> Retouradres Postbus 20011 2511 EA Den Haag

Ministerie van Binnenlandse Zaken en
Koninkrijksrelaties
t.a.v. de staatssecretaris, de heer drs. R.W. Knops
Postbus 20011
2500 EA Den Haag

Bureau ICT-toetsing
Ministerie van Binnenlandse
Zaken en Koninkrijksrelaties
Rijnstraat 50
Den Haag
Postbus 20011
2511 AE Den Haag
www.bureauicttoetsing.nl
Contactpersoon
BIT@rijksoverheid.nl

Datum:

21 juni 2019

Betreft:

Definitief BIT-advies programma Machtigen

Kenmerk
2019-0000336620
Uw kenmerk
2018-0000596846

Geachte heer Knops,
U heeft het Bureau ICT-toetsing (BIT) verzocht een toets uit te voeren op het
programma Machtigen. De opdrachtgever is, sinds juli 2018, de programmadirecteur Informatie (I) van het directoraat-generaal Overheidsorganisatie
(DGOO) van uw ministerie. Hieronder vindt u een korte beschrijving van het
programma. Daarna geven we de conclusie van de toets, en onze analyse en
adviezen. We concentreren ons hierbij op de belangrijkste risico’s van het
programma.
Het programma Machtigen heeft als doel om verbetering en samenhang aan te
brengen in de verschillende manieren van machtigen voor digitale publieke
dienstverlening voor burgers en bedrijven. Het bestaande systeem DigiD
Machtigen wordt hierbij als basis gebruikt. Ook wil Machtigen de toegankelijkheid
en gebruiksvriendelijkheid van deze machtigingsvoorziening verbeteren.
De noodzaak voor burgers en bedrijven om eenvoudig digitaal te kunnen
machtigen wordt groter. Dienstverleners zullen steeds vaker om hogere
authenticatieniveaus vragen, als gevolg van strengere beveiligingseisen voor de
uitwisseling van privacygevoelige informatie 1. Voor toegang is dan zogenaamde
twee-factor-authenticatie 2 nodig. De huidige, ongewenste maar veel
voorkomende, praktijk waarin mensen hun DigiD-inloggegevens delen, wordt dan
een stuk lastiger. Ook is er politieke urgentie omdat in het regeerakkoord
oplossingen zijn toegezegd.
Het programma werkt vooralsnog aan functionaliteit voor twee vormen van
machtigen:
•
Vrijwillig machtigen, waarbij een persoon of organisatie een ander aanwijst die
namens hem of haar bevoegd is om overheidsdiensten af te handelen. Dit kan
op dit moment met DigiD Machtigen en een aantal dienstverleners heeft er
ook zelf voorzieningen voor.

1
Bijvoorbeeld uitwisseling van zorggegevens, tussen zorgaanbieders en met patiënten, en uitwisseling
van gegevens over ziekte of arbeidsongeschiktheid, tussen werkgevers, werknemers en UWV.
2
Twee-factor-authenticatie combineert iets dat de gebruiker weet en iets dat de gebruiker heeft.

Pagina 1 van 7

•

Wettelijke vertegenwoordiging, waarbij de wetgever of rechter bepaalt dat een
persoon niet handelingsbekwaam of -bevoegd is, bijvoorbeeld vanwege
minderjarigheid (ouderlijk gezag) of in geval van curatele of bewindvoering.

Het programma Machtigen is halverwege 2017 gestart. Het programma werkt met
plateaus, waarbij alleen de beoogde resultaten van het eerste plateau op
hoofdlijnen zijn uitgewerkt. In dit plateau wordt gewerkt aan functionaliteit voor
wettelijke vertegenwoordiging bij ouderlijk gezag, curatele en bewindvoering,
naast het verbeteren van de gebruiksvriendelijkheid en renovatie van het
bestaande systeem DigiD Machtigen. De oplevering van dit eerste plateau is voor
eind 2019 gepland. In latere plateaus wil het programma andere vormen van
machtigen toevoegen, zoals nabestaandemachtiging of zaakmachtiging, en
sectorale en mogelijk private registers koppelen.

