the way we see it Vraagstuk eherkenning Bedrijven en Instellingen

Transcriptie

1 the way we see it Vraagstuk eherkenning Bedrijven en Instellingen

2 Vraagstuk eherkenning Bedrijven en Instellingen Een verkennend onderzoek naar de mogelijkheden van elektronische herkenning van bedrijven en instellingen uitgevoerd door Capgemini in opdracht van het ICTU programma Gemeenschappelijke Machtiging- en Vertegenwoordigingsvoorziening (GMV). Het ICTU programma GMV is een initiatief van het ministerie van Binnenlandse Zaken en Koninkrijksrelaties, het ministerie van Economische Zaken, het ministerie van Financiën en het ministerie van Landbouw, Natuurbeheer en Visserij. eherkenning in vogelvlucht In appendix J is een korte en overzichtelijke samenvatting opgenomen in de vorm van antwoorden op een aantal veelgestelde vragen.

3 the way we see it Vraagstuk eherkenning Bedrijven en Instellingen Zsolt Szabo Sierd Westerfield Michael Stoelinga Niels van der Linden Koos van Santen Utrecht, november 2008

4

5 the way we see it Voorwoord Het internet is een medium met ongekende mogelijkheden. Een open medium, toegankelijk voor iedereen. Maar die openheid is soms lastig. Want hoe kunnen gebruikers en aanbieders van diensten zeker weten met wie ze te maken hebben? Een betrouwbare eherkenning, oftewel elektronische identificatie, hebben we nodig om bijvoorbeeld elektronisch factureren van de grond te krijgen of om het ondernemers mogelijk te maken digitaal een bedrijf te starten. Het is vooral voor het bedrijfsleven en voor grote overheidsdienstverleners urgent om eherkenning goed te regelen. Zij hebben behoefte aan een standaard voor eherkenning die breed gedragen en breed toepasbaar is, maar die elke instelling voldoende ruimte biedt voor eigen invulling. Deze uitdaging heeft voor mij hoge prioriteit. Deze verkenning van Capgemini richt zich op de dienstverlening van de overheid. Doel is om overheden inzicht te geven in de vragen rondom eherkenning. Er zijn nog geen breed inzetbare oplossingen voorhanden. Waar we uiteindelijk naar toe willen, is een stelsel van herkenningsvoorzieningen - zeg maar een serie afspraken over eherkenning tussen bedrijven en overheid. Dankzij dergelijke afspraken kunnen bedrijven en instellingen straks bestaande middelen zoals bijvoorbeeld mobiele telefoons en bankpassen gebruiken om een belastingaangifte te ondertekenen of een vergunning aan te vragen. Vergelijk het met het betalingsstelsel: met één bankpas en één pincode kun je bij alle geldautomaten pinnen en in de meeste winkels betalen. Een goede oplossing voor het vraagstuk van eherkenning vereist dat de belangen van providers, afnemers en aanbieders bijeen worden gebracht. De markt heeft een belangrijke rol te spelen, maar kan en mag dat niet alleen. De overheid zal dan ook actief betrokken zijn bij de vormgeving en handhaving van afspraken over eherkenning. Binnen het programma eherkenning voor Bedrijven gaan een aantal overheidsinstellingen de eerste ervaringen opdoen. Deze studie helpt hen op weg. Frank Heemskerk Staatssecretaris van Economische Zaken

6

7 the way we see it Managementsamenvatting e-overheidsdienstverleners en afnemers van e-overheidsdiensten hebben beiden last van het gebrek aan voldoende mogelijkheden om bij deze diensten vast te stellen met wie ze te maken hebben. Dit vormt een forse belemmering voor verdere volwassenwording van deze diensten. Voor burgers is succesvol DigiD voor burgers geïntroduceerd. Voor de herkenning van bedrijven (niet natuurlijke personen) zijn nog geen succesvolle breed inzetbare oplossingen beschikbaar. Voor bedrijven ligt de oplossing in het inrichten van een stelsel van herkenningsvoorzieningen, met daarin een plek voor zowel publieke als private voorzieningen. Eerst is een dui delijk verankerde bestuurlijke beslissing nodig om te kiezen voor een dergelijk stelsel. Vervolgens kan begonnen worden met een beperkt aantal e-overheidsdiensten om ervaring op te doen. Als het stelsel zich bewezen heeft volgt de opschaling. Digitalisering van de overheidsdienstverlening is al in volle gang. De ambities van het kabinet staan onder andere verwoord in de ICT-Agenda en het actieprogramma Dienstverlening en e-overheid. In dat kader wordt binnen het programma GMV (Gemeenschappelijke Machtiging- en Vertegenwoordigingsvoorziening) gewerkt aan vraagstukken rondom de elektronische herkenning (authenticatie) en vertegenwoordiging. De elektronische herkenning van burgers en bedrijven is een cruciale stap in de Foot-Right; Helvetica 65 medium 8pt; Page Number; Helvetica 45 light; 8pt

