De eIDAS-verordening: wederzijdse erkenningsplicht van inlogmiddelen

Direct vrijblijvend advies? Bel of mail 

+31 (0)70-3819281

info@wisemen.nl

Vanaf eind september 2018 moeten publieke organisaties EU-burgers en -bedrijven kunnen identificeren aan de hand van nationale inlogmiddelen die door de EU zijn erkend. Het moet hiermee makkelijker en veiliger worden om binnen Europa online zaken te regelen.

Deze erkenningsplicht betekent in de praktijk dat diensten zoals DigiD in veel gevallen grensoverschrijdend gebruikt moeten kunnen worden. Om als instantie te kunnen voldoen aan de erkenningsplicht, is een aansluiting nodig op een eHerkenning | Idensys-makelaar.

eIDAS-verordening

De erkenningsplicht van identificatiemiddelen is opgenomen in de Europese eIDAS-verordening (Electronic Identities And Trust Services), aangenomen in 2014.‌ Het gedeelte van de eIDAS-verordening dat betrekking heeft op de erkenningsplicht, is van toepassing vanaf 29 september 2018.

Openbare instanties

De erkenningsplicht geldt alleen voor ‌‌‌“openbare instanties”. Volgens de eIDAS-verordening zijn dat:

‌‌“een staat, regionale of lokale overheden, publiekrechtelijke instellingen en samenwerkingsverbanden bestaand uit één of meer van deze overheidsinstanties of een of meer van deze publiekrechtelijke instellingen, of een private entiteit die door ten minste een van deze autoriteiten, publiekrechtelijke instellingen of verenigingen is gemachtigd tot het verlenen van openbare diensten, wanneer zij in die hoedanigheid optreden.”

Aldus zijn er twee categorieën van openbare instanties.

1. Aanbestedende dienst

De eerste categorie komt gelet op de definitie grotendeels overeen met de definitie van ‘aanbestedende dienst” in Richtlijn 2014/24 (een van de Europese aanbestedingsrichtlijnen). Te verwachten is dan ook dat de eerste categorie grotendeels zal samenvallen met instanties die aangemerkt worden als aanbestedende dienst.

2. Private entiteiten met een bepaalde publieke functie.

De tweede categorie breidt de erkenningsplicht uit tot private entiteiten met een bepaalde publieke functie. De reikwijdte hiervan is nog niet geheel duidelijk. Het ministerie van Economische Zaken heeft in de memo ‌“Reikwijdte eIDAS verordening‌” toegelicht dat gedacht moet worden aan organisaties die door de overheid gemachtigd zijn tot het verrichten van openbare diensten. Voorbeelden hiervan zijn

1. universiteiten,
2. zorgverzekeraars en
3. pensioenfondsen.

De erkenningsplicht

Wanneer sprake is van een openbare instantie, geldt de erkenningsplicht nog niet automatisch. Artikel 6 van de eIDAS-verordening luidt immers:

‌“Wanneer een elektronische identificatie met gebruikmaking van een elektronisch identificatiemiddel en authenticatie vereist is op grond van nationaal recht of door gangbare bestuursrechtelijke praktijk om toegang te krijgen tot een onlinedienst aangeboden door een openbare instantie in een lidstaat, moet het elektronisch identificatiemiddel dat uitgegeven is in een andere lidstaat worden erkend in de eerste lidstaat ten behoeve van de grensoverschrijdende onlineauthenticatie van die dienst, mits aan de volgende voorwaarden is voldaan:

1. het elektronisch identificatiemiddel is uitgegeven op grond van een stelsel voor elektronische identificatie dat is opgenomen in de lijst die de Commissie uit hoofde van artikel 9 heeft bekendgemaakt;
   
   
2. het betrouwbaarheidsniveau van het elektronisch identificatiemiddel is gelijk aan of hoger dan het betrouwbaarheidsniveau dat de bevoegde openbare instantie als voorwaarde stelt voor onlinetoegang tot die dienst in de eerste lidstaat, mits het betrouwbaarheidsniveau van dat elektronisch identificatiemiddel in overeenstemming is met het betrouwbaarheidsniveau substantieel of hoog;
   
   
3. de openbare instantie in kwestie gebruikt het betrouwbaarheidsniveau substantieel of hoog voor de toegang tot die onlinedienst.‌”

De erkenningsplicht geldt dus pas wanneer een openbare instantie online diensten verricht waarvoor identificatie of authenticatie vereist is. Of dat vereiste er is, kan volgen uit het nationale recht of blijken uit een gangbare bestuursrechtelijke praktijk. Verder geldt de erkenningsplicht alleen als de openbare instantie het betrouwbaarheidsniveau substantieel of hoog gebruikt. De eIDAS-verordening stelt overigens zelf geen eisen aan het betrouwbaarheidsniveau dat openbare instanties moeten hanteren.