Datum
21 juni 2019
Kenmerk
2019-0000336620

De machtigingsvoorziening maakt onderdeel uit van de zogenaamde Generieke
Digitale Infrastructuur (GDI). De GDI bestaat veelal uit een aantal op zichzelf
staande voorzieningen zoals identificatie- en authenticatievoorzieningen (DigiD en
eHerkenning) en de Berichtenbox.
Logius, de dienst van Binnenlandse Zaken en Koninkrijksrelaties (BZK) die digitale
voorzieningen en standaarden biedt voor overheidsorganisaties zoals DigiD en
MijnOverheid, is opdrachtnemer van het programma Machtigen. Naast de
programmadirecteur I van DGOO, is er een Programmeringsraad Logius benoemd,
die zogenaamd ‘materieel’ opdrachtgever is.
De totale kosten voor het programma zijn begroot op € 16,8 miljoen. Voor de
realisatie van plateau 1 is € 6,8 miljoen begroot. Na oplevering van plateau 1
wordt besloten of en hoe het programma wordt voortgezet.
De toets is uitgevoerd tussen september 2018 en januari 2019. In onze toets
hebben we ons primair gericht op plateau 1. De conclusie van onze toets luidt als
volgt:
Er is een urgente maatschappelijke behoefte aan een goedwerkende
machtigingsoplossing. Het programma Machtigen vult deze behoefte met de
huidige aanpak niet in. Belangrijkste redenen hiervoor zijn het ontbreken van een
goed doordachte machtigingsoplossing voor wettelijke vertegenwoordiging, en het
achterblijven van de aansluiting van dienstverleners, mede door achterblijvende
ondersteuning en de wijze van doorbelasten van de kosten.
Wij adviseren u de aanpak voor de realisatie van complexe machtigingsvormen,
zoals wettelijk vertegenwoordigen, te wijzigen. Het ontwikkelen van een
ketenoplossing hiervoor vergt namelijk een gedegen ontwerp vooraf. Daarnaast
adviseren wij om concrete afspraken te maken over het aansluiten van
dienstverleners en hier meer ondersteuning bij te bieden. Zorg eveneens voor een
transparante opbouw van de kosten en acceptabele doorbelasting naar
dienstverleners.
Wij zien daarnaast dat Machtigen last heeft van het gebrek aan sturing op de
samenhang van de voorzieningen in de GDI. Wij denken dat maatschappelijk
betekenisvolle verbeteringen hierdoor voorlopig beperkt haalbaar zijn. Wij
adviseren dan ook om te zorgen voor meer samenhang tussen de voorzieningen in
het GDI-landschap en betere samenwerking tussen de partijen op alle niveaus.
We lichten onze conclusie hieronder toe.

Pagina 2 van 7

PROGRAMMA MACHTIGEN VULT URGENTE MAATSCHAPPELIJKE BEHOEFTE
VOORALSNOG NIET IN
Het programma Machtigen hanteert een ‘werkendeweg’-aanpak, door stapsgewijs
een aantal verbeteringen in plateaus door te voeren. Deze aanpak werkt voor het
verbeteren van de gebruiksvriendelijkheid en renovatie van de huidige DigiD
Machtigenvoorziening, maar voor een ingewikkeld vraagstuk als wettelijk
vertegenwoordigen past deze aanpak niet. Daarnaast blijft ondersteuning bij het
aansluiten van dienstverleners achter waardoor burgers maar beperkt kunnen
profiteren van nieuwe functionaliteit.

