Voorstellen inrichting geïntegreerd toezicht Logius programma eid

Programmabureau eID Directoraat-Generaal Project Wonen,Toezicht Bouwen en Integratie Contactpersoon Nanke Asjes

Voorstellen inrichting geïntegreerd toezicht Logius programma eID

T 06-21162302 E [email protected] www.eid-stelsel.nl Datum 12 oktober 2014 Aantal pagina's 29

Versiegeschiedenis: Versie

Datum

0.2

15 aug 2014

Geadresseerden

Aanpassingen

Eerste versie

0.3

22 aug 2014

Bijgesteld n.a.v. review werkgroepen

04

27 aug 2014

Bijgesteld n.a.v. review Mirjam Gerritsen

05

2 sept 2014

Bijgesteld n.a.v. reviewronde werkgroepen

06

9 sept 2014

Bijgesteld n.a.v. review Paul van der Pal

07/08

12 okt 2014

Bijgesteld n.a.v. review

Versiebeheer: op de definitieve versies van dit document is versiebeheer van toepassing. Definitieve versies hebben een geheel getal als nummer.

Verantwoordelijk programmamanagement Carlo Koch, Gerrit Jan van ‘t Eind Concipiënt Bart Schmidt Versie Status Titel Datum

| Concept | Voorstellen inrichting geïntegreerd toezicht Logius programma eID | 12 oktober 2014

Inhoud

Inhoud .................................................................................................................... 2 1

2

Inleiding ......................................................................................................... 4 1.1

Aanleiding en context .......................................................................... 4

1.2

Uitgangspunten ...................................................................................... 4

1.3

Afbakening ............................................................................................... 5

1.4

Gevolgde aanpak ................................................................................... 5

1.5

Lees Wijzer ............................................................................................... 5

Scope van het geïntegreerde toezicht ......................................... 6 2.1

Inleiding .................................................................................................... 6

2.2

Afbakening van de integratie van het toezicht........................... 6

2.3

Afbakening van het toezicht op het eID Stelsel ......................... 6

3 Het bestaande toezicht op eHerkenning, DigiD en PKIoverheid ........................................................................................................ 8 3.1

Inleiding .................................................................................................... 8

3.2 Het bestaande toezichtarrangement Afsprakenstelsel eHerkenning ....................................................................................................... 8 3.2.1 Hoe wordt toezicht gehouden? .................................................. 8 3.2.2 Op basis van wat wordt toezicht gehouden? ....................... 9 3.2.3 Nalevingsaspecten ....................................................................... 10 3.3 Het bestaande toezichtarrangement PKIoverheid .................. 10 3.3.1 Hoe wordt toezicht gehouden? ................................................ 11 3.3.2 Op basis van wat wordt toezicht gehouden? ..................... 12 3.3.3 Nalevingsaspecten ....................................................................... 13 3.4 Het bestaande toezichtarrangement DigiD ................................ 13 3.4.1 Inleiding: drie te onderscheiden elementen van de DigiD voorziening .................................................................................................... 13 3.4.2 Hoe wordt toezicht gehouden? ................................................ 14 3.4.3 Op basis van wat wordt toezicht gehouden? ..................... 14 3.4.4 Nalevingsaspecten ....................................................................... 15 4

5

Contouren van het geïntegreerde toezicht eID Stelsel .... 16 4.1

Inleiding .................................................................................................. 16

4.2

Hoe wordt toezicht gehouden ......................................................... 17

4.3

Op basis van wat wordt toezicht gehouden? ............................ 19

4.4

Nalevingsaspecten............................................................................... 21

Issues ............................................................................................................ 23 5.1

Fraudemanagement ............................................................................ 23

Pagina 2 van 29


5.2 Toezicht op naleving aansluitvoorwaarden, gebruiksvoorwaarden ................................................................................... 24 5.3

eID Normenkaders en de nog ontbrekende producten eID 25

5.4

Issues naleving ..................................................................................... 25

6 BIJLAGE Samenvatting Rollen en Activiteiten in het toezicht eID ....................................................................................................... 27

Pagina 3 van 29


1

Inleiding

1.1

Aanleiding en context Met het oog op de voorgenomen pilots met eID medio 2015 is het noodzakelijk het toezicht op het eID Stelsel in ieder geval voorlopig te gaan invullen. De voorgestelde invulling van het toezicht moet worden gezien als een eerste pragmatische stap die aangevuld en gewijzigd kan en moet worden naarmate er meer elementen van het Stelsel eID ingevuld worden. In het document “Analyse bestaande toezicht arrangementen t.b.v. aanpak inrichting toezicht eID Stelsel versie 10, 30 januari 2014”, is weergegeven welke vragen er zijn met betrekking tot de inrichting van het toezicht voor eID. Voor het beantwoorden van deze vragen is onderscheid gemaakt tussen het onderzoek naar de gewenste eindsituatie vanuit het nu bestaande en het uitwerken van de beleidsvragen. Het idee is dat er op korte termijn een integratie van het toezicht van de bestaande vertrouwensdiensten PKIoverheid, DigiD en eHerkenning tot stand kan komen. Op langere termijn kan deze zich verder door ontwikkelen naar een beleidsmatig gewenste situatie inclusief een wettelijke grondslag en publiek toezicht. De reden hiervoor is dat het aanpassen van wetgeving en het inrichten van onafhankelijk publiek toezicht tijd nodig heeft. In de nota “Contouren toezicht” worden drie stappen onderscheiden: 1. geïntegreerd toezicht (integratie van het bestaande); 2. toezicht op eID Stelsel door onafhankelijke toezichthouder; 3. toezichthouder voor de digitale overheidsinfrastructuur. In het plan van aanpak Geïntegreerd Toezicht Logius Programma eID (juli 2014), is aangegeven dat de voorstellen in dit document onderdeel zijn van stap 1. Als onderdeel van stap 2 zal ook een risicoanalyse voor eID worden gemaakt welke kan putten uit het resultaat van stap 1.

1.2

Uitgangspunten De voorstellen in dit document zijn gericht op het inrichten van het toezicht op de korte termijn, de periode waarin nog geen wettelijke kaders voor het eID Stelsel en het toezicht daarop bestaat. De beschrijving van het toezicht op het eID Stelsel voor de korte termijn wordt opgehangen aan de kernrollen Eigenaar, Beheerorganisatie en Toezichthouder. Deze rollen worden in het document verder uitgewerkt. De voorstellen voor het toezicht zijn opgesteld met de volgende uitgangspunten: 1. Governance van het eID Stelsel: a. Er is een Eigenaar van het eID Stelsel bestaande uit één of meer ministeries; b. Er bestaat een Stelselraad voor inhoudelijke koers en ontwikkeling van het stelsel; c. Er bestaat een raad op Tactisch niveau die op basis van risicoafweging besluit over wijzigingen in het stelsel; d. Er bestaat een Beheerorganisatie die opdracht van de Eigenaar de processen voor operatie en governance van het Stelsel eID faciliteert. Pagina 4 van 29


2. Het Afsprakenstelsel (AS) eHerkenning migreert in de loop van de tijd naar het AS eID. 3. Het burgerdomein (DigiD) integreert met AS eID of krijgt nauwere relaties hiermee. 4. Het geïntegreerde toezicht wordt met minimale lasten voor de betrokkenen ingericht. 5. Het toezicht wordt gescheiden van het beheer. 6. Het toezicht op PKIoverheid wordt waar mogelijk geïntegreerd met het toezicht op het AS eID (eHerkenning en DigiD). Op basis van de bestaande toezichtarrangementen voor DigiD, PKIoverheid en eHerkenning worden in dit document voorstellen gedaan voor de korte termijn. Hierbij worden er geen nieuwe aspecten geïntroduceerd voor de inrichting van het toezicht op eID. 1.3

Afbakening De voorstellen voor een geïntegreerd toezicht in dit document worden gedaan vanuit de bestaande elementen voor het toezicht op PKIoverheid, DigiD en eHerkenning die herbruikbaar zijn voor het eID Stelsel. Waar dat opportuun is worden voorstellen tot integratie gedaan. In een latere fase van dit project volgt de uitwerking van de normenkaders die de basis zijn voor het toezicht en wijze waarop de toetsing plaats moet vinden. Daar waar er toezichtelementen ontbreken of belangrijke issues zijn aangetroffen die een relatie hebben met het verwezenlijken van het geïntegreerde toezicht worden deze geadresseerd. De daadwerkelijke integratie van het toezicht volgt de eID plateauplanning.

