Title: wetten.nl - Regeling - Regeling betrouwbaarheidsniveaus authenticatie elektronische dienstverlening - BWBR0048168

Source: https://wetten.overheid.nl/BWBR0048168/

Content:
{"title": "wetten.nl - Regeling - Regeling betrouwbaarheidsniveaus authenticatie elektronische dienstverlening - BWBR0048168", "content": "Regeling van de Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties van\n                                    8 mei 2023, nr 23-0000244782, houdende regels betreffende de bepaling van het vereiste\n                                    betrouwbaarheidsniveau van authenticatie voor de verlening van elektronisch diensten\n                                    en overgangsrecht met betrekking tot betrouwbaarheidsniveaus (Regeling betrouwbaarheidsniveaus\n                                    authenticatie elektronische dienstverlening)\n\nDe Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties;\n\nGelet op artikel 6, tweede, derde en vierde lid, van de Wet digitale overheid;\n\nBesluit:\n\nIn deze regeling wordt verstaan onder:\n\n\u2212 \nbasisregistraties: basisregistraties, genoemd in bijlage 1 bij deze regeling;\n\n\u2212 \nbedrijfsgegevens: gegevens die betrekking hebben op een onderneming of rechtspersoon en de uitvoering\n                                          van het bedrijfsproces;\n\n\u2212 \nbijzondere categorie\u00ebn van persoonsgegevens: persoonsgegevens als bedoeld in de begripsbepaling voor \u2018bijzondere categorie\u00ebn van\n                                          persoonsgegevens\u2019 in artikel 1 van de Uitvoeringswet Algemene verordening gegevensbescherming;\n\n\u2212 \nelektronische dienst: hetgeen daaronder wordt verstaan in artikel 1 van de wet;\n\n\u2212 \nidentificatiemiddel: hetgeen daaronder wordt verstaan in artikel 1 van de wet;\n\n\u2212 \npersoonsgegevens en verwerking van persoonsgegevens: hetgeen daaronder wordt verstaan in artikel 4 van de Algemene verordening gegevensbescherming;\n\n\u2212 \npersoonsgegevens van strafrechtelijke aard: persoonsgegevens als bedoeld in de begripsbepaling voor \u2018persoonsgegevens van strafrechtelijke\n                                          aard\u2019 in artikel 1 van de Uitvoeringswet Algemene verordening gegevensbescherming;\n\n\u2212 \nwet:\nWet digitale overheid.\n\n1 Indien voor een elektronische dienst niet bij wettelijk voorschrift is bepaald dat\n                                          een specifieke wijze van authenticatie voor die dienst vereist is of ten minste vereist\n                                          is, bepaalt een bestuursorgaan of aangewezen organisatie dat niveau overeenkomstig\n                                          het tweede tot en met vijfde lid.\n\n2 Een bestuursorgaan of aangewezen organisatie bepaalt dat voor een elektronische dienst\n                                          authenticatie op betrouwbaarheidsniveau hoog vereist is indien voor een van de aspecten\n                                          van die dienst een van de in bijlage 2 bij deze regeling genoemde criteria in de kolom hoog op die dienst van toepassing\n                                          is.\n\n3 Een bestuursorgaan of aangewezen organisatie bepaalt dat voor een elektronische dienst\n                                          authenticatie op betrouwbaarheidsniveau substantieel vereist is indien voor een van\n                                          de aspecten van die dienst een van de in bijlage 2 bij deze regeling genoemde criteria in de kolom substantieel op die dienst van toepassing\n                                          is en geen van de in de kolom hoog genoemde criteria.\n\n4 Een bestuursorgaan of aangewezen organisatie bepaalt dat voor een elektronische dienst\n                                          authenticatie op betrouwbaarheidsniveau laag vereist is indien voor een van de aspecten\n                                          van die dienst een van de in bijlage 2 bij deze regeling genoemde criteria in de kolom laag op die dienst van toepassing\n                                          is en geen van de in de kolom substantieel of hoog genoemde criteria\n\n5 Een bestuursorgaan of aangewezen organisatie bepaalt dat geen authenticatie is vereist\n                                          indien voor geen van de aspecten van die dienst een van de in bijlage 2 bij deze regeling genoemde criteria op de dienst van toepassing is.\n\n1  Onverminderd de toepasselijkheid van een wettelijk voorschrift dat bepaalt dat een\n                                          specifieke wijze van authenticatie voor die dienst vereist is of ten minste vereist\n                                          is, kan, in afwijking van artikel 2, tweede en derde lid, een bestuursorgaan of aangewezen organisatie voor een elektronische dienst authenticatie\n                                          op \u00e9\u00e9n betrouwbaarheidsniveau lager vaststellen, indien:\n\na. het proces van toegangsverlening voorziet in een adequate aanvullende technische of\n                                                fysieke controle op de authenticiteit van de gebruiker van het identificatiemiddel\n                                                na het moment waarop daarmee voor de eerste keer voor de desbetreffende dienst een\n                                                authenticatie is uitgevoerd;\n\nb.  het bestuursorgaan of de aangewezen organisatie in het proces herstelmaatregelen\n                                                neemt of kan nemen.