Kaderstelling voor identificatie en authenticatie van burgers en bedrijven

Elementtype

Generieke functie

ID

Status

Concept

Bron

PC GO - werkgroep IenA1

Identificatie en Authenticatie is een belangrijke voorwaarde voor betrouwbaar digitaal zakendoen.

De overheid zorgt voor kaders en maakt het voor burgers en bedrijven duidelijk hoe de overheid de identificatie en authenticatie voor natuurlijke personen en rechtspersonen in Nederland gaat regelen.
De relatie met identificatie en authenticatie van natuurlijke personen en rechtspersonen buiten Nederland (wereldwijd) moet in dit kader ook geadresseerd.
De verandering die wordt ingezet, zorgt voor: een verschuiving van de aandacht van de overheid voor middelen naar aandacht voor kaders die het ontwikkelen van middelen faciliteren, meer keuze voor burgers en bedrijven voor de middelen die ze kunnen gebruiken en meer duidelijkheid voor private partijen (leveranciers) voor het aanbieden van middelen die passen binnen de gestelde kaders.
Het kader schept bij voorkeur ook duidelijkheid over het wel of niet gescheiden houden van het persoonsdomein en het bedrijvendomein (hetgeen nu een ongunstige invloed heeft op het inloggen van een persoon bij de huidige voorzieningen voor identificatie en authenticatie, zoals DigiD en eHerkenning).

Afspraak
De overheid stelt kaders voor het beschikbaar stellen van en gebruik van digitale identiteiten voor natuurlijke personen en voor rechtspersonen. Als doelgroep gaat het niet alleen om personen met een Nederlandse Nationaliteit, maar ook om alle niet-Nederlanders die te maken hebben met de dienstverlening van de Nederlandse overheid.

NB. Het onderscheid Nederlanders en niet-Nederlanders is nodig om te komen tot een goed werkend stelsel van Federatief Identiteitenbeheer, waarbij elk land betrouwbare Digitale Bron Identiteiten (DBI) uitgeeft aan de eigen burgers en zo min mogelijk landen een DBI uitgeven aan eenzelfde natuurlijke persoon.

Afspraak
De overheid stelt kaders voor het beschikbaar stellen van en gebruik van identificatiemiddelen voor natuurlijke personen en voor rechtspersonen. Hierbij moet het mogelijk zijn dat, naast door de Nederlandse overheid uitgegeven identificatiemiddelen, ook identificatiemiddelen mogen worden gebruikt die door private partijen zijn uitgegeven: zolang al die identificatiemiddelen maar voldoen aan de gestelde kaders. Daarnaast bestaat de wens om de authenticatie van een rechtspersoon altijd te laten verlopen via de authenticatie van een natuurlijk persoon die vanuit die rechtspersoon daartoe bevoegd is. Dit uitgangspunt is momenteel nog nergens expliciet vastgesteld. Het vereist wel een uitwerking vanuit de GF Bevoegdheden en/of GF Machtigen.

Standaarden
Onderdeel van deze kaders is, dat de privacy wordt geborgd bij het gebruik van identificatiemiddelen: derden mogen niet zonder toestemming van betrokkene kennisnemen voor welke diensten een authenticatie wordt uitgevoerd. Een belangrijke implicatie daarbij is dataminimalisatie (ook vereist vanuit de AVG): zo min mogelijk (meta-)gegevens over de identiteiten registreren en bovendien met beperkte bewaartermijnen. Dat geldt dus voor de Basisregistraties, maar ook voor registraties waar gegevens in gekopieerd worden, audit- en loggingsregistraties, fraude-preventie-registraties e.d. En vanuit de AVG is ook een inzage mogelijkheid van burgers vereist: hoe gemakkelijk kunnen burgers dan inzage krijgen in wie deze gegevens inziet? Een papieren aanvraag (conform afspraken met de AP) ligt niet voor de hand bij een digitale werkelijkheid.

Standaarden
De richtlijnen uit de AVG en BIO worden gevolgd bij het verzamelen van metadata (IP-adres, tijdstip authenticatie, afgenomen dienst) tijdens het gebruik van een identificatiemiddel.

Afspraak
Bij het stellen van een kader hoort ook Toezicht houden op de naleving van dat kader. De overheid zorgt voor onafhankelijk toezicht op onder meer het afgesproken gebruik van de digitale bronidentiteit en het handelen van de betrokken partijen in de digitale identiteitinfrastructuur.

Standaarden
Reeds beschikbare algemene kaders zijn: WDO, AVG, BIO en de Wabb.
Aanvullend zijn de ISO norm 24760 en de W3C norm DID voor de inrichting van Identiteitenbeheer en de eIDAS voor (federatief) Identiteitenbeheer.

Gerelateerde generieke functies

• Identificatie en Authenticatie

Visualisatie relaties

debugging

Graphviz DOT-code voor de visualisatie

digraph GRAPHNAAM{
graph [size="17,55",overlap=prism, overlap_scaling=0.21, ratio=compress, rankdir="LR", ranksep=0.01,nodesep=0.21]
node [shape=note];
/* Inkomende relaties. Relatie=Is gerelateerd aan, Label=, Bronpagina=Kaderstelling voor identificatie en authenticatie van burgers en bedrijven */
8715 [URL="[[Kaderstelling voor identificatie en authenticatie van burgers en bedrijven]]", label="Kaderstelling voor identificatie en authenticatie van burgers en bedrijven"]

{ } -> 8715 [label="", arrowhead=lvee, arrowtail=none, dir=both]


8722 [URL="[[Identificatie en authenticatie]]", label="Identificatie en authenticatie"]
8715 [URL="[[Kaderstelling voor identificatie en authenticatie van burgers en bedrijven]]", label="Kaderstelling voor identificatie en authenticatie van burgers en bedrijven"]
8715 -> { 8722} [label="is gerelateerd aan", arrowhead=lvee, ]
/* Inkomende relaties. Relatie=omvat, Label=onderdeel van, Bronpagina=Kaderstelling voor identificatie en authenticatie van burgers en bedrijven */
8715 [URL="[[Kaderstelling voor identificatie en authenticatie van burgers en bedrijven]]", label="Kaderstelling voor identificatie en authenticatie van burgers en bedrijven"]

{ } -> 8715 [label="onderdeel van", arrowhead=none, arrowtail=odiamond, dir=both]





/* Inkomende relaties. Relatie=Realiseert, Label=realiseert, Bronpagina=Kaderstelling voor identificatie en authenticatie van burgers en bedrijven */
8715 [URL="[[Kaderstelling voor identificatie en authenticatie van burgers en bedrijven]]", label="Kaderstelling voor identificatie en authenticatie van burgers en bedrijven"]

{ } -> 8715 [label="realiseert", arrowhead=onormal, style="dotted", arrowtail=none, dir=both]
}

Oude visualisatie

Gerelateerde onderwerpen

Past toe

Wordt toegepast in

Alle belanghebbenden van overheidsdienstverlening in de ruimste zin van het woord.

Het bekend maken van de identiteit van personen, organisaties of IT-voorzieningen.