Waar gaat de Wet digitale overheid over?


Onze maatschappij digitaliseert steeds verder. Zeker sinds corona regelen we nog meer zaken online dan we al deden. Vorig jaar is het wetsvoorstel voor de Wet digitale overheid (Wdo) aangenomen door de Tweede Kamer. Het is de bedoeling dat deze nieuwe wet gaat zorgen voor betere bescherming rond digitalisering, maar ook voor betere toegankelijkheid. Maar waar gaat deze wet nu precies over? Wanneer gaat de wet (pas) van kracht en wat betekent dit voor jouw gemeentelijke organisatie?

Wat is het? 

Digitale ontwikkelingen vragen om nieuwe standaarden en regelgeving om de veiligheid en privacy van jouw gegevens te waarborgen. Het wetsvoorstel Wet digitale overheid (Wdo) is daarom gericht op het verbeteren van de digitale toegang (van marktpartijen zoals banken, telefoonbedrijven en ICT-leveranciers), tot dienstverlening voor burgers en bedrijven. De wet kent een lange aanlooptijd en heette oorspronkelijk ‘Wet generieke digitale infrastructuur (GDI)’. Het eerste deel (ook wel tranche genoemd) van het wetsvoorstel gaat over veilig inloggen op online dienstverlening bij de (semi)overheid. Er worden o.a. veiligheidsstandaarden voor elektronisch verkeer verplicht gesteld. Ook geeft het voorstel regels over informatieveiligheid en over de toegang van burgers en bedrijven tot overheidswebsites. In de basis gaat het dus om online toegang:

  1. Wie ben je? (identificatie),
  2. hoe bewijs je dat? (authenticatie) en
  3. wat mag je? (autorisatie).

Meer weten over authenticatie en autorisatie? Lees dan ook onze eerdere blogs over toegangsbeveiliging (authenticatie) en autorisatie.

Het wetsvoorstel sluit aan op het regeerakkoord ‘Vertrouwen in de toekomst’ van het kabinet-Rutte III, waarin is vastgelegd dat aanpassingen aan de digitale samenleving van de overheid niet alleen noodzakelijk is, maar dat het ook mogelijkheden biedt voor een betere dienstverlening.

Deze blog is ook in audiovisuele vorm te bekijken.
Ga naar de audio versie van deze blog

Waarom?

Tot op heden bepalen organisaties hoe jij je als burger identificeert. De overheid, een webwinkel, verzekeraar of je bank: allemaal hebben ze een eigen manier van inloggen. Met als resultaat dat je als burger vele usernames, wachtwoorden, et cetera moet gebruiken én onthouden. Dit is lastig en risicovol voor zowel de burger als organisaties. De wens is dat je als burger bepaalt hoe jij jezelf identificeert. Het wetsvoorstel Wdo eist dat dienstverleners die in het BSN-domein werken, hun digitale diensten voor burgers ontsluiten met DigiD én een private inlogmiddel, zodat de burger kiest waarmee hij wil inloggen. De toe te laten publieke en private inlogmiddelen moeten voldoen aan de Europese eisen aan inlogmiddelen (eIDAS-verordening), zodat de wet aansluit bij Europese ontwikkelingen in digitale overheidsdienstverlening en inloggen bij de overheid.

Veilig en betrouwbaar inloggen

Daarmee moet de nieuwe regelgeving ervoor zorgen dat Nederlandse burgers en bedrijven veilig en betrouwbaar kunnen inloggen bij gemeenten en overheid. Met veilig en betrouwbaar inloggen wordt bedoeld dat burgers elektronische identificatiemiddelen (eID) krijgen met een hogere mate van betrouwbaarheid dan het huidige DigiD. Deze identificatiemiddelen geven publieke dienstverleners meer zekerheid over iemands identiteit. Het wetsvoorstel is een zogeheten ‘kaderwet’. Dit betekent dat de wet algemene principes, verantwoordelijkheden en procedures regelt, maar geen gedetailleerde regels beschrijft. De wet zorgt zo voor flexibiliteit bij nieuwe ontwikkelingen. Maar ook dat belangrijke randvoorwaarden en zekerheden voor burgers, zoals gebruikersvriendelijkheid, betrouwbaarheid (je moet zeker weten dan je de juiste persoon voor je hebt), veiligheid, privacy en digitale inclusie (niet iedereen is even digivaardig), altijd geborgd zijn. Het is de bedoeling dat de Wdo het straks mogelijk maakt voor burgers om via publieke én private inlogmiddelen digitaal zaken te doen met bijvoorbeeld gemeenten en zorginstanties. Alleen middelen die door de overheid op veiligheid en betrouwbaarheid zijn gecontroleerd worden toegelaten. Die zijn dan in het publieke domein toegestaan. Het inloggen bij diensten van commerciële/private partijen zoals webwinkels wordt niet in deze wet geregeld. Wel kunnen burgers met de gecontroleerde private middelen ook daar inloggen. Zo heeft het wetsvoorstel toch een breder effect en voordeel voor veilig en betrouwbaar inloggen. Kortom, win-win.

Wat betekent dit voor jouw gemeente?