8 dienstverlening aan die burgers en bedrijven. Voor de herkenning van burgers heeft de overheid een aantal jaren geleden al een succesvolle stap gezet met de introductie van DigiD. Het bekendste voorbeeld van het gebruik van DigiD is de jaarlijkse belastingaangifte door burgers, of in juridische termen; door natuurlijke personen. Voor de herkenning van de niet natuurlijke personen, zoals bedrijven en instellingen, is nog geen generieke oplossing gevonden. Gevolg is dat gebruikers worden geconfronteerd met een groot aantal combinaties van gebruikersnamen, pincodes, tokens en wachtwoorden. Dat maakt het gebruik onnodig lastig en schept bovendien ruimte voor frauduleuze handelingen. Het is dan ook noodzakelijk om voor deze problemen tot een generieke oplossing te komen. De inwerkingtreding van de Europese Dienstenrichtlijn 1 speelt hierin een rol. Die stelt immers dat bedrijven, specifieker dienstverrichters, overheidsdiensten elektronisch moeten kunnen afnemen. Het ontbreken van een generiek herkenningsstelsel heeft ertoe geleid dat diverse grote aanbieders van overheidsdiensten een eigen middel voor herkenning hebben geïntroduceerd. Het betreft dan processen die worden uitgevoerd in groot volume of processen waarbij een dienstverlener met een beperkt aantal bedrijven frequent contact heeft. Voorbeelden van dit type dienstverlening zijn de winstaangifte van bedrijven bij de Belastingdienst en de APK-afmelding door garagehouders bij de RDW. 1 Richtlijn 2006/123/EG van het Europees Parlement en de Raad van 12 december 2006 betreffende diensten op de interne markt [Publicatieblad L 376 van ]. 2 Sommige onderdelen van het stelsel kunnen vanwege het gebruik van het burgerservicenummer niet door de markt beheerd worden. De huidige situatie kenmerkt zich door het bestaan van vele herkenningsmiddelen naast elkaar. De bedrijven en instellingen (niet natuurlijke personen) hebben hiermee een grote digitale sleutelbos gekregen, wat sterk tegen de wens van het kabinet is. De overheid speelt verschillende rollen bij het laten slagen van de elektronische herkenning van niet natuurlijke personen. Zo is zij actief betrokken bij het opstellen en handhaven van de voorwaarden waaronder partijen kunnen deelnemen aan het stelsel. Daarnaast moet de overheid die onderdelen van het stelsel ontwikkelen en beheren die de markt niet zelf kan of wil maken 2. Doelstelling De doelstelling van dit verkennend onderzoek is het aandragen van oplossingen, bij voorkeur in de vorm van publiek private samenwerking, die leiden tot voldoende mogelijkheden om niet natuurlijke personen elektronisch te kunnen herkennen zonder dat zij belast worden met een digitale sleutelbos. Om te komen tot duurzame oplossingen zal het noodzakelijk zijn de belangen van dienstaanbieders, dienstenafnemers en providers samen te brengen. Dat moet leiden tot afspraken voor een werkend herkenningsstelsel. Dit verkennend onderzoek legt hiervoor de fundering. Een fundering die de komende jaren op basis van de implementatie van pilotprojecten verder zal worden verstevigd. Als randvoorwaarde geldt dat oplossingen de administratieve lasten voor bedrijven en instellingen per saldo niet mogen verhogen, de privacy wordt gewaarborgd en buitenlandse ondernemers gebruik kunnen maken van de voorzieningen. Tevens streeft de overheid er in het kader van de marktwerking naar om zoveel mogelijk oplossingen uit de markt te betrekken in plaats van ze zelf te ontwikkelen. Haar taak zal dan in de eerste plaats bestaan uit het scheppen en bewaken van voorwaarden voor een werkend stelsel. De overheid zelf beschikt reeds over een groot aantal elementen die relevant kunnen zijn om de identiteit van een niet natuurlijke persoon vast te stellen. Hiervan zal dan ook gebruik worden gemaakt. De belangrijkste bestaande voorzieningen en randvoorwaarden waarmee rekening gehouden wordt zijn: n Het stelsel van basisregistraties; n DigiD als bekende publieke voorziening met fors volume; n De bestaande identificatie- en herkenningsmiddelen; n De wetgeving ten behoeve van de elektronische handtekening. Dit verkennend onderzoek heeft als vertrekpunt de reeds bestaande publieke en private bouwstenen die een belangrijke bijdrage kunnen leveren aan het uiteindelijk resultaat, te weten een goed werkend stelsel van herkenningsvoorzieningen. Aanpak van dit onderzoek Aanleiding voor dit onderzoek is de noodzaak om de belemmeringen voor verdere volwassenwording van elektronische dienstverlening weg te nemen. De Gemeenschappelijke Machtiging- en Vertegenwoordigingsvoorziening (GMV) wil voor haar eigen dienstverlening, net als honderden andere overheidsdienstverleners, niet natuurlijke personen herkennen. Zij zien in dat het uitgeven van een eigen herkenningsmiddel niet de oplossing is voor het probleem. Klanten van de GMV hebben geen frequent contact met de GMV waardoor een eigen herkenningsmiddel geen zin heeft. Deze verkenning is uitgevoerd door enerzijds te kijken naar de eisen die

