Nr. 340 VERSLAG VAN EEN ALGEMEEN OVERLEG

De vaste commissie voor Binnenlandse Zaken heeft op 11 november 2014 overleg gevoerd met Minister Plasterk van Binnenlandse Zaken en Koninkrijksrelaties over:

• – de brief van de Minister van Binnenlandse Zaken en Koninkrijksrelaties d.d. 10 juli 2014 over de voortgang van de uitvoering van de ICT-Beveiligingsassessments DigiD (Kamerstuk 26 643, nr. 323);

• – de brief van de Minister van Binnenlandse Zaken en Koninkrijksrelaties d.d. 16 oktober 2014 over aanhoudingen voor fraude met DigiD (Kamerstuk 26 643, nr. 329);

• – de brief van de Minister van Binnenlandse Zaken en Koninkrijksrelaties d.d. 3 november 2014 over een lek in gemeentelijke websites (Kamerstuk 26 643, nr. 331);

• – de brief van de Minister van Binnenlandse Zaken en Koninkrijksrelaties d.d. 7 november 2014 over de Versterkingsagenda DigiD (Kamerstuk 26 643, nr. 332);

• – de brief van de Minister van Binnenlandse Zaken en Koninkrijksrelaties d.d. 7 november 2014 met antwoorden op vragen van de vaste commissie voor Binnenlandse Zaken inzake veiligheid van DigiD (Kamerstuk 26 643, nr. 333).

Van dit overleg brengt de commissie bijgaand geredigeerd woordelijk verslag uit.

Voorzitter: Berndsen-Jansen

Griffier: Hendrickx

De heer Moors (VVD): Voorzitter. De fractie van de VVD vindt dat de incidenten betreffende DigiD zorgwekkend zijn. Met regelmaat lezen wij in de krant of horen wij van de Minister over fraude en misbruik. Fraude en misbruik bij digitale dienstverlening zijn zeer schadelijk. Ze leiden tot financiële schade voor betrokkenen en de overheid en ondermijnen het vertrouwen in de overheid. Er zijn regelmatig beveiligingsincidenten bij gemeenten en andere organisaties met een DigiD-aansluiting. Het beleid is om bij grote risico's zo'n organisatie tijdelijk af te sluiten van DigiD. In hoeverre wordt dit beleid daadwerkelijk uitgevoerd? Er worden weliswaar diverse maatregelen genomen op incidenten, maar dat is de brand blussen in plaats van aan brandpreventie doen. De VVD-fractie zou graag zien dat meer aan preventie werd gedaan. Ik kom daar straks nog op terug.

De Minister schrijft in zijn antwoorden op de vragen van de commissie dat er in het geval van de twaalf gemeenten met een lek in hun website geen reden is gevonden om te vrezen dat DigiD-gegevens in handen van derden zijn gevallen. Is dat met volledige zekerheid uitgesloten? Het is zeer zorgwekkend dat er gedurende veertien maanden een lek is geweest. Hoe kan dit, als er jaarlijks een ICT-beveiligingsassessment wordt gedaan? Waarom is het lek niet gevonden bij dat assessment? Zijn de reikwijdte en de normen van het assessment wel voldoende? Zou het niet beter zijn om voor nieuwe versies van software onmiddellijk een beveiligingsaudit te doen? Kan de Minister dit wellicht verplicht stellen? De Minister geeft in zijn brief aan dat bij beveiligingsaudits is gebleken dat er in 62% van de gevallen bevindingen zijn geconstateerd. Worden deze gevallen na afloop van de verbetertermijn opnieuw geaudit? Kan de Minister de Kamer dan opnieuw informeren over de resultaten?

Ook vraagt de VVD-fractie zich af waarom niet alle gemeenten dezelfde software of zelfs gecentraliseerde systemen gebruiken voor hun digitale dienstverlening. Natuurlijk hebben gemeenten hun eigen autonomie, maar zouden standaardisatie en centralisatie niet leiden tot een verbetering van de veiligheid? Waarschijnlijk is het ook kostenefficiënter. Het geld van de bespaarde kosten zou dan kunnen worden ingezet voor het vergroten van de aandacht voor security en voor frequentere en uitgebreidere beveiligingsassessments. Kan de Minister in overweging nemen om voor dit soort kwetsbare digitale dienstverlening standaardsoftware voor te schrijven, die dan vooraf goed getoetst kan worden op beveiligingsrisico's?

Ik kom op het punt van de gespoofte DigiD-websites en de valse e-mails. De Minister geeft aan dat Logius op de DigiD-website advies geeft over het veilig gebruik van DigiD. Is het niet verstandiger om hierover naast of samen met de campagne Alert Online een bredere voorlichtingscampagne te voeren? Het zou ook al helpen om bij het inloggen met DigiD aan te geven waar gebruikers op moeten letten om zeker te weten dat zij op de DigiD-website zitten. Graag krijg ik hierop een reactie van de Minister.

Als DigiD-gegevens in verkeerde handen vallen, zijn er vele vormen van fraude mogelijk, die zowel de burger als de overheid veel geld kunnen kosten en die het vertrouwen in de overheid ondermijnen. Volgens de VVD-fractie zou de hoogste prioriteit moeten worden gegeven aan het voorkomen hiervan. Zou het niet beter zijn om per direct de sms-code verplicht te stellen, op zijn minst bij het wijzigen van gegevens? Hoe kijkt de Minister hiertegenaan? De Minister heeft ook aangegeven dat in risicogebieden, waar DigiD-brieven uit brievenbussen zijn gevist, de DigiD-activeringscodes worden thuisbezorgd per koerier. Het ligt voor de hand dat het probleem zich daarmee zal verplaatsen naar een ander gebied. Is het niet mogelijk om in alle gevallen activeringscodes voortaan te laten afhalen op het gemeentehuis of aangetekend te verzenden, al dan niet naar keuze van de burger? Zou daarmee niet een groot aantal fraudegevallen kunnen worden voorkomen?

Ik heb een aantal mogelijke preventieve maatregelen genoemd. Er zijn er zeker meer mogelijk. Ik roep de Minister ertoe op om meer in te zetten op preventie opdat de digitale communicatie met de overheid veiliger wordt en het vertrouwen van de samenleving in de digitale dienstverlening van de overheid niet verder geschaad wordt. Graag krijg ik hierop een reactie van de Minister.

