Wet digitale overheid (Wdo) — betrouwbaar inloggen bij de overheid en het toelatingsstelsel voor inlogmiddelen

De Wdo bepaalt hoe burgers en bedrijven zich digitaal identificeren bij de overheid: welke betrouwbaarheidsniveaus een dienst vraagt, welke inlogmiddelen daarvoor mogen worden gebruikt, en wie zulke middelen op de markt mag brengen. De wet geldt sinds 1 juli 2023, maar de onderdelen die het meest zichtbaar zouden zijn — de acceptatieplicht, de toelating van private inlogmiddelen en de hele paragraaf over dienstverlening aan bedrijven — zijn drie jaar later nog niet in werking. Anders dan de Europese eIDAS-verordening, die grensoverschrijdende erkenning regelt en de Europese portemonnee voor digitale identiteit introduceert, ordent de Wdo vooral de Nederlandse infrastructuur. Voor ondernemers is de praktische werkelijkheid daarom nog altijd eHerkenning, dat op een privaat afsprakenstelsel draait en niet op het wettelijke toelatingsstelsel.

Waarvoor is dit bedoeld

Inloggen bij de overheid gebeurde jarenlang met voorzieningen zonder eigen wettelijke basis. De Wdo geeft die basis: zij verplicht overheidsorganisaties hun digitale diensten te classificeren naar het vereiste betrouwbaarheidsniveau, zij regelt dat alleen middelen met ten minste dat niveau toegang geven, en zij creëert een stelsel waarin ook private partijen erkende inlogmiddelen kunnen aanbieden. Daarnaast wijst zij open standaarden aan die overheidsorganisaties moeten toepassen.

Voor wie

De wet is van toepassing op bestuursorganen als bedoeld in artikel 1:1, eerste lid, onder a, Awb, op aangewezen organisaties — de categorieën die in de bijlage bij de wet staan, plus organisaties die de minister individueel aanwijst — en op de rechterlijke instanties, waaronder de gerechten, de Afdeling bestuursrechtspraak van de Raad van State, het College van Beroep voor het bedrijfsleven en de Centrale Raad van Beroep (art. 2). De standaardenplicht van artikel 3 geldt daarnaast voor organen, personen en colleges als bedoeld in artikel 1:1, tweede lid, Awb en voor rechtspersonen met een wettelijke taak als bedoeld in artikel 1.1 van de Comptabiliteitswet 2016. Er is geen omzet- of personeelsdrempel: de wet hangt aan de publieke taak, niet aan de omvang.

Wat er niet onder valt

De Wdo legt gewone bedrijven geen verplichtingen op. Zij raakt hen langs twee wegen: als afnemer van overheidsdiensten die op een bepaald betrouwbaarheidsniveau moeten worden benaderd, en — zodra het toelatingsstelsel werkt — als aanbieder van een inlogmiddel of authenticatiedienst die erkenning wil. Publieke identificatiemiddelen zoals DigiD mogen uitsluitend worden gebruikt voor toegang tot elektronische dienstverlening van bestuursorganen en aangewezen organisaties (art. 8); een bedrijf kan DigiD dus niet voor zijn eigen klantportaal inzetten.

Wat je moet doen

Voor overheidsorganisaties: per digitale dienst vaststellen welk betrouwbaarheidsniveau vereist is volgens de regels die bij ministeriële regeling zijn gesteld, uitsluitend middelen toelaten die dat niveau halen (art. 6), en de aangewezen open standaarden toepassen (art. 3). Voor ondernemingen: over een inlogmiddel beschikken dat het niveau haalt dat de betreffende overheidsdienst vraagt, met de bijbehorende machtigingen voor wie namens de onderneming inlogt. De gebruiker van een identificatiemiddel moet zelf alle nodige maatregelen nemen om misbruik te voorkomen (art. 10).

Wat sinds 1 juli 2023 geldt

In werking zijn onder meer: de classificatie van digitale diensten naar betrouwbaarheidsniveau (art. 6), het gebruiksvoorbehoud voor publieke identificatiemiddelen (art. 8), de zorgplicht van de gebruiker (art. 10), de verplichte open standaarden (art. 3), het toezicht- en boeteartikel (art. 17), de bevoegdheid om dienstverlening te onderbreken (art. 18), de informatieplicht aan de minister (art. 19) en de doorberekening van de kosten van publieke identificatiemiddelen (art. 20).

Wat nog niet in werking is

Artikel 4 over informatieveiligheid, artikel 7 over de acceptatieplicht van bestuursorganen, artikel 9 over het toelaten van identificatiemiddelen en diensten, de gehele paragraaf 4.3 met de artikelen 11 tot en met 15 over elektronische dienstverlening aan bedrijven, en de artikelen 21 en 22 over doorberekening van de kosten van dienstverlening en van erkenningsaanvragen en toezicht. De wet treedt op grond van artikel 29 in werking bij koninklijk besluit, dat per artikel kan verschillen.

