De Wet digitale overheid regelt dat Nederlandse burgers en bedrijven veilig en betrouwbaar kunnen inloggen bij de (semi-)overheid. Daarmee wordt bedoeld dat burgers elektronische identificatiemiddelen (eID) krijgen met een substantiële of hoge mate van betrouwbaarheid.
Deze identificatiemiddelen geven publieke dienstverleners meer zekerheid over iemands identiteit. De wet stelt daarnaast open standaarden verplicht. Hiermee implementeert Nederland de Europese richtlijn over toegankelijkheid van overheidswebsites en apps.
De eerste tranche (deel) van Wdo gaat over veilig inloggen op dienstverlening bij (semi-) overheidsinstanties, en toepassing van standaarden zoals informatieveiligheidsstandaarden.
Kaderwet
De wet is een zogeheten kaderwet; de wet regelt algemene principes, verantwoordelijkheden en procedures, maar geen gedetailleerde regels. De wet zorgt zo voor flexibiliteit bij nieuwe ontwikkelingen. Maar ook dat belangrijke waarden en zekerheden voor burgers, zoals gebruikersvriendelijkheid, betrouwbaarheid, veiligheid, privacy en digitale inclusie altijd geborgd zijn.
Deze wet:
- legt de taken en verantwoordelijkheden vast voor veilige toegang tot de digitale overheid
- legt verplichtingen op aan mede-overheden om veilig en betrouwbaar aan te sluiten, en hun dienstverlening in te delen op een betrouwbaarheidsniveau
- stelt regels over de bekostiging daarvoor
- biedt zekerheden voor burgers en bedrijven
- biedt uitgangspunten voor informatiebeveiliging en de verwerking van persoonsgegevens.
Voor (semi-) overheidsinstanties
De wet gaat over veilig inloggen op dienstverlening bij (semi-) overheidsinstanties. In de Wdo staat welke van deze instanties te maken krijgen met de nieuwe regels voor de toegang tot hun elektronische dienstverlening.
Dit zijn:
- bestuursorganen in de zin van de Awb, zoals gemeenten en uitvoeringsinstanties (UWV, SVB, Belastingdienst, DUO, RDW, etc.);
- aangewezen organisaties als de zorgsector, onderwijsinstellingen en pensioenfondsen
- de rechterlijke macht.
Uitwerking kaderwet
De uitwerking van de Wdo als kaderwet vindt plaats in de lagere regelgeving. Zoals in algemene maatregelen van bestuur (AMvB’s) en ministeriële regelingen. Zo is er ruimte voor innovatie, verdere keuzes en nieuwe voorzieningen en functionaliteiten.
Dit voorstel maakt het mogelijk om straks via publieke én private inlogmiddelen digitaal zaken te doen met bijvoorbeeld gemeenten en zorginstanties. Alleen middelen die door de overheid op veiligheid en betrouwbaarheid zijn gecontroleerd worden toegelaten. Die zijn dan in het publieke domein toegestaan. Hoewel inloggen bij diensten van commerciële/private partijen zoals webwinkels niet in deze wet wordt geregeld, kunnen burgers met de gecontroleerde private middelen ook daar inloggen. Zo heeft de wet toch een breder effect en voordeel voor veilig inloggen.
Verplichtingen standaarden voor veiligheid
Verder gaan de verplichtingen rondom standaarden voor veiligheid per 1 juli in. Zo wordt de HTTPS-standaard wettelijk verplicht voor alle publiek toegankelijke overheidswebsites en webapplicaties. Deze standaard – ook bekend als ‘het slotje’ in de adresbalk van de url – zorgt ervoor dat de verbinding tussen de browser van de bezoeker en de website van de overheidsorganisatie goed beveiligd is. Dit voorkomt dat criminelen privégegevens van de bezoeker kunnen afluisteren of opgevraagde informatie kunnen manipuleren.
In aanvulling op HTTPS moeten overheidsorganisaties ook de HSTS-standaard gebruiken. Dat zorgt ervoor dat browsers na een eerste websitebezoek direct via HTTPS met de website verbinden. Daarnaast moet de HTTPS-configuratie voldoen aan de TLS-richtlijnen en Webapplicatie-richtlijnen van het Nationaal Cyber Security Centrum (NCSC). Bekijk ook de Veelgestelde vragen verplichting HTTPS en HSTS voor overheidswebsites.
Digitale toegankelijkheid
Het Tijdelijk Besluit Digitale Toegankelijkheid Overheid is omgezet naar de Wet digitale overheid. Zo is de Wdo vanaf 1 juli de wettelijke grondslag voor het Besluit geworden. Met de inwerkingtreding van de Wdo verandert er niets aan de wettelijke verplichting, vervalt het woordje ‘Tijdelijk’ en blijft het Besluit Digitale Toegankelijkheid Overheid van kracht.
Resultaat
Na inwerkingtreding:
- moeten de genoemde (semi)overheidsinstanties hun digitale diensten indelen naar betrouwbaarheidsniveau;
- hebben zij een acceptatieplicht voor toegelaten inlogmiddelen;
- moeten zij hun informatiebeveiliging op orde hebben;
- moeten zij meebetalen voor het gebruik van inlogmiddelen door burgers.
De wet sluit aan bij Europese ontwikkelingen in digitale overheidsdienstverlening en inloggen bij de overheid. De toe te laten publieke en private inlogmiddelen moeten voldoen aan de Europese eisen aan inlogmiddelen (eIDAS-verordening).
Gefaseerd
De Wdo treedt gefaseerd in werking. Hij gaat pas gelden als een instantie technisch en organisatorisch klaar is om aan te sluiten. De departementen, de publieke dienstverleners én Logius stellen samen een aansluitschema op. Dit schema gaat een planning bevatten met data waarop de specifieke onderdelen van de wet voor welke instantie van kracht worden. Op die momenten moeten dienstverleners klaar zijn met de voorbereidingen voor dat deel van de wet en de onderliggende uitvoeringsregelgeving. Zie ook overgangsrecht Wet digitale overheid.
De verantwoordelijkheid voor het beheer van de Generieke Digitale Infrastructuur (GDI) in het algemeen en de eID-voorzieningen in het bijzonder is belegd bij de minister van Binnenlandse Zaken en Koninkrijksrelaties.
Lees verder over toelating en aansluiting van publiek-private middelen en diensten.