Skip to main content
Skip table of contents

Proces toetreden

Het afsprakenstelsel van Elektronische Toegangsdiensten, waaronder het merk eHerkenning valt, staat open voor deelname door nieuwe geïnteresseerde partijen. Het Proces Toetreden beschrijft de stappen die genomen moeten worden om toe te treden tot het afsprakenstelsel Elektronische Toegangsdiensten. Na ondertekening van de Deelnemersovereenkomst, als sluitstuk van het toetredingsproces, mag het merk eHerkenning gevoerd worden. Bij bepaalde wijzigingen, bijvoorbeeld wanneer een deelnemer zijn dienstverlening wil uitbreiden of aanpassen, kan er ook sprake zijn van toetreden. In alle gevallen dient de kandidaat toetreder (hierna genoemd: de Toetreder) het Proces Toetreden met goed gevolg te doorlopen.

Er is sprake van toetreding in de volgende situaties:

  1. Een nieuwe deelnemer (een partij die nog geen deelnemersovereenkomst heeft getekend) wil één of meer rollen in het stelsel gaan vervullen.

  2. Een huidige deelnemer wil zijn rol(len) in het stelsel uitbreiden met één of meer rollen.

  3. Een huidige deelnemer wil met één of meer betrouwbaarheidsniveaus uitbreiden op de rol(len) die hij al vervulde in het stelsel.

  4. Een huidige deelnemer wil zijn processen voor uitgifte van middelen of registratie van machtigingen aanpassen.

  5. Een huidige deelnemer wil één of meer optionele functionaliteiten gaan leveren (of uitbreiden) aan zijn klanten.

  6. Verscheidene partijen willen in een combinatie onder een gemeenschappelijke naam Toegangsdiensten verrichten, waarbij ieder van de partijen in de combinatie hoofdelijk aansprakelijk is. In dit geval dienen alle combinanten afzonderlijk toe te treden. Indien er een wijziging is in de samenstelling van de combinatie, moet de nieuwe partij het Proces Toetreden doorlopen.

  7. Een huidige deelnemer implementeert een nieuwe koppelvlakrelease van het afsprakenstelsel, zie ook Proces change en release.

  8. Een huidige deelnemer wijzigt de rechtspersoon of rechtsvorm. Hij gebruikt dan het formulier Template wijziging rechtspersoon deelnemer.

De Toezichthouder heeft de mogelijkheid om, afhankelijk van de situatie, bepaalde processtappen over te slaan en/of aan te geven wat de op te leveren bewijsstukken zijn. Deze keuze is afhankelijk van de situatie: een nieuwe toetreding verschilt van een wijziging van de rechtspersoon, in het geval van de wijziging van de rechtspersoon heeft de Toezichthouder al de procesbeschrijvingen getoetst. De Toezichthouder bepaalt en communiceert per situatie de te doorlopen stappen en de op te leveren bewijsstukken aan de Toetreder. In gevallen waarbij aanvragen binnen de bestaande kaders van het afsprakenstelsel Elektronische Toegangsdiensten, is RDI gemachtigd om namens de Minister een besluit te nemen en hierover een aanwijzing te versturen. 

Gerelateerde onderdelen van het afsprakenstelsel:

Doelstelling

De doelstelling van het Proces Toetreden is om op een zorgvuldige en beheerste wijze nieuwe deelnemers aan te sluiten. Het Proces Toetreden vormt een belangrijke waarborg voor het vertrouwen in het merk eHerkenning. De deelnemers moeten voldoen aan de eisen genoemd in het afsprakenstelsel om dit vertrouwen in het  merk te kunnen waarborgen  Deze toetsing voert de Toezichthouder uit.

Zorgvuldige en beheerste toetreding betekent o.a.:

  • volgens een transparant proces;

  • zonder verstoringen;

  • dat de Toetreder voldoet aan het afsprakenstelsel.

Verantwoordelijkheden

Diverse partijen hebben verantwoordelijkheden en taken in het Proces Toetreden:

  • De Toetreder is verantwoordelijk voor het implementeren van de eisen die het afsprakenstelsel stelt. Hij stelt de benodigde documentatie beschikbaar voor de toetsing. De Toetreder stelt tevens een medewerker als aanspreekpunt aan.