1.4

Gevolgde aanpak Met experts die direct verbonden zijn met de DigiD-voorzieningen, PKIoverheid en eHerkenning zijn in een aantal werkgroep sessies de toezichtelementen geïnventariseerd die herbruikbaar zijn voor het geïntegreerde toezicht. Ook zijn issues en vragen benoemd die in het kader van het toezicht van belang zijn, maar voor nu buiten de scope van deze opdracht vallen.

1.5

Lees Wijzer In hoofdstuk 2 wordt de scope van het geïntegreerde toezicht beschreven. De scope is conform de besluiten van de stuurgroep eID op voorstel van het ministerie van EZ. Hoofdstuk 3 bevat de beschrijving van de relevante elementen van het huidige toezicht op de DigiD voorzieningen, eHerkenning en PKIoverheid. Hoofdstuk 4 bevat een contourenschets van het geïntegreerde toezicht die wordt voorgesteld op basis van het hergebruik van de in hoofdstuk 3 aangegeven elementen. Hoofdstuk 5 bevat enkele issues en vragen die relevant zijn in dit kader en aandacht nodig hebben, maar buiten de scope van de opdracht vallen. Hoofdstuk 6 bevat een bijlage bij hoofdstuk 4 met een overzichtstabel met daarin de voorgestelde rollen en activiteiten van het toezicht op eID

Pagina 5 van 29


2

Scope van het geïntegreerde toezicht

2.1

Inleiding Deze paragraaf beschrijft de afbakening van de voorstellen voor het toezicht op het eID Stelsel. De beschreven afbakening is afgestemd met de door de Stuurgroep eID op d.d. 10 juli 2014 gekozen lijn.

2.2

Afbakening van de integratie van het toezicht De voorstellen betreffen de integratie bestaande toezichtsarrangementen van de voorzieningen:   

DigiD (inclusief DigiD Machtigen en DigiD Balie); Afsprakenstelsel eHerkenning; PKIoverheid.

De voorstellen beperken zicht tot het hergebruik van bestaande elementen voor het toezicht op deze voorzieningen en voegen geen nieuwe elementen toe. Het is denkbaar is dat op termijn het geïntegreerde toezicht uitgebreid wordt met het toezicht op andere voorzieningen die betrekking hebben op de ‘digitale overheid’. 2.3

Afbakening van het toezicht op het eID Stelsel Het geïntegreerde toezicht wordt beperkt tot het beheer van Afsprakenstelsel eID en de deelnemers in het eID netwerk.

Figuur 1: Afbakening van het Toezicht op het eID Stelsel, het eID Netwerk wordt gevormd door Deelnemers in de rollen Herkenningsmakelaar (HM), Authenticatiedienst AD, Machtigingenregister (MR), Middelenuitgever (MU) en Beheerorganisatie (BO). Pagina 6 van 29


De Beheerorganisatie ziet toe op de naleving door deelnemers in het stelsel van de technische en procedurele afspraken die nodig zijn om het eID netwerk te laten functioneren. De Toezichthouder zie met name toe op de aspecten betrouwbaarheid en veiligheid van het stelsel en in dat kader ook op het adequaat functioneren van de beheerorganisatie. Het toezicht op het gebruik van eID authenticatiemiddelen, gebruik van het machtigingenregisters en op de naleving van aansluitvoorwaarden door op de eID aangesloten dienstverleners vindt uitsluitend op een indirecte wijze plaats. De issues die dit uitgangspunt met zich mee brengt zijn in hoofdstuk 5 opgenomen.

Pagina 7 van 29


3

Het bestaande toezicht op eHerkenning, DigiD en PKIoverheid

3.1

Inleiding Deze paragraaf beschrijft de elementen voor het toezicht op eHerkenning, PKIoverheid en DigiD met het oog op de herbruikbaarheid voor het stelsel eID. In het onderstaande figuur zijn de meest belangrijke elementen weergegeven. In de volgende paragrafen worden deze elementen voorzien van beschrijvende tekst.

Figuur 2 Bestaande elementen van het toezicht

3.2

Het bestaande toezichtarrangement Afsprakenstelsel eHerkenning eHerkenning is opgezet voor bedrijven. Medewerkers die namens het bedrijf handelen kunnen zich online als zodanig identificeren bij door het bedrijf vastgestelde onlinediensten. eHerkenning maakt het mogelijk een betrouwbaarheid niveau te koppelen aan de identificatie van personen van de online-dienst gebruik willen maken van de dienst.

3.2.1

Hoe wordt toezicht gehouden? Het beheermatige toezicht (management) op het afsprakenstelsel en functioneren van het Afspraken Stelsel voor eHerkenning wordt uitgeoefend door de rollen van Eigenaar, Beheerorganisatie, Stelselraad, Tactisch Overleg en het Operationeel Overleg. Het betreft hier een sluitend managementsysteem dat de koers bepaalt van het stelsel, besluit over toetreding, uittreding, functionele wijzigingen, risico’s en maatregelen. De Stelselraad stelt de strategische kaders vast voor het (door)ontwikkelen van het stelsel. Het Tactisch Overleg besluit over de inhoudelijke wijzigingen in het afsprakenstelsel binnen de kaders van de Stelselraad. Het Operationeel Overleg adviseert het Tactisch Overleg en stemt de uitvoering van besluiten af.

Pagina 8 van 29


Het Ministerie van Economische Zaken (EZ) vervult de rollen van Eigenaar en Toezichthouder. Vanuit de toezichthouderrol is het ministerie verantwoordelijk voor het toezicht op het adequaat functioneren van de governance, de integriteit van het netwerk voor eHerkenning en de naleving van de stelselafspraken. Als Eigenaar laat het ministerie jaarlijks een Stelselaudit uitvoeren die door een externe auditor wordt uitgevoerd. Als Eigenaar is het ministerie verantwoordelijk voor besluiten over het toetreden van marktpartijen tot het stelsel en een eventuele schorsing of uitsluiting van toegetreden deelnemers in geval van het niet naleven van stelselafspraken. De Eigenaar is opdrachtgever van de Beheerorganisatie van het stelsel (Logius). De Beheerorganisatie ondersteunt de Eigenaar, en faciliteert in opdracht van de Eigenaar de governanceprocessen en coördineert de uitvoering van afspraken en besluiten en stemt deze af met de deelnemers in het netwerk voor eHerkenning. De Eigenaar ziet toe op het adequaat functioneren van de beheerorganisatie. De Beheerorganisatie is daarom bij de jaarlijkse Stelselaudit eveneens object van de audit. Voor de behandeling van formele klachten en geschillen tussen de diverse betrokken partijen die niet binnen de gewone lijnen kunnen worden opgelost is een onafhankelijke geschillencommissie ingericht. De commissie brengt advies uit aan de betrokken partijen. Indien een advies niet wordt opgevolgd, staat voor de betrokken partijen de weg naar de civiele rechter open. 3.2.2

Op basis van wat wordt toezicht gehouden? eHerkenning kent de volgende elementen als basis voor het toezicht: 1. Het Afsprakenstelsel eHerkenning omvat alle technische, procedurele en juridische elementen die nodig zijn om te kunnen functioneren. Deelnemers hebben zich contractueel verbonden om de stelselafspraken na te komen. 2. Het ministerie van EZ heeft een contract met Logius gesloten voor de invulling van de rol van Beheerorganisatie voor het Afsprakenstelsel. 3. De Stelselrisicoanalyse betreft een overzicht van de risico’s op het niveau van het stelsel en is de basis voor het beveiligingsbeleid van het stelsel en het stelselnormenkader. 4. Het Informatiebeveiligingsbeleid (IB) voor het stelsel bevat eisen die deels ook geoperationaliseerd zijn in verschillende normenkaders, operationele afspraken, contracten etc. 5. Het Gemeenschappelijk Normenkader (GNK) is een set normen die gebaseerd is op de internationale norm voor informatiebeveiliging IEC/ISO 27001:2005. 6. Van de Deelnemers en de Beheerorganisatie wordt geëist dat zij een IEC/ISO 27001:2005 certificaat bezitten. Tevens wordt geëist dat de deelnemers het GNK opnemen in hun eigen verklaring van toepasselijkheid (VvT) en dat zij de gedefinieerde stelselrisico’s aantoonbaar meenemen in hun eigen risicoanalyses. 7. Het Normenkader Betrouwbaarheidsniveau’s waarin de afspraken voor middelenuitgifte en registratie van machtigingen toetsbaar zijn gemaakt.