Datum
21 juni 2019
Kenmerk
2019-0000336620

A. Machtigingsoplossing voor wettelijk vertegenwoordigen nog te weinig
doordacht
Het ontwikkelen van een algemene oplossing voor mogelijke machtigingssituaties
in het kader van wettelijke vertegenwoordiging is zo ingewikkeld dat van tevoren
helder moet zijn hoe deze eruit ziet. Er ontbreekt echter een concreet ontwerp van
de ketenoplossing die rekening houdt met juridische, technische en
organisatorische eisen. Ondertussen is de realisatie door Logius gestart en loopt
het programma tegen tal van problemen aan die een goed werkende
ketenoplossing in de weg staan.
Voor curatele en bewindvoering zien wij de volgende problemen:
•
Het programma is afhankelijk van aanpassingen aan het Centraal Curatele- en
Bewindregister (CCBR), koppelingen en achterliggende informatiesystemen
van de Raad voor de Rechtspraak (RvdR). De RvdR is hiermee nog niet gestart
en heeft er bovendien vooralsnog geen budget voor. Een bruikbare koppeling
met de systemen van de RvdR is voor het einde van plateau 1 (eind 2019)
waarschijnlijk niet haalbaar.
•
Slechts een beperkt deel van de curatoren en bewindvoerders kan gebruik
maken van de beoogde oplossing. Lang niet alle bewinden en
ondercuratelestellingen zijn in het CCBR opgenomen. Bovendien zijn niet altijd
alle benodigde gegevens in dit register en de achterliggende
informatiesystemen vastgelegd. Zo kan het BSN van cliënt of bewindvoerder
of het KvK-nummer van de curator ontbreken, terwijl deze wel nodig zijn om
te kunnen machtigen. Het is niet duidelijk hoe het programma omgaat met het
machtigen van curatoren en bewindvoerders die niet of slechts deels in het
CCBR zijn opgenomen.
•
Curatoren en bewindvoerders worden door de nieuwe machtigingsoplossing
slechts ten dele ontlast. De toegang tot digitale diensten wordt hun cliënten
niet automatisch ontzegd, hoewel dit vaak wel moet gebeuren. Ook worden
bestaande vrijwillige machtigingen niet automatisch ingetrokken. Hiervoor
moeten curatoren en bewindvoerders dan alsnog contact opnemen met de
afzonderlijke dienstverleners.
Voor ouderlijk gezag zien wij de volgende problemen:
•
Om ouderlijk gezag vast te stellen moet rekening worden gehouden met
wettelijke uitzonderingssituaties. Het programma wil nu de Basisregistratie
Personen (BRP) als bron gebruiken, terwijl dit niet de juridisch ‘authentieke’
bron is voor ouderlijk gezag. Bovendien zijn hieruit enkel ouderlijkgezagsrelaties voor ‘eenvoudige’ situaties af te leiden en zijn de gegevens niet
altijd actueel. Wanneer bijvoorbeeld een ouder door een rechter uit de
ouderlijke macht is gezet, wordt dit na drie maanden geregistreerd in het
Centraal Gezagsregister (CGR) en later daarna door de gemeente
overgenomen in de BRP. In de tussenliggende periode kan deze ouder
mogelijk ten onrechte automatisch toegang krijgen tot bijvoorbeeld het
patiëntendossier van een kind.

Pagina 3 van 7

•

Het is onzeker of Machtigen de specifieke wettelijke vertegenwoordigingsregels eenduidig kan vertalen naar bevoegdheden per dienst. Deze regels
kunnen verschillen per domein, zoals zorg, burgerzaken en belastingen. Op
basis van informatie in de BRP zou de machtigingsvoorziening
geautomatiseerd moeten afleiden welke situatie per domein van toepassing is
en wie aanvullend moet goedkeuren. Het toepassen van dit soort
geautomatiseerde bedrijfsregels is veelal complex. Omdat de ervaring van
Logius hiermee bovendien beperkt is, is dit een risico voor de realisatie.