  • De Beheerorganisatie faciliteert het Proces Toetreden en is verantwoordelijk voor de administratie en de volledigheid van het toetredingsdossier tijdens het Proces Toetreden. De Beheerorganisatie stelt tevens een simulator testtool ter beschikking en heeft de taak om de resultaten van de simulator- en ketentestresultaten cq. de implementatie van de koppelvlakken van de Toetreder steekproefsgewijs te toetsen (zie Testing). De Beheerorganisatie stelt een 'Coördinator Toetreden' aan. 

  • De Coördinator Toetreden notificeert de Toezichthouder via Rijksinspectie Digitale Infrastructuur, de Eigenaar en het Tactisch Beraad wanneer een nieuwe Toetreder zich meldt. Daarnaast administreert de Coördinator Toetreden van de beheerorganisatie het toetredingsdossier en controleert de volledigheid ervan. De Coördinator Toetreden stelt het volledige dossier beschikbaar aan Rijksinspectie Digitale Infrastructuur met het verzoek de implementatie van een Toetreder te toetsen. De Coördinator Toetreden is verantwoordelijk voor het naleven van het Proces Toetreden conform de procesbeschrijving en houdt de procesbeschrijving actueel.

  • Rijksinspectie Digitale Infrastructuur adviseert de staatssecretaris over toetredingen. Het advies bevat informatie of een Toetreder kan toetreden tot het afsprakenstelsel. De Toezichthouder toetst de implementatie van de deelnemer m.b.t. de opzet van de processen voor het uitgeven en registreren van middelen en machtigingen en de vereiste beveiligingsaspecten.

  • De Rijksinspectie Digitale Infrastructuur controleert het toetredingsdossier en toetst aan de hand van het controlememorandum of de procesbeschrijvingen van de Toetreder voldoen. 

  • Rijksinspectie Digitale Infrastructuur is in geval van proceswijzigingen die binnen de bestaande kaders van het afsprakenstelsel Elektronische Toegangsdiensten gemachtigd om een besluit te nemen en een aanwijzing te versturen.

  • De Eigenaar sluit, als houder van het merkrecht en politiek verantwoordelijke voor het afsprakenstelsel een deelnemersovereenkomst af met de Toetreder. Daarmee krijgt een partij het recht om deel te nemen in het netwerk en onder het merk eHerkenning de propositie te voeren waarvoor hij is toegetreden.

In het Proces Toetreden spelen concurrentiegevoelige gegevens een rol. Deze gegevens zijn geclassificeerd als 'Vertrouwelijk'.

Overzicht processtappen: Nieuwe toetreding

image-20240627-061147.png

Proces Toetreden

Toelichting processtappen

1. Intake toetreding

Input

Melding van interesse van een nieuwe deelnemer

Activiteit

Een huidige of nieuwe deelnemer meldt zich bij de beheerorganisatie met een verzoek tot (uitbreiding) toetreding.

De Beheerorganisatie houdt een intake en informeert de verzoekende partij over: 

  1. de rollen waarop kan worden toegetreden;

  2. de procedure voor de toetreding tot de betreffende rol(len); 

  3. de voorwaarden voor toetreding waaronder de stelseleisen voor informatiebeveiliging.

Output

Informatie over het Proces Toetreden en over de werking van het afsprakenstelsel.

Wie?

  • Coördinator toetreden

  • Toetreder

2. Behandelen verzoek tot toetreding

Input

Formulier verzoek tot toetreding

Activiteit

De Potentiële Toetreder (hierna genoemd: Toetreder) dient het ingevulde formulier Template verzoek tot (uitbreiding) toetreding in bij de Beheerorganisatie en benoemt tevens een aanspreekpunt in de eigen organisatie. De Coördinator toetreden controleert het ingevulde formulier op volledigheid.

De Beheerorganisatie meldt aan Rijksinspectie Digitale Infrastructuur dat een verzoek tot toetreding is gedaan. De Beheerorganisatie informeert tevens het Tactisch Beraad over het formele verzoek tot toetreding.

