Preview document (🔗 origineel)

---

Tweede Kamer der Staten-Generaal	2
Vergaderjaar 2019-2020

25 764 Reisdocumenten

Nr. 127 BRIEF VAN DE STAATSSECRETARIS VAN BINNENLANDSE ZAKEN EN KONINKRIJKSRELATIES

Aan de Voorzitter van de Tweede Kamer der Staten-Generaal

Den Haag, 13 juli 2020

Het Bureau ICT Toetsing (BIT) heeft op 23 juni 2020 het advies opgeleverd over het programma Verbeteren Reisdocumentenstelsel (VRS) bij de RvIG. Ik dank het BIT voor het uitgebrachte advies, dat ik als waardevol beschouw. Met deze brief bied ik u het BIT-advies en mijn reactie op dit advies aan¹.

Het BIT begrijpt de noodzaak om het reisdocumentenstelsel te verbeteren en constateert dat er draagvlak is bij de betrokken partijen voor het oplossen van belangrijke knelpunten. Het BIT is echter kritisch ten opzichte van het risicoprofiel van het programma.

Het BIT beschrijft drie omstandigheden die de tijdigheid van het programma bedreigen waardoor VRS belangrijke knelpunten later oplost dan nodig is. Het gaat om een opeenstapeling van risicovolle keuzes op het terrein van beleid, ICT en wetgeving. Daarnaast leidt volgens het onderzoek de gehanteerde aanpak tot onvoldoende resultaten. Ten slotte ontbreekt er een gedegen uitwerking ten aanzien van beveiliging en privacy.

Het BIT adviseert, in het kort, de scope van het programma aan te passen in de zin dat alleen de noodzakelijke activiteiten voor realisatie en ontsluiting van een centraal register van alle uitgegeven reisdocumenten wordt uitgevoerd. De focus komt dan te liggen op het sneller opleveren van resultaten en het uitwerken van de kaders voor beveiliging en privacy. Door deze ingrepen kan VRS gerichter en met minder risico’s een groot deel van de knelpunten oplossen. Het BIT vraagt mij tevens te overwegen de resterende activiteiten onder te brengen in een apart project en over de voorzetting daarvan een besluit te nemen als er duidelijkheid is over de beleidsmatige keuzes die tot wetgeving over biometrie moeten leiden, en over de te maken keuzes ten aanzien van leveranciers en technologie.

Mijn reactie

Bij brief van 26 juni 2019² heb ik u geïnformeerd over het programma VRS. Hierin heb ik aangegeven dat de ICT-architectuur achter het stelsel van aanvraag en uitgifte van paspoorten en id-kaarten gedateerd is en dat door de uitgevende instanties uit verschillende (centrale en decentrale) registers, die niet altijd bijgewerkt zijn, informatie verzameld moet worden. Dit is een tijdrovend en fout- en fraudegevoelig proces. Ik heb toen aangegeven een kwaliteitsslag te willen maken naar een situatie waarin de processen, procedures en registers worden gecentraliseerd en gedigitaliseerd naar de standaarden van deze tijd. Hierdoor wordt de aanvraag en uitgifte van paspoorten en id-kaarten gemakkelijker en kan fraude beter worden voorkomen.

Het BIT ziet dat VRS hiertoe een groot aantal ingrijpende veranderingen moet doorvoeren in het systeemlandschap van het reisdocumentenstelsel. Bij de noodzaak van voorziene veranderingen en de afzonderlijke stappen die daarin moeten worden genomen zet het BIT geen vraagtekens. Ik zie het BIT-advies daarom als een aanmoediging om door te gaan met VRS en dit programma tot een goed einde te brengen. Tegelijkertijd neem ik de adviezen van het BIT ter harte om het risicoprofiel te verlagen. Hieronder ga ik kort in op de oorspronkelijke opzet van VRS. Daarna geef ik aan welke veranderingen ik ga aanbrengen naar aanleiding van het BIT-advies (aan de hand van de afzonderlijke delen van het advies 1, 2 en 3).