De heer Verhoeven (D66): Voorzitter. Gemeenten hebben privacy nog niet in hun systeem zitten, zo schreef de Minister laatst aan de Kamer. Twee weken geleden, bij Opgelicht, bleek het nog veel erger te zijn. Twaalf gemeentelijke sites bleken veertien maanden lang onveilig te zijn geweest, omdat gemeenten de standaardinlogcodes van hun eigen content management system (CMS) niet hadden gewijzigd, waardoor DigiD-gegevens van honderdduizend inwoners gekaapt hadden kunnen worden. In tegenstelling tot wat de Minister schrijft, was DigiD dus wel degelijk onveilig. Het ging daarbij niet om het systeem zelf, maar om een lek via de gemeente. Het maakt eigenlijk niet uit waardoor, maar het was onveilig. Fijn dat de Minister knikt. Opgelicht heeft zojuist openbaar gemaakt om welke twaalf gemeenten het gaat. Waarom heeft de Minister dat niet gedaan? Waarom is er zo lang gewacht, waarom is er zo veel geheimzinnigheid en welk veiligheidsbelang was er gediend met deze geheimhouding? Het lek was immers toch allang dicht? Wanneer wisten de gemeenten zelf hoe het precies zat? Het lijkt er immers op dat zij gedurende lange tijd niet wisten wat er aan de hand was. Zij communiceerden heel diffuus richting hun eigen bewoners. Hoe grondig was het onderzoek dat de Minister beschrijft? Voor een grondig onderzoek waarin wordt nagegaan of het echt allemaal veilig was, zou volgens ons veel meer tijd nodig zijn geweest. Mijn laatste vraag naar aanleiding van de uitzending van Opgelicht is of de Minister zonder twijfel kan bevestigen dat er geen andere organisaties dan de twaalf gemeenten zijn met eenzelfde soort lek.

Het DigiD-systeem wordt door 600 gemeentes en instanties gebruikt en is dus zo sterk als zijn zwakste gebruiker. De fractie van D66 wil een steviger stok achter de deur. Zij wil dus een grotere en actievere controle door het ministerie, een snellere waarschuwing bij onveiligheid en daarna ook het afsluiten van de gemeente of instantie van DigiD. Collega Moors zei het net al: dat is staand beleid, dus het zou al moeten kunnen. Waarom is het dan toch niet gebeurd bij deze twaalf gemeentes, die meer dan een jaar hebben «opengestaan» en waarvoor de assessmentperiode langer heeft geduurd? Wij snappen dat inwoners dan langs de balie moeten en zaken niet meer online kunnen afhandelen. Die afweging maken wij. Wij hebben liever dat er veiligheid is dan dat mensen denken dat zij het via hun DigiD kunnen regelen en later met een rekening komen te zitten waarvan zij de dupe zijn. Gaat de Minister in de praktijk de controle aanscherpen en gaat hij gemeentes ook sneller afsluiten van DigiD?

Naast blunderende gemeenten zijn er ook schrijnende fraudegevallen. Hoe kan het dat er geen belletje gaat rinkelen als een jongen van 15 in korte tijd ineens drie kinderen op zijn naam heeft en allerlei toeslagen aanvraagt? Dat is daadwerkelijk gebeurd. De situaties van mensen bij wie fraude heeft plaatsgevonden worden nu door het Centraal Meld- en Informatiepunt Identiteitsfraude en -fouten (CMI) onderzocht, maar waarom was er een televisie-uitzending nodig om dit in gang te zetten? Veel van die mensen hebben echt het idee dat zij van het kastje naar de muur gestuurd worden. Ook de Rekenkamer heeft geconstateerd dat het corrigeren van onjuiste gegevens bij meerdere overheidsinstanties een vrijwel onmogelijke opgave is. Bij wie ligt nu eigenlijk de bewijslast? Hoe zorgen wij ervoor dat er een veel laagdrempeliger manier komt om dit soort klachten snel en daadkrachtig af te handelen? De Minister schrijft zelf immers, en terecht, dat het heel belangrijk is dat het probleem van die mensen erkend wordt en dat zij niet het gevoel moeten hebben dat zij niet gehoord worden.

Dan kom ik op de veiligheid van DigiD. De Minister zegt dat DigiD aan alle moderne veiligheidseisen voldoet, maar Security.NL stelt dat DigiD nog steeds een voorkeur heeft voor het encryptiealgoritme RC4. Dat algoritme is ondertussen gekraakt. Het Nationaal Cyber Security Centrum waarschuwt hier al sinds maart 2013 voor. In het net verschenen rapport ICT-beveiligingsrichtlijnen voor Transport Layer Security (TLS) van hetzelfde NCSC staat bijvoorbeeld het volgende. Ik geef drie citaten: RC4 dient niet gekozen te worden; RC4 is een onvoldoende veilig algoritme; RC4 is een verouderd algoritme voor bulkversleuteling. Dat rapport staat dus vol passages waarin RC4 als algoritme wordt afgeraden. Een voorbeeld van een andere omgeving, die wel veilig is, is de omgeving die gebruikt wordt voor het internetbankieren. ING.nl gebruikt bijvoorbeeld AES-256, een methode die volgens het NCSC als veel veiliger wordt aangemerkt. Graag krijg ik hierop een reactie van de Minister.

Mevrouw Gesthuizen (SP): Voorzitter. Ik doe het even chronologisch. Eerst ontvingen wij een brief van de Minister waarin stond dat er niet zulke grote acute veiligheidsrisico's waren. Van de 500 organisaties die zijn aangesloten bij DigiD, liep er niet één een acuut veiligheidsrisico; 5% van die organisaties liep een groot, maar niet acuut veiligheidsrisico. In een latere brief rapporteerde de Minister echter veel meer gevallen van fraude. 5.000 DigiD's waren mogelijk onbevoegd gebruikt; de financiële schade bedroeg € 50.000; twee personen waren aangehouden. Uiteindelijk kwam dan, zoals mijn collega's al zeiden, de openbaring via het programma Opgelicht. Daaruit bleek dat ook veel gemeentes de zaak zelf niet handig hebben aangepakt en het gebruik van DigiD zelf niet goed hebben afgeschermd. Als de Minister hierop reflecteert, wat is dan zijn reactie? In de uitzending van Opgelicht meldde Fox-IT bovendien dat er slechts bij een heel beperkt aantal van de kwetsbare gemeenten onderzoek heeft plaatsgevonden en dat wij dus niet met zekerheid kunnen zeggen dat er geen misbruik heeft plaatsgevonden. Weet de Minister daar nu meer over te vertellen?

In dit debat moeten wij het hebben over de zwakke plekken die gemeld zijn bij het gebruik van DigiD bij gemeentes. Eerder waren er problemen met de opslag van DigiD's bij de Belastingdienst. Steeds gaat het om de privacygevoeligheid van het inlogsysteem en de kwetsbaarheid van de techniek en het gebruik door de burger. De overheid wijst nu eigenlijk steeds naar de burger. De verschillende Ministers die hiermee te maken hebben, zeggen dat de burger moet worden opgevoed en zorgvuldiger met zijn of haar DigiD moet omgaan. Daar zijn campagnes voor opgestart. Dat is natuurlijk prima, want burgers hebben daarin zeker ook een eigen verantwoordelijkheid. Maar zelfs als blijkt dat er lekken zijn in het systeem van DigiD spreekt de overheid van calamiteiten die verholpen moeten worden, maar dan wel door de burgers.