De Rijksinspectie Digitale Infrastructuur informeert bij de Toezichthouder of er vooraf feiten bekend zijn die een succesvolle toetreding van de deelnemer belemmeren. Indien er sprake is van belemmerende feiten stelt de Rijksinspectie Digitale Infrastructuur de Potentiële toetreder op de hoogte. Een voorbeeld van een belemmerend feit is dat de organisatie in het Handelsregister staat met de status surseance. Het is de beslissing van de Toetreder om het toetredingsproces toch voort te zetten.

De Toetreder ontvangt een brief met de op te leveren bewijsstukken van de Rijksinspectie Digitale Infrastructuur. Dat is afhankelijk van de situatie zoals in de inleiding is beschreven.

Output

Brief aan Toetreder (bij belemmering)

Wie?

  • Rijksinspectie Digitale Infrastructuur

  • Coördinator toetreden

  • Toetreder

3. Opbouwen dossier en implementatie en aanleveren bewijsstukken door deelnemer

Input

Brief met de op te leveren bewijsstukken

Activiteit

De Toetreder start met het implementeren van de voorwaarden genoemd in het afsprakenstelsel. De Toetreder levert de bewijsstukken op aan de Coördinator Toetreden.

De Toezichthouder geeft aan welke bewijsstukken van toepassing zijn voor de beoordeling van een nieuwe toetreding. De bewijsstukken zijn afhankelijk van het type verandering: betreft het een kleine wijziging in een procedure of is het een geheel nieuwe toetreding. Bij een geheel nieuwe toetreding bestaat deze documentatie minimaal uit:

  • Bewijs van inschrijving in het Handelsregister. De Toezichthouder bevraagt met deze informatie het Handelsregister;

  • Bewijs van een WA verzekering m.b.t. te leveren diensten;

  • Continuïteitsplan m.b.t. diensten;

  • ISO27001 certificaat of TPM, inclusief de Verklaring van Toepasselijkheid, waaruit overeenstemming met het Gemeenschappelijk normenkader informatiebeveiliging blijkt;

  • Resultaten penetratietest;

  • Resultaten simulator- en ketentest;

  • Een exitplan.

Het staat de Toetreder vrij om de bewijsstukken in delen op te leveren. Ten aanzien van de procesbeschrijving(en) van de uitgifteprocessen voor middelen en machtigingen moet minimaal aangegeven zijn hoe het betrouwbaarheidsniveau kan worden toegekend. Indien een Toetreder alleen als MU toetreedt, dient deze aan te geven met welke authenticatiedienst(en) een overeenkomst is gesloten voor het authentiseren van de uitgegeven middelen. Hierbij dient de Toetreder inzage te geven in de contractuele afspraken tussen MU en AD.

Indien de Toetreder als MU en/of AD toetreedt, dient deze een beschrijving van de registratie-, identificatie- en authenticatieprocessen voor gebruikers in te dienen. De Toezichthouder controleert in het toetredingsproces of, in de door de Toetreder gehanteerde modelovereenkomsten, de Gebruiksvoorwaarden van het afsprakenstelsel minimaal van toepassing worden verklaard.

Indien de Toetreder het gebruik van Polymorfe Pseudonimisering van het BSN ondersteunt, dan moet hij de "Aansluitovereenkomst MR" en "Bewerkersovereenkomst" van BZK accepteren en hier bewijs van overleggen.

Indien de partij als HM toetreedt dient deze een procesbeschrijving in te dienen voor de registratie van de Dienstverlener.

Het is gewenst dat de toetsing aan het Normenkader betrouwbaarheidsniveaus efficiënt kan worden uitgevoerd ter beperking van de doorlooptijd. Daarom zijn er criteria gesteld waaraan de op te leveren procesbeschrijvingen moeten voldoen:

  1. Voor elke afzonderlijk betrouwbaarheidsniveau dat door de deelnemer wordt geleverd is een beschrijving beschikbaar.

  2. De beschrijving is per betrouwbaarheidsniveau en volgt de levenscyclus van middelen en/of machtigingen (van aanvraag tot intrekken).