\n\n2 Toepassing van het eerste lid sluit gelijktijdige toepassing van artikel 6 uit.\n\nIndien naar het oordeel van het bestuursorgaan of de aangewezen organisatie, gelet\n                                    op de aard van de dienst, sprake is van risicoverhogende factoren waaronder identiteitsfraude\n                                    of misbruik van de dienst, wordt een volledige risicoanalyse uitgevoerd teneinde het\n                                    passende betrouwbaarheidsniveau voor die dienst te kunnen bepalen.\n\n1 Afgifte en intrekking van een machtiging wordt elektronisch geregistreerd.\n\n2 Bij afgifte van een machtiging is sprake van een kenbare wilsuiting van de machtiginggever\n                                          om:\n\na. de dienst af te nemen, en\n\nb. dit door de beoogd gemachtigde te laten doen.\n\n3 Afgifte en intrekking van een machtiging kan langs elektronische en niet-elektronische\n                                          weg.\n\n4 De betrouwbaarheid van een machtigingsregistratie is tenminste gelijk aan het betrouwbaarheidsniveau\n                                          dat voor de authenticatie voor de dienst is vereist.\n\n5 Bij de registratie van een machtiging die langs elektronische weg is afgegeven gebruiken\n                                          machtiginggever en gemachtigde een identificatiemiddel op tenminste hetzelfde betrouwbaarheidsniveau\n                                          als voor de dienst is vereist.\n\n6 Bij de registratie van een machtiging, die niet of niet geheel langs elektronische\n                                          weg is afgegeven, bepaalt het bestuursorgaan of de aangewezen organisatie of de betrouwbaarheid\n                                          van de machtiging gewaarborgd is.\n\n7 Het bestuursorgaan of de aangewezen organisatie kan bepalen dat de betrouwbaarheid\n                                          van een machtigingsregistratie lager mag zijn dan het betrouwbaarheidsniveau dat voor\n                                          de authenticatie van de dienst vereist is, mits adequate aanvullende maatregelen in\n                                          het proces van dienstverlening of toegangsverlening worden getroffen.\n\n1  Onverminderd de toepasselijkheid van een wettelijk voorschrift dat bepaalt dat een\n                                          specifieke wijze van authenticatie voor die dienst vereist is of ten minste vereist\n                                          is, kan een bestuursorgaan of aangewezen organisatie, indiende beschikbaarheid of\n                                          het gebruik van identificatiemiddelen op de betrouwbaarheidsniveaus substantieel en\n                                          hoog of de mogelijkheid om deze te gebruiken om toegang te krijgen tot dienstverlening\n                                          onvoldoende is, voor een elektronische dienst, waarvoor op grond van artikel 2 authenticatie op betrouwbaarheidsniveau hoog respectievelijk substantieel benodigd\n                                          is, tot twee jaar na inwerkingtreding van deze regeling voor toegang tot die dienst\n                                          tevens het gebruik van een toegelaten of erkend middel op betrouwbaarheidsniveau substantieel\n                                          respectievelijk een middel op betrouwbaarheidsniveau laag toestaan.\n\n2 Toepassing van het eerste lid sluit gelijktijdige toepassing van artikel 3 uit.\n\nHet bestuursorgaan dat of de aangewezen organisatie die de dienst verleent maakt op\n                                    de eigen website kenbaar welk betrouwbaarheidsniveau van authenticatie op grond van\n                                    de artikelen 2 tot en met 6 ten minste vereist is.\n\nDeze regeling wordt aangehaald als:Regeling betrouwbaarheidsniveaus authenticatie\n                                    elektronische dienstverlening.\n\nDeze regeling treedt in werking met ingang van 1\u00a0juli 2023.\n\nDeze regeling zal met de toelichting in de Staatscourant worden geplaatst.