Idensys, online zaken doen zonder zorgen

Een zorgverzekering afsluiten met je Facebook-account?

Geen haar op het hoofd die daaraan denkt. Sommige zaken wil je strikt gescheiden houden. Afhankelijk van de dienst die je afneemt, wil je je online op verschillende manieren kunnen identificeren. Daarbij vertrouw je erop dat een dienstverlener jouw digitale identiteit goed bewaakt. Door groeiende cybercriminaliteit is het beschermen van jouw privacy en gegevens inmiddels hoog specialistisch werk. Dat realiseert ook de overheid zich. Samen met het bedrijfsleven, wetenschap en burgers werkt zij daarom aan een standaard voor toegang tot online dienstverlening: Idensys, voorheen eID Stelsel genoemd. Gerrit Jan van ’t Eind (programmamanager Idensys, Logius, rechts op de foto), Corien Pels Rijcken (projectleider publieke eID-middelen, Ministerie van BZK), en Hugo Butter (kwartiermaker publieke eID-middelen, ICTU) vertellen wat die samenwerking omvat.

Deze publicatie staat in Pulse (e-zine ICTU), editie november 2015. Abonneren? Ga naar online inschrijven.

Verschillende betrouwbaarheidsniveaus

Organisaties die hun diensten online aanbieden, willen de identiteit van een afnemer met grote mate van zekerheid kunnen vaststellen. Een gemeente, bank of ziekenhuis stelt daaraan logischerwijs andere eisen dan een online reisbureau of bioscoop. Verschillende middelen, met verschillende betrouwbaarheidsniveaus, dat is waar Idensys in gaat voorzien. Waarbij overheid en bedrijfsleven afspraken maken over de eisen die zij stellen aan de veiligheid, betrouwbaarheid en de bescherming van privacy en gegevens.

Publiek-private samenwerking

Gerrit Jan van ‘t Eind is als programmamanager verantwoordelijk voor de ontwikkeling en uitrol van Idensys. Op de vraag hoe publieke en private partijen zich in dit programma tot elkaar verhouden, legt hij uit dat er sprake is van een dubbele sturing. “Er is een publieke stuurgroep waarin alle departementen en de Manifestpartijen vertegenwoordigd zijn. Die stuurgroep behartigt de publieke belangen. Vervolgens brengen we die standpunten in bij het Tactisch en Strategisch Beraad van de publiek-private samenwerking.” Het Tactisch Beraad bepaalt de vormgeving van het afsprakenstelsel waarop Idensys is gebaseerd.

Wie is waarvoor verantwoordelijk als het gaat om de betrokkenheid van het bedrijfsleven in een dergelijke publiek-private samenwerking? Dat is volgens Gerrit Jan van ‘t Eind altijd de Rijksoverheid als het gaat om de publieke eID-middelen. Net zoals de overheid altijd zal waken over de privacy van haar burgers en zorgt dat Idensys past binnen bestaande wet- en regelgeving. “Het afsprakenstelsel omvat een set aan eisen binnen de wettelijke structuur van de GDI die niet vrijblijvend is. Er komt toezicht op het stelsel onder verantwoordelijkheid van het ministerie van Economische Zaken (EZ), inclusief een auditsystematiek. Die toetredingseisen zijn voor de overheid natuurlijk niet anders dan voor private toetreders.”

'We maken bewust de keuze om klein te beginnen met verschillende pilots'

Kwartiermakersfase publieke middelen

Over de ontwikkeling van de publieke eID-middelen en de pilots, die zij samen met Hugo Butter als kwartiermaker uitvoert, vertelt Corien Pels Rijcken enthousiast. “Dit jaar treffen we binnen ons project de voorbereidingen voor het kunnen uitgeven van eID-middelen op basis van bestaande WID-documenten. Daarvoor werkt het ministerie van BZK samen met de ministeries van Infrastructuur en Milieu, Veiligheid en Justitie, en Buitenlandse Zaken.” Voorbeelden van wettelijke identiteitsdocumenten (WID) zijn de Nederlandse identiteitskaart (NIK), het rijbewijs en vreemdelingendocument.

“Binnen het project publieke eID-middelen voeren we twee pilots uit met de toevoeging van een elektronische inlogmogelijkheid op de NIK en met (een specimen van) het rijbewijs. In die pilots werken we samen met ICTU, Logius, RDW, de Rijksdienst voor Identiteitsgegevens (RvIG) en de gemeenten Den Haag en Eindhoven, en mogelijk later ook met de gemeente Groningen ”, schetst Corien Pels Rijcken. “Als projectteam hebben we bovendien een tweeledige opdracht: naast het uitvoeren van de pilots treffen we gelijktijdig de voorbereidingen voor ná de pilotfase, als de middelen opgenomen worden in het stelsel en we kunnen overgaan tot het verstrekken van publieke eID-middelen.”