Oorspronkelijke opzet VRS

De verbeteringen die het programma VRS realiseert, bouwen voort op het nieuwe basisregister dat wordt gecreëerd met de recent tot stand gekomen wijziging van de Paspoortwet in verband met de invoering van de elektronische identificatie (eNIK) Stb. 2020, 104). In dit nieuwe basisregister worden de gegevens opgenomen welke nodig zijn voor nieuwe aanvragen en gegevens over vermiste, gestolen en van rechtswege vervallen documenten. Dit wordt een centraal register.

Daarnaast, en dit is de kern van het programma VRS, is het de bedoeling dat:

1. niet alleen gegevens over nieuwe aanvragen worden geregistreerd maar alle aanvraaggegevens uit de decentrale Reisdocumenten Aanvraag en Archiefstations (RAAS-en) worden overgezet naar het centrale basisregister in een overheidsdatacentrum. Dus ook alle historische gegevens uit de RAAS-en worden overgezet naar dit centrale basisregister. Zo ontstaat één compleet centraal register, digitaal benaderbaar, waarin alle gegevens over uitgegeven documenten zijn opgeslagen.

2. de biometrische gegevens uit de RAAS-en apart centraal worden opgeslagen in een overheidsdatacentrum. Uitgevende instanties moeten nu nog bellen of e-mailen om deze gegevens van een andere instantie te ontvangen. Dit doen zij om de identiteit van een aanvrager te kunnen controleren op het moment dat er binnen de eigen reisdocumenten-administratie geen historie van deze persoon beschikbaar is (bijvoorbeeld nadat iemand is verhuisd). Het opvragen zal na deze wijziging via dit overheidsdatacentrum verlopen. Deze gegevens blijven onder decentrale verantwoordelijkheid en binnen de huidige wettelijke kaders ten aanzien van de verantwoordelijkheid. In deze voorziening worden verder geen persoonsgegevens opgeslagen. Hierdoor is de biometrie binnen de voorziening niet direct tot een persoon te herleiden.

Na de twee bovenstaande verplaatsingen van gegevens zijn de (ca. 500) decentrale RAAS-en niet meer nodig en worden die uitgefaseerd. Er zijn twee overzichtelijke, centrale systemen gecreëerd die goedkoper en makkelijker te onderhouden zijn.

Veranderingen naar aanleiding van het BIT-advies

Zoals boven aangegeven adviseert het BIT de scope van VRS te beperken, te zorgen dat de aanpak leidt tot snel implementeerbare resultaten, te zorgen voor een gedegen uitwerking van beveiliging en privacy en te overwegen de resterende activiteiten onder te brengen in een apart project en over de voorzetting daarvan pas te besluiten als er duidelijkheid is over de beleidsmatige keuzes die tot wetgeving over biometrie moeten leiden en de te maken keuzes ten aanzien van leveranciers en technologie.

Gezien dit advies verander ik het programma VRS op de volgende punten:

Ten aanzien van advies 1: «Beperk de scope van VRS»

Het programma wordt in twee fases gedeeld.

• Er wordt gewerkt aan de technische realisatie van het biometrieregister en de functionaliteit waarmee de RAAS-en uitgefaseerd kunnen worden, als er voldoende zekerheid is over de invoering van het wetsvoorstel biometrie. Afhankelijk van te maken keuzes en de haalbaarheid van technische implementatie kan een (Rijks)wetsvoorstel in de loop van 2022 bij uw Kamer worden ingediend.

• Door deze fasering wordt er niet gewerkt aan de technische realisatie van het biometrieregister en de functionaliteit waarmee de RAAS-en uitgefaseerd kunnen worden, zolang er onvoldoende zekerheid is over de invoering van het wetsvoorstel biometrie.

• In fase 1 wordt het centrale basisregister gerealiseerd inclusief de daarmee mogelijke verbeteringen in het aanvraag- en uitgifteproces. Het oorspronkelijke streven om signaleringen in het register paspoortsignaleringen (RPS) direct raadpleegbaar te maken in het aanvraagproces van paspoorten en identiteitskaarten blijft onderdeel van fase 1. Dit is in lijn met het BIT advies en brengt grote voordelen voor de uitgevende instanties met zich mee. Ik ga nog na of de verbetering van het proces voor signaleringenbeheer en StopID³, zonder hinder voor de voortgang, kan plaatsvinden in fase 1.

