijze afbreuk aan. Immers, ook veiligheidsinbreuken met beperkte impact
kunnen vervelende gevolgen hebben voor personen die het betreft. De gehanteerde systematiek
is vergelijkbaar met de wijze die de meldplicht datalekken uit de AVG hanteert. De
gevolgen voor betrokkenen, en de mate waarin deze reeds zijn hersteld kunnen meewegen
bij de vraag of inbreuken moeten worden gemeld.

De leden van de D66-fractie lezen in de toelichting dat in 2015 alleen al 15 000 DigiD’s
zijn geblokkeerd vanwege (een vermoeden van) fraude. De D66-fractie constateert, in
aansluiting op het advies van de Raad van State, dat niet is geregeld welk orgaan
verantwoordelijk is voor het oplossen van de problemen waar slachtoffers van identiteitsfraude
mee te maken krijgen, en waar het slachtoffer zich kan melden, of hoe hij op een eenvoudige
manier een identificatiemiddel tijdelijk kan onderbreken. De D66 fractie vraagt zich
af waarom de verankering van deze taken in deze wet niet opportuun is.

De problemen waar slachtoffers van identiteitsfraude mee te maken krijgen, zijn serieus
en hebben mijn aandacht. In 2010 is door BZK het Centraal Meldpunt Identiteitsfraude-
en fouten (CMI) ingericht. Het CMI, onderdeel van mijn ministerie, biedt advies en
hulp aan slachtoffers van identiteitsfraude. Via www.Rijksoverheid.nl, www.rvig.nl en www.slachtofferwijzer.nl wordt informatie verschaft over taken en werkwijze van het CMI, samenwerking met
de ketenpartners (o.a. de RDW, KMAR, politie en OM), preventie, het herkennen en melden
van identiteitsfraude en te nemen maatregelen. Ook kunnen er meldformulieren worden
gedownload. Het door slachtoffers/gebruikers tijdelijk laten onderbreken (blokkeren)
van DigiD is geregeld in de Regeling voorzieningen GDI. Het onderhavige wetsvoorstel
bevat voorts bevoegdheden van de Minister van BZK in het geval van (vermoed) misbruik
van een elektronisch identificatiemiddel. In aanvulling daarop zal ik de opportuniteit
bezien van een meer algemene wettelijke verankering van de verantwoordelijkheid van
de Minister van BZK bij de aanpak van identiteitsfraude. Gelet op de reikwijdte van
het onderhavige wetsvoorstel (elektronische identificatie bij de toegang tot overheidsdienstverlening)
en het feit dat identiteitsfraude een complex geheel is en een bredere portee heeft
dan digitale identificatie (zo zijn er meerdere identiteitsdocumenten en is er samenhang
met bijvoorbeeld de BRP) ligt regulering in de Wet digitale overheid niet in de rede.

De leden van de D66-fractie lezen dat dienstverleners geacht worden jaarlijks een
audit te laten uitvoeren om te toetsen op de naleving aan de eisen aan de werking,
betrouwbaarheid en beveiliging van de toegang van de elektronische dienstverlening.
Dit wordt door de leden ondersteund. De leden vragen of deze auditverklaring openbaar
wordt gemaakt en zo nee, wat de onderbouwing hiervan is.

Het verheugt mij dat de auditplicht met betrekking tot de toegang tot elektronische
diensten door de D66-fractie wordt ondersteund. De auditverklaring wordt niet openbaar
gemaakt, aangezien deze inzicht geeft in eventuele non-conformiteit met betrekking
tot de werking, betrouwbaarheid en beveiliging van de toegang van de elektronische
dienstverlening. Bij openbaarmaking zouden kwaadwillende derden hier misbruik van
kunnen maken. Het is ingevolge het wetsvoorstel mijn verantwoordelijkheid om een risicogebaseerde
afweging te maken met betrekking tot de vraag, of de non-conformiteit een acute bedreiging
vormt. Als dit het geval is dan kan de toegang van de betreffende dienstverlener tot
de elektronische dienstverlening (tijdelijk) worden opgeschort (afgesloten) tot dat
de non-conformiteit is opgelost. Als er geen sprake is van een acute bedreiging dan
zal aan de dienstverlener, op basis van een risicoafweging, een vooraf vastgestelde
periode worden gegund om de non-conformiteit op te lossen. Mocht dit binnen die periode
niet zijn opgelost, dan kan alsnog (tijdelijke) opschorting van de toegang tot de
elektronische dienstverlening volgen. Overigens laat het feit, dat een auditverklaring
niet openbaar wordt gemaakt, informatieverschaffing aan vertegenwoordigende organen
(zoals de gemeenteraad) in het kader van de algemene verantwoordingsplicht jegens
deze organen onverlet.

De leden van de D66-fractie merken op dat het wetsvoorstel ook afgeleide identificatie
mogelijk maakt. Dit zou betekenen dat bij de aanvraag voor eHerkenning kan worden
gesteund op de identificatie van bijvoorbeeld DigiD. De leden van de D66-fractie vragen
zich af, of hieruit volgt dat het van belang is dat de veiligheidseisen voor het bedrijvenmiddel
vergelijkbaar zijn met de veiligheidseisen van het burgermiddel en andersom.