Ik denk echter dat de problemen met DigiD niet alleen maar met onwetendheid van de burger te maken hebben. Dat is op zich ook niet zo gek. Wij hebben vandaag schriftelijke vragen ingediend naar aanleiding van het rapport van de commissie-Elias. Dat heb ik zojuist zelf ook gedaan. Ik weet wat erin staat. We moeten toch constateren dat er ook bij de overheid zelf een zorgwekkend gebrek aan kennis is. Daarbij gaat het niet slechts om het inkopen, opstarten of onderhouden van grote ICT-projecten; het gaat veel verder. Ik vrees dat wij daar bij deze problematiek ook mee geconfronteerd worden. De burger weet immers vaak dat DigiD kwetsbaar is en juist omdat het risico zo ondoorzichtig is – mensen weten niet precies wat de risico's zijn – gebruiken veel burgers DigiD liever niet. Ons bereiken veel berichten van bezorgde burgers die het systeem maar liever mijden. Zij maken zich vooral zorgen over hun afhankelijkheid van DigiD, terwijl zij er niet van kunnen uitgaan dat het systeem of het gebruik daarvan op de computer waterdicht is. Bij een inlogsysteem waarvoor de overheid verantwoordelijk is en waarvan het gebruik niet te vermijden is door de burger, moet de overheid garant staan voor voorkomende nadelige consequenties. Volgens de SP-fractie moet dat in alle gevallen zo zijn. De overheid schrijft in de brieven van 7 en 8 oktober over de grote hoeveelheden maatregelen die zij neemt om fraude en kwetsbaarheden tegen te gaan, maar zegt tegelijkertijd in de uitzending van Opgelicht: als die systemen in ketens worden gebruikt, toont de complexiteit daarvan aan welke gezamenlijke verantwoordelijkheid dit voor ketenpartners met zich brengt om te kunnen voldoen aan de steeds hogere eisen die door nieuwe bedreigingen ontstaan; het is duidelijk dat het werk nooit klaar zal zijn.

Nu het kabinet dit erkent, vraagt de SP-fractie de Minister om in alle gevallen zijn verantwoordelijkheid te nemen als de burger slachtoffer wordt van misbruik, hetzij door toedoen van een niet-functionerende overheid, hetzij door toedoen van criminelen. Wat denkt de Minister hiervan?

Zoals ik al zei, schrijft de Minister in zijn recente brieven over bewustwordingscampagnes en cursussen waarin mensen kunnen leren hoe zij moeten omgaan met DigiD. In de brief over de versterkingscampagne schrijft hij het volgende: «Het programma Digitaal 2017 streeft naar het digitaal mogelijk maken van het doen van allerlei zaken met de overheid. Voor sommige mensen vormt daarbij het gebruik van DigiD toch een drempel. Om die reden heb ik de Stichting Digisterker gevraagd een oefenmiddel te ontwikkelen: de DigiD oefentool. Mensen die een digivaardigheidscursus volgen kunnen in een veilige omgeving een DigiD leren aanvragen en gebruiken. Door te oefenen, wordt de drempel lager om DigiD aan te vragen en goed te gebruiken. De oefentool is naar verwachting in januari 2015 operationeel.» Ik denk dat een DigiD-vaardigheidscursus lang niet voldoende zal zijn. Mensen die veronderstellen dat zij de computer toch niet snappen, zullen heel terughoudend zijn met deelname aan een dergelijke cursus. De SP-fractie wil daarom dat de overheid in alle gevallen ook toegankelijkheid via het loket of de telefoon blijft garanderen.

Mevrouw Oosenbrug (PvdA): Zo veel tijd heb ik niet nodig. Ik ben de laatste in de rij en het gras is al een beetje voor mijn voeten weggemaaid. DigiD is ontzettend belangrijk, want als burgers worden wij min of meer gedwongen om dit te gebruiken. Als overheid zullen wij er dus ook voor moeten zorgen dat dit voor iedereen werkt. DigiD moet door de burgers zelf beter beveiligd worden. Daar worden wij als burgers constant op gewezen. Gemeenten en andere afnemers hebben echter diezelfde verantwoordelijkheid. Collega Verhoeven van D66 noemde dit al en ik vind dat een goed punt. Ik vind het zelf echter een beetje vervelend dat je zo'n gemeente dan afsluit van DigiD, waardoor er even niet meer mag worden ingelogd op DigiD; daar wordt de burger immers de dupe van. Daar ben ik het niet mee eens. Is het niet mogelijk dat in zo'n geval bijvoorbeeld Logius het beheer overneemt van zo'n gemeente, ervoor zorgt dat het probleem, dat wij geen lek noemen maar een softwarefout, wordt opgelost en daarvoor een rekening stuurt aan de gemeente? Zo ligt de rekening echt bij de gemeente en niet bij de burger. Ik vind dat de burger moet kunnen vertrouwen op DigiD. Dat is geen keuze, dat is opgelegd, dus dat moet je gewoon gebruiken.

Ik dank de Minister voor zijn antwoorden op mijn schriftelijke vragen. Ik heb dat relaas een paar keer doorgelezen. Ik kwam steeds weer op het punt dat op 18 september ontdekt is dat er een fout zat in het CMS, in het content management system. De softwareleverancier zegt dat hij dat lek gelijk gedicht heeft, maar dat kunnen wij niet controleren. Op 25 september heeft hij dit gemeld bij Logius, die ermee aan de slag is gegaan en het verder heeft opgepakt. Verder lees ik in de beantwoording dat het aan het softwarebedrijf zelf is of het al dan niet mensen gaat inlichten. Wij zijn bezig met een meldplicht voor datalekken. Het zou mooi geweest zijn als die wet al in werking was getreden, want ik vind het echt onbehoorlijk dat ik niet actief geïnformeerd word als ik kwetsbaar ben geweest door een fout in een systeem waar ik als burger gebruik van moet maken. Ik wil de Minister meegeven dat dit echt niet kan. Je kunt mensen niet verplichten om iets te gebruiken en, als er een kwetsbare plek blijkt te zijn, zeggen: wij als softwarebedrijf weten wel wat goed voor u is. Ik wil het gewoon weten. Ik wil weten, als ik over een halfjaar, een jaar of desnoods twee jaar ineens een rare rekening krijg, dat dit toen gebeurd kan zijn. Ook hiervoor vraag ik de Ministers aandacht.

Een tijdje geleden hebben wij gesproken over het reclamebureau Digi-D. Dit reclamebureau twittert nu dat het in het bezit is van 45.000 inlogcodes. Ik vind dat echt kwalijk. Dat is echt onwenselijk. Mensen gaan in goed vertrouwen naar die site en geven die inlogcodes af; vervolgens zijn zij kwetsbaar. Ik wil van de Minister graag horen wat de vervolgstappen zijn geweest na het laatste AO. Wat is de stand van zaken?

Minister Plasterk: Voorzitter. Mijn beantwoording is als volgt opgebouwd. Ik zal allereerst kort iets zeggen over DigiD in zijn algemeenheid, ook om de indruk weg te nemen dat het stelsel als zodanig niet goed zou zijn. Dan ga ik in op het verbetertraject. Ik heb daarover ook al een en ander schriftelijk aan de Kamer meegedeeld, maar ik denk dat het belangrijk is om een aantal elementen specifiek naar voren te brengen. Vervolgens ga ik in op het lek in het content management system van de gemeenten, inclusief de vraag hoe daarbij met de informatie richting de burgers is omgegaan. Daarna zal ik ingaan op de vraag wat te doen tegen gemeenten die niet doen wat ze zouden moeten doen. Dan zal ik nog iets zeggen over het eenmansbedrijf Digi-D. Vervolgens zal ik de resterende vragen van de leden beantwoorden.