9 the way we see it worden gesteld aan herkenning van bedrijven en instellingen in vijftien processen van dienstaanbieders, anderzijds door het bestaande aanbod aan relevante herkenningsmiddelen in kaart te brengen. Vraag en aanbod zijn tegen elkaar afgezet waarbij de vraag is gesteld in hoeverre bestaande middelen generiek ingezet kunnen worden. Bevindingen op basis van vraag en aanbod Door de vraag vanuit dienstaanbieders en het aanbod aan herkenningsmiddelen tegen elkaar af te zetten, volgen enkele duidelijke conclusies die als volgt zijn samen te vatten: n Er is sprake van grote diversiteit; n In de huidige situatie is de match tussen vraag en aanbod beperkt; n De oplossingen die er zijn, beperken zich tot bepaalde doelgroepen en zijn dus niet generiek. Er is gepoogd generieke oplossingen in de markt te zetten zoals DigiD voor bedrijven en PKIoverheid persoonscertificaten. Deze dekken echter onvoldoende de behoefte aan betrouwbaarheidsniveaus omdat ze geen oplossing bieden op basis- en middenniveau en omdat ze niet aantrekkelijk genoeg zijn voor gebruikers. Het gevolg van de grote diversiteit aan niet natuurlijke personen is dat eenvoudige oplossingen op basis van één technisch dingetje niet volstaan om het vraagstuk bevredigend op te lossen. De belangen van dienstaanbieders, providers en gebruikers zullen samengebracht moeten worden om een generieke oplossing te bereiken. Een andere belangrijke conclusie uit deze verkenning is dat het voor een groot aantal processen onvoldoende is om alleen de niet natuurlijke persoon te herkennen. Voor de elektronische herkenning van een niet natuurlijk persoon moet veelal ook een natuurlijk persoon herkend worden. Vervolgens moet worden bepaald of hij/zij de niet natuurlijke persoon voor bepaalde handelingen mag vertegenwoordigen. Een herkenningsmiddel van alleen de natuurlijke persoon (bijvoorbeeld DigiD voor burgers) of alleen de niet natuurlijke persoon (DigiD voor bedrijven) is dus veelal onvoldoende. Voor het herkennen van niet natuurlijke personen praten we dan ook over een herkenningsvoorziening. Een bevinding van andere aard is dat het vraagstuk van herkenning van niet natuurlijke personen uit twee onderdelen bestaat. Ten eerste het vinden van geschikte herkenningsmiddelen en ten tweede de onontkoombare registratie van interne machtigingen tot vertegenwoordiging. Dit volgt uit bovengenoemde inherente complexiteit van niet natuurlijke personen. Niet natuurlijke personen bestaan namelijk uit verschillende natuurlijke personen en kennen een grote diversiteit aan interne structuren. De natuurlijke personen hebben hun eigen rollen en verantwoordelijkheden binnen de organisatie. Zij mogen een niet natuurlijk persoon voor een bepaald product of onderwerp vertegenwoordigen. Het bijhouden van deze vertegenwoordigingen wordt verder aangeduid als interne machtigingen tot vertegenwoordiging en komt tot uiting in de diversiteit waarmee dienstaanbieders en aanbieders van herkenningsmiddelen momenteel hun processen hebben opgezet. Een stelsel van herkenningsvoorzieningen Om te komen tot een werkend stelsel van herkenningsvoorzieningen moet niet louter op technische aspecten worden gelet. Integendeel! Goede afspraken met betrokken partijen zijn essentieel om tot een breed gedragen stelsel van herkenningsvoorzieningen te komen. Binnen dit stelsel vinden verschillende voorzieningen een plaats, deels publiek en deels privaat. Ieder van de afzonderlijke voorzieningen bouwt voort op technologie en/of voorzieningen die al bestaan. Daarmee is het effect van een dergelijk stelsel potentieel veel groter dan de relatief geringe ICT-inspanning die nodig is om het te realiseren. Zo n stelsel betekent ook dat er een heldere ontwikkelrichting wordt aangegeven voor de komende jaren. Dit maakt het mogelijk te starten op basis van overzichtelijke ICT-projecten. Het stelsel sluit alle dienstaanbieders van de overheid naadloos aan. Tegelijkertijd omvat het meerdere typen herkenningsvoorzieningen. Deze sluiten elk aan op een specifieke doelgroep van niet natuurlijke personen. Daarmee wordt recht gedaan aan de diversiteit van deze groep en aan het belang van een zo groot mogelijke keuzevrijheid voor bedrijven en instellingen alsmede hun bestuurders en medewerkers. Uitgangspunt van alle herkenningsvoorzieningen in het stelsel is dat ze alleen die gegevens aan de dienstaanbieder doorgeven die nodig zijn voor de elektronische herkenning. In ieder geval wordt gemeld dat een interne gemachtigde die bevoegd is, handelt namens de niet natuurlijk persoon. De vraag wat de persoonsgegevens zijn van die gemachtigde, veelal een medewerker van de niet natuurlijk persoon, wordt alleen kenbaar gemaakt aan de dienstaanbieder als daar een wettelijke grondslag voor is of als de persoon daar zelf toestemming voor heeft gegeven. Op die manier wordt de privacy optimaal gewaarborgd. Het feit dat de identiteit van de natuurlijke persoon niet altijd wordt Vraagstuk eherkenning Bedrijven en Instellingen