Het wetsvoorstel laat, in aansluiting op de eIDAS uitvoeringsverordening 1502, ruimte
om bij het proces van uitgifte van middelen te steunen op een eerder uitgevoerde controle,
vaak de verificatiestap van identiteit, die doorgaans verhoudingsgewijs veel inspanning
van de gebruiker vraagt en voor de middelenuitgever een relatief groot deel van de
kosten bepaalt. Onder een afgeleid identificatiemiddel wordt verstaan een identificatiemiddel
dat voor een controlestap steunt op een eerder uitgevoerde controle. De veiligheidseisen
voor zowel het bedrijvenmiddel als het burgermiddel volgen uit de eIDAS-verordening
en bieden een vergelijkbaar beschermingsniveau.

Voorts vragen de leden wie of welke instantie er toezicht op houdt dat de eisen die
gesteld worden aan de inlogmiddelen vergelijkbaar zijn, en of het klopt dat op het
bedrijvenmiddel het Agentschap Telecom toezicht houdt, en op het burgermiddel aangewezen
ambtenaren (artikel 17 wetsvoorstel). De D66-fractie vraagt naar de wenselijkheid
van twee verschillende toezichthouders, gelet op de mogelijkheden tot afgeleide identificatie.

Het is mijn verantwoordelijkheid ervoor zorg te dragen dat de eisen aan de inlogmiddelen
– in aansluiting op de eIDAS verordening – een gelijkwaardig beschermingsniveau bieden.
Er zullen toezichthoudende ambtenaren worden aangewezen voor het bedrijfs- en organisatiemiddel
en voor het burgermiddel. Naar verwachting zullen ambtenaren van het Agentschap Telecom
door mij worden aangewezen om toezicht te houden op het bedrijfs- en organisatiemiddel;
voor het burgermiddel beraad ik mij nog op de precieze vormgeving. Vanzelfsprekend
zal ik er voor zorgdragen dat de toezichtsregimes adequaat zijn ingericht en onderling
zijn afgestemd.

7. Financiële bepalingen en gevolgen

De leden van de VVD-fractie vragen wat de kosten voor de overheid zijn als gevolg
van het wetsvoorstel. De leden vragen hoe de business case eruit ziet, of het klopt
dat de business case voor inloggen bij de overheid met 300 miljoen euro is gestegen
en nu uitgaat van een bedrag van één miljard euro, welke kosten voor rekening komen
van de bestuursorganen en de aangewezen organisaties die de diensten leveren en hoe
de kosten van deze diensten worden bepaald. Ook de leden van de D66-fractie vragen
of een beeld kan worden geschetst van de kosten van het uitrollen van een robuuste
infrastructuur voor authenticatie en identificatie, inclusief toelating en toezicht.

Op 9 maart 2018 heb ik uw Kamer de geactualiseerde «Business case inloggen in het
BSN domein» toegezonden (TK 2017–2018, 26 643, nr. 514). Het is juist dat de door het onafhankelijke bureau geschatte kosten 300 miljoen
euro hoger uitvallen en optellen tot een bedrag van bijna één miljard euro voor de
komende twaalf jaar. In de aanbiedingsbrief bij het onderzoek heb ik aangegeven wat
de oorzaak is van deze kostenstijging. De onderzoekers ondersteunen de opvatting van
het kabinet, dat het investeren in het elD-stelsel een essentieel onderdeel is van
het meer betrouwbaar maken van de digitale snelweg; aangegeven wordt dat de kosten
fors zijn, maar maatschappelijk te verantwoorden vanuit de potentiële baten. De kosten
die voor rekening komen van de bestuursorganen en aangewezen organisaties zijn nog
niet bepaald. De uitwerking hiervan zal neergelegd worden in nadere regelgeving. Afgesproken
is dat deze kosten op dat moment via uitvoeringstoetsen in beeld worden gebracht.
Vanzelfsprekend wordt voortdurend bezien of de kosten zo laag mogelijk kunnen worden
gehouden.

De leden van de CDA-fractie vragen nader in te gaan op de kritiek, dat betrokken partijen
niet consequent betrokken zijn bij de besluiten die worden genomen in het kader van
digitale overheid en dat dat de kosten die gepaard zullen gaan met de implementatie
en het beheer van de nieuwe generieke digitale infrastructuur en die grotendeels voor
rekening zullen komen van de afnemers/dienstverleners volstrekt onduidelijk zijn,
waardoor een betrouwbare impactanalyse onmogelijk is.