• In fase 2 zal de centrale opslag van biometrie worden gerealiseerd. Zowel het denken over de beleidsmatige impact van centrale opslag van biometrie als het ontwerp van de wetgeving daarvoor gaan onverminderd door. Het is echter geen afhankelijkheid meer voor het realiseren van de resultaten van fase 1.

• Er komt een duidelijk gemarkeerd beslismoment waarop wordt afgewogen of en wanneer fase 2 wordt gestart.

Ten aanzien van advies 2: «Zorg dat de aanpak leidt tot snel implementeerbare resultaten»

• De gehanteerde aanpak van het programma wordt op de bovenstaande fasering afgestemd. Gedurende elke fase worden stapsgewijs bruikbare producten opgeleverd.

• Tijdens de praktijkproef die nu loopt wordt het realisatiewerk tot eind 2021 ingeschat.

• Inmiddels is een transitiestrategie uitgewerkt.

• Om beter in staat te zijn de implementatie te organiseren heeft het programma inmiddels voorzien in de benoeming van een implementatiemanager.

Ten aanzien van advies 3: «Zorg voor een gedegen uitwerking van beveiliging en privacy»

• Ten aanzien van de beveiliging en privacy worden de adviezen geïmplementeerd. Deze zijn al eerder, als essentiële onderdelen van het programma, erkend.

• Ten tijde van de uitvoering van de interviews voor de BIT-toets waren er op dit gebied nog slechts principes en uitgangspunten, zoals onder meer verwoord in de programma-startarchitectuur, voorhanden. Inmiddels stelt het programma een aantal beveiliging-impactanalyses en privacy-impactanalyses en informatiebeveiligingsplannen op. Bovendien is er een werkgroep privacy en security gevormd, waarin privacy en security integraal vorm krijgen. De Chief Information Security Officer en privacy officer van RvIG participeren in deze werkgroep. Deze werkgroep werkt momenteel aan de kaders voor de realisatiefase van de lopende praktijkproef. Naar verwachting zijn komende november de kaders beschikbaar voor het realisatiewerk dat volgend jaar wordt uitgevoerd.

Ten aanzien van het advies 4: «te overwegen de resterende activiteiten onder te brengen in een apart project en over de voorzetting daarvan pas te besluiten als er duidelijkheid is over de beleidsmatige keuzes die tot wetgeving over biometrie moeten leiden en de te maken keuzes ten aanzien van leveranciers en technologie».

Bij het opstellen van het aangepaste plan van aanpak zullen de resterende activiteiten worden geplaatst in de meest passende fase met inachtneming van het bovenstaande advies.

Samenvattend

Dit geheel overziend kom ik met deze aanpassingen zowel tegemoet aan het advies van het BIT het programma een verlaagd risicoprofiel te geven als aan de wens van de betrokken partijen om de veranderingen die VRS voorstaat zo goed mogelijk tot uitvoering te laten komen. De fasering maakt het beter mogelijk de processen rondom het basisregister te realiseren, het ingewikkelde proces rondom beveiliging/privacy en het (beleidsmatig en juridisch) voorbereiden van de wetgeving nodig voor het biometrieregister zorgvuldig te doorlopen en het gesprek met uw Kamer daarover te voeren.

Vervolg

Ik heb u hierbij op hoofdlijnen geschetst hoe ik tegen dit BIT-advies aankijk en welke aanpassingen ik wil doorvoeren in het programma VRS om sneller resultaat te halen. Deze aanpak wordt door mij nader uitgewerkt in een aangepast plan van aanpak. Ik stuur u dit najaar een informerende brief over de voortgang van het programma VRS. Vanwege de wijzigingen die op aanwijzing van het BIT worden aangebracht voeg ik daarbij een nieuwe planning van het programma en de wetgeving en een herberekening van de kosten.

De Staatssecretaris van Binnenlandse Zaken en Koninkrijksrelaties,
R.W. Knops

---

1. Raadpleegbaar via www.tweedekamer.nl.↩︎

2. Kamerstuk 25 764, nr. 120↩︎

3. Met StopID kan de burger het eigen reisdocument als gestolen of vermist registeren.↩︎