10 vrijgegeven, vereist uiteraard dat de dienstaanbieders alle herkenningsvoorzieningen die in het stelsel meedoen kunnen vertrouwen. Daartoe dient een duidelijk afsprakenstelsel te worden ontworpen. Keuzevrijheid voor bedrijven en instellingen In een stelsel van herkenningsvoorzieningen kunnen bedrijven en instellingen zelf een keuze maken voor een herkenningsvoorziening die bij hen past. Een keuze kan gemaakt worden op rationele gronden zoals kosten en administratieve lasten. Ook subjectieve gronden, zoals het niet willen gebruiken van DigiD voor burgers in de herkenning van een bedrijf of instelling, kunnen bepalend zijn voor de keuze van een herkenningsvoorziening. Een stelsel biedt de mogelijkheid om verschillende typen oplossingen samen te laten werken. Belangrijk hierbij is dat het toekomstige uitgangspunt zal zijn om zoveel mogelijk gebruik te maken van geschikte voorzieningen die door de markt worden aangeboden. Het credo is dan ook privaat tenzij. Echter, gelet op het kostenplaatje en de werking van bestaande publieke voorzieningen zal vooralsnog van deze voorzieningen gebruik worden gemaakt en zullen ze worden meegewogen in dit verkennend onderzoek. De volgende drie typen voorzieningen binnen het stelsel worden voorgesteld: Private herkenningsvoorzieningen Deze worden geleverd door marktpartijen 3 die voldoen aan de eisen vanuit het stelsel. De elektronische herkenning vindt dus plaats op basis van middelen die door deze markt partijen worden uitgegeven. Voor de organisatie van de interne machtigingen tot vertegenwoordiging is een grote vrijheid van inrichting mogelijk. Het bedrijf of instelling sluit een contract met de marktpartij op basis waarvan deze inrichting overeengekomen wordt. Doelgroep van deze voorziening zijn middelgrote en grotere bedrijven en instellingen en in het bijzonder ketens waarin al van private herkenningsvoorzieningen gebruik gemaakt wordt (ongeveer bedrijven). Deze kunnen met de herkenningsfunctie ten behoeve van overheidsdienstverlening worden uitgebreid. Publieke herkenningsvoorziening Een publieke voorziening voorziet in de behoefte van kleine organisaties zoals de bakker op de hoek en de zelfstandige schilder. In Nederland zijn er meer dan bedrijven met maximaal 5 werkzame personen. Deze organisaties hebben veelal een beperkt aantal communicatiemomenten met de overheid. Daarnaast hebben ze geen ingewikkelde organisatiestructuren waardoor ze geen ingewikkelde machtigingen tot vertegenwoordiging moeten registreren. Een publieke herkenningsvoorziening is laagdrempelig. Het draagt er aan bij dat ook deze grote groep van kleine ondernemers diensten elektronisch kan afnemen bij de overheid. Een publieke herkenningsvoorziening zou kunnen worden opgebouwd uit reeds bestaande publieke elementen. Hierbij valt onder andere te denken aan DigiD voor burgers en het Handelsregister. Het aanbieden van een publieke voorziening sluit echter niet uit dat in de nabije toekomst private herkenningsvoorzieningen economisch aantrekkelijk worden aangeboden aan deze doelgroep. De keuzevrijheid van de ondernemer staat voorop. Ten derde kunnen interne herkenningsvoorzieningen van bedrijven onder strikte voorwaarden op het stelsel worden aangesloten. Het grote voordeel daarvan is dat direct gebruik gemaakt wordt van het machtigingsproces binnen een organisatie. Met name bij grote bedrijven (ongeveer 3000 fte) en in situaties waar de Tabel 1: Bedrijven in Nederland verdeeld naar het aantal medewerkers Aantal werkzame personen per onderneming Aantal bedrijven 3 Bij marktpartijen kan gedacht worden aan huidige aanbieders van herkenningsmiddelen, zoals Diginotar en Getronics, maar ook aan telecombedrijven en banken. 4 Statline cbs.nl, cijfers per

11 the way we see it interne machtigingen tot vertegenwoordiging regelmatig wijzigen, verlaagt dit de administratieve lasten. Deze voorzieningen komen met name voor in zeer grote bedrijven en instellingen. Het gaat veelal om de voorzieningen die gebruikt worden voor beveiliging van thuiswerk en toegang tot eigen applicaties. De systemen van de grootste leveranciers zoals Microsoft en Novell zijn al geschikt om te integreren in het geschetste model. Om de problematiek rondom het elektronisch herkennen van bedrijven en instellingen te illustreren, wordt hieronder het verhaal van een willekeurige garagehouder geschetst. Garagehouder van der Velde & Zn Tom van der Velde heeft een garagebedrijf in Den Haag. Hij heeft een aantal medewerkers in dienst. Het valt Tom op dat de contacten met de overheid op veel verschillende manieren plaatsvinden, terwijl hij in zijn privé situatie vaak met zijn DigiD uit de voeten kan. De IB-aangifte heeft hij zoals al jaren ingediend met behulp van zijn DigiD. Ook zijn dochter geeft met haar DigiD wijzigingen door bij de IB-Groep en onlangs heeft zijn vrouw op de website van de gemeente Den Haag een uittreksel uit de Gemeentelijke Basis Administratie online aangevraagd met behulp van haar DigiD. De belastingaangifte voor de zaak moet sinds enige tijd ook al elektronisch worden verricht. De gebruikersnaam en wachtwoord zijn destijds in een brief toegestuurd. Hij heeft indertijd de twee brieven met de gebruikersnaam en het wachtwoord overhandigd aan de accountant. De communicatie met de RDW verloopt via de APK Webdirect voorziening. Hij heeft hiervoor van de RDW een naam/wachtwoord combinatie en een certificaat ontvangen. Om ook de ziek- en betermeldingen van zijn werknemers digitaal te doen via de online verzuimmelder van het UWV, heeft Tom een account aangemaakt op basis van het aansluitingsnummer (een afgeleide van het loonheffingnummer). Hij heeft zichzelf opgegeven als contactpersoon en een gebruikersnaam bedacht. Tom kan met deze voorziening van het UWV andere medewerkers in het bedrijf een eigen gebruikersnaam, wachtwoord combinatie geven. Tom heeft bij de gemeente Den Haag ook een HaagID aangevraagd omdat hij online de eigen taxatiegegevens van het bedrijfspand wil inzien. Hij heeft ook hiervoor weer een gebruikersnaam moeten aanvragen welke per post is toegestuurd. Vervolgens moest hij een wachtwoord aanvragen en ook dat kwam via de post bij hem terecht. Met behulp van zijn HaagID kan hij nu ook online een milieuvergunning voor de nieuwe bedrijfslocatie aanvragen. Tom is zeer tevreden over het feit dat een groot deel al elektronisch afgehandeld kan worden. Echter, Tom ergert zich eraan dat hij voor bijna iedere overheidsinstantie een aparte gebruikersnaam en wachtwoord moet gebruiken en meerdere certificaten moet installeren. Als hij zelf een combinatie mag verzinnen is dat standaard Vandervelde01 en Vandervelde01. Hij vraagt zich wel af of dit allemaal veilig is. In de krant las hij over het DigiD van de buurman probleem en bedacht zich dat hij een aantal van zijn gebruikersnaam en wachtwoord combinaties ook doorgeeft aan anderen zoals zijn chef werkplaats en de accountant. Tom vraagt zich af of dit alles niet veel eenvoudiger kan. Een realistische oplossing met mogelijke quick wins Bovengeschetst stelsel lijkt ingewikkeld, maar is het niet. In de bankwereld zijn bijvoorbeeld al duidelijke voorbeelden van dergelijke stelsels, ondermeer voor de werking van pinpassen of ideal betalingen. In zulke stelsels worden de diversiteit en de complexiteit gereduceerd door verantwoordelijkheden strikt over meerdere ongelijksoortige partijen te verdelen. Dit biedt goede uitgangspunten voor een situatie waarin private partijen een groot deel van de voorzieningen invullen en waar de publieke taak in de eerste plaats bestaat uit toezicht houden en voorwaarden scheppen. De aanbevelingen, gericht op het realiseren van het stelsel van herkenningsvoorzieningen zijn nader uitgewerkt in hoofdstuk 6. In appendix C (Transformatie) is op hoofdlijnen aangegeven hoe het stelsel gerealiseerd kan worden. Hierbij is nadrukkelijk aandacht gegeven aan de quick wins. Als meest in het oog springende quick win kan de aansluiting van private partijen op het stelsel genoemd worden. Als tweede grote plus kan het ontwikkelen van een publieke voorziening worden genoemd. Aangezien er voldoende private partijen zijn die reeds sterk vergelijkbare voorzieningen aanbieden kan ook daarmee relatief snel gestart worden. De eerste stap zal echter moeten zijn om een duidelijk verankerde bestuurlijke beslissing te nemen om te kiezen voor een stelsel van herkenningsvoorzieningen. Vraagstuk eherkenning Bedrijven en Instellingen