We praten hier terecht over gevallen waarin er dingen niet goed zijn gegaan of niet goed gaan en wat we er aan moeten doen om in de toekomst misbruik en fraude te voorkomen. De indruk zou daarmee gewekt kunnen worden dat het DigiD-stelsel niet goed is, maar die indruk zou ik dan hierbij willen wegnemen. Het gebruik van DigiD is ontzettend toegenomen. We verwachten dat er in 2014 170 miljoen authenticaties worden uitgevoerd. Er zijn 600 organisaties aangesloten bij het systeem en de beschikbaarheid van DigiD is hoog, hoger dan bijvoorbeeld bij banken en hoger ook dan wat er is voorgespiegeld, namelijk 99,95%. Dus aan die kant werkt dat goed. Het DigiD-stelsel zelf is nooit gehackt. Nog nooit heeft iemand ingebroken op dat stelsel of heeft iemand dat stelsel gekraakt. Dat wil natuurlijk niet zeggen dat er nooit wat misgaat. Dat kan bijvoorbeeld gebeuren op een heel primitieve manier, namelijk dat een password naar iemands huisadres wordt gestuurd en het vervolgens door iemand anders uit de brievenbus wordt gevist die dan met die informatie aan de haal gaat. Daar hebben we ook maatregelen op genomen. Het kan ook verder gaan, namelijk dat er bij gemeenten een lek ontstaat in het computersysteem waardoor het in ieder geval theoretisch mogelijk zou zijn dat mensen het volgen als iemand daar inlogt, waardoor ze die informatie zouden kunnen verzamelen. Dus dat zijn geen fouten in DigiD zelf, maar dat wil niet zeggen dat er geen fraude mee gepleegd zou kunnen worden. Ook daar moeten we natuurlijk op bedacht zijn.

Bij fraude geldt dat er voortdurend sprake is van een ratrace, waarbij hackers slim zijn en steeds weer nieuwe dingen proberen waar we vanuit het belang van de burgers weer nieuwe dingen tegenover moeten stellen. Dus we moeten niet de illusie hebben dat het op enig moment klaar is; er zullen altijd wel weer nieuw achterdeurtjes verzonnen of gevonden kunnen worden en daar moeten we dan actief op inspelen. De huidige stand van zaken heb ik de Kamer inmiddels schriftelijk meegedeeld, maar ik wil nu een paar dingen noemen uit de Versterkingsagenda. Op dit moment log je in met je naam en je password dat je ooit via de post hebt ontvangen. We zullen gaan kijken naar, wat dan heet, DigiD-midden, zijnde een hoger beveiligingsniveau waardoor je via sms een code krijgt toegestuurd. Daar mogen burgers nu al voor kiezen, op elk moment, maar het is wel kostbaar omdat het allemaal per sms gaat. We kijken nu naar de mogelijkheid om volgend jaar een app te lanceren waarmee mensen kunnen inloggen. Dan zou deze drempel omlaag kunnen en kun je het beveiligingsniveau wat algemener invoeren en zou je het op enig moment voor bepaalde handelingen wellicht verplicht kunnen maken. We moeten echter wel eerst weten of het werkt. Sommige gemeenten vragen al om de DigiD-code als je een afspraak wilt maken met iemand op het stadhuis. Dus ik kan mij voorstellen dat er wat betreft het geven van de DigiD-code een verschil is tussen studiefinanciering aanvragen – dan zal je eerder een hoger veiligheidsniveau willen hebben – en het maken van een afspraak met een ambtenaar.

Minister Plasterk: Het landelijk verplicht stellen van zo'n sms-verificatie zou de overheid op dit moment 17 miljoen per jaar kosten en als het gebruik toeneemt omdat men zich veiliger acht, dan zou het kunnen oplopen tot naar schatting 37 miljoen in 2017. Dus het gaat wel om forse bedragen. Het is misschien ook niet nodig omdat elk DigiD-gebruik niet even zwaarwegend is en omdat we kunnen proberen het via de app op te lossen. Dat zijn de twee redenen waarom ik er voor zou willen pleiten om er wel voortvarend mee aan de gang te gaan, omdat ik het nut er wel van inzie, maar om het nu niet op voorhand verplicht te stellen.

Mede naar aanleiding van de aanbevelingen van de Algemene Rekenkamer zijn we bezig om bij alle 600 afnemers een nieuwe handreiking authenticatieniveaus onder de aandacht te brengen zodat men weet dat er voor verschillende handelingen ook verschillende niveaus van authenticatie zijn. Verder is er voortdurend sprake van assessments en wordt er uitvoering gegeven aan een actieplan ten aanzien van de bevindingen met de DigiD-voorziening. Daarnaast zijn we bezig met een traject richting eID, waar we bij een volgende gelegenheid nog wel over komen te spreken.

Minister Plasterk: Ik kan alleen maar bevestigen dat het natuurlijk niet zo zou moeten zijn dat je een assessment doet en dat dan naderhand blijkt dat er toch iets in dat content management system niet goed is. Dus zullen we nog beter naar die assessments moeten kijken. Overigens, toen dat probleem aan de orde kwam, is dat aan die gemeenten medegedeeld en die hebben het toen onmiddellijk gerepareerd. Er is toen onderzoek gedaan. Er is door Logius geen reden gevonden om te denken dat er door dat lek DigiD-gegevens naar buiten zijn gekomen. Dat had je dan namelijk af kunnen meten aan toename van fraude in die regio of aan digitale sporen dat er iets zou zijn gebeurd. Er is dus goed naar gekeken.

Dat raakt dan meteen aan de vraag van mevrouw Oosenbrug en anderen hoe wordt omgegaan met het informeren van burgers. Dat betreft een afweging die in de eerste plaats bij de gemeenten ligt. Overigens begrijp ik wel de afweging die toen is gemaakt en vanuit Logius is er ook niet anders geadviseerd. Het informeren is met name nuttig als er handelingsperspectief is en mensen iets kunnen doen. Maar goed, het was inmiddels gerepareerd en er was geen reden om te denken dat er fraude was gepleegd, terwijl je aan de andere kant mensen niet wilt attenderen op de mogelijkheid dat er iets mis zou kunnen gaan. Mevrouw Oosenbrug wil in zijn algemeenheid nog een discussie – ik geloof dat die ook al binnen de justitieportefeuille plaatsvindt – over de vraag of niet sprake zou moeten zijn van een informatieplicht. Die discussie moeten we dan op dat moment misschien met elkaar voeren.