Implementatie in Nederland

Iedere EU-lidstaat moet een nationaal eIDAS-koppelpunt realiseren.

eIDAS-koppelpunt

Via dit koppelpunt kunnen de nationale identificatiemiddelen ook over de grens worden gebruikt. De Nederlandse overheid heeft ervoor gekozen het nationale eIDAS-koppelpunt onder te brengen binnen het Afsprakenstelsel Elektronische Toegangsdiensten. Openbare instanties die onder de erkenningsplicht vallen, moeten zich wenden tot een erkende eHerkenning | Idensys-makelaar om te kunnen aansluiten op dit koppelpunt.

Privacy Impact Assessment

Gelet op de verwerking van persoonsgegevens die gepaard zal gaan met de eIDAS-infrastructuur, heeft de overheid een Privacy Impact Assessment laten uitvoeren. Hierin is ook informatie te vinden over de gekozen infrastructuur.

Uitvoeringswet

Nederland heeft verder, ter uitvoering van de eIDAS-verordening, een uitvoeringswet aangenomen waarbij verschillende wetten zijn gewijzigd.

Verder is een online handreiking opgesteld met informatie over de eIDAS-verordening. Deze is hier te vinden.

Handhaving eIDAS-verordening

Wat zijn nu de gevolgen als een openbare instantie niet voldoet aan de erkenningsplicht?

Wet Naleving Europese regelgeving publieke entiteiten

In de Memorie van Toelichting bij de hierboven bedoelde uitvoeringswet, staat dat op de erkenningsplicht de Wet Naleving Europese regelgeving publieke entiteiten van toepassing is. Hierin staat dat als een publieke entiteit niet voldoet aan een voor haar ‘geldende rechtsplicht die voortvloeit uit een bij of krachtens de Europese verdragen op Nederland rustende verplichting”,  de bevoegde minister die publieke entiteit een aanwijzing kan geven om, binnen een in die aanwijzing te vermelden termijn, alsnog aan die rechtsplicht te voldoen. Als deze termijn verstrijkt zonder dat de aanwijzing is opgevolgd, kan diezelfde minister er, namens en op kosten van de publieke entiteit in voorzien dat alsnog wordt voldaan aan de rechtsplicht.

Term ‘publieke entiteit’ 

Opvallend hierbij is dat de term ‘publieke entiteit’ in deze wet niet volledig lijkt samen te vallen met het begrip ‘openbare instantie’ in de eIDAS-verordening.

Zo is onduidelijk of de private entiteiten zoals hierboven bedoeld, er ook onder vallen. Private entiteiten zoals bedoeld in de eIDAS-verordening worden immers niet als zodanig genoemd in de definitie van ‘publieke entiteit’ in de Wet Naleving Europese regelgeving publieke entiteiten. Mogelijk zullen die private entiteiten (deels) vallen onder de categorie ‘bestuursorganen’, een groep die wél is genoemd onder de definitie van publieke entiteit. Maar duidelijk lijkt dit vooralsnog niet.

Op deze pagina (op de voormelde online handreiking) staat overigens dat openbare instanties die niet tijdig voldoen schadeplichtig kunnen zijn. Een mogelijke consequentie daarvan is namelijk dat Europese burgers en bedrijven die geen toegang kunnen krijgen, een juridische procedure instellen tegen de openbare instantie. De openbare instelling is zelf verantwoordelijk voor de implementatie.

Advies

Wilt u gebruikmaken van onze parate kennis en ons met enige regelmaat bellen? Neem een abonnement op de Virtuele Juridische Afdeling. Mail direct even dan ontvangt u vrijblijvend de voorwaarden.

Meer weten? Bel of mail gerust:

T. +31(0)70-3819281
E. info@wisemen.nl

Voor de laatste ontwikkelingen schrijft u zich nu in voor de

WiseMen Nieuwsflits!