12 Inhoud Voorwoord 3 Managementsamenvatting 5 Inhoud 10 1 Inleiding Opdracht Aanpak Gehanteerde begrippen Leeswijzer 16 2 Verkenning processen en middelen Vragende processen Herkenningsmiddelen 22 3 Synthese Match tussen vraag en aanbod is beperkt Werkbare match beperkt zich tot branches en specifieke doelgroepen Er is behoefte aan een generiek middel Drie elementen bepalen succes generieke oplossing Niet natuurlijke personen zijn zeer divers Betrouwbaarheid op het juiste niveau Conclusie uit de synthese Eisen en wensen aan een herkenningsvoorziening 31 4 Oplossingsrichtingen 33

13 Head-Sector/Discipline/Alliance the way we see it 5 Een stelsel voor elektronische herkenning van niet natuurlijke personen Keuze van oplossingsrichtingen Conclusie: een stelsel dat recht doet aan diversiteit Beschrijving van het herkenningsstelsel Gebruik publieke herkenningsvoorziening in beeld Kostenstructuren Buitenlandse ondernemers 41 6 Conclusies en aanbevelingen Inleiding Aanbevelingen 43 Appendix 48 A. Uitwerking oplossingsrichtingen 48 B. Werking van het stelsel in de praktijk 52 C. Transformatie 60 D. Uitwerking vragende processen 68 E. Aanbod van herkenningsmiddelen 69 F. Opdrachtformulering 70 G. Glossary 72 H. Gebruikte documentatie 84 I. Samenstelling klankbord 85 J. eherkenning bedrijven en instellingen in vogelvlucht 86

14 1 Inleiding 1.1 Opdracht Aanleiding Het programma Gemeenschappelijke Machtiging en Vertegenwoordigingsvoorziening (GMV) ontwikkelt voor de Nederlandse overheid een voorziening waarmee het iedereen, natuurlijke en niet natuurlijke personen, in staat stelt zich te laten vertegenwoordigen door een andere persoon. Het programma wordt uitgevoerd door de stichting ICTU in opdracht van de stuurgroep Gemeenschappelijke Machtiging en Ver tegenwoordigingsvoorziening. In de stuurgroep zijn vertegenwoordigd: het ministerie van Binnenlandse Zaken en Koninkrijksrelaties, het ministerie van Economische Zaken, het ministerie van Financiën en het ministerie van Landbouw Natuur en Voedsel kwaliteit. Het programma GMV richt zich op vertegenwoordigingen in het kader van diensten die de Nederlandse overheid aanbiedt aan burgers en bedrijven. De GMV maakt deel uit van het actieprogramma Dienstverlening en e overheid, omdat het als centrale infrastructurele voorziening een voorwaarde is om meer diensten van de overheid elektronisch aan te kunnen bieden. De burgers en bedrijven die diensten afnemen hebben immers het recht zich te laten vertegenwoordigen. In veel gevallen ontkomen ze daar zelfs niet aan. Om elektronische diensten te kunnen leveren zijn voldoende betrouwbare mogelijkheden noodzakelijk voor het herkennen (authenticeren) van gebruikers. 12