Als er sprake is van een acute dreiging of als gemeenten weigeren zich aan de regels te houden, moeten ze worden afgesloten van DigiD. Dat is ook al gebeurd. Bij zestien gemeenten zijn er afsluitingen geweest. Ik heb mij net laten vertellen dat de provincie Zuid-Holland die de zaak niet helemaal op orde heeft, ook is afgesloten van DigiD. Ik moet er aan toevoegen dat er niet zo heel veel handelingen voor burgers zijn bij de provincie Zuid-Holland waar je per se DigiD voor zou moeten gebruiken, maar de meeste provincies hebben wel degelijk DigiD-toegang. Sommige gebruiken het voor het maken van simpele afspraken. Hoe dan ook, als de grootste provincie van Nederland dat zou willen, moet de zaak eerst op orde zijn. Ik ben dan ook bereid om op dat punt actie te ondernemen. Mijn ervaring tot dusverre is dat als we tegen gemeenten zeggen «het klopt niet wat u daar doet» ze onmiddellijk tot verandering overgaan. Ik vind het overigens ook vanzelfsprekend dat ze dat doen. Als een gemeente DigiD gebruikt voor uitkeringen of wat dies meer zij, dan tref je de burgers als je laconiek zou afsluiten. Maar goed, ik zou eigenlijk helemaal niet in dat traject terecht willen komen. In het voorbeeld dat in Opgelicht naar voren kwam, hebben de desbetreffende gemeenten onmiddellijk gehandeld. In die uitzending werden overigens gevallen genoemd van mensen die schade hadden opgelopen. De uitzending meldt wel dat dit niet het gevolg was van openstaande gemeentelijke systemen maar dat het ging om een echtgenoot die het had meegenomen; in feite is het dan een vorm van diefstal in de privésfeer, wat al akelig genoeg is. Overigens is er het Centraal Meld- en Informatiepunt Identiteitsfraude en -fouten dat mensen daarin kan bijstaan.

Het bedrijf Digi-D heeft eerder gevraagd om schadevergoeding voor het feit dat het de naam zou moeten veranderen. Het vroeg er aanvankelijk miljoenen voor. Omdat dat niet realistisch was, is dat bedrag heel snel naar beneden gebracht. Er is door Logius een bod gedaan dat niet is geaccepteerd. Daar is het bij gebleven. Ondertussen gaat het bedrijf door met het gebruikmaken van het misverstand door meer inloggegevens te verzamelen. Naar het lijkt gebruikt men dat nu tegen de overheid, hetgeen natuurlijk niet mag. Het gaat namelijk om privacygevoelige gegevens. Ik heb dat ook bij het College bescherming persoonsgegevens neergelegd dat uiteindelijk de bevoegdheid heeft om handelend op te treden en bestuurlijke boetes op te leggen. Daar ligt het nu en ik hoop en verwacht dat er nu snel wat gaat gebeuren, want het is niet bonafide om het op die manier te doen, aangezien je dat soort privacygevoelige gegevens niet mag verzamelen.

Minister Plasterk: Mevrouw Oosenbrug pleit eigenlijk voor een algemene meldingsplicht. Dat is echter iets wat ligt op het terrein van V en J en zou dan ook in dat kader bediscussieerd moeten worden. Mijn duit in het zakje zou dan zijn de afweging tussen de vraag hoeveel paniek je veroorzaakt en de vraag hoeveel handelingsperspectief er is en hoeveel reden er is om te denken dat mensen er daadwerkelijk schade door hebben opgelopen. Daar zou je misschien toch een balans in moeten vinden. Dat zou dan nieuwe regelgeving op dat terrein moeten opleveren. In het onderhavige geval was het theoretisch denkbaar en dus praktisch ook mogelijk dat iemand van die zwakte gebruik heeft gemaakt om te proberen gegevens over mensen die inlogden te verkrijgen, maar is er geen enkele reden om te denken dat dit ook is gebeurd. Dat is toch de conclusie. Op de vraag of je dan volledig kunt uitsluiten dat het is gebeurd, zegt de wetenschapper in mij: nee, dat kun je natuurlijk nooit uitsluiten. Alleen, we hebben geen enkele reden om te denken dat het is gebeurd. Je ziet in de regio en de desbetreffende gemeenten geen toename van fraude op dit punt. We krijgen er ook geen meldingen over, ook sindsdien niet. Ik denk wel dat we ervan moeten leren. Deze fout mag sowieso niet meer gemaakt worden. De opmerking dat het nog sneller aan de politiek gemeld had moeten worden, neem ik ook ter harte, maar ik wil dat niet in verwijtende zin doen. Zoals het is gebeurd, kan het wat mij betreft, namelijk onmiddellijk afsluiten, kort inventariseren wat de situatie is geweest en dan mij informeren waarna ik de Kamer heb geïnformeerd. Maar goed, hoe sneller hoe beter. Daar leren we dan ook weer van.

Op een aantal punten ben ik al bij interruptie ingegaan. Ik ben het met de heer Moors eens dat elk door hem genoemd incident zorgwekkend is. Over afsluiten heb ik gezegd dat dat moet gebeuren als het gaat om een acuut geval waarin men zich niet aan de regels houdt. Het CMS-lek zullen we aan het assessment toevoegen. Het zou een hoop problemen oplossen als alle gemeenten dezelfde software zouden krijgen. Maar de Kamer snapt al wat er dan gebeurt: dat stuit in eerste instantie op bezwaren in het kader van de gemeentelijke autonomie. Maar goed, we zijn hierover in gesprek met de VNG, ook met het oog op Digitaal 2017, waarvoor we een uitstekende commissaris hebben. Dit is typisch zo'n onderwerp waarbij we proberen via zachte, gevolgd door middelharde overreding gemeenten ertoe te brengen om gewenst verdrag te gaan vertonen, waarbij ik nog even afzie van de financiële voordelen die optreden als wordt voorkomen dat in alle gemeenten het wiel wordt uitgevonden. Er is gevraagd om bredere voorlichting, bijvoorbeeld over het inloggen. Die suggestie zal ik meenemen en ik zal er misschien bij een volgende gelegenheid op terugkomen. Ik zal laten onderzoeken of het mogelijk is dat je dat bij elke inlog moet doen of alleen bij de eerste inlog.

In een aantal postcodegebieden bleek opeens dat er met DigiD was gefraudeerd, omdat men de brieven met inlogcodes uit de brievenbussen viste. In die postcodegebieden worden die brieven nu per koerier thuisbezorgd. Dat kost ongeveer € 10 per keer. We hebben nog geen aanwijzingen dat er een waterbedeffect optreedt. Er zijn ook heel brave regio's waar dit nog nooit heeft gespeeld. Ik wil deze zaak goed in de gaten houden. Als deze problemen zich in een nieuwe regio voordoen, zullen we onmiddellijk overgaan op dat wat kostbaarder systeem van thuisbezorging. Als blijkt dat het probleem zich voortdurend verplaatst, komt er misschien een moment waarop we zeggen: ho, zo kan het niet meer. Wij verplichten DigiD min of meer en daarom wil ik proberen te voorkomen dat dat € 10 per keer kost als het niet hoeft. Maar ik ben het eens met de heer Moors, die stelt dat dat niet opgaat als het probleem zich van de ene wijk verplaatst naar een aanpalende wijk. Ik zeg toe dat we onmiddellijk een postcodegebied zullen toevoegen als er daarvoor aanwijzingen bestaan.