In het wetsvoorstel Wdo wordt verplicht gesteld dat het betrouwbaarheidsniveau van identificatiemiddelen, zoals DigiD en eHerkenning ‘substantieel’ of ‘hoog’ moeten zijn. ‘Laag’ en ‘middel’ zijn dus niet meer voldoende. Dit betekent dat het voor gemeenten verplicht wordt om veiligere inlogmethodes te gebruiken dan alleen een inlognaam en wachtwoord. Na inwerkingtreding moet je als gemeente:

  • je digitale diensten indelen naar betrouwbaarheidsniveau;
  • een acceptatieplicht hebben voor toegelaten inlogmiddelen;
  • je informatiebeveiliging op orde hebben;
  • meebetalen voor het gebruik van inlogmiddelen door burgers.

Daarnaast bevat het wetsvoorstel van de Wdo ook grondslagen voor de verwerking van persoonsgegevens. Het gaat om de gegevens die voor overheden en private partijen noodzakelijk zijn voor de uitvoering en het verlenen van veilige toegang tot de elektronische dienstverlening. Ook worden nog regels opgesteld voor de verstrekking van persoonsgegevens en de bewaartermijnen en komen er eisen aan verwerking, beveiliging en betrouwbaarheid van persoonsgegevens.

Wanneer van kracht? 

De kaderwet Wdo is op 18 februari 2020 aangenomen door de Tweede Kamer. Bij behandeling in de Eerste Kamer heeft de staatssecretaris naar aanleiding van Kamervragen besloten de wet te wijzigen. Door deze wetswijziging wordt de vroegst mogelijke datum van inwerkingtreding van de wet juli 2022. De daadwerkelijke datum van de inwerkingtreding is afhankelijk van wanneer de Kamer het wetsvoorstel met de wijziging bespreekt. Vervolgens zal de Wdo gefaseerd in werking treden. De wet geldt pas als jouw organisatie er technisch én organisatorisch klaar voor is om aan te sluiten. 

Impactanalyse VNG

Uit een eerste impactanalyse van de VNG blijkt echter dat de Wdo onder de huidige omstandigheden niet goed uitvoerbaar is voor gemeenten. Het onderzoek richtte zich op enkele onderdelen van de Wdo die inmiddels zijn uitgewerkt, te weten: informatiebeveiliging, acceptatieplicht en betrouwbaarheidsniveaus van inlogmiddelen voor publieke dienstverlening. Wat blijkt? Er zijn nog te veel onduidelijkheden waardoor het voor gemeenten moeilijk is om zich voor te bereiden op de wet. Daarnaast dienen inwoners en organisaties goed te worden meegenomen in het proces. In het rapport worden aanbevelingen gegeven om ervoor te zorgen dat gemeenten de wet wel succesvol kunnen implementeren. Het hele rapport kun je hier lezen.

Meer informatie?
Heb je na het lezen van deze blog vragen of hulp nodig binnen jouw gemeente op dit vlak? Laat ons dit dan even weten en neem contact met ons op.  

Erna Havinga
Laatste berichten van Erna Havinga (alles zien)

Lees ons boek

Gemeenten. Bewustzijn. Privacy.

Het handboek voor informatiebewustzijn bij de lokale overheid.

Bijeenkomsten

Alleen voor CISO’s van de (lokale) overheid!

Bekijk wanneer de volgende bijeenkomst is.

Alleen voor Privacy Officers van de (lokale) overheid!

Bekijk wanneer de volgende bijeenkomst is.

Meer blogs lezen

Waar gaat de Wet digitale overheid over?

Vorig jaar is het wetsvoorstel voor de Wet digitale overheid (Wdo) aangenomen door de Tweede Kamer. Maar waar gaat deze wet nu precies over? Wanneer gaat de wet (pas) van kracht en wat betekent dit voor jouw gemeentelijke organisatie?

Beleid voor informatiebeveiliging in bredere context

Een informatiebeveiligingsbeleid zou niet uit de lucht moeten komen vallen, maar een logisch gevolg van andere beleid en relevante, actuele ontwikkelingen. Juist die zetten we voor je op rij in deze blog. Handig, toch?

Digitale weerbaarheid verhogen – de basis op orde

De digitalisering gaat snel. Naast voordelen, brengt dit ook nieuwe kwetsbaarheden en dreigingen met zich mee. De BIO benoemd een aantal processen die je als randvoorwaardelijk zou kunnen bestempelen om je digitale weerbaarheid te verhogen. Welke …

Wat kunnen we leren van gemeente Amersfoort?

Eind mei is het eindrapport van de Rekenkamer Amersfoort naar de bescherming van persoonsgegevens verschenen. Hoe beschermt de gemeente de gegevens van haar inwoners? Hoe doen derden dat? En wat kunnen andere gemeenten leren van Amersfoort?

Privacy: prioriteit of moetje?

Deze week bestond de AVG-privacywet drie jaar. De afgelopen jaren hebben gemeenten hard gewerkt om deze privacywet te implementeren. De grootste frustratie van CISO’s, Privacy Officers en FG’s hierbij, is om de aandacht van bestuurders voor dit on…

Met de BIO bezig blijven: hoe lang?

De implementatie van de Baseline Informatiebeveiliging Overheid (BIO) is geen eenvoudige opgave. Waarom wil het niet zo vlotten? Dat staat centraal in deze blog.