15 the way we see it In de praktijk blijkt dat er geen generiek werkbare oplossingen voor elektronische herkenning (authenticatie) van niet natuurlijke personen beschikbaar zijn. Het programma GMV heeft daarom de opdracht gegeven om te komen tot een onderzoeksrapport dat generiek werkbare oplossingen verkent voor vraagstukken rondom elektronische herkenning van niet natuurlijke personen. Het rapport dient bovendien aandacht te besteden aan direct inzetbare mogelijkheden bij dienstaanbieders, bijvoorbeeld door kolombreedte hergebruik van 55 mm bestaande oplossingen (PKIoverheid, DigiD voor bedrijven et Aanbod van herkenningsmiddelen cetera) Doelstelling De doelstelling van het onderzoek is het aandragen van oplossingen, bij voorkeur in de vorm van publiek private samenwerking, die ertoe leiden dat er voldoende mogelijkheden ontstaan om niet natuurlijke personen elektronisch te kunnen herkennen. Het ontbreken van tussenruimte 5 mm voldoende beschikbare mogelijkheden leidt nu tot problemen zoals groeiende fraude, wantrouwen bij gebruikers en afname van veiligheid. Het herkennen van niet natuurlijke personen is noodzakelijk om producten door de overheid aan niet natuurlijke personen te leveren. De herkenning van de niet natuurlijke persoon moet een identificerend nummer opleveren van deze niet natuurlijke persoon, waardoor je weet met wie je te maken hebt kolombreedte Reikwijdte 55 mm De scope van het onderzoek is beperkt tot gegevensuitwisseling tussen bedrijven en overheid (B2A en A2B). Gegevensuitwisseling van B2B valt buiten de reikwijdte van dit onderzoek. In het onderzoek zijn machtigingen tussen niet natuurlijke personen, de zogenaamde externe machtigingen, niet meegenomen. Te denken valt aan de machtiging van een niet natuurlijk persoon aan een intermediair. In dit rap tussenruimte 5 mm port wordt uitsluitend gesproken over machtigingen tot vertegenwoordiging, bijvoorbeeld de interne machtiging van een bestuurder aan een medewerker om het bedrijf te vertegenwoordigen bij een ziekmelding. In paragraaf 1.3 is een beschrijving opgenomen van de begrippen interne machtiging tot vertegenwoordiging en (externe) machtiging. 1.2 Aanpak Het onderzoek is opgedeeld in drie fasen: inventarisatie, onderzoek en presentatie, kolombreedte welke in figuur 55 mm1 in detail worden beschreven Inventarisatiefase Op basis van wet- en regelgeving, uitgevoerde onderzoeken en (inter-)nationale standaarden zijn een referentiekader en een glossary ontwikkeld (appendix G). In appendix H is een overzicht opgenomen van de geraadpleegde literatuur. Figuur 1: Aanpak Inventarisatiefase Onderzoeksfase Presentatiefase Vraag beschrijven Inventarisatie Opstart Intake Herkenningsdiensten beschrijven Match Synthese Uitwerken Valideren Presenteren Analyse generieke oplossing Publicatie voorbereiden Publicatie maken Review en kwaliteitsbewaking Projectsturing Vraagstuk eherkenning Bedrijven en Instellingen 13

16 1.2.2 Onderzoeksfase Vragende processen In samenspraak met de opdrachtgever zijn vijftien overheidsprocessen van dertien dienstaanbieders geselecteerd. Deze zijn aan de hand van interviews en bestudering van beschikbare informatie onderzocht. Bij de selectie van deze diensten is nauw aangesloten bij de diensten die worden ontsloten via het ICTU programma Antwoord voor Bedrijven. In tabel 1 een overzicht van de 15 overheidsprocessen. Herkenningsmiddelen Er zijn acht herkenningsmiddelen geselecteerd. Daarbij is gekozen voor een verzameling van producten die varieert op het gebied van techniek alsmede op het gebied van uitgifte proces en beheer. Tabel 2 geeft een overzicht van de bestudeerde herkenningsmiddelen. Afstemmen van de vraag van dienstaanbieders op het aanbod van elektronische herkenningsmiddelen De vragende processen en de elektronische herkenningsdiensten zijn afzonderlijk beschreven. Hierbij is gebruik gemaakt van de betrouwbaarheidsniveaus zoals deze gedefinieerd zijn voor DigiD 5. Per dienstverlenend proces is beschreven welke gebruikers herkend moeten worden. Ten slotte is ook gekeken welke middelen er momenteel worden ingezet voor de elektronische herkenning van niet natuurlijke personen. Generieke oplossing Op basis van relevante standaarden, principes uit de NORA, reeds bestaande voorzieningen voor elektronische herkenning van gebruikers (zoals DigiD) en de kennis uit verschillende e-overheidsprojecten is een Tabel 2: Vragende processen Dienstaanbieder Belastingdienst Belastingdienst Gemeente Amsterdam Gemeente Den Haag Informatie Beheer Groep ICTU/Programma eformulieren Kamer van Koophandel & Belastingdienst Kadaster Ministerie van Landbouw, Natuur en Voedselkwaliteit (LNV) Belastingdienst, Kamer van Koophandel, CBS Rijksdienst voor het Wegverkeer (RDW) SenterNovem TenderNed UWV Ministerie van Volksgezondheid, Ruimtelijke Ordening en Milieu (VROM) Tabel 3: Herkenningsmiddelen Leverancier GBO.Overheid GBO.Overheid Agroportal Getronics Diginotar Diginotar Oostenrijk Capgemini Rabobank 5 Bron: Proces Vooringevulde aangifte (VIA) Inkomsten Belasting (IB) Horecavergunningen Digitaal loket Aanleveren leerlinggegevens ter bekostiging Verklaring omtrent gedrag (EloVOG) Gemeenschappelijke inschrijving Aanleveren akte door notaris en MijnKadaster Export Pootaardappelen en e-gdi (LNV-loket) NTP XBRL aangifte APK keuring en de tenaamstelling voertuigen Wet ter bevordering speur- en ontwikkelwerk (Wbso) Deelname aan Europese aanbestedingen Verzuimmelder medewerkers Landelijke voorziening omgevingsvergunning (Wabo) Herkenningsmiddel DigiD voor burgers DigiD voor bedrijven Z login Verisign Servercertificaten PKI-keycard PKIoverheid Servercertificaat Bürgerkarte Safeword pas (intern authenticatie token) Internet bankieren, Random Reader 14