  3. De beschrijvingen voor de uitgifte van middelen en/of machtigingen is als volgt ingedeeld:

    1. De fase van aanvraag;

    2. De fase van uitgifte;

    3. De fase van authenticatie;

    4. De fase voor intrekking, vernieuwing en eventueel schorsing;

    5. De communicatie met Gebruikers;

    6. De technische kwaliteiten van het middel;

    7. De procesflow;

  4. De specifieke technische en beheersmatige beveiligingsmaatregelen behorende bij het middel en/of de machtiging.

  5. Per processtap een beschrijving van de vastlegging (logging) van de input, de verwerking en de output. Het gaat hier vooral om vastlegging van uitgevoerde controles, verificaties en validaties. (specifiek 3a t/m 3d).

  6. Beschrijving van de archivering van bewijs dat voortkomt uit punt 5.

  7. Verwijzingen naar de relevante voorschriften uit het normenkader betrouwbaarheidsniveaus bij de voorgaande beschrijvingen 3 t/m 6.

Output

Bewijsstukken volgens het controlememorandum

Wie?

  • Toezichthouder

  • Coördinator toetreden

  • Toetreder

3a. Testrapportage - toelichting technische implementatie

Input

Gegevens aansluiting testnetwerk en testresultaten

Activiteit

  • De Toetreder levert de metadata URL en de public key van het signing certificaat van de acceptatie systemen. Hiermee wordt vervolgens de metadata geautomatiseerd aangemaakt volgens het Proces netwerkmetadata.

  • De Toetreder betrekt de test middelen en machtigingen bij andere deelnemers (indien van toepassing).

  • De Toetreder voert een simulator- en ketentest uit en is in staat deze te presenteren en te demonstreren aan BO. De BO maakt hier verslag van en voegt deze toe aan het toetredingsdossier.

Output

Presentatie/demonstratie van de interoperabiliteit in het testnetwerk

Wie?

  • Coördinator Toetreden

  • Toetreder

3b. ISO27001- toelichting Toets Informatiebeveiliging

Input

Formeel verzoek tot toetreding + afspraken over het te doorlopen proces

Activiteit

De Toetreder moet aantonen dat stappen zijn gezet om ISO27001 gecertificeerd te worden en vraagt een Certificerende Instelling (in casu de ISO-auditor) een ISO27001 certificeringsaudit uit te voeren, waarbij de scope van het toepassingsgebied in ieder geval een aanduiding van de rollen bevat die de Toetreder wil gaan uitvoeren in het afsprakenstelsel.

Indien de Toetreder al ISO27001 gecertificeerd is kan het zijn dat de scope van het toepassingsgebied wijzigt, waardoor ook nieuwe maatregelen toegevoegd dienen te worden. Bovenstaande kan dan ook van toepassing zijn.

Het rapport van de ISO-auditor (waaruit tenminste blijkt dat de opzet en bestaan van alle relevante maatregelen getoetst is) en de bijbehorende Verklaring van Toepasselijkheid wordt vervolgens door de Toetreder aangeleverd bij de Coördinator Toetreden. Zie Beleid voor informatiebeveiliging.

Het ISO-certificaat dient binnen 6 maanden na toetreding te worden aangeleverd bij de Toezichthouder via de Rijksinspectie Digitale Infrastructuur. 

Zie voor de informatiebeveiligingseisen waaraan de Toetreder moet voldoen om te mogen toetreden: Beleid voor informatiebeveiliging.

Output

ISO-certificaat of verklaring

Wie?

  • Vanuit de Toetreder de aangestelde contactpersoon

  • Toetreder

3c. Pentest rapportage - toelichting Penetratietest

Input

Formeel verzoek tot toetreding + afspraken over het te doorlopen proces

Activiteit

De Toetreder is verplicht om een penetratietest te ondergaan die overeenkomt met het Beleid voor penetratietesten.

De Toetreder levert de resultaten van de penetratietest op bij de Beheerorganisatie.

Output

Gecontroleerde resultaten penetratietest

Wie?