De heer Verhoeven stelde een vraag over het openbaar maken. Ik heb daar voor een deel op gereageerd. De betrokken gemeente is overigens onmiddellijk geïnformeerd. Dat fraudegeval van een jongen van 15 jaar is natuurlijk schrijnend. Die jongen zou dus drie kinderen hebben verwekt. Dan zou er in principe bij de betrokken instanties al een rode lamp moeten gaan branden. Dan kom je eigenlijk op de meer algemene vraag hoe je fraude moet zien te voorkomen. Minister Opstelten heeft het voortouw genomen voor een heel uitgebreid fraudebestrijdingsprogramma, waarbij ik volledig ben aangehaakt, om ook balie- en gemeentepersoneel fraudebewust te maken. Daarvoor worden cursussen georganiseerd. Nog niet zo heel lang geleden heb ik op de 36ste etage van een gebouw in dat kader wat diploma's uitgereikt aan een lichting baliemedewerkers die die cursus heeft gevolgd. Dat geval van die jongen van 15 jaar met drie kinderen is typisch een geval voor de schoolboekjes. Hierbij gaat het om het opstellen van risicoprofielen.

Dan kom ik toe aan een heel technische vraag over het certificaat SHA (Secure Hash Algorithm)-4. DigiD maakt gebruik van het moderne en veilige SHA-256. Wat is gesignaleerd over dat andere algoritme kan waar zijn, maar daarop is DigiD gelukkig niet te pakken. Verder is gevraagd of de authenticatie voor de Staat niet minstens het niveau van dat van de banken zou moeten hebben. Als je toegaat naar een SMS-authenticatie heb je in feite dezelfde authenticatie als bij een tancode. De burger kan daar nu al voor kiezen. We brengen de instellingen op de hoogte van die keuzemogelijkheid. Verder kijken we of we dat via een app zo toegankelijk kunnen maken dat we in 2015 het beveiligingsniveau «midden» – dat hanteren de banken immers in feite – algemener van toepassing kunnen maken. Als dan blijkt dat het gebruikersvriendelijk genoeg is, kun je het alsnog geheel of gedeeltelijk verplicht stellen. Maar ik zou dit eerst mogelijk willen maken voor burgers.

Ik heb gereageerd op de vraag van mevrouw Gesthuizen over het data management system. Zij zei terecht dat we niet moeten doen alsof het een probleem van de burger is. Het is niet zo dat, als we de burger maar goed informeren, het niet meer voorkomt. Het moet van twee kanten komen. Je kunt niet anders doen dan burgers te attenderen op de gevaren van verdachte e-mails. Dat doen banken ook. Maar tegelijkertijd moeten de gemeenten ook op de hoogte worden gebracht. Daar zijn we actief mee bezig.

Mevrouw Gesthuizen had aarzelingen over de oefentool. Op werkbezoek bij de sociale dienst in Rotterdam bleek mij dat sommige mensen niet weten hoe DigiD werkt. De sociale dienst heeft daarvoor oefenprogramma's opgezet, zodat deze mensen leren hoe ze zelf hun DigiD kunnen maken. Ik vond het interessant om dat mee te maken. Als ze er even de tijd voor nemen, vinden veel mensen dat ook interessant. Er zullen altijd mensen zijn die dat dan weer vergeten. Natuurlijk moet er dan iemand hulp bieden. Veel gemeenten hebben zogenaamd geen loketten meer, maar ze hebben wel een hulpplek, waar kan worden ingelogd op een virtueel loket. Maar het uitgangspunt dat DigiD nu zo belangrijk is dat iedereen zijn eigen DigiD moet kunnen aanmaken, vind ik eigenlijk wel goed. In mijn waarneming werken die cursussen ook wel.

Minister Plasterk: Deze vraag is eigenlijk onderdeel van een grotere vraag: als we toewillen naar Digitaal 2017, hoe gaan we dan om met mensen die geen computer hebben? Nederland is immers een vrij land. Ik wil dit in stappen opbouwen. Voorheen ging het schriftelijk, waarover je de vraag kunt stellen wat mensen doen die geen pen hebben. Op een gegeven moment wordt het – dat is stap één – onderdeel van burgerschap dat je op de een of andere manier toegang hebt tot het internet. Als we al het reguliere verkeer tussen overheid en burger digitaal willen maken, is het wel de bedoeling dat de burger die toegang heeft. Met die eerste stap zijn we inderdaad niet klaar. Als je geen computer of smartphone hebt, kun je overwegen er een aan te schaffen. Voor de meeste burgers wordt toegang tot het internet een van de gereedschappen waarover ze beschikken. Er zullen redenen zijn waarom mensen daar toch niet over beschikken – dat kan de leeftijd zijn, maar het hoeft niet – maar dan nog geldt voor veel mensen dat ze een slim iemand in de omgeving hebben die dat voor hen wil doen. Dat vind ik op zich een begaanbare weg. Als dat er allemaal niet is – dat is stap drie – dan mag het niet zo zijn dat iemand geen AOW krijgt omdat hij niet digivaardig is en ook geen digivaardigheid in zijn omgeving heeft. Dan moet het mogelijk zijn om bij de gemeente aan te kloppen. Dan nog vind ik dat de gemeente aan betrokkene moet vragen of het niet beter is om een computer aan te schaffen. Maar als mensen dat om wat voor reden dan ook niet willen, moet er altijd een analoog vangnet zijn. Ik bouw het bewust in die volgorde op, want als je te snel wilt gaan, bereik je minder snel de doelstelling om in principe zo veel mogelijk digitaal te regelen.

Mevrouw Oosenbrug vraagt of, los van de vraag wie de schuldige is, de overheid altijd moet opdraaien voor de schade. Ik vind dat de overheid, als mensen onverstandige dingen hebben gedaan en zich melden bij het Centraal Meld- en Informatiepunt Identiteitsfraude en -fouten, beschikbaar moet zijn om te vertellen wat ze daaraan moeten gaan doen. Ik zou het een verkeerde prikkel vinden om te stellen dat de overheid altijd opdraait voor de schade. Als iemand zijn huissleutels ergens laat liggen, geldt ook een eigen verantwoordelijkheid. Zo algemeen als mevrouw Oosenbrug het zegt zou ik het niet willen stellen, maar de overheid moet burgers daarin wel steunen.

De heer Moors (VVD): Voorzitter. Ik heb nog geen antwoord gehad op mijn vraag of de Minister ook assessments wil houden nadat er nieuwere softwareversies zijn verschenen. Dan voorkom je dat iets langere tijd niet wordt geconstateerd. Ik heb wel gehoord dat de Minister de reikwijdte wil uitbreiden tot het CMS. Zou de veiligheid van DigiD niet onafhankelijk moeten zijn van de veiligheid van systemen bij gemeenten? Als een website niet veilig is, wordt iDEAL ook niet gehackt. Het systeem zou zo moeten worden ingericht dat beide aspecten onafhankelijk van elkaar zijn. Graag een reactie daarop.

