Positionpaper: De eIDAS2-wetgeving zal profiteren van een breder technisch en functioneel perspectief

Deze wijziging implementeert de visie van de huidige Commissie en wordt door de voorzitter van de Commissie als volgt samengevat:

De beoogde nieuwe wetgeving

De Europese Commissie werkt aan een voorstel voor een beveiligde Europese portemonnee voor digitale identiteit (EDIW), tot wijziging van Verordening (EU) nr. 910/2014. 
Invoering van de EDIW zal grote voordelen hebben voor particulieren en bedrijven in Europa. Om er een paar te noemen: de invoering zal de momenteel gelokaliseerde markt voor digitale diensten in de EU openen en zal individuen in staat stellen volledig digitaal te communiceren met organisaties, ter vervanging van de huidige hybride vorm waarbij informatie met hoge waarborgen moet worden ondersteund met fysiek bewijs (paspoorten, kwalificaties, enz.). Bovendien krijgen instellingen geverifieerde informatie over hun klanten, waardoor ze processen verder kunnen digitaliseren, op operationele kosten kunnen besparen en de klanttevredenheid kunnen verbeteren. Ondanks de duidelijke voordelen roept invoering van de EDIW echter ook een aantal zorgen op.

Zorgen

De wijziging vereist wetgeving in alle lidstaten om ten minste één EDIW aan te melden. Alle grote instellingen in specifiek genoemde sectoren, zoals de gezondheidszorg en de financiële sector, zijn dan verplicht om deze aangemelde EDIW's te accepteren. Onze zorg is tweeledig: 

1. Verlies van controle door gedwongen acceptatie van portemonnees voor identiteit van derden, omdat deze veiligheidsrisico's met zich meebrengen die tot nu toe werden afgedekt met bedrijfseigen oplossingen¹  
2. Het risico dat de verordening zich richt op één technologische oplossing die specifieke gebruikssituaties uitsluit²

1.    Verlies van controle door gedwongen acceptatie van portemonnees voor identiteit van derden
Op dit moment hebben bedrijven controle over de identificatie van klanten en de bijbehorende beveiliging omdat ze controle hebben over de (al dan niet eigen) gebruikte apps. De meeste apps detecteren ongebruikelijk gedrag of accountovername aan de kant van de cliënt. Als bedrijven een groot aantal aangemelde EDIW's van derden moeten gebruiken, zullen ze ook genoegen moeten nemen met de beveiligingsfuncties van die portemonnees, die niet gegarandeerd overeenstemmen met hun risicoprofiel. Dit risico is ook beschreven in de derde herziening van eIDAS2. Dit voorstel van PCSI is bedoeld om detectie aan de kant van de cliënt mogelijk te blijven maken voor verifiërende bedrijven en een vooraf bepaald controleniveau te behouden om risico's van fraude te beperken. 
 
Dit kan worden bereikt door drie maatregelen³ te nemen: 

1. De app verifiëren Het voorstel moet de verificatie van apps voor specifiek gebruik in bedrijfstakken mogelijk maken en bedrijfstakken in staat stellen om alleen die apps te aanvaarden die overeenstemmen met hun specifieke risicoprofiel.
2. Apparaatbinding Het voorstel moet bedrijven in staat stellen methodologieën te introduceren die garanderen dat ze nog steeds communiceren met het oorspronkelijk aan boord gekomen apparaat.
3. Recht om te weigeren Als de verificateur ongebruikelijk gedrag of veranderingen opmerkt op basis van de vorige twee maatregelen, moet hij de mogelijkheid hebben om tijdelijk een als onveilig beschouwde EDIW van een cliënt te weigeren en, in geval van structurele problemen, de onveilige EDIW in zijn geheel af te wijzen. In het eIDAS2-voorstel wordt dit alleen als een mogelijkheid voor lidstaten beschouwd⁴. Aangezien tijd vaak van essentieel belang is bij fraude en financiële criminaliteit, moet directe afwijzing van een onveilige EDIW ook een mogelijkheid blijven in risicovolle gebruikssituaties, zoals die bestaan in de financiële sector.

2.    Het risico dat de verordening zich richt op één technologische oplossing
Zoals hierboven vermeld, is het doel van de Commissie om “een technologie te creëren waarbij we zelf kunnen controleren welke gegevens worden gebruikt en hoe ze worden gebruikt”. Het huidige voorstel wil dit implementeren door middel van EDIW's waarmee de gebruiker identiteitsattributen alleen in de portemonnee kan opslaan. In sommige gebruikssituaties is het echter nodig dat de verificateur attributen rechtstreeks van de afgever (originator/bron) kan ophalen op het moment dat ze nodig zijn⁵. Het is daarom goed om ervoor te zorgen dat methoden die in deze processen worden gebruikt ook onder de verordening vallen. Dit voorkomt het gebruik van de huidige privacy-onvriendelijke systemen in deze situaties, waardoor we “geen idee hebben wat er met onze gegevens gebeurt”. 

Processen die verbinding moeten maken met de bron zijn er in verschillende vormen, maar kunnen meestal als volgt worden gecategoriseerd:

• Processen die zorgen voor betere actualiteit of die gebruik maken van grote datasets
• Processen waarbij betrokkenheid van de gebruiker onmogelijk is
• Processen waarbij betrokkenheid van de gebruiker onpraktisch is

Het voorstel moet de optie openlaten om tussen andere soorten implementaties te kiezen, afhankelijk van de gebruikssituatie⁶. 

Als bovenstaande gebruikssituaties en geschikte methoden in de verordening worden opgenomen, betekent dit dat ze dezelfde of vergelijkbare beveiligings- en privacyverbetering moeten volgen, bijv. van de gebruikte communicatieprotocollen. Om de doelen van de verordeningen te bereiken, zijn aanvullende vereisten nodig, zoals:

• afgedwongen toestemming voordat gegevens kunnen worden gedeeld
• gegarandeerde anonimiteit van verificateur ten aanzien van afgever 
• onweerlegbaarheid van interactie.

Oproep tot actie

Om de zorgen weg te nemen en digitale interacties veilig en actueel te houden, heeft de eIDAS2-verordening twee toevoegingen nodig: 

1. Verlies van controle door gedwongen acceptatie van door derden verstrekte portemonnees voor identiteit
   • Extra mogelijkheden voor risicobeperking toevoegen om de bezorgdheid met betrekking tot app-certificering weg te nemen
   • De verordening uitbreiden om ondersteuning mogelijk te maken voor het monitoren van ongebruikelijk gedrag en het tijdelijk afwijzen van EDIW's die als onveilig worden beschouwd
2. Een veelzijdigere EDIW met een meer diverse set methoden
   • Een voorziening toevoegen aan de referentiearchitectuur voor EDIW van de EU voor het ophalen van attributen bij de bron wanneer een attestering wordt aangevraagd 

1. Voor meer informatie: diepgaand artikel Verlies van controle door EDIW
2. Voor meer informatie: diepgaand artikel Veelzijdigere EDIW
3. Voor meer details: diepgaand artikel Verlies van controle door EDIW
4. Verkenning eWallets Speelveldanalyse, 11 januari 2022 Innovalor, in opdracht van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties
5. Voor meer details: diepgaand artikel Veelzijdiger EDIW
6. SSI Speelveldanalyse, 1 oktober 2021, Innopay en TNO in opdracht van het Ministerie van Binnenlandse Zaken en Koninkrijksrelaties – paragraaf 6.3