17 the way we see it inventarisatie gemaakt van de elementen voor een generieke oplossing. In de synthesefase is het generieke model verder uitgewerkt tot een definitief herkenningsstelsel waarin de architectuur en het benodigde kader aan regelgeving is meegenomen. De voorgestelde oplossingsrichting is weergegeven in een transformatiemap (zie appendix C) Presentatiefase In de uitwerkingsfase zijn de resultaten van de workshops met de klankbordgroep uitgewerkt tot een concept eindrapport. Tevens is hier aangetoond in hoeverre het model en de oplossingsrichting voor de vragende processen de huidige machtigings- en herkenningsvraagstukken daadwerkelijk oplost. 1.3 Gehanteerde begrippen In de inventarisatiefase van het onderzoek is een eenduidig begrippenkader opgesteld welke is opgenomen in appendix G. Onderstaande begrippenlijst biedt een omschrijving van de meest voorkomende begrippen. n Authenticatie (Herkenning) Authenticatie is de controle (het staven) van de (een) geclaimde identiteit van een partij (entiteit, actor) en de set van zijn geclaimde attributen op een bepaald betrouwbaarheidsniveau. n Authenticatiemiddel (Herkenningsmiddel) Een authenticatiemiddel is een set van attributen (een certificaat, dat) op grond waarvan authenticatie van een partij kan plaatsvinden. In dit rapport wordt voor authenticatiemiddel veelal het woord herkenningsmiddel als synoniem gebruikt. n Autorisatie Autorisatie is een proces waarin door relevante toegangsrechten te controleren bepaald wordt of een gebruiker toegang krijgt tot een bepaald middel. n Betrouwbaarheidsniveau Kwaliteitsniveau: de mate waarin een herkenningsmiddel zekerheid verschaft over een geclaimde identiteit. Herkenning kan op verschillende betrouwbaarheidsniveaus plaatsvinden. Deze betrouwbaarheidsniveaus kunnen als leidraad dienen bij het classificeren van middelen. Binnen DigiD voor burgers 6 gelden de volgende niveaus: - Betrouwbaarheidsniveau Basis: Dit is alleen een DigiD gebruikersnaam met wachtwoord; herkenning gebaseerd op één factor. De vereiste voor de processen op niveau Basis is dat de identificerende attributen gecontroleerd worden in een basisregistratie. - Betrouwbaarheidsniveau Midden: Dit is een DigiD gebruikersnaam met wachtwoord en een eenmalige transactiecode die via een sms verkregen wordt. Dit is een zogenaamde twee-factor herkenning. Alle andere vormen van twee-factor herkenning worden eveneens met niveau Midden aangeduid. - Betrouwbaarheidsniveau Hoog: Middelen op zekerheidsniveau Hoog voldoen aan het normenkader voor de gekwalificeerde elektronische handtekening zoals dat in ETSI 7 normen is vastgelegd en waarvoor de Wet Elektronische Handtekening het kader biedt. Er is ook sprake van middelen op niveau Hoog die geen gekwalificeerde elektronische handtekening omvatten, maar wel zijn uitgegeven op basis van processen op hetzelfde hoge niveau. De classificatie dient plaats te vinden door te kijken naar de zwakste schakel in de keten van uitgifteproces, gebruik, revocatieproces en verlengingsproces. Middelen die niet aan de vereisten voor niveau Basis voldoen worden in dit onderzoek geclassificeerd als betrouwbaarheidsniveau Laag. n DigiD voor burgers Het systeem dat door de Nederlandse overheid wordt gebruikt voor het authenticeren van burgers. Dit kan zowel het huidige systeem zijn als een systeem zijn dat commerciële middelen gebruikt, zoals beschreven in DigiD as a Scheme 8. n Dienstaanbieder Een aanbieder van e-overheidsdiensten, waarbij een e-overheidsdienst via internet wordt ontsloten en waarmee een burger of bedrijf aan wettelijke plichten kan voldoen of rechten kan uitoefenen. n Gebruiker Een natuurlijk persoon die een transactie uitvoert met de overheid. In dit onderzoek betreft het een natuurlijk persoon die handelt namens een niet natuurlijke persoon: de verantwoordelijke bestuurder of een intern gemachtigde. 6 Bron: 7 European Telecommunications Standards Institute (ETSI) 8 Innopay 2008 Vraagstuk eherkenning Bedrijven en Instellingen 15

18 n Identificatie Identificatie is het noemen van attributen van een entiteit om deze in een bepaalde context uniek aan te duiden. n Interne machtiging tot vertegenwoordiging Een machtiging die binnen een niet natuurlijke persoon verleend wordt aan een werknemer of andere functionaris zodat deze de niet natuurlijke persoon kan vertegenwoordigen. n Machtiging Een machtiging is een herroepbare rol die een welgedefinieerde partij (de vertegenwoordigde) verleent aan een andere welgedefinieerde partij (de gemachtigde) zodat deze laatste een vooraf vastgelegde set van rechtshandelingen mag uitvoeren namens de eerste. Juridische consequenties worden daarbij aangegaan door en voor verantwoordelijkheid van de eerstgenoemde (de vertegenwoordigde). n Niet natuurlijk persoon Een niet natuurlijk persoon is hetzij een rechtspersoon, hetzij een samenwerkingsverband van natuurlijke personen, niet natuurlijke personen en/of van andere samenwerkingsverbanden. n Vertegenwoordiging Vertegenwoordiging is het proces waarin een welgeïdentificeerde partij een machtiging verleent aan een andere welgeïdentificeerde partij (of de situatie waarin een machtiging verleend is en deze in een transactie benut wordt om een rechtshandeling te verrichten namens de vertegenwoordigde). n Voorziening Een voorziening is een maatregel of middel om in een bepaalde behoefte te voorzien, om iets te regelen, te verhelpen, te beschermen of te beveiligen. In dit onderzoek wordt het woord voorziening in de algemene zin van het woord gebruikt. 1.4 Leeswijzer Dit onderzoeksrapport is als volgt opgebouwd: In hoofdstuk 2 is de analyse opgenomen van de vragende processen en de herkenningsmiddelen. Hoofdstuk 3 bevat de synthese van de processen en middelen. Tevens is een aantal wensen geformuleerd dat in acht genomen wordt bij de mogelijke oplossingsrichtingen. In hoofdstuk 4 en - in meer detail - in appendix A worden de mogelijke oplossingsrichtingen beschreven. Hoofdstuk 5 beschrijft de oplossingsrichting voor het herkenningsvraagstuk van niet natuurlijke personen gerelateerd aan de wensen uit hoofdstuk 3. In hoofdstuk 6 zijn de conclusies en aanbevelingen van het onderzoek beschreven. In appendix C is de transformatiemap opgenomen welke een voorstel bevat voor de realisatie van de voorgestelde oplossingsrichting. In appendix J is een korte en overzichtelijke samenvatting opgenomen in de vorm van antwoorden op een aantal veelgestelde vragen. 16