Datum
21 juni 2019
Kenmerk
2019-0000336620

B. Het aansluiten van dienstverleners blijft achter
Burgers en bedrijven zijn pas geholpen als dienstverleners aansluiten op de
machtigingsvoorziening. Op dit moment maakt enkel de Belastingdienst
grootschalig gebruik van DigiD Machtigen. Logius en BZK hebben in het verleden
te weinig actie op het aansluiten van dienstverleners ondernomen en bij
dienstverleners ontbrak de urgentie. Het programma heeft hier meer aandacht
voor, maar toch vinden we de focus op het aansluiten van dienstverleners nog te
weinig aanwezig:
•
Er zijn geen concrete afspraken wanneer de volgende dienstverleners gaan
aansluiten. Het programma gaat ervan uit dat dienstverleners ‘vanzelf’
aansluiten als ze verleid worden met meer functionaliteit, zoals de
ondersteuning van wettelijke vertegenwoordiging. Uit onze gesprekken blijkt
echter dat dienstverleners veelal nog geen concrete plannen hebben om op
korte termijn aan te sluiten, mede omdat dit vaak een grote impact heeft op
hun bestaande systemen.
•
Het programma neemt onvoldoende initiatief om dienstverleners bij het
aansluiten te ondersteunen. Het is voor dienstverleners niet evident welke
stappen zij moeten nemen. Sectoren als de zorg en gemeenten zullen
ondersteuning nodig hebben bij processtandaardisatie en bij het bepalen
welke (verzamelingen van) diensten ‘machtigbaar’ zijn.
De aansluiting van dienstverleners blijft ook achter door de negatieve prikkel die
uitgaat van het doorbelasten van de beheer- en exploitatiekosten aan de
dienstverleners. Deze kosten zijn de afgelopen jaren fors gestegen en blijven de
komende jaren doorstijgen: in 2016 waren de kosten nog € 8,8 miljoen, in 2018 €
11 miljoen en voor 2023 is de raming € 18,3 miljoen. De reden voor deze stijging
is een afspraak tussen Logius en BZK uit 2017, dat de kosten voor de
machtigingsvoorziening ieder jaar standaard met 10% stijgen. Wij hebben hier
geen inhoudelijke onderbouwing voor aangetroffen. In 2018 werd €0,70
doorberekend aan de betrokken dienstverlener voor ieder gebruik (inzage,
registreren, wijzigen van machtigen). Deze kosten gaan fors stijgen zonder dat
dienstverleners er invloed op hebben.
PROGRAMMA MACHTIGEN LIJDT ONDER GEBREK AAN STURING OP
SAMENHANG GDI
De functionaliteit die het programma Machtigen moet opleveren, maakt deel uit
van de GDI. Wij denken dat Machtigen – zelfs al zou het programma tot een goed
ontwerp komen - voorlopig beperkt maatschappelijk betekenisvolle verbeteringen
voor burgers, bedrijven en dienstverleners kan realiseren. Het programma heeft
daarvoor te veel last van het voortdurende gedoe rondom de besturing van de
GDI en het daardoor veroorzaakte gebrek aan samenhang tussen de verschillende
onderdelen van de GDI.
Juist voor de machtigingsoplossing is een goede integratie met andere GDIvoorzieningen, zoals DigiD, eHerkenning en de Berichtenbox, zeer wenselijk:

Pagina 4 van 7

•

•

Voor burgers werkt machtigen pas optimaal als zij gebruik kunnen maken van
één portaal, en als digitale notificatie en post ook bij machtiging bruikbaar
zijn. Hoewel het duidelijk is dat MijnOverheid en de Berichtenbox voor de
gebruikers de meest geëigende oplossingen zijn, is het nog onduidelijk hoe
Machtigen daar gebruik van gaat maken.
Voor de meeste dienstverleners wordt het aansluiten op de
machtigingsoplossing makkelijker als ze maar op één centraal koppelvlak – de
routeringsvoorziening die door het programma eID wordt gerealiseerd –
hoeven aan te sluiten, voor zowel machtigen als DigiD en eHerkenning. Dit
centrale koppelvlak is reeds beschikbaar; ten tijde van onze toets is echter
besloten dat eHerkenning er voorlopig niet op gaat aansluiten.