  • Coördinator Toetreden

  • Toetreder

4. Overdracht van Toetredingsdossier en beoordelen toetreding

Input

Dossier van de Beheerorganisatie

Activiteit

De Beheerorganisatie controleert de documentatie op volledigheid en beoordeelt, indien van toepassing, de testresultaten van de Toetreder. De Beheerorganisatie doet een melding aan de Rijksinspectie Digitale Infrastructuur zodra de bewijsstukken compleet zijn. De beheerorganisatie rapporteert de Rijksinspectie Digitale Infrastructuur over de uitkomst van de beoordeling van de testresultaten.

Output

Brief met melding een compleet dossier.

Overdrachtsdossier met bewijsstukken.

Wie?

  • Coördinator Toetreden

  • Rijksinspectie Digitale Infrastructuur 

5. Voorbereiden Toetredingsdossier met advies 

Input

Overdrachtsdossier met bewijsstukken

Activiteit

De Rijksinspectie Digitale Infrastructuur toetst of de procesbeschrijvingen behorende bij de rol waarin de Toetreder wil toetreden voldoen aan de eisen zoals gesteld in het Normenkader betrouwbaarheidsniveaus. Het toetsen van de opzet van de processen gebeurt, met het principe van hoor en wederhoor. Dit geldt zowel bij nieuwe toetreding als bij tussentijdse wijziging van deze processen. 

De Rijksinspectie Digitale Infrastructuur beoordeelt het toetredingsdossier en stelt een controlememorandum op. Dit memorandum bevat de bevindingen van de procesbeschrijvingen van de Toetreder ten opzichte van het Normenkader Betrouwbaarheidsniveaus.

Output

Gecontroleerde procesbeschrijving(en).

Controlememorandum.

Wie?

  • Rijksinspectie Digitale Infrastructuur

  • Toetreder

  • Coördinator Toetreden

6. Opstellen advies door de Rijksinspectie Digitale Infrastructuur en besluit toetreding door Eigenaar

Input

Controlememorandum

Activiteit

De Rijksinspectie Digitale Infrastructuur stelt een advies op basis van de bewijsstukken en de bevindingen uit het controlememorandum.

De Rijksinspectie Digitale Infrastructuur adviseert de Minister (in zijn rol als Eigenaar) over de toetreding.

De Eigenaar neemt een besluit op basis van het advies van Rijksinspectie Digitale Infrastructuur. Een eventueel negatief besluit wordt door de Eigenaar gecommuniceerd naar de Toetreder en daarmee eindigt het proces toetreden.

Na een positief besluit wordt een Deelnemersovereenkomst afgesloten. De Eigenaar maakt, gebaseerd op het herstel van bevindingen genoemd in het controlememorandum, afspraken over het oplossen die bevindingen. De Rijksinspectie Digitale Infrastructuur ziet toe op de opvolging van deze afspraken. 

Na rechtsgeldige ondertekening van de deelnemersovereenkomst heeft de toetredende partij rechten en verplichtingen als deelnemer van het afsprakenstelsel.

De Coördinator Toetreden stelt het Tactisch Beraad op de hoogte van de toetreding.

Output

Getekende overeenkomst

Besluit aan Toetreder

Wie?

  • Rijksinspectie Digitale Infrastructuur

  • Eigenaar

  • Toetreder

7. Toetreden afsprakenstelsel

Input

Positief besluit voor toetreding

Getekende deelnemersovereenkomst

Activiteit

De Deelnemer treedt toe tot het afsprakenstelsel

  • De Deelnemer geeft de metadata URL en de public key van het signing certificaat aan van de preproductie- en productiesystemen door aan de Beheerorganisatie. De Beheerorganisatie verwerkt de metadata tot nieuwe metadata voor het netwerk en communiceert deze aan alle deelnemers. Nadat de deelnemers de nieuwe metadata hebben verwerkt, is het nieuwe productiesysteem aangesloten op het netwerk. Hierbij wordt het proces gevolgd zoals beschreven in Proces netwerkmetadata.

  • De Deelnemer geeft informatie over de propositie door aan de beheerorganisatie. Dit wordt op de website van eHerkenning geplaatst.