Pagina 9 van 29


8. Het Stelselnormenkader voor de Stelselaudit dat door de Eigenaar aan de stelselauditor wordt meegegeven voor de uitvoering van de stelselaudit. 3.2.3

Nalevingsaspecten 1. Deelnemers aan eHerkenning zijn contractueel verplicht om zich te laten certificeren conform de internationale norm voor het management van Informatiebeveiliging IEC/ISO 27001:2005 (wordt IEC/ISO 27001:2013) en te voldoen aan het Gemeenschappelijk Normenkader (GNK). Bij fundamentele stelselwijzigingen of toetreding van een deelnemer tot een andere betrouwbaarheidsniveaus of toetreding tot andere rollen is een her-audit vereist. 2. Het certificaat met de Verklaring van Toepasselijkheid en de auditrapportage moeten aan de beheerorganisatie beschikbaar gesteld worden ter verificatie. 3. Deelnemers die zich niet aan de stelselafspraken houden kunnen in principe in opdracht van de Eigenaar worden geschorst of uitgesloten. De Beheerorganisatie effectueert deze schorsing of uitsluiting. 4. Logius heeft een aantal mogelijkheden om op beperkte schaal naleving af te dwingen: a. Opleggen van boetes aan deelnemers en de beheerorganisatie eHerkenning die zich niet houden aan het afgesproken tijdpad voor nieuwe releases. De opbrengst wordt onder de deelnemers verdeeld. b. Formele brief met een vermaning, aanzegging of deadline. Een formele brief kan na akkoord ook uit naam van de Eigenaar en Toezichthouder (EZ) worden gezonden. 5. De Eigenaar en Toezichthouder bepaalt op basis van het auditrapport van de Stelselaudit welke verbeteringen moeten worden doorgevoerd in het afsprakenstelsel. Via de Beheerorganisatie en stelselgovernance worden de verbeteringen van het stelsel afgedwongen.

3.3

Het bestaande toezichtarrangement PKIoverheid PKIoverheid (PKIo) is een voorziening voor digitale certificaten die door Logius wordt beheerd. Overheidsorganisaties gebruiken PKIoverheid services certificaten om op een vertrouwelijke wijze gegevens uit te wisselen. Een PKIoverheid-certificaat wordt gebruikt bij het beveiligen van websites, authenticatie op afstand, rechtsgeldige elektronische handtekeningen, versleuteling van elektronische berichten. Voor elk van die toepassingen bestaan er digitale certificaten. Onder de vlag van PKIoverheid worden diverse elektronische certificaten gedefinieerd waarmee personen of bedrijven zich met een hoog betrouwbaarheidsniveau kunnen identificeren. Die certificaten kunnen zowel ‘gekwalificeerd’ als ‘niet-gekwalificeerd’ zijn. De PKIo-certificaten worden door marktpartijen uitgegeven die voldoen aan de door PKIo gestelde eisen als Certificate Service Provider (CSP). Gekwalificeerde PKIo-certificaten kunnen ook binnen het netwerk stelsel voor eHerkenning worden ingezet als basis voor een eHerkenning authenticatiemiddel.

Pagina 10 van 29


3.3.1

Hoe wordt toezicht gehouden? Eigenaar en beheerorganisatie Het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties (BZK) is opdrachtgever van Logius voor het beheer van PKIoverheid (PKIo) en vervult daarmee de rol van Eigenaar. De Beheerorganisatie voor PKIoverheid is ondergebracht bij Logius. Toezichthouders voor gekwalificeerde certificaten en PKIoverheidcertificaten: De beheerorganisatie van PKIoverheid wordt conform internationale standaarden ‘ Policy Authority’ (PA) genoemd. De PA beheert de Centrale Hiërarchie, het Programma van Eisen van PKIoverheid. De PA ziet ook toe op de uitgifte van PKIo certificaten onder de Centrale Hiërarchie door partijen in de rol van Certificate Service Providers (CSP). Er is specifiek toezicht op de activiteiten van de PA georganiseerd. De Autoriteit Consument en Markt (ACM, v.h. OPTA) ziet toe op de markt voor uitgifte van gekwalificeerde PKI certificaten in brede zin. Er bestaat overlap tussen het toezicht van de PA voor PKIoverheid en het toezicht door de ACM. De overlap betreft de CSP’s die gekwalificeerde PKIocertificaten uitgeven. De marktpartijen (CSP’s) die geregistreerd zijn bij ACM leveren vrijwel allemaal zowel gewone gekwalificeerde certificaten en niet-gekwalificeerde certificaten als gekwalificeerde- en niet gekwalificeerde PKIo certificaten. Het ministerie van Economische Zaken is opdrachtgever van de ACM en is opdrachtgever van ECP.NL voor het beheer van het TTP.NL auditschema voor certificaatdienstverleners (CSP’s). Het ministerie is doende een wetswijziging voor het toezicht op certificatiedienstverlening voor te bereiden. Deze wijziging betreft onder andere het ook onder toezicht brengen van niet-gekwalificeerde certificaten. Daarmee wordt de overlap tussen het toezicht door de PA en de Toezichthouder op certificatiedienstverlening groter. Leemten in het toezicht op PKIoverheid: De organisatie van het toezicht op PKIoverheid is in de huidige situatie niet ontwikkeld. Het toezicht op de partijen die PKIo-certificaten uitgeven. Deze leemte wordt deels ingevuld door de ACM omdat partijen die PKIo certificaten leveren, vaak ook onduidelijk, ook onder toezicht van de ACM staan. Logius geeft zelf opdracht om de PA door een externe auditor te laten auditen. Het toezicht op de activiteiten van de PA in PKIoverheid dat losstaat van de beheerrol van Logius is niet geborgd, wat kan leiden tot rolconflicten tussen rollen van beheerder en toezichthouder. Een vorm van periodieke toetsing van de PA door een onafhankelijke auditor in opdracht van de Eigenaar van PKIoverheid zou mogelijke rolconflicten al kunnen verminderen. De leemte in het toezicht op de PA wordt op dit moment dus door Logius ingevuld hoewel dat vanwege de dubbelrol uiteindelijk niet wenselijk wordt geacht. Het toezichtarrangement in de praktijk: In het kader van de scope van dit document zijn een aantal Bij uitoefening van het toezicht is een aantal aspecten van belang om in het kader van dit document te melden. Pagina 11 van 29


1. Driepartijenoverleg: De beheerder van de PA (Logius) en de ACM trekken deels gezamenlijk op bij het uitoefenen van het toezicht, door met een regelmaat te overleggen over functionele veranderingen, auditbevindingen en marktontwikkelingen. In dit overleg worden de auditors betrokken die de CSP certificeren. 2. Eerstelijnstoezicht: Logius legt als beheerder van de PA per PKIo leverancier twee-jaarlijks een bedrijfsbezoek af waarbij een select aantal normen wordt getoetst op basis van een risico-afweging. Hierbij worden ook de wijzigingen in het PvE meegenomen die in de tussenliggende tijd zijn gepubliceerd. 3. Tweedelijnstoezicht: De PA analyseert de auditrapporten van de CSP’s van audits die zij in het kader van hun certificering laten uitvoeren, volgt de correctie van auditbevindingen. De ACM doet dit zelfde maar dan alleen met betrekking tot CSP’s die gekwalificeerde certificaten uitgeven. Op basis van de auditrapporten en het eerder genoemde driepartijenoverleg maakt de ACM een plan met speerpunten voor gesprekken met CSP’s. Bij de bezoeken aan de CSP’s worden deze speerpunt onderwerpen aan de orde gesteld. 4. Certificering: CSP’s zijn verplicht zich te laten certificeren om opgenomen te kunnen worden in het register van gekwalificeerde PKI-certificaatdienstverleners. Deze certificering is ook verplicht om PKIoverheid-certificaten te mogen uitgeven. De certificering wordt gedaan door een certificerende instelling. De certificerende instelling en daarmee de auditor die de audit uitvoert staat onder toezicht staat van de Raad van Accreditatie. Indien de auditor ook een Register IT Auditor (RE) is staat deze auditor ook onder toezicht van de beroepsvereniging NOREA die zich heeft vastgelegd op internationale afspraken over de kwaliteit van uitvoering van formele Assurance opdrachten. 3.3.2