Betrouwbaarheidsniveaus

Artikel 6 bepaalt dat bestuursorganen en aangewezen organisaties bij dienstverlening waarvoor authenticatie op het niveau substantieel of hoog vereist is, uitsluitend toegang verlenen met identificatiemiddelen die ten minste dat niveau hebben. Welke dienst welk niveau nodig heeft, wordt bij ministeriële regeling bepaald. De overgangstermijn waarin overheden diensten nog op een lager niveau mogen aanbieden, is met drie jaar verlengd tot 1 juli 2028.

eHerkenning

eHerkenning is het inlogmiddel waarmee ondernemers en organisaties zich bij overheidsdiensten identificeren; het werkt met machtigingen, zodat duidelijk is wie namens welke rechtspersoon handelt, en het kent meerdere betrouwbaarheidsniveaus waarbij steeds meer dienstverleners niveau 3 vragen. Het wordt geleverd door erkende leveranciers waar een onderneming zelf een abonnement bij afsluit; de kosten komen voor rekening van de onderneming. Het wettelijke toelatingsstelsel waaronder die erkenning zou moeten vallen, staat in artikel 9 en in paragraaf 4.3 — en juist die bepalingen zijn nog niet in werking.

Het toelatingsstelsel

Artikel 9 regelt de toelating van identificatiemiddelen en authenticatiediensten: de route waarlangs een private aanbieder een erkend inlogmiddel op de markt kan brengen voor gebruik bij de overheid. Zolang dat artikel niet in werking is, en de artikelen 21 en 22 over de doorberekening van aanvraag- en toezichtkosten evenmin, is er geen wettelijke aanvraagprocedure. Volgens de rijksoverheid is het daadwerkelijke gebruik van private middelen nog niet beschikbaar omdat de lagere regelgeving nog moet worden uitgewerkt.

De acceptatieplicht

Artikel 7 verplicht bestuursorganen om toegelaten identificatiemiddelen te accepteren. Dat artikel is niet in werking; de invoering is gekoppeld aan een aansluitschema dat bij ministeriële regeling wordt vastgesteld. Zonder acceptatieplicht heeft een aanbieder van een privaat inlogmiddel geen afzetmarkt bij de overheid, en zonder toegelaten middelen heeft een acceptatieplicht geen inhoud; de twee wachten op elkaar.

Open standaarden en toegankelijkheid

Artikel 3 verplicht de genoemde organen de aangewezen standaarden voor elektronisch verkeer toe te passen, voor zover die standaard op hen van toepassing is. Tot de standaarden die sinds 1 juli 2023 gelden horen volgens de rijksoverheid HTTPS en HSTS, TLS, en de toegankelijkheidseisen volgens WCAG 2.1 met de bijbehorende verplichting een toegankelijkheidsverklaring te publiceren. Daarmee heeft de digitale toegankelijkheid van overheidswebsites naast het Tijdelijk besluit digitale toegankelijkheid overheid een tweede, wettelijke grondslag gekregen.

Onderbreken van dienstverlening

Artikel 18 geeft de minister de bevoegdheid elektronische dienstverlening te onderbreken bij een ernstige storing, bij misbruik of bij niet-naleving. Organisaties moeten inbreuken op de beveiliging onverwijld melden, en toezichthouders informeren de minister over niet-naleving. Artikel 19 verplicht organisaties en diensten desgevraagd en uit eigen beweging gegevens te verstrekken.

eIDAS en de Europese portemonnee

Sinds 29 september 2018 moeten Nederlandse publieke organisaties en private organisaties met een publieke taak erkende inlogmiddelen uit andere EU-lidstaten accepteren. Verordening (EU) 2024/1183 bouwt dat om tot eIDAS 2: elke lidstaat verstrekt ten minste één Europese portemonnee voor digitale identiteit binnen 24 maanden na de inwerkingtreding van de bijbehorende uitvoeringshandelingen. Private vertrouwende partijen die op grond van Unierecht of nationaal recht sterke gebruikersauthenticatie moeten toepassen — micro- en kleine ondernemingen uitgezonderd — moeten de portemonnee binnen 36 maanden na diezelfde datum aanvaarden wanneer de gebruiker daarom vraagt. Zeer grote onlineplatforms in de zin van de Digitaledienstenverordening moeten het gebruik ervan faciliteren.

Toezicht NL

Artikel 17 draagt het toezicht op naleving van de artikelen 3, 6, 7, 8 en 15 op aan daartoe aangewezen ambtenaren, met verschillende toezichthouders voor het Rijk, de provincies en de aangewezen organisaties. Volgens de rijksoverheid houdt de Rijksinspectie Digitale Infrastructuur toezicht op de authenticatie en ziet Logius toe op de informatieveiligheid; Logius beheert daarnaast de generieke digitale infrastructuur, waarvoor de minister op grond van artikel 5 verantwoordelijk is.

Boete

Artikel 17 geeft de minister de bevoegdheid degene die in strijd met de genoemde bepalingen handelt een bestuurlijke boete op te leggen van ten hoogste het bedrag van de vijfde categorie van artikel 23 van het Wetboek van Strafrecht. Dat bedrag is per 1 januari 2026 € 110.000. De boete richt zich op overheidsorganisaties en op aanbieders binnen het stelsel, niet op bedrijven die alleen inloggen. Daarnaast is het onderbreken van de dienstverlening op grond van artikel 18 in de praktijk het scherpste instrument.