De meeste problemen met DigiD hebben te maken met hack, lek of diefstal van gegevens. Met de drie door mij genoemde maatregelen kan dat worden opgelost. Ik doel om te beginnen op verbetering van het uitgifteproces, de Two-Factor Authentication, dus via een sms of een app en voorlichting om te voorkomen dat burgers gespoofte sites gebruiken. De Minister geeft heel kort door de bocht aan dat een sms veel te veel kost. Ik heb snel uitgerekend dat hij er daarbij vanuit gaat dat het € 0,10 per authenticatie kost als je alle authenticaties met een sms zou doen. Ik heb het gevoel dat het, gelet op de schaalgrootte, goedkoper kan. Welke in de afgelopen jaren voorgekomen schadegevallen zouden met de door mij genoemde drie maatregelen zijn voorkomen en welke schade zou daarmee gemoeid zijn geweest? Dat zouden we dan eens tegenover een realistische inschatting van de kosten van die maatregelen moeten zetten. Ik ben benieuwd naar de businesscase op dit punt. Hoewel ik het dan puur over het financiële aspect heb, lijken me zaken als vertrouwen in de overheid en de digitale dienstverlening ook heel wat waard. Dat bedoel ik ook in financiële zin, want als die digitale dienstverlening veel wordt toegepast, is dat ook een grote kostenbesparing op de bedrijfsvoering van de overheid. Graag een reactie, eventueel later in een brief.

De heer Verhoeven (D66): Voorzitter. Ik dank de Minister, hoewel hij toch een aantal belangrijke vragen van mij niet heeft beantwoord. Om te beginnen heb ik om een grondig onderzoek gevraagd. Ik wil toch echt weten of de Minister van mening is dat in zo'n korte tijd nooit een grondig onderzoek kan hebben plaatsgevonden op het niveau dat nodig is om hier zekerheid te bieden. Verder heb ik gevraagd of er naast de twaalf gemeenten ook nog andere organisaties zijn geweest met een vergelijkbaar lek. De Minister zegt, in antwoord op mijn vraag over algoritmes, dat DigiD SHA-256 heeft. Maar dat gaat over hashing, wat iets heel anders is dan bulkversleuteling, waarvoor inderdaad RC4 als algoritme wordt gebruikt. Als ik aan de groenteman vraag of hij lekkere appelen heeft, zegt hij niet dat zijn peren heerlijk zijn. Ik wil weten hoe zijn appels zijn. Dat gaat over bulkversleuteling, het verschil tussen applicatie en de digitale vingerafdruk.

Wat gaat de Minister nou precies doen? Hij vindt ook dat een periode van veertien maanden te lang is. Maar wat gaat er in de praktijk veranderen om ervoor te zorgen dat dingen sneller worden waargenomen, dat gemeenten sneller druk zetten en sneller handelen, zodat de periode van veertien maanden korter wordt? Wat mij betreft geldt dat ook voor de periode waarin de Minister reageert op meldingen van bijvoorbeeld white hat hackers. Zij zijn te goeder trouw en hebben het gevoel dat er hautain en laconiek wordt gereageerd. Dat vind ik geen goed signaal.

Mevrouw Gesthuizen (SP): Voorzitter. Het is overduidelijk dat de Minister van zeer goede wil is. Daar schort het absoluut niet aan. Het kabinet doet twee zaken niet of juist te veel. Bij debatten over ICT dringen wij er steeds vaker op aan om degenen die diensten aanbieden – dat zijn heel vaak bedrijven – ervoor te laten zorgen dat die diensten ook echt veilig zijn. Er moet een soort veiligheidsassessment plaatsvinden, zodat het niet meer mogelijk is dat mensen bijvoorbeeld ingaan op phishing mails. Daar zijn verschillende manieren voor. Gaat de Minister bij alles wat hij laat ontwikkelen ervoor zorgen dat de resultaten daarvan op zo'n manier in de markt worden gezet dat we er niet van uit hoeven te gaan dat burgers continu wantrouwend en achterdochtig zijn? Mogen we ervan uitgaan dat dat, met een beetje basiskennis, gewoon goed komt?

Volgens mij heb ik geen antwoord gekregen op mijn vraag over compensatie. Banken gaan daar in het algemeen best netjes mee om: als mensen slachtoffer van fraude zijn geworden, worden ze gecompenseerd. Hoe ziet de Minister zijn verantwoordelijkheid hierin en waar legt hij precies de grens? Als je willens en wetens alles over jezelf hebt uitgeleverd, terwijl je beter had moeten weten, kan ik me voorstellen dat je daar als overheid vraagtekens bij zet, maar anders moeten slachtoffers niet zelf voor de kosten opdraaien.

Minister Plasterk: Voorzitter. De heer Moors vraagt of het mogelijk is om ook een assessment te doen als er nieuwe softwareversies worden geïnstalleerd. Gehoord het debat denk ik dat we dat moeten doen. Ik zeg toe dat we dat zullen aankaarten bij de gebruikers. Dat is nieuw, omdat we dat tot nu toe eens per jaar hebben gedaan. Nu er zo veel aandacht voor is, wil ik voorkomen dat er tijdens een update tussendoor een aantal maanden iets openstaat. Het mag niet zo zijn, vindt de heer Moors, dat afhankelijk van de kwaliteit van de website van een gemeente DigiD wordt gekraakt, want dat gebeurt bij iDEAL ook niet. DigiD is niet gekraakt; er zat een zwakte in het CMS, waardoor je kon zien wat mensen aan het invoeren waren. Daarmee kom je niet aan het hele DigiD-systeem als zodanig, maar potentieel zou je wel aan de invoergegevens van mensen op die site kunnen komen. Dat kan natuurlijk niet, zodat dat onmiddellijk gerepareerd moet worden. De heer Moors vroeg naar de businesscase op dit punt, uitgaande van € 10 per keer en een sms-verificatie van een dubbeltje per keer. Hij vroeg hoeveel ellende daarmee wordt voorkomen. Zijn derde stap is het geven van meer voorlichting.

Volgens mij doen we wat mogelijk is. De heer Moors zei dat hij de businesscase op papier wil krijgen. Ik zeg toe dat ik dit in een brief zal doen, maar dat zal even werk zijn. We moeten een en ander serieus onderbouwen. Dat kan ik dus niet volgende week doen. Ik denk aan het begin van het komende jaar. Dan hebben we een paar maanden. Mag dat? Ik wil het even serieus laten bekijken.

Minister Plasterk: We hebben er nog even over nagedacht. Ik stel voor dat we het voor eind januari doen. Voor de kerst wordt een beetje krap. Dan moeten we het binnen een paar weken uit de grond stampen. Voor eind januari wil ik wel toezeggen. Ik kom zo op een ander punt dat ik nog moet uitzoeken en dat ik misschien kan meenemen in deze brief.

De heer Moors zei dat de schade groter is dan alleen maar de financiële schade. Het vertrouwen in de overheid erodeert namelijk ook. Daar ben ik het mee eens. Als de businesscase neutraal is en we hiermee het een en ander kunnen voorkomen, zullen we het er snel over eens zijn dat we het moeten doen. We moeten een kosten-batenafweging maken. Daar heb ik even tijd voor nodig. Het is niet zo dat ik het pakket dat de heer Moors voorstelt, afzet tegen niets doen. Ik wil het afzetten tegen hetgeen ik zojuist heb genoemd, namelijk het introduceren van een identificatiesysteem in twee stappen. We kunnen proberen om daar een app voor te ontwikkelen. Hierdoor kunnen we de kosten sowieso sterk reduceren. Dat is de andere businesscase. Er is dus geen sprake van niks doen. Daar zijn we het allen achter deze tafel over eens.