In de periode van 21 december 2016 tot en met 31 maart 2017 is het voorontwerp van
dit wetsvoorstel aan een brede consultatie onderworpen. Hieruit is gebleken dat het
nodig is om het stelsel op enkele onderdelen te vereenvoudigen om de uitvoerbaarheid
beter te realiseren en kosten te beperken. Dienstverleners wijzen op meerdere koppelvlakken
als belangrijke kostendrijver. Naar aanleiding van de consultatiereacties is in het
wetsvoorstel opgenomen dat de Minister van BZK verantwoordelijk is voor de inrichting
en werking van een routeringsvoorziening, teneinde de toegang tot elektronische dienstverlening
te faciliteren. Door middel van één koppelvlak, één contract en één factuur voor dienstverleners
wordt de complexiteit verminderd en worden aansluitkosten gedrukt. Aldus worden dienstverleners
bij hun elektronische dienstverlening ontzorgd. Kosten van het gebruik van publieke
middelen en de in dat verband benodigde infrastructuur hangen grotendeels samen met
de mate van gebruik van alle publieke middelen. De kosten voor authenticatie met een
bepaald middel zijn sterk gerelateerd aan het totale aantal authenticaties met dat
middel. Bij hogere aantallen nemen de kosten significant af. Burgers kunnen kiezen
welk toegelaten middel zij gebruiken, waardoor het in de aanvangsfase moeilijk is
in te schatten hoe vaak een bepaald middel gebruikt gaat worden en op basis daarvan
de kosten van authenticatie in te schatten. De kostencomponenten zijn uiteengezet
in de financiële paragraaf in de memorie van toelichting en deze zijn voor zover in
deze fase mogelijk gekwantificeerd.

Voorts vraagt de CDA-fractie of een exegese kan worden gegeven van de zinsnede «dat
een toekomstbestendige financieringsstrategie moet kunnen mee-ademen met de implicaties
van meer gebruik en nieuwe technologische eisen» (MvT blz. 38).

De kosten die het Rijk maakt, samenhangend met het realiseren van publieke identificatiemiddelen
en voorzieningen, het eventueel toelaten van private middelen en toezicht op de naleving
van toelatingseisen, worden door de Minister van BZK ten laste gebracht van de bestuursorganen
en aangewezen organisaties. Door bij ministeriële regeling nadere regels te stellen
over deze doorbelasting, kan worden ingespeeld op de ontwikkeling van de kosten van
de infrastructuur voor authenticatie. Kosten van publieke middelen en de infrastructuur
hangen grotendeels samen met de onvoorspelbare mate van gebruik van alle publieke
middelen. Burgers kunnen kiezen welk toegelaten middel zij gebruiken, waardoor het
in de aanvangsfase moeilijk is in te schatten hoe vaak een bepaald middel gebruikt
gaat worden. De kosten voor authenticatie met een bepaald middel zijn sterk gerelateerd
aan het totale aantal authenticaties met dat middel. Bij hogere aantallen nemen de
kosten significant af. Het is dus voor een authenticatiedienst in de beginperiode
lastig in te schatten tegen welke prijs een middel moet worden aangeboden. De mate
van gebruik en exogene technologische ontwikkelingen zullen periodiek nieuwe en aanvullende
eisen stellen aan de infrastructuur. Kosten van beheer, exploitatie en doorontwikkeling
zullen daarom pas gedurende de rit volledig duidelijk worden, reden waarom is gekozen
voor het stellen van nadere regels bij ministeriële regeling. Hiermee wordt een zekere
mate van flexibiliteit gerealiseerd, zonder afbreuk te doen aan duidelijkheid en rechtszekerheid.

De leden van de D66-fractie vragen of de regering kan toelichten op welke wijze een
privaat inlogmiddel gefinancierd wordt. De fractie vraagt of de burger dit zelf direct
betaalt aan de private partij die het inlogmiddel aanbiedt.

Een privaat inlogmiddel wordt gefinancierd door de private partij die het middel uitgeeft.
Indien, nadat een aanbestedingsprocedure is doorlopen – hierin is prijsstelling een
wegingsfactor –, één of enkele private identificatiemiddelen worden toegelaten voor
gebruik in het publieke domein, krijgen burgers de mogelijkheid over meerdere elektronische
middelen te beschikken (keuzevrijheid/terugvaloptie). Zij zullen een privaat middel
dan eenmalig moeten aanschaffen bij de desbetreffende private partij. Het staat deze
partij in beginsel vrij om burgers hiervoor te laten betalen. Voor het gebruik van
het private middel betaalt de burger niet; deze kosten zullen worden doorbelast aan
de publieke dienstverlener.

Voorts vragen de leden van de D66-fractie zich af, hoe de regering hier het basisrecht
tot communicatie met de overheid beziet en aldus de verantwoordelijkheid om met eigen
middelen mogelijk te maken dat ook middels een privaat inlogmiddel ingelogd kan worden.