Op basis van wat wordt toezicht gehouden? Het beheer van PKI structuren en uitgifte van PKI certificaten en daarmee ook van de PKIoverheid-structuur en PKIoverheid-certificaten moet voldoen aan de nationale en internationale standaarden die daarvoor zijn. Het gaat om de volgende standaarden: 1. De Europese norm ETSI EN 319 411-2 (op het moment van schrijven nog ETSI 101 456) wordt in dit kader wettelijk verankerd als geaccepteerd voor certificatie van de partijen (CSP’s) die gekwalificeerde PKI certificaten uitgeven. 2. De Europese normen ETSI 319 411-3 en op termijn tevens ETSI EN 319 411-1 als opvolger van ETSI TS 102 042 voor nietgekwalificeerde PKIoverheid certificaten. 3. Het Programma van Eisen (PvE) voor PKIoverheid met de eisen die specifiek zijn voor partijen die PKIoverheid-certificaten uitgeven. 4. TTP.NL audit schema voor de certificatie van certificaatdienstverleners (CSP) die gekwalificeerde en nietgekwalificeerde certificaten uitgeven. Voor het beheer wordt momenteel een stichting opgericht totdat hiervoor een bruikbare ETSI norm in werking treedt. De strekking van het schema is dus breder dan PKIoverheid en het schema wordt momenteel ook gebruikt in het buitenland.

Pagina 12 van 29


5. Voor toezicht op de auditors en certificerende instellingen bestaan de regels van de Raad van Accreditatie en regels van de NOREA met betrekking tot de uitvoering van Assurance-opdrachten. 3.3.3

Nalevingsaspecten Zowel de ACM als de Policy Authority (Logius) hebben een aantal mogelijkheden om naleving af te dwingen. Hieronder volgt een overzicht van de mogelijkheden. 1. Policy Authority m.b.t. PKIo-certificaten  Aangaan van gesprek;  Formeel verzoek al of niet uit naam van het Ministerie van BZK met het verzoek aan een PKIo-certificaatleverancier om de tekortkoming op te lossen binnen gestelde tijd;  Voor overheid CSP’s: het informeren van de beveiligingsambtenaar (BVA) of RijksBVA over (ernstige) tekortkomingen;  Laten intrekken van de foutieve PKIoeindgebruikerscertificaten die een CSP heeft uit uitgegeven;  Intrekken of opschorten van de bevoegdheid om PKIocertificaten uit te geven. 2. ACM m.b.t. gekwalificeerde certificaten  Formeel verzoek;  Aanwijzing onder lastgeving;  Boete;  Beëindiging van de registratie als leverancier van gekwalificeerde certificaten. Zowel de Polici Authority PKIoverheid als ACM geven aan dat deze formele middelen zelden of nooit gebruikt hoeven te worden. Wanneer men een tekortkoming signaleert, zorgen de CSP’s nagenoeg altijd direct voor een oplossing. Men is er zich terdege van bewust dat tekortkomingen zo snel mogelijk moeten worden opgelost, om de betrouwbaarheid van de certificaten te kunnen garanderen. Zelfs een formeel verzoek van een toezichthouder om gebreken te herstellen zou al een zodanig reputatieschade met zich mee kunnen brengen, dat dit het einde van hun dienstverlening betekent. Om diezelfde reden willen ook de toezichthouders het liefst niet tot een formeel verzoek laten komen.

3.4

Het bestaande toezichtarrangement DigiD DigiD is een authenticatiemiddel dat door de Rijksoverheid aan burgers ter beschikking wordt gesteld om zich online te identificeren bij onlinediensten die overheden en uitvoeringsorganisaties aanbieden.

3.4.1

Inleiding: drie te onderscheiden elementen van de DigiD voorziening DigiD: Het betreft hier de authenticatievoorziening voor burgers. De voorziening betreft de aanvraag,uitgifte van DigiD-accounts middels een brief en het gebruik van DigiD. DigiD wordt door dienstverleners - zoals gemeenten, UWV, belastingdienst of pensioenfondsen - ingezet voor de authenticatie van de identiteit van burgers bij de toegang tot elektronische diensten en dossiers. DigiD Balie: Het betreft hier een specifieke functionaliteit van de voorziening voor de uitgifte van een DigiD via een fysieke balie. De specifieke invulling heeft Pagina 13 van 29


betrekking op de processen van aanvraag en uitgifte van een DigiD. Het infrastructurele deel dat benodigd is voor het gebruik van de voorziening, is dezelfde als hierboven. De infrastructuur op de balielocatie valt onder de verantwoordelijkheid van de gemeenten die deze balies voeren. DigiD Machtigen: Dit betreft een voorziening voor de registratie van volmachten. Een burger machtigt een andere burger of beroepsmatig actief persoon om voor hem gespecificeerde handelingen te verrichten, die het gebruik van een DigiD vereisen zoals belastingaangifte of aanvraag van toeslagen of vergunning. 3.4.2

Hoe wordt toezicht gehouden? Eigenaar en beheerorganisatie Het Ministerie van BZK is beleidsverantwoordelijke van de DigiD voorzieningen DigiD, DigiD Machtigen en DigiD Balie. BZK heeft Logius opdracht gegeven de voorzieningen te beheren en vervult de rol van Eigenaar. Logius heeft productie van de voorzieningen aan marktpartijen uitbesteed. Toezichthouder De rol van Toezichthouder voor de DigiD voorzieningen is niet volledig ontwikkeld, het toezicht op de voorziening wordt daarom in de praktijk ook door beheerder Logius uitgevoerd. 1. Het Ministerie van BZK ziet als Eigenaar toe op de naleving van de eisen door op DigiD aangesloten partijen (aansluitvoorwaarden). Elke aangeslotene moet bijvoorbeeld jaarlijks een zogenaamde DigiD-assessment laten uitvoeren door een onafhankelijke Register IT auditor, het auditrapport moet worden verstrekt aan Logius die dit beoordeelt. Binnen twee maanden na een nieuwe aansluiting moet de assessment met positief resultaat zijn afgerond. Aansluitend bij de beschreven scope van het toezicht op eID (zie hoofdstuk 2) zou dat betekenen dat deze eisen of vergelijkbare eisen onderdeel moeten zijn van de aansluitvoorwaarden op eID.. 2. Jaarlijks laat de Beheerorganisatie (Logius) door de Auditdienst Rijk (ADR) een audit uitvoeren op het beheer dat zijn uitvoert van de DigiD-voorzieningen. De auditor toetst zowel de technische implementatie en beheerprocessen van de leveranciers als de Logius-beheerprocessen voor DigiD en DigiD Machtigen. 3. Voor DigiD Balie is op het moment van dit schrijven een zestal partijen (gemeenten) verzocht/aangewezen voor uitvoering van de processen voor aanvraag en uitgifte van een DigiD. De betreffende partijen moeten een zelfassessment uitvoeren en daarover rapporteren aan Logius. Periodiek (eens maal per half jaar) laat Logius een externe auditor de balieprocessen bij de betrokken gemeenten auditeren.