De heer Verhoeven vroeg naar het onderzoek. Nadat Logius ernaar heeft gekeken, heeft Fox-IT er ook nog uitgebreid onderzoek naar gedaan. We hebben er geen sporen van gevonden dat er misbruik is gemaakt van de zwakte in de systemen. We hebben ook geen aanleiding om te denken dat andere organisaties een vergelijkbaar lek hadden.

Ik kom even niet uit de vraag van de heer Verhoeven over SHA-256. De heer Verhoeven heeft er meer verstand van dan ik. Dat is nooit de bedoeling, maar het kan wel. Wordt SHA-256 wel voor hashing maar niet voor bulkversleuteling gebruikt? Dat moet ik even uitzoeken.

Minister Plasterk: Het certificaat is inderdaad SHA-256 (hashing). RC4 is een SSL-encryptieprotocol. DigiD gebruikt dit nog omdat circa 5% van de burgers oude besturingssystemen of browsers gebruikt. Per 8 december 2014 wordt RC4 op DigiD uitgezet. Dat is al heel snel. Dat is het antwoord op de vraag. Dat hoeven we dus niet meer schriftelijk te geven.

Ik heb al gezegd dat we ervan moeten leren en nog sneller moeten reageren als dat mogelijk is. Het is zeer te waarderen als mensen zwakten signaleren in overheidssystemen. Het is niet gepast als hier laconiek of hautain op gereageerd wordt. Ik bevestig hiermee overigens niet dat dit in dit geval gebeurd is. Hierop is namelijk onmiddellijk actie ondernomen. Het zal echter weleens gebeuren, maar dat moet niet. Als mensen zich melden, moet de overheid dankbaar zijn dat zij dat doen. Het is ook goed dat mensen het niet misbruiken. Dat mag ook niet.

Minister Plasterk: Dat onderstreep ik. Om zichtbaar te maken dat we het op prijs stellen, ook omdat we er feitelijk wat aan hebben, hebben we in april dit jaar een hackathon georganiseerd. Mevrouw Oosenbrug zat daarbij in de jury. Hierbij hebben we mensen uitgenodigd om naar zwakke plekken te kijken en om suggesties aan te dragen voor verbeteringen. Een aantal daarvan zijn vervolgens ook opgepakt en in de praktijk gebracht. Een voorbeeld daarvan is de KopieID-app, waarmee je je burgerservicenummer kunt doorhalen op een kopie van je identiteitsbewijs. Het is een heel simpele app. Vier jongemannen die aanwezig waren, hebben dit idee aangedragen als een van de mogelijkheden om een zwakte weg te nemen. Mensen maken snel een fotootje met hun smartphone en delen die. Dankzij die app kunnen ze nu hun bsn doorhalen.

In zijn algemeenheid juichen we dit soort initiatieven dus toe. Ik onderstreep dit nogmaals. Mocht het ergens in die heel grote overheid, in de verschillende overheidslagen, niet goed gaan, dan is het niet goed.

Mevrouw Gesthuizen vroeg of we de veiligheid niet veel meer voorop moeten stellen. Moeten we daar niet meer aan doen? Dat is ook de bedoeling van DigiD Midden, het nieuwe beveiligingsniveau waar we voor volgend jaar aan werken. We proberen het praktisch zo te maken dat je, net als bij het betalingsverkeer, meer moet doen dan alleen maar je password typen. We gaan er één beveiligingsniveau boven zitten. Het kan in ieder geval voor de vitale toepassingen op die manier gebeuren. Zo kun je die beschermen. Die kant willen we op.

Mevrouw Gesthuizen vroeg heel scherp wie de schade draagt in welk geval. Ik heb al gezegd dat mensen ondersteuning verdienen van bijvoorbeeld het CMI, ook als ze zelf onverstandige dingen hebben gedaan. Het CMI is er bij het ministerie actief mee bezig. Als het echter om schade gaat, is de digitale wereld niet anders dan de gewone wereld. Het hangt af van de vraag in welke mate iets verwijtbaar is en in welke mate iemand verantwoordelijk is. Als de gemeente iets fout heeft gedaan waardoor mensen gedupeerd zijn, ligt de verantwoordelijkheid, lijkt mij, bij de gemeente. Als mensen zelf iets fout hebben gedaan, ligt de verantwoordelijkheid misschien bij hen. Soms is er sprake van een gemengde verantwoordelijkheid. We gaan langzaam van de analoge wereld en het analoge handelen over op de digitale wereld, maar ik wil het civiel recht voor schadegevallen niet herschrijven. Dat blijft op dezelfde manier van toepassing.

Minister Plasterk: Ja. Daar heb ik ook over gesproken. In de schriftelijke voorbereiding heb ik ook geschreven over het verbeterprogramma voor DigiD. Er wordt continu gewerkt aan het voorkomen. Ik ging echter even mee in de casus dat er toch schade ontstaat, ondanks alle pogingen om deze te voorkomen. Schade kan ook ontstaan door onachtzaamheid. Dan ligt het niet aan de manier waarop een stelsel is ingericht, maar aan mensen die onverstandige dingen doen. Het ging om de vraag of die weging mag plaatsvinden voordat je besluit tot een schadeloosstelling of niet. Ik heb aan mevrouw Oosenbrug geantwoord dat je er volgens mij niet aan ontkomt om soms een weging te doen.

Dat brengt mij bij een andere vraag van mevrouw Oosenbrug. Hoewel zij voorstander is van het digitale stelsel en het digitale tijdperk, blijft zij eraan twijfelen of je dit allemaal van burgers kunt vragen. Ik heb geprobeerd om een en ander in drie trappen in te delen. Voor de derde trap ben ik het ermee eens. Uiteindelijk moet er altijd een achtervang zijn. Je kunt wel vragen van mensen dat ze het op een bepaalde manier doen, maar soms gebeurt het niet. Dat mag dan niet betekenen dat ze hun burgerrechten verliezen. Dat is duidelijk. Ik hoop dat er ook begrip voor is dat we niet te snel zeggen dat het digitale niet hoeft als mensen daar niet zo van zijn. Dan kunnen mensen als ik ook denken: ik heb een druk leven; ik wacht wel tot het in de bus komt. Op die manier laten we de doelstelling los, maar die wil ik behouden. Als het kan, moeten mensen zo veel mogelijk zelf digitale interactie met de overheid hebben. Als ze het niet zelf kunnen, moeten we accepteren dat iemand in hun omgeving hen erbij helpt. Als dat ook niet kan, moeten we van overheidswege ervoor zorgen dat mensen niet in de kou blijven staan. Langs die drie trappen wil ik het opbouwen. Ik kijk even of ik mevrouw Oosenbrug overtuigd heb.

De voorzitter: Er wordt dus een VAO aangemeld, met als eerste spreker mevrouw Gesthuizen.

Wij zijn gekomen aan het einde van dit algemeen overleg, met de toezegging van de Minister dat hij eind januari een brief zal sturen waarin de businesscase beveiligingskosten nader zal worden uitgewerkt. Ik dank de leden voor hun inbreng. Ik dank de Minister en zijn staf voor de beantwoording en ik dank de mensen op de publieke tribune voor hun belangstelling.