Met het wetsvoorstel wordt het stelsel van publieke en private identificatiemiddelen
publiekrechtelijk gereguleerd teneinde deze middelen te kunnen gebruiken in het publieke
domein. Onder meer wordt voorgeschreven dat deze middelen toelating behoeven op basis
van vooraf gestelde (op de eIDAS-verordening gebaseerde) eisen en criteria. Met dit
wetsvoorstel wordt aldus de aanspraak van burgers op digitaal zaken doen met de overheid,
oftewel elektronische communicatie met de overheid, geëffectueerd en gefaciliteerd.
Een publiekrechtelijk stelsel brengt echter niet zonder meer met zich, dat (volledige)
bekostiging ook door de (Rijks)overheid dient te geschieden. Gelet op het gezamenlijke
belang bij generieke infrastructuur, zullen de publieke middelen en voorzieningen
deels worden doorbelast aan de (publieke) dienstverleners. Ook het gebruik van toegelaten
publieke en private middelen (inloggen) zal door de dienstverlener worden betaald.
Om te kunnen inloggen met een privaat middel dient de burger dit eenmalig aan te schaffen.
Hiervoor zal hij mogelijk moeten betalen. Omdat het private middel ook door burgers
gebruikt kan worden voor inloggen buiten het publieke domein, is het ongewenst als
de overheid aanschafkosten voor haar rekening neemt, omdat dit oneerlijke concurrentie
stimuleert en marktverstorend kan werken.

De leden van de D66-fractie vragen of een inschatting kan worden gemaakt van de kosten
voor gemeenten, nu zij hun digitale infrastructuur moeten aanpassen om het betrouwbaarheidsniveau
substantieel of hoog toe te laten.

De kosten, die met de aanpassingen door gemeenten gemoeid zijn, zijn op voorhand lastig
te kwantificeren. Bij het opstellen van de uitvoeringsregelgeving inzake de classificering
van betrouwbaarheidsniveaus van dienstverlening zal ik rekening houden met de thans
veelgebruikte «handreiking betrouwbaarheidsniveaus» van het Forum Standaardisatie.
Daardoor wordt aangesloten bij de huidige praktijk en wordt de overgang naar de nieuwe
situatie zo eenvoudig mogelijk gemaakt. Daarnaast is in het wetsvoorstel de keuze
gemaakt voor realisering van een routeringsvoorziening. Dit vloeit voort uit de consultatiereacties
op het wetsvoorstel. Overheidsorganisaties gaven en geven aan behoefte te hebben aan
centrale (publieke) ontzorging in de vorm van 1 contract, 1 factuur, 1 aansluiting.
De routeringsvoorziening voorkomt voor een belangrijk deel dat dienstverleners, waaronder
gemeenten, aanpassingen moeten doorvoeren als gevolg van (wijziging in) complexiteit;
deze zullen centraal worden afgevangen. Overigens betekent het niet dat er in het
geheel geen kosten of inspanningen nodig zijn aan de zijde van dienstverleners. Dit
is echter in de huidige situatie niet anders.

8. Verhouding tot andere wetgeving

De leden van de VVD-fractie vragen hoe de Wet digitale overheid zich verhoudt tot
de momenteel in voorbereiding zijnde Europese richtlijn e-privacy.

De nieuwe voorgenomen EU-regels inzake e-privacy zullen naar verwachting in een verordening
worden opgenomen, welke de bestaande richtlijn vervangt. Het toepassingsgebied van
de e-privacy regels, destijds geïmplementeerd in de Telecommunicatiewet, is een andere
dan die van het onderhavige wetsvoorstel. De e-privacy verordening richt zich tot
aanbieders van online communicatiediensten, te weten traditionele telecombedrijven
en nieuwe spelers; aanbieders van commerciële elektronische diensten. Voor zover deze
bedrijven eveneens private partijen in de zin van het wetsvoorstel digitale overheid
zijn, bijvoorbeeld als te erkennen aanbieder van een bedrijfs- en organisatiemiddel
dat gebruikt kan worden in het publieke domein, moeten ze tevens aan de eisen van
het wetsvoorstel en bijbehorende uitvoeringsregelgeving voldoen, waaronder die op
het punt van de bescherming van persoonsgegevens.

De leden van de VVD-fractie constateren voorts dat de regering er niet voor kiest
om de Wet op de identificatieplicht aan te passen, maar te zijner tijd de verschillende
wetten waarin identificatiemiddelen zijn opgenomen te wijzigen. De VVD-fractie vraagt
nader te motiveren waarom de Wet op de identificatieplicht niet wordt aangepast.

In de Wet op de identificatieplicht (WID), een algemene wet, zijn de documenten (o.a.
paspoort en rijbewijs) aangewezen waarmee in bij de wet aangewezen gevallen de identiteit
van personen kan worden vastgesteld. Daarnaast zijn in een groot aantal (domein)specifieke
wetten identificatie- en controleplichten opgenomen waarin verwezen wordt naar een
of meer documenten genoemd in de WID. Het gaat daarbij steeds om fysieke controle.
In deze systematiek past het niet om in de WID elektronische identificatiemiddelen
aan te wijzen voor de gevallen waarin identiteit langs elektronische weg wordt vastgesteld
teneinde elektronische overheidsdiensten te kunnen afnemen. Vanwege het verschil in
systematiek en toepassingsbereik is er daarom voor gekozen om in voorkomend geval
de sectorspecifieke wetgeving te wijzigen indien de overheidsdienstverlening op het
desbetreffende terrein wordt gedigitaliseerd. Dit biedt ook de mogelijkheid per dienst
te bepalen welk betrouwbaarheidsniveau ten minste is vereist. Bovendien kan dan, indien
nodig, bepaald worden dat naast de authenticatie aan de hand van een elektronisch
identificatiemiddel ook bepaalde attributen (aanvullende gegevens zoals nationaliteit
of leeftijd) aan de betrokken overheidsdienstverlener verstrekt moeten worden.