Hugo Butter vult aan dat ICTU naast de publieke pilots ook betrokken is bij de ontwikkeling van het BSN-koppelregister. “Het BSN-koppelregister is noodzakelijk voor de inzet van private authenticatiemiddelen in het publieke domein, waar publiek domein is gedefinieerd als dienstverleners die het burgerservicenummer (BSN) mogen gebruiken. Private leveranciers van inlogmiddelen mogen wettelijk gezien geen gebruik maken van het BSN. Het BSN-koppelregister wordt als ICT-voorziening op dit moment getest en zal in december beschikbaar komen voor de Idensys-pilots.”

1 + 1 = 3

Welke toegevoegde waarde biedt Idensys de verschillende partijen in het stelsel? Die vraag kun je vanuit verschillende perspectieven beantwoorden. Het perspectief voor burgers en consumenten is in ieder geval wenkend: minder inlognamen en wachtwoorden. De digitale sleutelbos wordt lichter en daarmee nemen naar verwachting weer het digitale verkeer en de transacties toe, en het aantal fouten af. Ook voor de aanbiedende partijen zijn er voordelen. Enerzijds zien we financiële prikkels voor authenticatiediensten aangezien zij voor elke autorisatie betaald gaan krijgen. Daarnaast zijn er belangrijke immateriële baten voor leveranciers van publieke of private diensten. Denk aan de robuustheid en betrouwbaarheid van het stelsel. Gerrit Jan van ‘t Eind: “Als een hack leidt tot diefstal, verlies of misbruik van persoonsgegevens dan riskeert een dienstverlenende organisatie vanaf volgend jaar een boete. Een klein bedrijfje kan hierdoor in de problemen komen. Zoiets leidt bovendien altijd tot forse imagoschade. Met Idensys ben je er in de toekomst van verzekerd dat de bewaking van privacygevoelige data ligt bij partijen die hierin gespecialiseerd zijn. Voor de overheid geldt nu bijvoorbeeld dat er geen fallback is voor DigiD; hoe goed DigiD ook is gebouwd, wordt beheerd en wordt bewaakt. Daar willen we van af. De publieke sector wil naar een stelsel met uitwijkmogelijkheden, waarbij authenticatiediensten elkaars rol kunnen overnemen.”

Aandacht voor gebruikersperspectief

De pilots met Idensys starten eind 2015. Halverwege 2016 volgt de evaluatie. Tijdens de pilotfase loggen maximaal 30.000 burgers en consumenten met inlogmiddelen van Idensys in bij 20 overheden en bedrijven, meldt de programmaorganisatie Idensys medio oktober. De inlogmiddelen worden uitgegeven door bedrijven die erkend leverancier van Idensys zijn. De pilots geven inzicht in hoe Idensys in de praktijk werkt en ervaren wordt. Het betrekken van burgers bij de ontwikkeling van de middelen vinden Corien Pels Rijcken en Hugo Butter erg belangrijk. “Idensys is vrij aanbodgedreven ontwikkeld. We moeten veel meer nog de gebruiker centraal stellen en zijn user experience. En open zijn over wat we ontwikkelen en hoe we dat doen. Dat krijgt de komende periode dan ook de nodige aandacht.”

‘Proof of the pudding’

De pilots zijn klaar voor de start, er is een privacy impact analyse uitgevoerd op het stelsel, en aan het wetgevingstraject wordt volgens Gerrit Jan van ‘t Eind buitengewoon hard gewerkt door BZK en EZ. “Het uur van de waarheid breekt binnenkort aan. Na de pilotfase neemt de Tweede Kamer een besluit over de vervolgstappen. Daarbij geldt, je kunt een goed afsprakenstelsel ontwerpen maar het succes van Idensys ligt natuurlijk uiteindelijk in het gebruik. We maken daarbij bewust de keuze om klein te beginnen - met verschillende pilots - en groot te eindigen. Hierdoor kunnen we geleidelijk groeien, ervaringen opdoen, wensen van gebruikers verwerken en vertrouwen opbouwen.” Bovendien past het in de lijn van het rapport Elias, die ook aangeeft dat je beter klein kunt beginnen en groot(s) eindigen.