3.4.3

Op basis van wat wordt toezicht gehouden? De volgende standaarden en normenkaders worden gehanteerd bij het toezicht op de DigiD voorzieningen. Generiek voor de DigiD-voorzieningen: 1. Het normenkader ICT Beveiligingsassessments voor de DigiD die elke aangesloten partij (dienstverlener) moet laten uitvoeren door

Pagina 14 van 29


een externe auditor en waarvan het auditrapport en verbeterplan moeten worden opgestuurd aan Logius. 2. Logius normenkader voor generieke beheerprocessen. Dit normenader wordt als auditkader gebruikt door die Auditdienst Rijk die op verzoek van Logius jaarlijks een audit uitvoert op de DigiD voorzieningen. De generieke beheernormen zijn ontleent aan het NOREA normenkader voor IT beheerprocessen. 3. De informatiebeveiligingsplannen voor de DigiD-voorzieningen bevatten de analyse van de beveiligingsrisico’s en de specificatie van de daarbij behorende beveiligingsmaatregelen voor de voorzieningen. De risicoanalyse en gedefinieerde maatregelen zijn mede input voor het oordeel van de ADR over de voorziening en de beoordeling van Logius van de implementatie van beveiligingsmaatregelen door de leverancier. Specifiek voor DigiD en DigiD Machtigen: 4. Logius-normenkader voor DigiD waarin specifieke eisen zijn opgenomen. Dit normenkader wordt door de ADR gebruikt voor de jaarlijkse audit op de DigiD voorzieningen. 5. Het Programma van Eisen (ten dele) voor DigiD dat de basis is van de uitbesteding bij de leverancier en de beveiligingsspecificaties bevat voor de voorziening. Specifiek voor DigiD Balie: 6. Logius-normenkader specifiek voor de uitgifteprocessen en de onderliggende infrastructuur bij de uitgifte balies. Dit nomenkader wordt gebruikt voor het uitvoeren de zelf-assessment en periodieke externe audit. 3.4.4

Nalevingsaspecten Hierna volgt een overzicht van de mogelijkheden om naleving af te dwingen die BZK en Logius tot hun beschikking hebben. Ministerie van Binnenlandse Zaken 1. Besluit om Logius een aangesloten partij af te laten sluiten. 2. Op verzoek van Logius ‘aanspreken’ van een aangesloten partij in de vorm van bijvoorbeeld een formele brief aan de Directie of Bestuur van de aangesloten partij. 3. Ontbinden van de opdracht aan Logius om de DigiD voorziening(en) te beheren. Logius 4. Aangaan van het gesprek met de aangesloten partij over risico’s van het niet naleven van de eisen. 5. Het formeel aanspreken van een partij. 6. Logius heeft de opdracht van BZK om bij een acuut beveiligingsrisico door een kwetsbare implementatie de op DigiD aangesloten partij af te sluiten waarbij de verantwoording daarover achteraf plaats vindt. 7. Het aanspreken van, of ontbinden van het contract met, de leveranciers van de infrastructuur van DigiD (applicatiebeheer, IT infrastructuur, sms, drukwerk, bezorging).

Pagina 15 van 29


4

Contouren van het geïntegreerde toezicht eID Stelsel

4.1

Inleiding Deze paragraaf beschrijft de contouren van het geïntegreerde toezicht voor eID op de korte termijn. De elementen van het toezicht zijn gebaseerd op de bestaande elementen van het toezicht op PKIoverheid, DigiD en eHerkenning die in hoofdstuk 3 zijn beschreven. Voorafgaand aan de beschrijving van de contouren wordt eerst een aantal uitgangspunten beschreven. PKIoverheid verschilt essentieel van DigiD en eHerkenning De relatie van PKIoverheid met het eID Stelsel is indirect:  Gekwalificeerde PKIo certificaten maar ook niet-PKIo certificaten kunnen gebruikt worden om eID authenticatiemiddelen op een hoog betrouwbaarheidsniveau te maken en uit te geven.  PKIoverheid vervult niet zelf de eID-rol van middelenuitgever of andere eID-rol. Een aantal CSP’s die PKIo-certificaten uitgeven, vervullen binnen het bestaande eHerkenning wel de rol van Middelenuitgever.  PKIoverheid omvat ook typen certificaten zoals servercertificaten en niet gekwalificeerde PKIo certificaten die geen enkele relatie met eID-middelen hebben. Dit betekent dat op zich zelf de toezichthouder op PKIo en eID dezelfde toezichthouder kan zijn maar dat het toezicht op PKIo en eID niet binnen dezelfde context plaats kan vinden en dat de mogelijkheid voor integratie van het toezicht in de praktijk beperkt is. De DigiD-voorzieningen zijn daarentegen in het kader van het eID Stelsel op te vatten als authenticatiemiddel, authenticatiedienst, makelaar en machtigingenregister (voor het burgerdomein). Daarmee is de mogelijkheid voor integratie van het toezicht op DigiD met het toezicht op eHerkenning ten behoeve van het eID Stelsel groter dan de integratie met het toezicht op PKIo. Uitgangspunt publieke toezichthouder Het voorstel gaat uit van een publieke toezichthouder voor het eID Stelsel. In dit voorstel wordt geen uitspraak gedaan over wie de toezichthouder moet zijn of welk ministerie verantwoordelijk is voor de toezichthouder. Voor het toezicht op PKIoverheid werkt het ministerie van EZ aan een wetswijziging voor het toezicht op PKIoverheid dat in juli 2016 geïmplementeerd moet zijn. Een hier relevante essentie van de wijziging is om het toezicht op de daadwerkelijke naleving van afspraken en eisen door betrokken partijen te waarborgen. Dit conform het advies van de Onderzoeksraad voor de Veiligheid naar aanleiding van het DigiNotar incident. Uitgangspunt voor de stelselgovernance Voor het eID Stelsel is afgesproken dat de governance en de afspraken van het stelsel eHerkenning worden gebruikt om het eID Stelsel in te richten. Dit betekent dat de wijze waarop de inhoudelijke ontwikkeling van het eID Stelsel vorm wordt gegeven, in elk geval voor de korte termijn gehandhaafd blijft middels de stelselgovernance van eHerkenning (Stelselraad, Tactisch overleg, Operationeel overleg).

Pagina 16 van 29


Uitgangspunt eID wordt gebouwd op de basis van eHerkenning Gekozen is om het eID Stelsel op te bouwen op de basis van eHerkenning. Totdat de wettelijke kaders voor het eID Stelsel er zijn, betekent dit dat de invulling van de taakverdeling tussen rollen en van Eigenaar, Beheerorganisatie en Toezichthouder en nog (deels) voortbouwen op de situatie bij eHerkenning. Bij de definitieve situatie kunnen de verschillende rollen, waaronder die van toezichthouder, een gewijzigde scope en invulling krijgen. In de voorstellen voor de korte termijn wordt gesproken over contractuele verplichtingen die Deelnemers aangaan bij toetreding tot het eID Stelsel. Als bijvoorbeeld voor de definitieve situatie gekozen wordt voor een vergunningenstelsel, betekent dit mogelijk ook een wijziging van taken die de rollen van Eigenaar, Beheerorganisatie en Toezichthouder krijgen ten opzichte van beschreven korte termijn situatie. 4.2

Hoe wordt toezicht gehouden Deze paragraaf schetst de contouren voor het toezicht op het eID Stelsel aan de hand van de verschillende rollen in het toezicht. De Eigenaar De Eigenaar is verantwoordelijk voor de integriteit van het stelsel, besluit over toetreding van nieuwe deelnemers en eventuele schorsing en ontbinding van het contract met deelnemers. De Eigenaar is opdrachtgever van de Beheerorganisatie , die namens de Eigenaar van het eID Stelsel de naleving van contractuele verplichtingen controleert. De beheerorganisatie coördineert de behandeling van (beveiligings-)incidenten en escaleert indien nodig naar de Eigenaar. Bij incidenten van een nog te bepalen ernst wordt ook de Toezichthouder geïnformeerd. De Eigenaar besluit in principe na een escalatie door de Beheerorganisatie of de toezichthouder moet worden geïnformeerd over het incident. De Eigenaar laat jaarlijks een onafhankelijke auditor de naleving van de stelselafspraken toetsen middels een Stelselaudit. De Beheerorganisatie heeft geen rol in de opdracht aan de auditor daar zij zelf ook object van onderzoek is. De Beheerorganisatie In opdracht van de Eigenaar controleert de Beheerorganisatie op operationeel niveau de naleving van contractuele verplichtingen. Het betreft dan bijvoorbeeld de toetsing van technische implementaties bij Deelnemers, de omgang met het merk eID in communicatie-uitingen. Daarnaast faciliteert de Beheerorganisatie de operationele procedures voor het aanbrengen en toetsen van wijzigingen in het stelsel. De Beheerorganisatie coördineert de behandeling van (beveiligings)incidenten in samenwerking met de beveiligingsfunctionaris van de deelnemers in het netwerk voor eID. Bij majeure incidenten escaleert de Beheerorganisatie de incidentbehandeling naar de Eigenaar. De Beheerorganisatie coördineert de analyse van incidenten in samenwerking met de deelnemers en de verbeteringen die daaruit voortvloeit. De Toezichthouder De Toezichthouder heeft als primaire taak toe te zien op de effectiviteit en integriteit van het stelsel in de lijn van de Eigenaar-BeheerorganisatieDeelnemers en in de inhoudelijke lijn van de stelselgovernance (Stelselraad, Tactisch beraad, Operationeel Overleg). Conform het advies van de Onderzoeksraad voor de Veiligheid is in dit voorstel het toezicht door de Toezichthouder meer direct dan in de Pagina 17 van 29