9. Gevolgen voor burgers en bedrijven

De leden van de CDA-fractie constateren, dat het voorliggende wetsvoorstel voor personen
met een (digitale) beperking en voor (internationale) bedrijven buiten het BSN-domein
tot lastenverzwaring kan leiden. Zij vragen of de regering deze waarneming deelt,
zo nee, waarom niet en zo ja, welke maatregelen de regering neemt om de lastenverzwaring
weg te nemen of tenminste te beperken.

Alle overheidsinstanties waarmee burgers en bedrijven elektronisch zaken doen, moeten
hun websites en apps op een begrijpelijke en toegankelijke manier inrichten. Hiertoe
gelden Europese voorschriften, die in Nederland zijn opgenomen in het (Tijdelijke)
Besluit digitale toegankelijkheid overheid (Stb. 2018, nr 141). Inclusie is een speerpunt van dit kabinet; de beleidsagenda NLDigiBeter bevat in
dit verband een aantal door mij te nemen maatregelen.

De leden van de CDA-fractie constateren dat in uitvoeringsregelgeving criteria zullen
worden opgenomen die relevant zijn voor het door de dienstverlener inschalen van het
benodigde betrouwbaarheidsniveau en dat deze criteria in grote mate het kader bepalen
waaraan eID-middelen moeten voldoen. De CDA-fractie vraagt of onderkend wordt dat,
zolang deze criteria onbekend zijn, burgers en bedrijven in onzekerheid verkeren over
welke eID-middelen in de toekomst zullen worden gehanteerd, en ook organisaties in
het BSN-domein niet waar zij aan toe zijn. De leden van de CDA-fractie vragen voorts
of onderkend wordt dat dit ook leidt tot onzekerheid over investeringen in private
eID-middelen, waardoor potentiële aanbieders van private eID-middelen op het betrouwbaarheidsniveau
hoog zich niet melden.

Bij het opstellen van de uitvoeringsregelgeving ga ik uit van de thans in de praktijk
gehanteerde «handreiking betrouwbaarheidsniveaus» van het Forum Standaardisatie. Grosso
modo zullen er geen fundamentele wijzigingen optreden. Ik verwacht het concept hiervoor
binnen enkele maanden te kunnen publiceren in het kader van de (internet)consultatie.
Hierdoor is de periode waarin over de detailuitwerking onzekerheid voor burgers en
bedrijven kan bestaan, beperkt. Daarbij merk ik op dat de consultatie juist ook is
bedoeld om deze regels voor overheidsorganisaties werkbaar te maken.

Het feit dat het classificatiemodel nog onbekend is, leidt niet tot onzekerheid over
investeringen in private eID-middelen; het classificatiemodel niet ziet op de (vormgeving
van de) identificatiemiddelen. Daarvoor gelden de regels uit de eIDAS-verordening.
Voor zover terughoudendheid van private aanbieders zou voortkomen uit de onzekerheid
of er middelen beschikbaar moeten zijn op de niveaus substantieel en hoog, wijs ik
er op dat de classificatieregeling naar verwachting niet ingrijpend zal verschillen
met de huidige praktijk, waardoor er op beide betrouwbaarheidsniveaus identificatiemiddelen
nodig zijn.

De leden van de D66-fractie vragen naar de lasten die het wetsvoorstel voor burgers
meebrengt en hoe hoog de kosten dan zullen zijn per ID-kaart of rijbewijs. Voorts
vragen de leden naar het installeren van DigiD hoog en substantieel. De leden vragen
hoe niveau substantieel eruit gaat zien, waarom is dit omslachtiger te installeren
is dan DigiD hoog, en wat het periodiek heractiveren van DigiD hoog betekent.

