De nieuwe standaard eHerkenning vormt de basis voor zo’n noodzakelijk ‘trust framework’. eHerkenning is gebaseerd op Europese standaarden en is in 2009 ontwikkeld onder auspiciën van het Ministerie van EL&I. De Nederlandse overheid heeft gekozen voor marktwerking en dat betekent dat eHerkenning een open stelsel is waarin iedere private partij mag toetreden die dat wenst en aan de (strenge) eisen voldoet.Na een ontwikkel- en implementatieperiode van 7 maanden is het netwerk in april 2010 live gegaan. De eerste aangesloten overheidsdienstverlener was Agentschap NL voor het online aanvragen van WBSO-subsidies. Inmiddels zijn er meer dan vijftien overheidsorganisaties live met eHerkenning en zijn er ruim 30.000 eHerkenningsmiddelen aan bedrijven uitgegeven.

Kenmerken eHerkenning

EHerkenning heeft de volgende kenmerken:

• keuzevrijheid en verantwoordelijkheid van het bedrijf staan centraal. Een bedrijf kan bij diverse aanbieders terecht;
• de overheidsdienstverleners worden ontzorgd. Deze hoeven geen eigen authenticatievoorzieningen te ontwikkelen, te onderhouden en te exploiteren, maar dit wordt uitbesteed aan de partijen binnen het stelsel. Ook overheidsdienstverleners kunnen kiezen;
• het stelsel kent verschillende betrouwbaarheidsniveaus. Hierdoor kunnen diverse toepassingen worden ondersteund met verschillende eisen aan beveiliging. Een belastingaangifte inzien stelt hogere eisen dan het aanvragen van een folder of het inzenden van een vergunningaanvraag;
• De veiligheid en interoperabiliteit van het stelsel is vastgelegd en geborgd in juridische overeenkomsten. Controle op de naleving van deze afspraken vindt regelmatig en op verschillende niveaus plaats door een onafhankelijke beheersorganisatie die onder overheidstoezicht staat;
• de privacy van de gebruikers en de bescherming van de bedrijfsgegevens die in het stelsel worden uitgewisseld is een uitgangspunt van het afsprakenstelsel;
• eHerkenning is generiek opgezet, zodanig dat het door (vrijwel) alle overheidsorganisaties en B2B-internetapplicaties benut kan worden;
• standaardisatie en hergebruik van authenticatiemiddelen.

Het stelsel eHerkenning is continu in ontwikkeling op basis van de ervaringen bij overheidsdienstverleners en bedrijven. Nieuwe functionaliteiten die in 2012 worden toegevoegd zijn onder meer ondertekenen, attributen (is iemand bijv. een advocaat, notaris of accountant) en machine-naar-machinekoppelingen (dataverkeer tussen verschillende computersystemen zonder menselijke tussenkomst). Deze laatste functionaliteit is van groot belang voor intermediairs.

SBR en machtigingen

Vanaf 1 januari 2013 kan bij uitwisseling van IB- en Vpb-berichten door middel van machine-machineverkeer alleen nog de SBR-standaard worden gebruikt via Digipoort.

Essentieel onderdeel van de oplossing is dat de onderlinge machtigingen die meegegeven dienen te worden bij het opvragen van EKA- (Elektronische Kopie Aanslagen) en VIA- (Vooraf Ingevulde Aangifte) berichten voldoende zekerheid bieden aan de Belastingdienst. De te ontvangen informatie kan alleen door een intermediair worden opgehaald als het bedrijf of de particulier, wiens EKA of VIA het betreft, de intermediair aantoonbaar heeft gemachtigd om deze informatie op te halen.

Deze situatie komt vooral voor wanneer een bedrijf gebruikmaakt van een zakelijke dienstverlener om namens hem transacties met de overheid te verrichten. De Belastingdienst zal dan willen vaststellen of die zakelijke dienstverlener inderdaad bevoegd is om namens dat bedrijf te handelen. Om dit vast te kunnen stellen, zullen registraties van deze bevoegdheden in een Machtigingsregister opgenomen moeten worden. eHerkenning voorziet hierin.

De oplossing van eHerkenning maakt het mogelijk dat de bedrijfsprocessen van zowel de Belastingdienst als intermediairs niet of nauwelijks aanpassingen vergen. Technisch is de voorgestelde oplossing niet complex voor gebruikers: de complexiteit zit ‘onder de motorkap’. De verwachting is dat al vanaf medio 2012 eHerkenning kan worden gebruikt bij machtigingen inzake SBR-stromen naar en van Digipoort, er van uitgaande dat dan inmiddels ook Digipoort en DigiDMachtigen zijn aangepast aan de nieuwe mogelijkheden.

Tijdelijke oplossing: publiek machtigingenregister B2

Omdat eHerkenning nog een jong stelsel is en de Belastingdienst er meer ervaring mee wil opdoen, is de Belastingdienst momenteel bezig een tijdelijke voorziening te realiseren: plan B2. Dit betreft een specifiek publiek beheerd machtigingenregister dat is ingericht door de Belastingdienst. Deze tijdelijke voorziening moet een bijdrage leveren aan een beheerste ontwikkeling in de richting van de eHerkenning-eindsituatie. In 2014 dient 80% van de inlogvoorzieningen (voor overheidswebsites) zijn overgegaan op eHerkenning. Dit is een goede zaak (zie kader).

Wellicht zijn er accountantskantoren die moeite hebben met het uit huis plaatsen van concurrentiegevoelige informatie. Ook voor deze kantoren biedt eHerkenning mogelijkheden: zij kunnen toetreden tot het stelsel van eHerkenning en zelf een machtigingenregister beheren. Uiteraard moet het systeem van zo’n kantoor wel voldoen aan de eisen van de toezichthouder.

eHerkenning is voor zowel intermediairs als hun klanten de beste oplossing en bovendien toekomstbestendig. Het is dan ook verstandig dat het tijdelijke plan B2 slechts korte tijd in de lucht zal zijn en dat alle intermediairs snel over kunnen gaan naar eHerkenning: twee voorzieningen die (weliswaar gedurende korte tijd) naast elkaar bestaan leveren onduidelijkheden en inefficiënties op.

Breder trekken

In het burgerdomein heeft de burger (mede op aandringen van de Tweede Kamer) maar met één machtigingenregister te maken, waar die burger al zijn/haar machtigingen terugvindt. Uiteraard moet dit ook voor bedrijven gelden. Met eHerkenning heeft ook een bedrijf in principe met maar één oplossing te maken. Steeds meer overheidsdienstverleners zullen eHerkenning gaan gebruiken, maar in principe is dit bedoeld voor alle ondernemingen in Nederland. Machtigingen moeten niet uit deze context worden gehaald. Door alleen te kijken naar machtigingen voor belastingaangiften (of zelfs alleen voor EKA’s en VIA’s) wordt geen rekening gehouden met de grote voordelen van het gehele stelsel met alle beschikbare functionaliteiten.

Bij het SBR-programma hebben we lang eenzelfde discussie gehad: door slechts naar één verantwoordingsstroom te kijken wordt niet optimaal gebruik gemaakt van de mogelijkheden. De slagzin bij SBR is niet voor niets sinds een jaar ‘vier voor de prijs van één.’ SBR biedt efficiencyvoordelen: één keer inrichten, meerdere soorten rapportages aanleveren.

[Frank Jonker RA, directeur CreAim, leverancier accountantsportalen, PKIoverheid-certificaten en eHerkenning.]