19 the way we see it 2 Verkenning processen en middelen 2.1 Vragende processen De onderzochte processen bevestigen dat de aanwezigheid van een generiek, werkbaar elektronisch herkenningsmiddel (authenticatiemiddel) noodzakelijk is om verdere ontwikkeling van de e-dienstverlening te realiseren. Een deel van de dienstaanbieders is in afwachting van een generieke oplossing en een ander deel heeft zelf oplossingen gerealiseerd om het elektronische herkenningsvraagstuk voor niet natuurlijke personen op te lossen Ontbreken herkenning van niet natuurlijke personen remt e-dienstverlening Uit de interviews volgt dat in verschillende vragende processen het ontbreken van een voorziening voor herkenning van niet natuurlijke personen een rem is op het verder volwassen worden van e-dienstverlening. Het gaat dan met name om dienstverlening aan bedrijven en instellingen. Het risico dat iemand, die zegt een ander te zijn en vervolgens een e-dienstverleningsproces start, is bij de meeste processen niet doorslaggevend. De risico s van onvoldoende betrouwbare elektronische herkenning worden vooral gezien in de vorm van de mogelijkheid dat onbevoegd gegevens van een ander kunnen worden ingezien. Het risico bijvoorbeeld dat Foot-Right; Helvetica 65 medium 8pt; Page Number; Helvetica 45 light; 8pt 17

20 EloVOG (Elektronische Verklaring Omtrent Gedrag) gegevens van een concurrent in te zien zijn, het risico dat onbevoegden (journalisten, actiegroepen) niet-openbare gegevens van een onderneming of instelling kunnen inzien of het risico dat de bevoegdheden van een ontslagen werknemer om bepaalde gegevens in te zien, niet geblokkeerd kunnen worden. Bij een beperkt aantal processen (4 van de 15) vindt een volledige online afhandeling van de zaak, inclusief besluit en levering (betaling) plaats (stadium 4 van de egovernment indicators for benchmarking eeurope 9 ). In de andere gevallen geven dienstaanbieders aan dat er gestreefd wordt naar stadium 4 van online-ontwikkeling, maar dat het ontbreken van een herkenningsoplossing voor niet natuurlijke personen een belemmering vormt. Het proces kan nog niet geheel elektronisch worden afgerond, omdat het hoge risico dat er mee gemoeid is nog niet ondervangen kan worden door een afdoende herkenningsmiddel van niet natuurlijke personen. Voor het uitvoeren van bepaalde werkzaamheden (bijvoorbeeld lesgeven) is een werkgever verplicht een verklaring omtrent gedrag (VOG) te ontvangen van een nieuwe medewerker. In de VOG wordt bevestigd dat een persoon geen strafbare feiten heeft gepleegd die een belemmering kunnen vormen voor het uitvoeren van de werkzaamheden. Een werkgever kan zelf geen VOG aanvragen voor een toekomstig werknemer. Een verzoek voor een VOG loopt altijd via de persoon voor wie de VOG moet worden afgegeven. Momenteel wordt een VOG op papier aangevraagd via het loket van de gemeente. In de elektronische variant, de elovog, verloopt dit via mijnoverheid.nl. De werkgever doet een aanvraag via mijnoverheid.nl voor een bepaalde persoon. De werkgever moet zich daartoe authenticeren. De werknemer moet de aanvraag accepteren en betalen alvorens de VOG daadwerkelijk wordt aangevraagd. De hierop volgende processtappen worden wat betreft de klantinteractie niet elektronisch afgehandeld. Het risico dat er nu een verklaring omtrent gedrag op straat terecht komt is erg klein. De (beoogde) werknemer moet immers de initiatie van de (toekomstige) werkgever accorderen (en betalen!) voordat er überhaupt een aanvraag in behandeling wordt genomen. Daarna kan hij de VOG bij de gemeente ophalen en vervolgens aan zijn toekomstig werkgever overhandigen. Een volledig online proces zou kunnen inhouden dat de elektronisch verstuurde VOG ook uitleesbaar/opvraagbaar is door de werkgever. Gezien de hoge privacygevoeligheid van de gegevens in deze verklaring dient er hoge mate van zekerheid te zijn over de identiteit en bevoegdheid van de werkgever die aanvraagt een VOG te mogen inzien. Dat is nu nog niet mogelijk. Horecavergunningen De gemeente Amsterdam geeft aan dat het Horeca1 project in eerste instantie tot doel had om het verlengen van de horecavergunning voor ondernemers op een digitale wijze te vereenvoudigen. Dit hield echter in dat de bij de gemeente Amsterdam bekende gegevens van de oude horecavergunningen aan de ondernemer getoond kunnen worden. De getoonde informatie zou ook bedrijfsgevoelige gegevens bevatten, waaronder de boekhouding van drie jaar terug die een horecaondernemer in het kader van de wet Bibob bij de aanvraag van een horecavergunning moet kunnen tonen. Om het Horeca1 project in deze vorm te laten slagen heeft de gemeente Amsterdam een gedegen herkenningsmiddel nodig op minimaal betrouwbaarheidsniveau Midden. Aangezien de gemeente zelf geen herkenningsmiddel wenst te ontwikkelen, is het doel van het Horeca1 project gewijzigd. De huidige versie van Horeca1 ondersteunt ondernemers bij de eerste aanvraag van een horecavergunning. 9 egovindicators.pdf 18