Burgers zullen voor de aanschaf van een publiek middel moeten gaan betalen (leges).
De precieze meerkosten van de e-NIK en het e-rijbewijs zijn nog niet bekend; ik ga
op dit moment uit van enkele euro’s. Voor wat betreft DigiD substantieel is een installatieproces
nodig. Hiertoe wordt het bestaande elektronische aanvraagproces van DigiD versterkt
met een eenmalige online-controle van een (fysiek) WID-document. De controle geschiedt
via een gepersonaliseerde applicatie (gratis app) op een smartphone of tablet die
is uitgerust met een NFC-lezer. De beoogde gebruiker dient het document bij het desbetreffende
apparaat te houden, waarmee met de microchip wordt gecommuniceerd. Bij een succesvolle
controle volgt de melding «controle gelukt». Voor het inloggen bij een dienstverlener
is het document daarna niet meer nodig. Voornoemd proces is anders dan bij DigiD-hoog;
hierbij is de fysieke drager/kaart zelf – die wel bij elke inlogtransactie gebruikt
moet worden – uitgerust met een eID-chip. Periodiek heractiveren van publieke identificatiemiddelen
is nodig vanwege het volgende. Bij de aanvraag van een elektronisch identificatiemiddel
moet vastgesteld worden dat een burger een geldig, officieel document bezit met identiteitsgegevens
die gecontroleerd kunnen worden in de basisregistratie persoonsgegevens. Aangezien
identiteitsdocumenten kwijtraken, verlopen, worden ingetrokken of worden gestolen,
is het nodig dat burgers met enige regelmaat hun (vernieuwde) document koppelen aan
hun elektronische identificatiemiddel.

De leden van de D66-fractie constateren dat mensen die niet over een Android telefoon
beschikken een kaartlezer moeten aanschaffen voor DigiD hoog. Zij vragen wat de kosten
daarvan zijn en of deze door de overheid worden gedekt. Ook vragen deze leden zich
af of er geen mogelijkheid is om DigiD hoog mogelijk te maken voor mensen met een
iPhone of zonder fysieke kaart.

Ik acht het van wezenlijk belang dat alle gebruikers van gangbare mobiele apparaten
de mogelijkheid krijgen tot het gebruik van de meer betrouwbare inlogmiddelen. Ik
heb uw Kamer in de voortgangsrapportage eID van 16 juli 2018 over deze problematiek
geïnformeerd. Ook in het AO digitale overheid van 31 oktober 2018 ben ik hierop ingegaan.
Ik ben op diverse fronten bezig te onderzoeken of er bruikbare alternatieven zijn
voor het aanschaffen van een kaartlezer om DigiD op betrouwbaarheidsniveau substantieel
te installeren (DigiD op betrouwbaarheidsniveau hoog werkt zonder installatie). Zowel
het geschikt maken van de IPhone als het verkennen van mogelijkheden zonder fysieke
kaart vallen daaronder. Tot nu toe hebben deze acties nog geen succes opgeleverd.
In de voortgangsrapportage van januari 2019 over eID zal ik uw Kamer hier opnieuw
over informeren. De business case beschrijft de situatie als deze alternatieven niet
op tijd beschikbaar komen.

10. Overgangsrecht en inwerkingtreding

Over dit onderdeel zijn geen vragen gesteld of opmerkingen gemaakt.

11. Consultatie en advies Autoriteit Persoonsgegevens

De leden van de CDA-fractie constateren dat bijvoorbeeld de Vereniging van Universiteiten
en de Vereniging Hogescholen samen met DUO, Studielink en Surf een bijdrage hebben
geleverd aan de consultatie, waarbij zij al direct hun zorgen hebben geuit over de
technische en financiële gevolgen van het voorliggende wetsvoorstel. Het CDA vraagt
of aangegeven kan worden waarom de brede consultatie in twee bladzijden van de memorie
van toelichting wordt samengevat en afgedaan. Voorts vraagt de CDA-fractie zich af,
welke organisaties een bijdrage hebben geleverd aan de consultatie en op welke wijze
hun commentaren zijn verwerkt in het voorliggende wetsvoorstel.

De (openbare) consultatiereacties zijn gepubliceerd en in te zien via www.internetconsultatie.nl/wetgdi. Omwille van de toegankelijkheid en leesbaarheid bevat de memorie van toelichting
de hoofdlijnen terzake, waarbij wordt ingegaan op de belangrijkste commentaren en
aanpassingen; deze zijn doorgevoerd omwille van met name de uitvoerbaarheid.

De leden van de CDA-fractie vragen zich af op welke wijze pensioenuitvoerders betrokken
zijn geweest bij de vormgeving van het voorliggende wetsvoorstel.

Het Ministerie van SZW was nauw betrokken bij de voorbereiding van het wetsvoorstel.
Ook de pensioensector was, in het kader van de (internet)consultatie, in de gelegenheid
om input te leveren op het wetsvoorstel. De Pensioenfederatie heeft van die gelegenheid
gebruik gemaakt; de desbetreffende reactie is openbaar en voor een ieder vindbaar
op www.internetconsultatie.nl/wetgdi.

De leden van de CDA-fractie vragen voorts of de regering de wens van de Pensioenfederatie
deelt om de gegevensuitwisseling tussen overheid en pensioenfondsen integraal te verbeteren
om te voorkomen dat pensioendeelnemers pensioenopbouw en pensioenuitkeringen mislopen.

Afgezien van het feit, dat uit de consultatiereactie van de Pensioenfederatie niet
afgeleid kan worden dat de wens bestaat om de gegevensuitwisseling tussen overheid
en pensioenfondsen integraal te verbeteren, valt het gestelde buiten doel en werkingssfeer
van het onderhavige wetsvoorstel.