uitgangssituatie. Dit betekent dat ook rechtstreeks toezicht wordt gehouden op de individuele Deelnemers en op de Beheerorganisatie. De Toezichthouder kijkt dus niet alleen mee over de schouder van de Eigenaar, Beheerorganisatie en stelselgovernance, maar toetst ook zelfstanding of voldaan wordt aan de eisen. De Toezichthouder bezoekt daarom periodiek de Deelnemers van het stelsel en de Beheerorganisatie, en voert inspecties uit of laat additionele audits uitvoeren. Toezicht op Deelnemers en Beheerorganisatie middels audits en certificering Zowel eHerkenning als PKIoverheid kennen de situatie waarbij Deelnemers, respectievelijk CSP’s, gecertificeerd moeten zijn om hun diensten in dit kader te mogen leveren. Voorzien is dat deze vorm ook voor het geïntegreerde toezicht ingezet kan worden. De Toezichthouder heeft inzage in de auditrapporten van Deelnemers en Beheerorganisatie. Op basis van de auditrapportages bepaalt de Toezichthouder de onderwerpen die in de bedrijfsbezoeken aan Deelnemers en Beheerorganisatie aan de orde moeten komen. Mogelijke onderwerpen zijn de opvolging van de eventuele auditbevindingen, implementaties n.a.v. recente stelselwijzigingen en incidenten. Toezicht in relatie tot klachten en geschillen Geschillen worden in eerste instantie door de deelnemers aan het stelsel en de beheerorganisatie in samenspraak opgelost. Indien dit niet lukt, bijvoorbeeld door de complexiteit of omvang van een geschil, kunnen deelnemers, afnemers, dienstverleners en gebruikers terecht bij een onafhankelijke Klachten- en Geschillencommissie. Deze commissie geeft advies aan de betrokken partijen over de oplossing van de klacht of het geschil. De partijen kunnen dit advies opvolgen of beargumenteerd afwijzen waarna de gang naar de (civiele) rechter openstaat. Onderzocht moet worden of dit afdoende is in geval van klachten van individuen over deelnemers of dienstverleners. De reden hiervoor is dat individuen doorgaans minder middelen hebben om zich juridisch te laten bijstaan. De Klachten- en Geschillencommissie staat los van de Toezichthouder. Voor de korte termijn moet bepaald worden welke aanpassingen van het instellingsbesluit van eHerkenning met betrekking tot de klachten en verschillen nodig zijn voor de pilot situatie van het eID Stelsel. De Toezichthouder en informatie-uitwisseling met relevante partijen Naast de bezoeken aan de deelnemers en beheerorganisatie vanuit de toetsende rol voert de Toezichthouder ook informatieve gesprekken met het oog op de effectiviteit en efficiëntie van het toezicht. 1. De Toezichthouder en (certificerende) auditors wisselen periodiek informatie uit over de status van de naleving van Deelnemers van de normen. De Beheerorganisatie maakt in tegenstelling tot de huidig situatie bij PKIoverheid, geen deel uit van dit overleg omdat zij zelf ook object van het toezicht is. 2. De Toezichthouder en de Eigenaar en Beheerorganisatie wisselen in ieder geval informatie uit over de trends in beveiligingsincidenten, continuïteit van het stelsel, wijzigingen in het stelsel, wijzigingen van Deelnemers in het stelsel en andere onderwerpen issues die zij relevant achten. 3. De Toezichthouder en de voorzitters van Stelselraad en Tactisch overleg wisselen informatie uit over de o.a. visies op de

Pagina 18 van 29


stelselontwikkeling, wijzigingen en effectiviteit van de governance van het stelsel. 4. De Toezichthouder neemt het initiatief tot periodieke gesprekken met de Klachten- en Geschillencommissie over de effectiviteit van de afhandeling en inhoudelijke trends ten aanzien van klachten en geschillen. Op basis van de overleggen maakt de Toezichthouder een plan voor het toezicht in de komende perioden. In dit plan zijn de prioriteiten en speerpunten opgenomen voor bedrijfsbezoeken, onderzoeken en audits die hij bij deelnemers en beheerorganisaties wil houden. Dit aspect is bestaand voor PKIoverheid en nieuw voor eHerkenning. Beheer eID en DigiD Logius vervult met DigiD ook de rol van Middelenuitgever in het Stelsel. De Beheerorganisaties van eID en DigiD zijn daarom ook gescheiden van elkaar. Ieder jaar geeft Logius de Auditdienst Rijk (ADR) de opdracht om een audit uit te voeren ter verantwoording van het beheer van haar producten en diensten. Hierbij wordt Logius zelf als Middelenuitgever voor DigiD getoetst. 4.3

Op basis van wat wordt toezicht gehouden? Idealiter wordt toezicht gehouden op basis van toetsbare normen. Deze normen zijn zowel bruikbaar als leidraad voor implementaties door deelnemers als voor toetsing door professionele auditors van die implementaties. De toetsingskaders zijn opgebouwd uit eisen die voortvloeien uit wet- en regelgeving, eisen die specifiek zijn voor de voorziening en generieke eisen aan beheerprocessen. Het toezicht op de kwaliteit van audits door auditors wordt uitgeoefend in de lijn van de beroepsorganisaties van geregistreerde IT auditors en de raad van accreditatie (Certificatie-audits). Dit type toezicht is gebaseerd op internationale normen voor de uitvoering van audits en certificeringen. Voorzien is dat deze vormen van toezicht gehandhaafd blijft omdat er ook sprake blijft van certificering conform (inter-)nationale standaarden.

Figuur 4 Elementen waaruit toetsingskaders zijn opgebouwd.

Normen afgeleid uit wet- en regelgeving Logius-juristen toetsen bij de voorzieningen die Logius in beheer heeft aan de hand van checklists of de voorziening voldoet aan de relevante wetgeving. Voorgesteld wordt dat deze checklist als basis worden gebruikt Pagina 19 van 29


voor het opstellen van de normen die voorvloeien uit wet- en regelgeving. Deze normen zijn deels generiek voor Logius voorzieningen en deels specifiek voor eID. Bestaande (inter-)nationale normenkaders hergebruikt Voorgesteld wordt om de bestaande normenkaders van eHerkenning, risicoanalyse, Informatiebeveiligingsbeleid als basis te nemen en de DigiD specifieke elementen voor het burgerdomein daarin te integreren. Voor de toetsing van de betrouwbaarheidsniveaus van middelen en machtigingen vormen de huidige eHerkenning afspraken en de DigiDnormen het uitgangspunt. De verwachting is dat met name de risicoanalyses en de normen voor de betrouwbaarheidsniveaus van eHerkenning door de introductie van risico’s uit het burgerdomein wijziging nodig hebben omdat eHerkenning op dit moment alleen het bedrijvendomein bedient. Daarnaast verschilt het machtigingenregister van eHerkenning (bedrijf machtig medewerker) essentieel van DigiD Machtigen (burger, al dan niet handelingsbekwaam, machtigt een zaakwaarnemer).