De Deelnemer behaalt zijn ISO-certificering binnen de termijn die daarvoor in het afsprakenstelsel is vastgelegd.

Output

Aangesloten nieuwe deelnemer

Wie?

  • Eigenaar

  • Toetreder

  • Beheerorganisatie

Overzicht processtappen: Wijziging bestaande toetreder

image-20240627-061529.png

Toelichting processtappen

1. Verzoek tot wijziging

Input

Melding van wijziging van een bestaande deelnemer

Activiteit

Een huidige deelnemer meldt zich bij de beheerorganisatie met een verzoek tot uitbreiding toetreding.

De Beheerorganisatie houdt een intake en informeert de verzoekende partij over: 

  1. de rollen waarop kan worden toegetreden;

  2. de procedure voor de toetreding tot de betreffende rol(len); 

  3. de voorwaarden voor toetreding waaronder de stelseleisen voor informatiebeveiliging.

Output

Informatie over het Proces Toetreden en over de werking van het afsprakenstelsel.

Wie?

  • RDI

  • Toetreder

2. Beoordelen verzoek tot wijziging

Input

Verzoek tot wijziging

Activiteit

De Rijksinspectie Digitale Infrastructuur (RDI) beoordeelt de ontvangen aanvraag en de bijbehorende documenten.

De RDI bepaalt welke onderdelen van het afsprakenstelsel relevant zijn voor de aanvraag.

Vervolgens toetst de RDI of de aangeleverde aanvraag voldoet aan de relevante eisen zoals gesteld in het Normenkader betrouwbaarheidsniveaus. Indien nodig, wordt de aanvrager om aanvullende informatie gevraagd om een volledige beoordeling te kunnen uitvoeren. Bij afwijkingen van de eisen vindt hoor en wederhoor plaats.

Output

Brief aan Toetreder

Wie?

  • Toetreder

3. Opstellen rapport 

Input

Overdrachtsdossier met bewijsstukken

Activiteit

De Rijksinspectie Digitale Infrastructuur (RDI) stelt een rapportage op waarin de beoordeling van de ingediende wijziging wordt vastgelegd. Deze rapportage omvat onder andere een beschrijving van de wijziging, tegen welke versie van het afsprakenstelsel is getest, welke bevindingen zijn geconstateerd en de conclusie van de inspecteurs.

Output

Gecontroleerde procesbeschrijving(en)

Rapport

Wie?

  • RDI

  • Toetreder

4. Opstellen aanwijzing of advies 

Input

Rapport

Activiteit

De Rijksinspectie Digitale Infrastructuur stelt een aanwijzing op basis van de bewijsstukken en de bevindingen uit het controlememorandum.

  1. Wijziging (na impactinschatting en zonder grote risico's bij proceswijziging door RDI)
    De Rijksinspectie Digitale Infrastructuur communiceert namens de Minister (in zijn rol als Eigenaar) over de wijziging naar de Toetreder. Bij een positieve aanwijzing wordt een Deelnemersovereenkomst aangepast. Bij een negatieve aanwijzing eindigt het proces toetreden.

  2. Advies t.a.v. wijziging (bijv. bij gebruik van nieuwe technologieën of niet voldoen aan AS)
    De Rijksinspectie Digitale Infrastructuur adviseert de Minister (in zijn rol als Eigenaar) over de wijziging. De Eigenaar neemt een besluit op basis van het advies van Rijksinspectie Digitale Infrastructuur. Een eventueel negatief besluit wordt door de Eigenaar gecommuniceerd naar de Toetreder en daarmee eindigt het proces toetreden.

Output

Getekende aangepaste deelnemersovereenkomst

Aanwijzing aan Toetreder

Wie?

  • RDI

  • Eigenaar

  • Toetreder

5. Toetreden afsprakenstelsel

Input

Positief aanwijzing of advies voor toetreding

Getekende aangepaste deelnemersovereenkomst

Activiteit

Geen

Output

Uitbreiding bestaande deelnemer

Wie?

  • Eigenaar

  • Toetreder

  • Beheerorganisatie


JavaScript errors detected

Please note, these errors can depend on your browser setup.

If this problem persists, please contact our support.