De leden van de CDA-fractie vragen tenslotte, of de opvatting van de Autoriteit Persoonsgegevens
wordt gedeeld, dat wanneer burgers gebruik maken van digitale dienstverlening van
de overheid er persoonsgegevens van hen worden verwerkt en dit een inbreuk oplevert
op het recht op eerbiediging van de persoonlijke levenssfeer.

In feite maakt iedere verwerking van persoonsgegevens een inbreuk op de persoonlijke
levenssfeer. Dit betekent niet dat persoonsgegevens door de overheid niet zouden mogen
(of zelfs moeten) worden verwerkt. Het betekent wel dat daarvoor een gerechtvaardigde
grondslag moet zijn. Omdat het hier om verwerkingen van persoonsgegevens gaat ter
uitvoering van een overheidstaak, voorziet het wetsvoorstel in de grondslag ter zake
en wordt de verwerking van persoonsgegevens ingekaderd, zodat deze gelegitimeerd en
niet bovenmatig is.

II ARTIKELSGEWIJS

Artikel 8

De leden van de VVD-fractie vragen om een nadere verduidelijking van het voorgestelde
artikel 8, leden 2 en 3.

Voor het antwoord verwijs ik kortheidshalve naar hetgeen onder punt 3 uiteen is gezet
in reactie op de vraag van de VVD-fractie naar de betekenis van het feit, dat toegelaten
publieke middelen in beginsel uitsluitend mogen worden gebruikt in het publieke domein.

Artikel 9, tweede lid

De leden van de CDA-fractie vragen hoe het doorlopen van een selectieprocedure uit
de Aanbestedingswet zich verhoudt tot het feit, dat voor private bedrijfs- en organisatiemiddelen
erkenning door middel van accreditatie plaatsvindt.

In de huidige praktijk zijn er meerdere private authenticatiediensten actief die naar
tevredenheid het bedrijfs- en organisatiemiddel leveren. Facturering en aansluiting
van dienstverlening vindt daarbij decentraal plaats via zogeheten makelaars. Het wetsontwerp
dat ter consultatie is gepubliceerd ging uit van hetzelfde model voor de toelating
van private middelen voor burgers. In de consultatie is door dienstverleners echter
nadrukkelijk verzocht de aansluitcomplexiteit en daarmee samenhangende kosten te reduceren
in de vorm van één factuur en aansluiting via één koppelvlak. Dit heeft geresulteerd
in de verantwoordelijkheid van de Minister van BZK voor een zogeheten routeringsvoorziening
en de noodzaak om meer controle uit te oefenen op het aantal toe te laten private
authenticatiediensten/middelen en de kosten. Door het Ministerie van BZK zal centraal
worden betaald voor het gebruik van het private burgermiddel; de kosten worden doorbelast
aan de dienstverleners. Via de selectieprocedure conform de Aanbestedingswet 2012
kunnen een of enkele private middelen – als alternatief voor een publiek middel –
worden geselecteerd op aspecten zoals betrouwbaarheid, betaalbaarheid en dekkingsgraad.
Na de selectieprocedure zal blijken of één of meer private authenticatiemiddelen geschikt
zijn voor gebruik door burgers in het publieke domein. Indien één privaat middel wordt
toegelaten, is het van belang dat de leverancier wordt verplicht tot het leveren ervan
om de continuïteit van dienstverlening te waarborgen voor het geval het publieke middel
onverhoopt niet beschikbaar is. Met het oog op zowel de gewenste verplichting tot
uitvoering als de centrale verrekening is gekozen voor een selectieprocedure conform
de Aanbestedingswet 2012 in plaats van accreditatie. Accreditatie ligt wel voor de
hand bij private bedrijfs- en organisatiemiddelen. Als deze aan de eisen voldoen,
worden ze door mij toegelaten; er is geen beperking voor wat betreft het aantal te
erkennen private bedrijfs- en organisatiemiddelen.

Voorts vragen de leden van de CDA-fractie of het juist is, dat het wetsvoorstel de
mogelijkheid open laat dat een bedrijfs- en organisatiemiddel gebruikt kan worden
als burgermiddel, maar een burgermiddel niet als bedrijfs- en organisatiemiddel.

Deze veronderstelling van de CDA-fractie is onjuist. Natuurlijke personen die handelen
in de uitoefening van een beroep of bedrijf kunnen het inlogmiddel voor burgers bij
sommige dienstverleners gebruiken naast het bedrijfs- en organisatiemiddel. Het bedrijfs-
en organisatiemiddel kan daarentegen niet gebruikt worden om in te loggen bij dienstverlening
aan natuurlijke personen, die niet handelen in de uitoefening van beroep of bedrijf.

De leden van de CDA-fractie vragen of het juist is, dat toelating van een privaat
middel afhankelijk is van de beoordeling van een ministerie en waarom private middelen
niet toegelaten worden, als zij voldoen aan Europese regelgeving (eIDAS).