Figuur 5 Normenkaders relevant voor het geïntegreerde toezicht samengevat

Toezicht op aansluitvoorwaarden en gebruiksvoorwaarden eID Zoals eerder in hoofdstuk 2 is aangegeven, is het directe toezicht door de Toezichthouder beperkt tot de Deelnemers aan het stelsel. De naleving van aansluitvoorwaarden en gebruiksvoorwaarden worden binnen de contractrelaties van Deelnemers en aangeslotenen, afnemers van een machtigingenregister en gebruikers van middelen getoetst. De Toezichthouder monitort de effectiviteit de manier waarop Deelnemers de naleving van de aansluitvoorwaarden / gebruiksvoorwaarden afdwingen. De aansluitvoorwaarden/gebruiksvoorwaarden zijn onderdeel van het afsprakenstelsel en daarmee ook object van het toezicht door de Toezichthouder. Dit betekent voor de pilotsituatie met betrekking tot DigiD als eID middel de DigiD-assessments voor op de herkenningsmakelaar aangesloten partijen worden gehandhaafd en dat de controle daarop door het Ministerie van BZK (ook Eigenaar van DigiD) wordt uitgeoefend. De Pagina 20 van 29


Toezichthouder houdt slechts toezicht op de effectiviteit van deze constructie. Voor de definitieve situatie moet door BKZ en het programma eID worden bepaald of- en hoe de eisen uit de DigiD Assessments een plaats kunnen of moeten krijgen in de aansluit- en gebruiksvoorwaarden. 4.4

Nalevingsaspecten De nalevingsaspecten zijn beschreven vanuit de volgende situatie: Er is nog geen wettelijke verankering van het eID Stelsel en het Toezicht daarop. Dit betekent dat de mogelijkheden voor het houden van toezicht open eventueel afdwingen van naleving in deze situatie waarschijnlijk beperkter zijn dan gewenst voor de definitieve situatie. Daarnaast kan voor de definitieve situatie de betrokkenheid van de Toezichthouder bij het afdwingen van de naleving anders worden gekozen. De mate van betrokkenheid houdt nauw samen met wijze waarop de rol van Eigenaar ingericht wordt of kan worden. Het eID Stelsel wordt gebouwd op de basis van eHerkenning. Op belangrijke punten verschilt eID van eHerkenning, zoals de voorziene samenstelling van het veld aan deelnemers (publiek-privaat). Dit heeft mogelijk juridische consequenties voor wijze waarop de naleving ingericht kan en moet worden. Uitwerking van de nalevingsaspecten vallen buiten het kader van dit project. In hoofdstuk 5.4 wordt daarom voorgesteld om de geconstateerde aandachtspunten met betrekking tot het huidige nalevingsbeleid van eHerkenning met het oog op het eID Stelsel nader nog uit te werken. Middelen van het toezicht om naleving af te dwingen Voorzien wordt dat alle de bestaande middelen kunnen worden ingezet in het kader van het geïntegreerde toezicht. 1. De Eigenaar  Uit laten voeren van de Stelselaudit en sturen op oplevering en uitvoering van een correctief actieplan;  Opdracht aan Beheerorganisatie om een deelnemer uit het operationele netwerk te verwijderen(afsluiten);  Opdracht geven aan Beheerorganisatie om de contractuele relatie met een deelnemer te ontbinden;  Intrekken van de opdracht aan Logius om het beheer van het eID Stelsel uit te voeren. 2. De   

Beheerorganisatie (Logius) Aangaan van een informeel gesprek met de deelnemer; Uitvoeren van de compensatieregeling horende bij implementatie; Afsluiten van een dienstverlener in opdracht van de Eigenaar In opdracht van de Eigenaar ontbinden van de contractuele relatie met een deelnemer.

3. De Toezichthouder  Informeel gesprek al dan niet op verzoek van de Eigenaar;  Formeel schriftelijk verzoek aan partijen om tekortkomingen op te heffen;  Deelnemers niet toestaan nog nieuwe middelen uit te geven;  Deelnemers niet toestaan nog nieuwe machtigingen te registreren; Pagina 21 van 29


 

Deelnemers niet toestaan een bepaalde rol nog te vervullen gedurende een bepaalde tijd; Uit(laten)voeren van een audit/inspectie bij een Deelnemer en de Beheerorganisatie.

Pagina 22 van 29


5

Issues

Deze paragraaf bevat de issues en vragen die zijn gerezen rond het geïntegreerde toezicht op eID. Deze issues en vragen moeten worden nog uitgewerkt. Dit past echter niet binnen deze opdracht. 5.1

Fraudemanagement Het management van fraude en misbruik vind plaats binnen de specifieke juridische context van opsporing en is daarmee niet gelijk het houden van toezicht op de veiligheid en betrouwbaarheid van het eID stelsel. Wat behelst het Fraudemanagement bij DigiD? Logius heeft voor de DigiD voorziening, dat het burgerdomein vertegenwoordigd, een actieve vorm van fraude detectie ingericht. Het Fraudeteam van Logius onderzoekt het realiteitsgehalte van technische signalen die een indicatie zijn voor mogelijk frauduleus handelen. Indien gerede vermoedens zijn voor frauduleus handelen informeert Logius de betreffende aangesloten partij en treedt in contact met de betreffende opsporingsinstanties. De verdere afhandeling vindt plaats bij de opsporingsinstantie, dienstverlener en overige betrokkenen. Het Fraudeteam van Logius vervult alleen een signalerende en informerende rol. eHerkenning heeft geen actief fraudemanagement ingericht, maar afspraken gemaakt over hoe te handelen indien een opsporingsinstantie om informatie verzoekt. In de eID pilot situatie wordt voorzien dat het huidige fraudemanagement voor de DigiD voorziening gehandhaafd blijft. In de periode na de pilots zouden condities geschapen moeten worden om fraudedetectie mogelijk te maken voor alle authenticatiemiddelen die in het eID netwerk worden gebruikt. Deze condities hebben impact op het stelsel. Waarom is fraudemanagement ook voor eID van belang? Aanleidingen: “Lektober”: De technische implementaties van online diensten door gemeenten en andere dienstverleners bleken kwetsbaar waardoor ook DigiD als middel in diskrediet gebracht werd. De minister van BZK greep daarop in met de verplichting voor aangesloten partijen om hun implementaties gerelateerd aan DigiD extern te laten toetsen. ‘Toeslagen fraudes”: Herhaalde gevallen van fraude en misbruik met toeslagen hebben de aandacht van politiek en media en daardoor fraudebestrijding tot een speerpunt gemaakt voor de Rijksoverheid. ‘Gevolgen van Identiteitsdiefstal’: De toename van het gebruik van elektronische identiteiten voor informatietransacties tussen burgers en overheden, bedrijven en overheden, bedrijven onderling, en consumenten met bedrijven maakt dat diefstal van elektronische identiteiten voor criminele activiteiten interessant is geworden. De gevolgen van het crimineel gebruik van gestolen identiteiten kunnen vooral voor burgers en consumenten buitenproportioneel groot zijn. Als een misbruikte identiteit wordt uitgesloten van de mogelijkheid tot het doen van transacties (sluiten van lening of aangaan van contracten) kan dat een individu levenslang achtervolgen terwijl de Pagina 23 van 29


mogelijkheden van de getroffen persoon zelf zeer beperkt zijn om de gevolgen ongedaan te maken. Conclusie: Voor het eID Stelsel is het te voorzien dat er meer aanbieders komen van authenticatiemiddelen voor burgers om informatietransacties met overheden en ander publieke en private dienstverleners. Fraudemanagement is op dit moment echter gekoppeld aan de DigiD-voorziening en de specifieke technische implementatie daarvan. Voor het eID Stelsel is nog geen vorm van fraudemanagement voorzien. Voor het vertrouwen van burgers een bedrijven in het eID Stelsel is het essentieel dat vooral de burger en consument actief wordt beschermd tegen misbruik van zijn of haar elektronische identiteit en dat het onderzoek naar het voorkomende misbruik wordt ondersteund.. Advies voor nader uit te werken issues in het kader van het toezicht. 1. Onderzoek de technische-, organisatorische- en juridische implicaties voor de eID Stelselafspraken. Voor het proactief onderzoeken van potentiële identiteitsfraude zijn gegevens over het gebruik van authenticatiemiddelen en transacties noodzakelijk. Deze gegevens zijn binnen het eID Stelsel verspreid over verschillende systemen en partijen. 2. Bepaal welke organisatorische plaats fraudemanagement dient te krijgen; binnen of buiten de stelsel governance. 3. Bepaal onder welke wettelijke condities fraudemanagement mag worden geïmplementeerd en bepaal de wijze van toezicht op de uitvoering er van. 5.2