Datum
21 juni 2019
Kenmerk
2019-0000336620

Vanuit het programma Machtigen kan de overkoepelende sturing over
verschillende GDI-voorzieningen niet plaatsvinden; dit moet op een hoger niveau
gebeuren. Maar juist daar wordt al bijna tien jaar gediscussieerd over de beste
inrichting. En ondanks eerdere evaluaties en maatregelen in de afgelopen jaren –
zoals de instelling van een Overheidsbreed Beleidsoverleg Digitale Overheid,
Programmeringsraad Logius, Interdepartementale Commissie Middelen en
Programmadirectie I bij BZK – lijken partijen er onderling nog steeds niet uit te
komen wie nu waarover gaat. Tijdens onze toets ontbraken heldere afspraken
tussen partijen over de verantwoordelijkheden. Het voortdurende gedoe over de
besturing kost veel tijd en gaat ten koste van de inhoudelijke aandacht voor het
doorvoeren van verbeteringen waar burgers en dienstverleners daadwerkelijk iets
aan hebben.
We zien deze situatie voor het programma Machtigen niet op korte termijn
verbeteren. Logius onderkent het probleem en wil er op technisch niveau iets aan
doen door de ontwikkelteams van de verschillende GDI-voorzieningen meer te
laten samenwerken. Wij vinden dit een goed uitgangspunt. Maar doordat deze
nieuwe werkwijze recent is geïntroduceerd, zijn de effecten ervan pas eind 2019
zichtbaar. Ook BZK wil op functioneel en beleidsniveau meer doen om te sturen op
de samenhang van de GDI. Dit heeft nog niet geleid tot concrete verbeteringen,
maar wel tot strubbelingen tussen BZK, Logius en de Programmeringsraad Logius.
ADVIES: PAK STEVIG DOOR BIJ HET INVULLEN VAN URGENTE
MAATSCHAPPELIJKE BEHOEFTE
Gezien de urgente maatschappelijke behoefte adviseren wij om stevig door te
pakken op vier gebieden.
1. Zorg voor een gedegen ontwerp voor wettelijke vertegenwoordiging
Wij adviseren om voor wettelijke vertegenwoordiging de functionaliteit pas te
realiseren nadat een gedegen ontwerp van de ketenoplossing is opgesteld. Dit is
juist voor deze machtigingsvorm van belang, omdat de complexiteit ervan veelal
niet IT-gerelateerd is. Zo wordt voorkomen dat Logius functionaliteit gaat bouwen
voordat de meerwaarde en haalbaarheid van de oplossing klip-en-klaar zijn
vastgesteld. Maak vanuit de beleidsrol van BZK een functionaris verantwoordelijk
voor het opstellen van het ontwerp:
•
Laat een gedegen impactanalyse uitvoeren op de juridische, organisatorische
en technische aspecten van de mogelijke oplossingen voor wettelijk
vertegenwoordigen.
•
Laat Logius samen met dienstverleners een proof-of-concept uitvoeren om de
oplossingsrichting op meerwaarde en haalbaarheid te beproeven. Zorg dat ook
de ondersteunende processen worden beproefd en betrek er ‘echte’
eindgebruikers bij.

Pagina 5 van 7

•

Werk de beproefde oplossingsrichting samen met Logius uit in een ontwerp
voor de functionaliteit. Werk hierbij ook de ondersteunende processen en
bijbehorende werkinstructies uit.