De constatering dat de toelating van private middelen afhankelijk is van de beoordeling
door de Minister van BZK, is juist. Het voldoen aan de betrouwbaarheidseisen, die
voortvloeien uit Europese regelgeving, is daarbij één van de criteria. Het komt de
beheersbaarheid ten goede om ter zake van het private burgermiddel ook te selecteren
op aspecten als betaalbaarheid en dekkingsgraad. Uitsluitend selecteren op het voldoen
aan de Europese regelgeving zou kunnen leiden tot een onbeperkt aantal toegelaten
middelen, hetgeen de sturing op het stelsel (ontwikkeling, beheer en incidenten),
lage aansluitcomplexiteit en lage beheerlasten niet ten goede zou komen.

De leden van de CDA-fractie vragen hoe de voorgestelde selectieprocedure zich verhoudt
tot de intentieverklaring van oktober 2015 tussen de Belastingdienst, vijf banken
en de Betaalvereniging Nederland, waarin de uitgangspunten voor samenwerking tussen
partijen werden vastgelegd in de vorm van een pilot. Zij vragen op welke wijze de
succesvolle pilot van inloggen met iDIN bij de Belastingdienst is verwerkt in het
voorliggende wetsvoorstel.

Deze inmiddels beëindigde pilot met iDIN was beperkt tot het gebruik van private inlogmiddelen
bij dienstverlening van de Belastingdienst. Pilots zijn qua aard, omvang en tijdsduur
beperkt. De in het wetsvoorstel voorziene selectieprocedure beoogt een of enkele private
burgermiddelen toe te laten voor overheidsbreed gebruik. De ervaringen met de pilots
hebben bijgedragen aan de keuze om in het wetsvoorstel de mogelijkheid van toelating
van private middelen op te nemen en de toegang tot overheidsdienstverlening niet louter
door publieke middelen te laten geschieden.

Artikel 12

De leden van de VVD-fractie hebben vragen over het voorgestelde artikel 12. Zij vragen
zich af waarom is gekozen voor aanwijzing door de Minister van BZK, terwijl eerder
is gedacht aan een attributendienst. De leden vragen zich af wat de voor- en nadelen
van beide figuren zijn en wat dit voor een orgaan zou zijn geweest.

Aanvankelijk was in het wetsvoorstel voorzien in een attributendienst ten behoeve
van het afgeven van elektronische verklaringen over bepaalde kenmerken of gegevens
van een natuurlijk persoon of rechtspersoon. Het betrof een publieke voorziening of
een door een private partij aan te bieden dienst waarvoor erkenning door de Minister
van BZK was vereist. Hiermee werd beoogd ruimte te bieden aan een stelsel van publieke
en private diensten die gegevens kunnen verstrekken die niet nodig zijn in het primaire
proces van authenticatie, maar wel nodig zijn om overheidsdiensten te kunnen verlenen.
Zo zijn sommige diensten gekoppeld aan een leeftijdsgrens of aan het hebben van bepaalde
kwalificaties. Op basis van voortschrijdend inzicht is geconstateerd dat eerst bezien
moet worden wat de behoefte is aan attributen en wat de (technische) mogelijkheden
zijn om attribuutverstrekking te realiseren en integreren in het met het wetsvoorstel
voorziene stelsel voor identificatie en authenticatie. Tot op heden functioneert in
het publieke domein geen generieke attributenvoorziening. Wel worden op andere manieren
attributen betrokken in het authenticatieproces. Zo wordt bij elektronische dienstverlening
aan bedrijven het Handelsregister gebruikt als bron om kenmerken over een organisatie
of rechtspersoon mee te geven. Met dit wetsvoorstel is aangesloten bij de bestaande
praktijk, door gebruik te maken van beschikbare registers die attributen bevatten
aan de hand waarvan een onderneming of rechtspersoon kan worden geïdentificeerd; deze
attributen kunnen ook van belang zijn voor de toegang tot elektronische dienstverlening.
Hiertoe krijgt de Minister van BZK – in voorkomende gevallen in overeenstemming met
de Minister die het mede aangaat – de bevoegdheid om attributen aan te wijzen en nadere
regels te stellen aan de wijze waarop erkende diensten het betrokken attribuut bij
hun activiteiten moeten betrekken. Voordeel hiervan is dat bestaande overheidsdienstverlening
ondersteund blijft; nadeel is dat een extra inspanning nodig is om aan gegevens te
komen die nodig zijn om de overheidsdienst te verlenen. Het functioneren van een (publieke
of private) attributendienst lijkt uit een oogpunt van efficiency meer opportuun.
Nut, noodzaak en (technische) modaliteiten hiervan zijn echter nog niet uitgekristalliseerd.

Artikel 29

De leden van de VVD-fractie vragen zich tenslotte af hoe realistisch het is te streven
naar gefaseerde inwerkingtreding van de wet met ingang van 1 januari 2019.

Op het moment van schrijven van wetsvoorstel en memorie van toelichting werd gekoerst
op inwerkingtreding met ingang van 1 januari 2019. Dit is niet langer realistisch.
Het streven is thans de wet medio 2019 in werking te kunnen laten treden.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
R.W. Knops