Toezicht op naleving aansluitvoorwaarden, gebruiksvoorwaarden In hoofdstuk 2 is aangegeven dat de Toezichthouder op het eID Stelsel alleen indirect toezicht houdt op de naleving van aansluitvoorwaarden en gebruiksvoorwaarden door aangeslotenen dienstverleners, afnemers en gebruikers. Het aantal partijen waarop anders toezicht gehouden zou moeten worden is gewoonweg te omvangrijk voor een directe vorm van toezicht. Dit uitgangspunt heeft echter een aantal consequenties die nader onderzocht en uitgewerkt moeten worden. Wat betreft het toezicht op aangesloten partijen van DigiD? Indirect toezicht op aangeslotene partijen betekent dat het toezicht op naleving van gebruiksvoorwaarden en aansluitvoorwaarden primair binnen de contractrelaties (privaat domein) plaats vindt. Deze wijze van toezicht heeft consequenties:  De eisen die in het kader van de huidige DigiD voorzieningen worden gesteld aan de partijen met een aansluiting zouden onderdeel moeten zijn van de aansluitvoorwaarden. Hierbij is het voorstelbaar dat aan dienstverleners die het BSN verwerken (b.v. gemeenten, UWV etc.) hogere eisen worden gesteld dan aan dienstverleners die dat niet doen (webwinkel, bedrijven in het kader van B2B).  De Eigenaar is essentieel voor de handhaving. De Eigenaar is namelijk verantwoordelijk voor het handhaven van de integriteit van het stelsel en daarmee ook voor het afsluiten van een dienstverlener wanneer deze de integriteit van het stelsel in Pagina 24 van 29


gevaar brengt. De Toezichthouder, die alleen indirect toezicht houdt, kan alleen de Eigenaar op zijn verantwoordelijkheid wijzen als hij dat nodig acht. Waarom is proactief toezicht op dienstverleners van belang voor eID? Dit uitgangpunt om indirecte toezicht te houden op dienstverleners is begrijpelijk maar laat mogelijk ook een gat in de keten vallen. Beveiliging kost geld en dus worden door dienstverleners in meer of mindere mate risico’s geaccepteerd. Cybercriminaliteit ontwikkelt zich voortdurend waardoor bescherming per definitie achterloopt. Simpelweg omdat het mogelijk is (Murhpy’s Law) zullen er zich situaties voor gaan doen waarbij dienstverlener (bedrijf, uitvoeringsorganisatie of overheid) is betrokken en dat om wat voor oorzaak dan ook de integriteit of reputatie van het stelsel wordt bedreigt. Dit komt simpelweg omdat het mogelijk is en het dus ook zal gebeuren. Het is niet realistisch te verwachten dat een herkenningsmakelaar volledig zelfstandig een dienstverlener kan dwingen tot het nemen van maatregelen of in het meest vergaande geval gaat afsluiten. De Eigenaar van het eID Stelsel is primair verantwoordelijk voor de handhaving van de integriteit van het stelsel en zou daarom ook belangrijke een rol moeten spelen bij de eventuele afsluiting van dienstverleners. Het is nog niet duidelijke of de Toezichthouder en rol in moet of kan hebben. Advies voor nadere uitwerking in het kader van toezicht op het eID Stelsel Ontwikkel een of meerdere wijzen waarop een proactief toezicht op dienstverleners, die op eID zijn aangesloten, naleving afgedongen kan worden. Deze wijzen moeten de Herkenningsmakelaar ondersteunen in het nemen van zijn verantwoordelijkheid om een en ander binnen de contractrelatie af te kunnen handelen. 5.3

eID Normenkaders en de nog ontbrekende producten eID In de voorstellen is uitgegaan van de bestaande situatie waarin het programma eID nog geen stelselrisicoanalyse heeft opgeleverd of een definitieve architectuur. Idealiter worden normenkaders worden opgesteld op basis van een risicoanalyse en architectuur. Advies Dit betekent dat de normenkaders, die in het kader van de pilots worden opgeleverd, geëvalueerd en waar nodig bijgesteld moeten gaan worden op basis van de nog op te leveren eID Stelselrisicoanalyse en architectuur.

5.4

Issues naleving Als uitgangspunt is gekozen om het eID Stelsel middels wijzigingsvoorstellen te bouwen op eHerkenning. De constellatie van betrokken partijen van eID een mix van publieke en private Deelnemers is anders dan bij eHerkenning dat bestaat alleen private Deelnemers kent. De manier waarop naleving kan worden afgedwongen is in samengestelde publiek-private context is complex en moet nader worden onderzocht. In het kader van dit project is een analyse gemaakt van de op korte termijn herbruikbare elementen van eHerkenning voor het toezicht en verbeterpunten. De herbruikbare delen en verbeterpunten voor de korte termijn zijn dit document verwerkt de overige verbeterpunten zijn voor verdere uitwerking in een apart document ondergebracht. Pagina 25 van 29


Advies Onderzoek de (juridische) consequenties met betrekking tot de nalevingsaspecten in de samengestelde publiek-private context van het eID veld van deelnemers. Werk de verbeterpunten met betrekking tot naleving bij eHerkenning uit rekening houdend met het eID Stelsel.

Pagina 26 van 29


6

BIJLAGE Samenvatting Rollen en Activiteiten in het toezicht eID

De bijlage heeft tot doel om de tekst in hoofdstuk 4 met betrekking tot het voorstel voor de manier waarop het toezicht op het stelsel eID werkt samen te vatten. Voorstel tekst: De bijlage geeft een overzicht van het voorstel uit hoofdstuk 4 voor de manier waarop het toezicht op het eID Stelsel kan worden ingericht.

Pagina 27 van 29

Rol

Beheerorganisatie

Stelsel governance

Activiteit Inrichten Governance

Afsprakenstelsel opstellen wijzigen

Voorbereiden

Toetreden van partijen

- Faciliteren proces - Technische test en rapport resultaat aan Eigenaar. Uitvoeren na besluit Eigenaar -Testen technische implementatie incl. penetratietesten bij Deelnemers (eID) -Administratieve

Sanctioneren van toegetreden partijen Toetsen naleving van stelseleisen

-Voorbereiden besluiten door Operationeel beraad -Besluiten door Tactisch Beraad binnen kaders van de Stelselraad.

Eigenaar

(externe auditor)

Voorbereiden en besluiten over instelling Inbreng via Stelsel governance (?)

Besluiten

Besluiten - Beoordelen kwaliteit van de Beheerorganisatie - Uit laten voeren Stelselaudit

- Uitvoeren Stelselaudit in opdracht van Eigenaar - Informatie-

Commissie Klachten en Geschillen

Toezichthouder

- Toezien op kwaliteit en integriteit van de stelselafspraken m.b.t. Informatiebeveiliging - Geven gevraagd en ongevraagd advies aan Stelsel governance en Eigenaar. Beoordelen auditrapport en advies- of aanwijzing geven aan Eigenaar Advies of aanwijzing geven aan Eigenaar -Beoordelen van auditrapporten - Bezoek aan- / audit van deelnemers en beheerorganisatie


Rol

Beheerorganisatie

Stelsel governance

Eigenaar

(externe auditor)

Commissie Klachten en Geschillen

Toezichthouder

Activiteit controle en documentatie van certificeringen etc. -Informatie uitwisselen met toezichthouder

uitwisselen met toezichthouder

Geen rol

Geen rol

Behandelen formele klachten van- en geschillen tussendeelnemers, afnemers, dienstverleners en gebruikers, beheerorganisatie

Geen rol

Behandelen operationele- en beveiligingsincidenten Certificeren tegen (inter-)nationale standaarden zoals ISO ETSI, Webstrust, NCSC

Primaire afhandeling en escalatie

Ondersteunen Eigenaar bij risicoafweging

Incidentafhandeling na escalatie

In opdracht van Eigenaar onderzoeken

Toezien op kwaliteit incidentafhandeling

Opdrachtgeven certificeren beheerorganisatie

Vaststellen stelselafspraken hieromtrent

Opdrachtgeven Stelselaudit

-In opdracht uitvoeren en rapporteren aan opdrachtgever

Analyseren auditrapportages.

Pagina 29 van 29

Geen rol

- Behandelen - Advies aan betrokken partijen (is een advies zwaar genoeg ingeval geschil burger/consument en dienstverlener of deelnemer?)

- Advies of aanwijzing geven aan Eigenaar - Uitwisselen informatie met beheerorganisatie en (externe) auditors -Toezien op kwaliteit en effectiviteit klachtenafhandeling -Advies aanwijzing aan Eigenaar. (Rol in beroep?)

Voorstellen inrichting geïntegreerd toezicht Logius programma eid

Recommend Documents