2. Maak meer werk van aansluiting dienstverleners

Datum
21 juni 2019
Kenmerk
2019-0000336620

Zorg dat het programma meer aandacht krijgt voor het aansluiten van
dienstverleners zodat burgers op grotere schaal kunnen profiteren van de
mogelijkheden van de bestaande machtigingsoplossing:
•
Laat BZK concrete afspraken maken met dienstverleners over het moment
waarop ze aansluiten. Begin met de dienstaanbieders in de sectoren die veel
met privacygevoelige gegevens werken en die dus de meeste behoefte aan
een machtigingsoplossing hebben (zoals de sectoren zorg en sociale
zekerheid).
•
Laat Logius een aanpak uitwerken om de implementatie bij dienstverleners te
faciliteren.
3. Zorg voor transparante opbouw van de kosten en acceptabele
doorbelasting
Zorg dat doorbelasting van kosten geen drempel is voor dienstverleners om aan te
sluiten op Machtigen:
•
Laat Logius de beheer- en exploitatiekosten vaststellen op basis van een
gedegen bedrijfsmatige analyse in plaats van de huidige standaardstijging van
10% aan te houden. Als het namelijk voor dienstverleners inzichtelijk is dat de
kosten reëel zijn, zal de acceptatie hoger zijn.
•
Geef de Programmeringsraad Logius, waarin de betalende dienstverleners
vertegenwoordigd zijn, de mogelijkheid om afspraken te maken over de
kostenontwikkeling.
•
Zorg dat BZK – als eigenaar van Logius – de hoogte van de doorbelaste
kosten beperkt als er slechts een gering aantal dienstverleners is aangesloten.
Zo wordt voorkomen dat de eerste aangesloten partijen een disproportioneel
deel van de kosten dragen.
4. Breng samenhang aan in het GDI-landschap
Het op orde krijgen van de samenhang tussen de voorzieningen in het GDIlandschap is een taai vraagstuk, gezien alle pogingen in de afgelopen jaren. Wij
denken dat er wel degelijk verbeteringen mogelijk zijn wanneer alle betrokkenen
erin slagen om samen te werken in het belang van burgers en bedrijven. Laat
BZK, Programmeringsraad Logius en Logius daartoe onderstaande uitgangspunten
concreet uitwerken:
•
Zorg voor functionele samenhang vanuit het perspectief van de gebruiker.
Breng hiertoe voor de verschillende clusters van voorzieningen – zoals alle
diensten die met toegang te maken hebben – zowel de knelpunten in het
huidige landschap als de gewenste doelarchitectuur in kaart.
•
Zorg voor technische samenhang door Logius te steunen in het initiatief om
infrastructuur en generieke componenten waar mogelijk beschikbaar te maken
voor het gehele GDI-domein.
•
Zorg voor een samenhangende aanpak in de doorontwikkeling en het beheer
van de voorzieningen. Logius heeft hiermee met de introductie van het Scaled
Agile Framework (SAFe) 3 een veelbelovend begin gemaakt. Voor BZK en de

3
Het Scaled Agile Framework (SAFe) is een set van principes, werkwijzen en vaardigheden die de laatste
jaren door steeds meer organisaties wordt gebruikt om op grote schaal software te ontwikkelen.

Pagina 6 van 7

•

•

Programmeringsraad is het zaak om binnen deze aanpak hun rol te nemen.
Hierbij adviseren we om de vraag wie waarover gaat het komende jaar niet
centraal te zetten, maar om vanuit de kaders van SAFe te zoeken naar de
juiste vorm van samenwerking.
Zorg voor planmatige samenhang door een doorontwikkelplan op te stellen
voor clusters van voorzieningen. In plaats van kleine aanpassingen in een
losse GDI-voorziening, zoals Machtigen, wordt het dan voor BZK mogelijk om
aan Logius opdrachten te geven voor verbeteringen over verschillende GDIvoorzieningen heen. Zo kan bijvoorbeeld een aanpassing aan de Berichtenbox
voor Machtigen beter worden gecoördineerd.
Zorg voor meer samenhang door de financiering van Logius naar een hoger
niveau te verleggen: niet meer per voorziening en per project, maar voor een
samenhangend cluster en meerjarig. Hierdoor ontstaat continuïteit in de
doorontwikkeling van het geheel en krijgt Logius de ruimte om meer
toegevoegde waarde te leveren en te investeren in de noodzakelijke
vaardigheden. Bovendien kan de Programmeringsraad dan – binnen de
beschikbare middelen – prioriteiten stellen en flexibel bijsturen.

Datum
21 juni 2019
Kenmerk
2019-0000336620

Wij beseffen dat onze aanbevelingen verder gaan dan alleen het programma
Machtigen. Wij hebben tijdens deze toets geen andere GDI-voorzieningen
onderzocht en treden dus bewust buiten de scope van onze toets. Toch willen wij
deze uitgangspunten meegeven, omdat ze juist voor het programma Machtigen
van belang zijn.

***
Tot slot danken wij alle geïnterviewden voor hun medewerking en openheid bij
deze toets. We hopen u met dit advies aanknopingspunten te hebben gegeven
voor het vervolg.
Met de meeste hoogachting,
namens het Bureau ICT-toetsing,

Sander van Amerongen
wnd. hoofd BIT

Pagina 7 van 7