\n\nDe Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties Digitalisering en\n                                          Koninkrijksrelaties,\n\nA.C. van \nHuffelen\n\n(bijlage als bedoeld in artikel 1 van de Regeling betrouwbaarheidsniveaus authenticatie elektronische dienstverlening)\n\n\u2212 de basisregistraties adressen en gebouwen, bedoeld in artikel 2 van de Wet basisregistraties adressen en gebouwen\n\n\u2212 de basisregistratie grootschalige topografie, bedoeld in artikel 2, eerste lid, van de Wet basisregistratie grootschalige topografie\n\n\u2212 de basisregistratie inkomen, bedoeld in artikel 21a, eerste lid, van de Algemene wet inzake rijksbelastingen\n\n\u2212 de basisregistratie kadaster, bedoeld in artikel 48, eerste lid, van de Kadasterwet\n\n\u2212 de basisregistratie ondergrond, bedoeld in artikel 2, eerste lid, van de Wet basisregistratie ondergrond\n\n\u2212 de basisregistratie personen, bedoeld in artikel 1.2 van de Wet basisregistratie personen\n\n\u2212 de basisregistratie topografie, bedoeld in artikel 98a van de Kadasterwet\n\n\u2212 de basisregistratie WOZ, bedoeld in artikel 37a, eerste lid, van de Wet waardering onroerende zaken\n\n\u2212 het handelsregister, bedoeld in artikel 2 van de Handelsregisterwet 2007\n\n\u2212 het kentekenregister, bedoeld in artikel 42, eerste lid, van de Wegenverkeerswet 1994.\n\n(bijlage als bedoeld in artikel 2, tweede tot en met vierde lid, Regeling betrouwbaarheidsniveaus authenticatie\n                                    elektronische dienstverlening)\n\nAspecten van de dienst\n\nCriteria betrouwbaarheidsniveaus\n\nNiveau laag\n\nNiveau substantieel\n\nNiveau hoog\n\nPersoonsgegevens (behoudens het BSN): aard gegevens en aard en omvang van de verwerking\n\n\u2022 Geen bijzondere categorie\u00ebn van persoonsgegevens\n\n\u2022 Geen persoonsgegevens van strafrechtelijke aard, geen gegevens uit antecedentenonderzoek\n                                                en geen politiegegevens\n\n\u2022 Kleinschalige verwerking\n\n\u2022 Bijzondere categorie\u00ebn van persoonsgegevens\n\n\u2022 Persoonsgegevens van strafrechtelijke aard, gegevens uit antecedentenonderzoek en\n                                                politiegegevens\n\n\u2022 Gevoelige persoonsgegevens niet zijnde bijzondere categorie\u00ebn van persoonsgegevens,\n                                                persoonsgegevens van strafrechtelijke aard, gegevens uit antecedentenonderzoek of\n                                                politiegegevens\n\n\u2022 Grootschalige verwerking\n\n\u2022 Persoonsgegevens die: *\u00a0stigmatiserend kunnen werken\n\n* reputatieschade kunnen opleveren\n\n* tot uitsluiting kunnen leiden\n\n* schade kunnen opleveren aan de gezondheid, of *\u00a0chanteerbaarheid kunnen opleveren\n\n\u2022 Gegevens die onder het medisch beroepsgeheim vallen\n\nRisico\u2019s indien de gegevens in verkeerde handen vallen\n\nAard van de gegevens van ondernemingen en rechtspersonen\n\nGeen of nauwelijks risico op identiteitsfraude en/of misbruik van de betreffende dienst\n\nAlgemeen bekende gegevens van ondernemingen en rechtspersonen\n\nRe\u00ebel risico op identiteitsfraude en/of misbruik van de betreffende dienst\n\nGevoelige gegevens van ondernemingen en rechtspersonen\n\nGroot risico op identiteitsfraude en/of misbruik van de betreffende dienst\n\nGeen criteria\n\nAard van de verwerking van het BSN\n\n\u2022 BSN van degene aan wie de dienst wordt verleend, van zijn gemachtigde, of van een\n                                                derde wordt door dienstverlener niet verstrekt\n\n\u2022 BSN van degene aan wie de dienst wordt verleend, van zijn gemachtigde of van een\n                                                derde wordt door de dienstverlener tijdens het proces van dienstverlening verstrekt\n\n\u2022 NB: wanneer dienstverlener reeds opgegeven BSN terugkoppelt: minimaal niveau laag\n                                                met 2-factor authenticatie nodig\n\n\u2022 BSN in combinatie met andere persoonsgegevens\n\nGevolgen voor de gegevens in de basisregistraties\n\n\u2022 Geen criteria\n\n\u2022 Controle op de verwerking van gegevens\n\n\u2022 Geen controle op de verwerking van gegevens\n\nEconomisch belang\n\n\u2022 Niet of nauwelijks ingrijpend voor economische positie burgers/ondernemingen en\n                                                rechtspersonen in de doelgroep, waarbij als richtsnoer geldt:\n\n* De directe schade voor burgers is lager dan \u20ac\u00a01.000,\u2013\n\n* De directe schade voor bedrijven tot 250 werknemers is lager dan \u20ac\u00a0125.000,\u2013\n\n* De directe schade voor grotere bedrijven is lager dan \u20ac\u00a0500.000,\u2013\n\n\u2022 Ingrijpend voor economische positie burgers/ondernemingen en rechtspersonen in de\n                                                doelgroep, waarbij als richtsnoer geldt:\n\n* De directe schade voor burgers is hoger dan \u20ac\u00a01.000,\u2013\n\n* De directe schade voor bedrijven tot 250 werknemers is hoger dan \u20ac\u00a0125.000,\u2013\n\n* De directe schade voor grotere bedrijven is hoger dan \u20ac\u00a0500.000,\u2013\n\n\u2022 Zodanig ingrijpend voor economische positie burgers/ondernemingen en rechtspersonen\n                                                dat ongewijzigd welstandsniveau of voortbestaan onmogelijk is"}